|
|
Segurança integrada para aplicações .NET
Desenvolvimento de
aplicações seguras é um dos grandes desafios que teremos em todos os lugares
este ano.
Noticias de roubo digital, hackeamento e acessos indevidos em
geral se tornaram comuns tanto em grandes quanto pequenas empresas usuárias de
sistemas de computador, destacando-se a internet.
Estou seguro ?
Iniciado em 2002 mas consolidado no ano passado, a plataforma de
desenvolvimento Microsoft .NET vem ganhando cada vez mais espaço dentro das
empresas, citando-se casos clássicos (conforme informações do site
http://www.microsoft.com/brasil/msdn) como Banco Itaú, Gol Linhas Aéreas e
muitas outras. Seguindo este rumo empresas de médio e pequeno porte também se
aventurarem neste novo ambiente e construíram aplicações com tempo de
desenvolvimento comparativamente rápido em relação a outras tecnologias bem
como ótimo aspecto visual e funcional em seus aplicativos e sistemas.
Mas depois de todo este esforço muitas empresas e profissionais
notaram que o aspecto segurança havia sido, em muitos casos, deixado de lado.
As novas funcionalidades antes inexploradas como por exemplo web services e
XML, tiraram o foco de segurança que havia sido a principal preocupação em
épocas anteriores. Web services com inúmeras funcionalidades surgiram,
comunicação rápida via Winsock e TCP/IP, intranets substituindo aplicações
desktop estão pipocando em todos os lugares. Ou seja, está mais fácil para
qualquer hacker hoje espionar o tráfego de informações utilizando qualquer
ferramenta de "sniffer" ou "spoofing". Como garantir que a empolgação no
desenvolvimento de software com estas novas tecnologias não deixamos de lado
aspectos de segurança ?
O que fazer agora ?
Com este objetivo apresentamos uma solução rápida, barata e
viável a qualquer empresa que esteja preocupada com a segurança de suas
aplicações. Nossa equipe formada por profissionais certificados pela Microsoft
em desenvolvimento (MCSD) e infraestrutura de rede (MCSE e MCSA) está preparada
para avaliar, implantar e implementar serviços e rotinas para que a segurança
seja elevada sem a necessidade de reescrever todos os sistemas que foram
escritos e hoje são patrimônio de sua empresa.
O diagrama abaixo representa uma das possíveis soluções de
infraestrutura combinadas com recursos de desenvolvimento para garantir por
meio de certificação e assinatura digital o acesso seguro aos dados de sua
empresa.
Os servidores Windows 2000 e Windows 2003 permitem a emissão de
certificados com 128 bits para usuários internos e externos baseadas no Active
Directory, garantindo que a identidade de acesso dos usuários é única e
intransferível. Os serviços de internet do Microsoft IIS (Internet Information
Server) identifica o certificado do usuário e classifica como válido,
permitindo o acesso. Este processo é feito sem a necessidade de qualquer
alteração em seus aplicativos atualmente em uso, bem como nenhum investimento
financeiro adicional em licenças ou compra de novos servidores, no caso de uma
intranet (para internet veja na tabela abaixo).
GPAI
Um pequeno aplicativo de reconhecimento do usuário certificado é
instalado em seu servidor, e caberá a este aplicativo fornecer as informações
necessárias ao seu software, como por exemplo, nome do usuário, departamento ou
filial. Este aplicativo de reconhecimento também é apto a criar as árvores de
direitos dos usuários em cada sistema utilizando o Microsoft Authorization
Manager, indicando em cada diferente função de um sistema o acesso que o
usuário possuí.
Veja na tabela abaixo o que será necessário instalar ou adquirir
para implementar esta solução em uma intranet.
SERVIDOR
|
GRATUITO
|
FUNÇÃO
|
|
Microsoft Windows 2000 Server ou, preferencialmente,
Microsoft Windows 2003 Server
|
|
Servidor básico de rede e internet
|
Microsoft Internet Information Server
|
Sim
|
Servidor para internet com suporte a certificados
|
Microsoft Active Directory
|
Sim
|
Gerenciador de usuários e certificados
|
Microsoft Certificate Authority
|
Sim
|
Emissor de certificados
|
Microsoft Authorization Manager
|
Sim
|
Editor para políticas de segurança integrada
|
GPAI - Gerenciador de
Permissões
|
|
-
Gerencia o Authorization Manager
-
Identifica usuários certificados
-
Retorna permissões para aplicativos
|
| NOTA: Caso a sua empresa tambem possua site
na internet poderá utilizar a segurança SSL (HTTPS) adquirindo um certificado
reconhecido publicamente emitido por empresas conhecidas como a VeriSign,
GlobalSign e Thawte. No brasil pode-se comprar certificados emitidos pelo
SERASA.
|
Opcionalmente pode-se utilizar os recursos de segurança
descritos abaixo, sem custo de aquisição com servidores:
Funcionalidades Adicionais
|
Assinatura digital em emails internos, que garante o emissor do email
|
|
Encriptação de emails e anexos, garantindo que apenas o destinatário possa ler
o email e abrir seus anexos
|
|
Proteção de documentos, permitindo a leitura apenas pelo usuário que protegeu e
os que ele permitir. Esta proteção é criptográfica, ou seja, mesmo que outro
usuário copie o arquivo não lerá seu conteúdo (exige Microsoft Office 2003).
|
|
NOTA: Os primeiros dois recursos exigem a utilização
do Microsoft Outlook 2000/XP/2003.
|
Agregado a este pacote de funcionalidades podemos tambem
fornecer assistência ou cursos sobre segurança especialmente montados conforme
a sua infraestrutura para os seguintes produtos:
| Produto |
Funcionalidades Analisadas |
| ISA Server |
Bloqueio de invasões, redirecionamento de
sites e bilhetagem de acesso
|
| Exchange Server |
Listas brancas e negras, Relay, Níveis de
arquivamento e acesso webaccess por firewall
|
| SQL Server |
Políticas de backup e acesso a dados
restrito e Roles de acesso
|
| Windows Server |
Controle de acessos, auditoria e Proteção
de serviços internet
|
Entre em contato
Estamos a disposição para qualquer dúvida ou esclarecimento,
entre em contato conosco e agende uma
visita.
|
|