Presents a study on information security in order to propose an Information Security Policy for the Department of General Archives (DAG), Federal University of Santa Maria (UFSM) as a way of enabling the protection, availability and secure access to archival information (not digital), in the university context. It is characterized as an exploratory qualitative approach, assuming a case study form, because it involves the study of a certain subject allowing its wide and detailed knowledge. It was first conducted a more detailed study of the Standard ISO/IEC 27002 which is a code of practice for information security, providing guidelines for the implementation of an Information Security Policy, based on regulations according to the institutional purposes. The study aimed, at first, to adapt the requirements and controls present in this standard archival context, focusing on the protection of not digital information, a research in the Heritage Documentary line. Thus, the adaptation of the standard for archival followed the structure of the original standard, seeking to provide for the archival institutions a tool to subsidize the development of an Information Security Policy, providing a more secure and reliable protection. In order to compose this policy a data collection was carried out through interviews, structured within questions about security information, based on the standard ISO/IEC 27002, on the previous study and the Adaptation of the Standard for the archival context. With the data collected and analyzed, along with the DAG, it can be verified that the problems causer of threats to the security of not digital archives in the department are directly related to the lack of security to the perimeter and to the absence of a physical control, including entries and exits. These security actions made it possible, together with the adaption of the standard, to propose control in order to prevent further incidents. This way it was possible to structure the Document of the Security Policy representing the materialization of the Security Policy according to the needs presented by DAG. This document will serve as an instrument to support and guide employees, users and third parties in the conduct of institutional activities. However, it is up to the department to approve it and implement it for the purpose of preventing incidents, thereby providing safe reliable and continuous access to not digital information by him guarded. / Apresenta um estudo sobre a segurança da informação a fim de propor uma Política de Segurança da Informação para o Departamento de Arquivo Geral (DAG) da Universidade Federal de Santa Maria (UFSM), possibilitando a proteção, a disponibilidade e o acesso seguro às informações arquivísticas (não digitais), no contexto universitário. Caracteriza-se como uma pesquisa exploratória com abordagem qualitativa, assumindo a forma de estudo de caso, pois envolve o estudo sobre um determinado assunto permitindo o seu amplo e detalhado conhecimento. Primeiramente foi realizado um estudo mais aprofundado da Norma ABNT NBR ISO/IEC 27002 que é um código de prática para a segurança da informação, apresentando diretrizes para a aplicação de uma Política de Segurança da Informação, baseada em regulamentos de acordo com os propósitos institucionais. O estudo objetivou, em um primeiro momento, adaptar os requisitos e controles presentes nessa norma ao contexto arquivístico, tendo como foco a proteção de informação não digital, caracterizando, deste modo, uma pesquisa na linha do Patrimônio Documental. Assim, a Adaptação da Norma para a arquivologia seguiu a estrutura da Norma original, buscando proporcionar às instituições arquivísticas um instrumento que subsidiasse a elaboração de uma Política de Segurança da Informação, possibilitando a proteção de informações não digitais de uma forma mais segura e confiável. Para a composição dessa Política, foi realizada a coleta de dados por meio de entrevista estruturada com questões sobre a segurança da informação, fundamentada na Norma ABNT NBR ISO/IEC 27002, tendo como base o estudo anterior e a Adaptação da Norma para o contexto arquivístico. Com a análise dos dados coletados junto ao DAG, podese verificar que os problemas que causam ameaças à segurança da informação não digital no departamento estão relacionados diretamente à deficiência dos perímetros de segurança e à inexistência de um controle de acesso físico incluindo entradas e saídas. A partir dessas ações de segurança, foi possível, juntamente com a Adaptação da Norma, propor controles a serem aplicados a fim de evitar a ocorrência de novos incidentes. Dessa forma, foi possível estruturar o Documento da Política de Segurança da Informação representando a materialização da Política de Segurança de acordo com as necessidades apresentadas pelo DAG. Esse documento servirá com um instrumento de apoio fundamental para instruir funcionários, usuários e terceiros na realização das atividades institucionais. No entanto, cabe ao departamento aprová-lo e implementá-lo, a fim de prevenir incidentes proporcionando, assim, acesso seguro, confiável e contínuo às informações não digitais por ele custodiadas.

