IF68E - Plano de aula 2012/2

• Segurança e Auditoria de Sistemas
• Aulas: 2a e 4a, de 18h40 a 20h20, sala B-202

Podem ocorrer mudanças neste cronograma, com a devida divulgação aos alunos.

Atenção:

• As atividades indicadas com serão avaliadas através de relatórios.
• Todos os relatórios devem ser enviados ao professor até um dia antes da prova bimestral.
• Os relatórios devem seguir o formato de artigo da SBC.

• Apresentação da disciplina
• Conceitos básicos

• Infraestrutura de segurança
• Atividade: Base de Vulnerabilidades

• Criptografia: cifragem e decifragem; criptografia simétrica; criptografia assimétrica

• Atividade: cifradores

• Criptografia: resumo criptográfico; assinatura digital; certificado de chave pública; infraestrutura de chaves públicas

• Atividade: Certificados digitais
• Leitura: Modelos de criptografia de chave pública alternativos (SBSeg 2009)

• Autenticação: usuários e grupos; técnicas de autenticação; senhas; senhas descartáveis; desafio/resposta; certificados de autenticação;

• Atividade: Quebra de senhas

• Autenticação: técnicas biométricas; Kerberos; infraestruturas de autenticação

• Atividade: autenticação SSH por certificados

• Estudo dirigido: Tópicos em autenticação por senhas

• Estudo dirigido: Tópicos em autenticação distribuída

• Prática: Experimento PAM Authentication do SEED Project
• Texto de apoio: PAM system administrator's Guide

• Prática: Experimento Secret-key Encryption do SEED Project
• Prática: Experimento One-way Hash Function and MAC do SEED Project

• Prova 1 (conteúdo das aulas 01 a 13)

• Controle de acesso: políticas, modelos e mecanismos de controle de acesso; políticas discricionárias; políticas obrigatórias.

• Controle de acesso: políticas baseadas em domínios; políticas baseadas em papéis; mecanismos de controle de acesso: infraestrutura básica, controle de acesso em UNIX, controle de acesso em Windows; outros mecanismos; mudança de privilégios.

• Apresentação dos estudos dirigidos
• Defesa das atividades do bimestre

• Apresentação dos estudos dirigidos (cont.)

• Escolha dos temas de estudo de caso da aula 28
• Prática: Experimento Set-UID Program Vulnerability do SEED Project (atividades 1 a 4)

• Prática: Experimento Buffer overflow vulnerability do SEED Project
• Explique como funcionam os seguintes mecanismos de proteção:
  • Técnica ASLR (Address Space Layout Randomization)
  • Bit NX (No eXecute bit)
  • Proteção de pilha oferecida pelo compilador GCC
  • Proteção de execução SUID oferecida pelo shell bash
  • Proteção de execução SUID oferecida pela montagem de partições (comando mount)

• Prática: Experimento Capability exploration do SEED Project (até 3.1, inclusive).

• Auditoria: coleta de dados; análise de dados; auditoria preventiva

• Prática: Explorando sistemas de logs

• Prática: Uso de ferramentas de auditoria:
  • Ferramentas: Nessus (licença HomeFeed), Metasploit, Snort e NMap.
  • Escolha duas das ferramentas acima indicadas.
  • Para cada ferramenta, apresente:
    • objetivo;
    • principais funcionalidades;
    • passos necessários para instalação;
    • 2 roteiros distintos de uso, com resultados reais.

• Continuação da atividade da aula anterior

• Prática: Experimento Packet Spoofing do SEED Project
  • Atenção: não é necessário fazer a atividade 5 (telnet).
  • Arquivo de sniffing do tutorial PCap: sniffex.c

• Estudo dirigido sobre aspectos de governança da segurança: escolher um dos temas abaixo (por ordem de relevância):
  • ISO/IEC 27001
  • CC - Common Criteria (ISO/IEC 15408)
  • COBIT BMIS - Business Model for Information Security ($)
  • ITIL Security Management
  • SAMM - Software Assurance Maturity Model
  • CISSP - Certified Information Systems Security Professional
  • OSSTMM - Open Source Security Testing Methodology Manual
  • OCTAVE - Operationally Critical Threat, Asset, and Vulnerability Evaluation
  • OWASP - Open Web Application Security Project
  • SSE-CMM - Systems Security Engineering Capability Maturity Model ($)
  • CERT/CSIRT
  • PCI-DSS

• Prova 2 (conteúdo das aulas 16 a 28)

• Prazo para entrega dos trabalhos (não tem aula)

• Apresentação da prova
• Defesa das atividades do bimestre