A Internet e a intranet da empresa são ambientes pouco seguros. Quando uma empresa se conecta à Internet ou cria uma intranet interna com segmentos que mantêm informações confidenciais, ela coloca em risco suas informações internas. Essas duas situações exigem acesso controlado e maior segurança para proteger informações corporativas importantes. O primeiro passo envolvido na implementação da segurança na rede é estabelecer uma diretiva de segurança.

Esta seção contém as seguintes subseções:

• "Diretivas de segurança"
• "Decidir o que incluir em uma diretiva de segurança"
• "Criar uma diretiva de segurança"
• "Estabelecer uma diretiva de segurança usando o BorderManager"

Diretivas de segurança

O uso do BorderManager para proteger as fronteiras de rede é apenas um dos vários passos necessários para implementar a segurança de rede na empresa. A implementação de uma rede segura precisa de um grande planejamento e da cooperação dos funcionários da empresa. Para implementar com sucesso uma intranet segura, crie uma diretiva de segurança. Essa criação pode ser um processo longo e complexo, mas é essencial para o sucesso da formação de uma rede segura. Embora a tecnologia não garanta um sistema totalmente seguro, você pode tomar algumas medidas para evitar o mau uso dos dados e dos sistemas na empresa.

Uma diretiva de segurança precisa ser seguida por todos os funcionários e administradores da empresa. Ela precisa ser composta por um conjunto de regras que expressem os objetivos a serem atendidos com relação à segurança e ao controle do acesso nas redes. A diretiva que você implementará depende da tecnologia de que dispõe para concretizar as regras que definir.

Siga estas diretrizes gerais ao criar a diretiva de segurança:

• Explique por que a diretiva foi criada. Esse procedimento será útil quando você precisar fazer alterações posteriormente e quiser se lembrar por que determinadas regras foram definidas.
• Use uma linguagem simples. Isso ajuda os funcionários a lerem e entenderem melhor a diretiva.
• Detalhe as responsabilidades dos funcionários e administradores. Por exemplo, realce o fato de que os funcionários precisam manter suas senhas em sigilo.
• Designe autoridades. Delegue responsabilidades quando ocorrerem violações de segurança e a diretiva não estiver sendo seguida. Inclua qualquer ação punitiva conseqüente, inclusive repreensões ou demissões.

Decidir o que incluir em uma diretiva de segurança

Considere as questões gerais a seguir ao decidir sobre o que incluir na diretiva de segurança. Talvez você precise incluir outros itens nessa lista, com base nas reuniões com a equipe e os administradores da empresa. A diretiva de segurança precisa incluir regras para o seguinte:

• Atribuir e acessar contas.
• Conectar objetos à rede, inclusive um host ou cliente.
• Conectar-se à Internet.
• Proteger informações confidenciais nos servidores FTP ou Web da intranet.
• Publicar informações na Internet.
• Conectar usuários remotos, sites e clientes à rede.
• Usar e-mail.
• Proteger informações confidenciais da empresa.
• Recuperar-se de violações de segurança.
• Reforçar as regras para sites múltiplos e criar uma diretiva consistente entre os sites para facilitar a manutenção.

IMPORTANTE: A lista acima não é completa; na verdade, ela dá uma idéia geral das questões que você precisa ter em mente e fornece um ponto de partida para sua diretiva de segurança. Consulte as informações disponíveis sobre segurança na Internet, online e nas livrarias, para obter maiores detalhes sobre como projetar um sistema de segurança completo e abrangente para sua rede.

Criar uma diretiva de segurança

A criação de uma diretiva de segurança consiste nos seguintes passos:

1. Pesquise diretivas potenciais de segurança usando as fontes disponíveis na Internet e em materiais publicados.
2. Determine as seguintes informações sobre sua empresa:
   • Tipos de aplicativos e dados --- Identifique categorias e determine o que precisa ser protegido e o que precisa se tornar público, tanto dentro quanto fora da empresa.
   • Relações atuais --- Determine, por exemplo, se você deseja suportar acesso ao cliente e ao fornecedor.
   • Funcionários que precisam acessar as informações --- Divida essa questão em categorias para determinar quem precisa acessar quais informações.

3. Determine como a diretiva pode ser mudada no futuro. Especifique como a nova tecnologia e os requisitos serão incorporados à empresa e à diretiva de segurança.
4. Analise a diretiva de segurança no que diz respeito ao risco e ao custo. Este processo pode ser tornar muito analítico e talvez seja melhor contratar um consultor para realizá-lo.
5. Publique a diretiva de segurança. Verifique se todos os funcionários leram e compreenderam a diretiva e suas responsabilidades.
6. Implemente a diretiva. Isso envolve a implementação do firewall e a execução das diretrizes definidas pela diretiva de segurança.
7. Assegure-se do cumprimento da diretiva. A diretiva será inútil se você não verificar se ela está sendo seguida por todos a quem ela diz respeito.
8. Reveja e atualize a diretiva de segurança com freqüência para dar conta das novas questões e das mudanças ocorridas na rede.

IMPORTANTE: Estas informações são apenas um guia e não visam fornecer todos os dados de que você necessita para criar uma diretiva de segurança corporativa. Para obter maiores informações sobre a segurança da rede e a implementação da diretiva de segurança, leia uma das várias publicações de terceiros que fornecem informações detalhadas sobre o assunto. Além disso, você pode encontrar mais informações gerais sobre segurança da rede na documentação do Novell NetWare.

Estabelecer uma diretiva de segurança usando o BorderManager

Você pode controlar o acesso a um servidor BorderManager e à segurança da rede implementando as seguintes regras:

• Quando instalar ou atualizar o BorderManager, desconecte o servidor da rede pública.
• Controle o acesso de rede a um servidor BorderManager da seguinte maneira:
  • Não configure utilitários do host, como RCONSOLE ou XCONSOLE, que permitem o acesso remoto ao sistema.
  • Não use um servidor BorderManager para suportar aplicativos de recebimento de dados, como serviços de impressão e arquivos.
  • Restrinja o acesso por SNMP (Simple Network Management Protocol) ao sistema.
  • Mude a string de comunidade SNMP padrão.
  • Conexões do NCP^TM (NetWare Core Protocol^TM) ao sistema definindo assinaturas de pacotes no nível mais elevado (nível 3).
  • Bloqueie o spoof de endereços de origem aplicando filtros de pacotes a interfaces públicas.
  • Restrinja o acesso físico ao servidor.

• Varra os dispositivos de rede e as estações de trabalho para detectar a existência de vírus.
• Estabeleça um procedimento emergencial de 7 dias, 24 horas por dia para tratar das violações de segurança.
• Desconecte o servidor BorderManager da rede pública se houver suspeita de uma violação de segurança.
• Encoraje os usuários a fazer logout da rede e bloquear as respectivas estações de trabalho no fim do dia.
• Obrigue-os a fazer mudanças periódicas nas senhas. Desencoraje-os a escolher informações pessoais, como nomes e datas de nascimento, quando definirem novas senhas.
• Consulte o RFC 1244 para formular as diretrizes e implementar uma diretiva de segurança do site ainda mais extensa.