Made available in DSpace on 2015-03-04T18:51:18Z (GMT). No. of bitstreams: 1 Tese.pdf: 7360626 bytes, checksum: 2dafc32ffe671ffbc0ed16f2c7cf3864 (MD5) Previous issue date: 2009-08-10 / Um processo pode ser monitorado de várias maneiras diferentes. A mais usual é a medição de alguma característica do processo. O acompanhamento desta característica, agora representada através de uma variável de controle, permite a identificação de um comportamento não usual, também dito anômalo. Existem diversas medidas que podem ser realizadas sobre um fenômeno.Estas medidas podem sofrer alterações durante todo o ciclo de vida do fenômeno. Destas, algumas podem representar o fenômeno em seus vários estados de transição,permitindo assim,que seja possível acompanhar o fenômeno pela monitoração desta medida.Desta forma, se o fenômeno for interpretado como um processo, esta medida pode ser interpretada como um produto deste processo. Na área de controle estatístico da qualidade há inúmeras ferramentas que permitem o acompanhamento de um processo, em especial de um processo de fabricação.Dentre estas ferramentas há o gráfico de controle que, a partir da interpretação da normalidade de um processo, pode indicar quando um processo torna-se não controlável. A partir de um gráfico de controle para processos não normais e de lógica fuzzy, foi desenvolvido o Algoritmo de Detecção de Anomalias com Janelas Adaptativas. Esse algoritmo foi aplicado nas áreas de Segurança da Informação e Vazão em uma rede de distribuição. No primeiro caso foi utilizado na identificação de ataques de negação de serviço.Ataques deste tipo são caracterizados pelo aumento do número de solicitações a um servidor.O intervalo de tempo entre os pacotes foi a variável selecionada para monitorar o processo. No segundo caso foi utilizado na identificação de vazamentos em redes de distribuição de água.A variável de controle utilizada neste caso foi da vazão obtida em ponto de rede.

Atualmente, a segurança da informação é um assunto muito discutido e alvo de muitos estudos. É imprescindível o uso de mecanismos de segurança em qualquer tipo de comunicação eletrônica, pois as mensagens trocadas são, muitas vezes, sigilosas e carregam informações valiosas. Com o poder computacional cada vez maior e o aparecimento de algoritmos que ameaçam a segurança de alguns sistemas criptográficos, os pesquisadores estão estudando novas técnicas e métodos para a elaboração de cripto sistemas mais seguros e mais robustos. Uma das teorias mais estudadas atualmente promete fazer parte da próxima geração de cripto sistemas. Essa teoria, conhecida por teoria de curvas elípticas, foi inicialmente proposta por Victor Miller e Neal Koblitz. Um cripto sistema baseado em curvas elípticas é capaz de oferecer segurança comparável a cripto sistemas já consagrados tal como o RSA, porém com chaves muito menores. A teoria de curvas elípticas é bastante extensa e as técnicas envolvidas têm sido estudadas para o desenvolvimento de novos cripto sistemas. Uma dessas técnicas é o emparelhamento bilinear. Recentemente descobriu-se que emparelhamentos poderiam ser usados em cripto sistemas. Desde então, os emparelhamentos têm sido utilizados em aplicações tais como criptografia baseada em identidade e assinaturas curtas. Dentre os emparelhamentos existentes, o de Tate merece destaque por oferecer algumas vantagens, sendo uma delas a facilidade de implementação.

This work introduces a new encryption algorithm. The main motivation to the suggested algorithm is to attempt to open new ways and alternative visions that may be eventually integrated into well established cryptography algorithms being used today. When RSA, DES, and several other algorithms are compared, at least a common and central point can be identified; the majority of the known algorithms provides security based on the concept of one-way mathematical functions that are "easy" to be used but "hard" to be broken. The trust on this mathematical statement is fair enough for now; but in a mid-term future, as a foresight act, new technologies can indeed emerge and shake this belief. This work highlights the threat that the Quantum Computers can bring to the current cryptographic algorithms and it proposes a new encryption technique that might be used in conjunction with the current technology. The new algorithm is solely based on low processing power, efficient network communication and uncertainty of the discovery of information.

TLS (Transport Layer Security), protocolo de segurança que opera acima do TCP/IP e abaixo das aplicações de alto nível, é um protocolo amplamente utilizado e aceito na World Wide Web para fornecer privacidade, integridade e autenticidade dos dados. Para a realização de aplicações a bordo de aeronaves, tais como, e-commerce e transações financeiras, o uso do TLS é bastante recomendado. No entanto, o desempenho deste protocolo nas redes de dados aeronáuticas poderá ser degradado se o protocolo TCP não for alterado, pois o mesmo não consegue distinguir entre as perdas causadas pelos erros de transmissão no canal daquelas devido a congestionamento. Este trabalho propõe mudanças no TCP que visam melhorar seu desempenho em ambientes sem fio, tipicamente das redes aeronáuticas, e analisa o desempenho do TLS na presença deste TCP modificado.

A Rede ATN provê serviços de comunicação visando à operação e a gerência de tráfego aéreo. As recomendações SARPs também prevêem que a rede ATN forneça serviços aos usuários das aeronaves comerciais e corporativas, tais como passageiros de linhas aéreas, executivos de empresas e autoridades governamentais. Este trabalho propõe uma aplicação de segurança que torna possível a estes usuários se comunicarem de maneira segura e sigilosa. Considerando as aeronaves coorporativas ou os vôos intercontinentais das linhas comerciais, enfoca-se neste trabalho os serviços de comunicação via satélite que tem características que atendem os requisitos de alcance global e ininterrupto durante todo o vôo incluindo as regiões oceânicas. Tendo situado o ambiente no qual a aplicação de segurança será empregada, estuda-se o desempenho da aplicação de segurança, protocolo IKE, para duas arquiteturas distintas, arquiteturas estas que abrangem protocolos de transporte e de rede. Assim, o protocolo IKE com seus modos e mensagens estabelece um Acordo de Segurança através dos protocolos UDP e IP na arquitetura Internet e dos protocolos CLTP e CLNP na Arquitetura ATN.O protocolo IKE apresenta dois modos (o Principal e o Agressivo) para o estabelecimento de um canal seguro entre o servidor IKE da aeronave e o servidor correspondente em solo. Ambos os modos são aplicados nas duas arquiteturas e o overhead gerado é sumarizado em tabelas, de onde se conclui que a aplicação IKE no modo Agressivo apresenta menor overhead ao utilizar a arquitetura Internet (UDP e IP) apesar de ser mais susceptível que o modo Principal ao ataque de mascaramento.

A preocupação com os requisitos de safety e security de sistemas de controle industriais tem aumentado sensivelmente nos últimos anos. A crescente demanda por sistemas de controle industriais baseados em padrões abertos, a necessidade de integração de dados de processo com ERP's e sistemas corporativos e o acesso remoto aos sistemas de controle trazem consigo maiores requisitos de segurança e, conseqüentemente, torna-se necessário um estudo mais aprofundado de seus riscos e implicações. Assim, verifica-se a necessidade crescente nas grandes empresas de uma forma de avaliar e qualificar o nível de segurança em que se encontram seus sistemas de controle. Neste trabalho é proposto um processo de avaliação de riscos e o estabelecimento de um indicador associado à security em sistemas de controle industriais. Na intenção de validar o processo proposto, foi realizado um estudo de caso em uma unidade de processo industrial, com arquitetura de controle baseado em Sistema Digital de Controle Distribuído (SDCD), sendo consultadas fontes distintas, no sentido de detectar as combinações de vulnerabilidades de security com maior potencial de dano. Os resultados experimentais obtidos confirmam a adequação do processo proposto. O processo de avaliação formulado toma como base as idéias presentes na metodologia COCOTS Risk Analyser e as vulnerabilidades apresentadas no guia do NIST, no intuito de prover um indicador único que reflita o nível de segurança do sistema corrente.

Atualmente os Testes de Segurança de Software não levam em conta os aspectos arquiteturais do sistema, ignoram a inteligência do atacante e não capturam as vulnerabilidades de segurança adequadamente. Esses problemas resultam na pobreza da qualidade final do software, padronização inadequada, atrasos de tempo para chegar ao mercado e aumento considerável nos custos de desenvolvimento. Como resposta a tais problemas foi desenvolvido um modelo de processos para Testes de Segurança. A motivação para o modelo é permitir que os Testes de Segurança sejam baseados nos riscos levantados, facilitando o pleno gerenciamento dos mesmos por todo o ciclo de vida do software. A utilização de uma abordagem baseada em riscos permite a identificação de prioridades nas atividades de testes e com isso um uso mais eficiente de recursos humanos e materiais.

Com o aumento do poder computacional e o surgimento de algoritmos eficientes que compromete a segurança dos sistemas criptográficos faz-se necessário o desenvolvimento de criptossistemas mais robustos e eficientes, assim como bibliotecas que dêem suporte a esses algoritmos. A utilização de curvas elípticas em sistemas criptográficos é uma das alternativas, pois oferece segurança similar ou superior com chaves significativamente menores. O modelo de criptografia de chave pública baseada em identidade é bastante atraente, pois a própria identidade do usuário é utilizada como chave pública, sem a necessidade de gerenciamento da chave pública e certificados digitais. O objetivo deste trabalho é prover todos os recursos/algoritmos necessários à biblioteca Elliptix Lite, a fim de oferecer suporte à implementação de modelos criptográficos de chave pública baseado em identidade. A biblioteca Elliptix Lite foi inicialmente desenvolvida por Barreto (2000) e aprimorada em Paiva (2005). A implementação inicial propõe funcionalidades de curvas elípticas em E(Fp) e sua aritmética, a extensão realizada por Paiva (2005) propões funcionalidades da aritmética de corpos finitos para corpos estendidos em Fpk e o emparelhamento de Tate. Entretanto, os algoritmos implementados na biblioteca, especialmente os desenvolvidos por Paiva (2005) não foram verificados e testados utilizando parâmetros considerados seguros para fins criptográficos. Deste modo, este trabalho propõe testar e implementar novos algoritmos com o objetivo de desenvolver sistemas criptográficos baseado em identidade utilizando a biblioteca Elliptix Lite com parâmetros considerados seguros.

A maioria dos incidentes de segurança nos sistemas computacionais é causada por funcionários ou pessoas ligadas à empresa. A segurança da informação tem focado seus esforços em problemas de redes de computadores e proteção de servidores, onde o perigo é iminente. Seguindo modelos de controle de acesso e suas extensões, pode-se evitar ou detectar muitas vulnerabilidades no sistema de segurança da organização. Esta dissertação procura dar um passo adiante no processo de formalização do modelo de ataques de engenharia social. Dentro desta linha de pesquisa, alguns trabalhos já foram e estão sendo desenvolvidos como por exemplo o trabalho feito por Camilo Peçanha (CAMILO, 2001).