Wiki NOC - Contribuições do usuário [pt-br]

Personalizando o Índice Automático de Arquivos do Apache

127.0.0.1 — Fri, 18 Sep 2009 13:57:59 GMT

127.0.0.1: Criou página com 'Quando não há uma página principal dentro de um diretório no Apache, ele geralmente (caso habilitado) mostra uma listagem de todos os arquivos e subdiretórios presentes. Est…'

Quando não há uma página principal dentro de um diretório no Apache, ele geralmente (caso habilitado) mostra uma listagem de todos os arquivos e subdiretórios presentes. Este tutorial ensina como personalizar essa lista!

1. O Índice Automático do Apache…

Quando aprendemos sobre páginas Web, sabemos que quando criamos a página principal temos que colocar como nome index.html ou index.htm. Isto ocorre porque os servidores Web adotaram este padrão, então toda vez que especificamos um endereço que não contenha um arquivo na URL, ele vai procurar por um index.html ou index.htm.

Por exemplo, quando digitamos:

http://www.devin.com.br

Na verdade ele vai procurar o index.html que está dentro do diretório configurado para o domínio www.devin.com.br. Neste caso específico, a configuração diz para procurar também por um index.php. Seria a mesma coisa que digitar:

http://www.devin.com.br/index.php

No Apache, quem controla essa procura por um arquivo de índice é o mod_dir. Dentro do arquivo de configuração do Apache (httpd.conf) tem uma diretriz chamada DirectoryIndex que configura quais arquivos ele deve procurar. Em uma instalação normal de Apache, vai estar assim:

DirectoryIndex index.html index.htm

Com essa configuração, o Apache primeiro procura por index.html, se não achá-lo, procura por index.htm. Poderia mudar para qualquer coisa, exemplo:

Directory babaca.html index.php index.html assinatura.html index.htm

Neste caso ele iria procurar por babaca.html primeiro, caso não encontrasse procurava por index.php e por aí vai!

Caso nenhum destes arquivos especificados no DirectoryIndex seja encontrado, então o Apache executa o módulo mod_autoindex. Esse módulo gera uma página HTML com um índice automático de todos os arquivos e diretórios. O resultado é algo parecido com isto: Índice Automático Padrão

Índice Automático Padrão

Como podem ver, não existe nenhum HTML no diretório e por isso ele lista todos os diretórios e arquivos que tinham no diretório /teste, quando acessei http://localhost/teste/.

A questão é: Como personalizar essa saída para deixar mais bonitinho? :D 1.1. Habilitando o Índice Automático

Para o mod_autoindex funcionar, é necessário que o diretório do Apache contenha a opção Indexes. Na configuração padrão do Apache você vai encontrar as linhas parecidas com estas:

<Directory /var/www/html> Options Indexes FollowSymLinks [...corte...]

Ou seja, acima estou dizendo que dentro do diretório /var/www/html, a geração automática de índice via mod_autoindex está habilitada (opção Indexes) e que os links simbólicos serão utilizados (FollowSymLinks).

Você pode usar esta diretriz tanto no arquivo de configuração principal, como em um arquivo .htaccess. 2. Entendendo a configuração Padrão

Pra começar a aprender como personalizar o mod_autoindex, nada melhor do que olhar a configuração que vem com todo Apache e que mostra a listagem como no screenshot anterior. Antes de mais nada, se você não usar nenhuma configuração adicional e o Options Indexes estiver habilitado, a listagem será assim: Índice Automático sem nenhuma configuração

Índice Automático sem nenhuma configuração

Agora vamos analisar todas as configurações do Apache que tornam essa listagem mais bonita e útil, como mostrado na primeira imagem mostrada neste tutorial. Em sistemas como Red Hat ou Fedora, estas configurações estarão no arquivo principal (httpd.conf), já em sistemas Debian a configuração estará separada no arquivo mods-available/autoindex.conf.

É legal lembrar também que estas configurações também podem ser incluídas em um arquivo .htaccess quando permitido.

Vejamos:

IndexOptions FancyIndexing VersionSort HTMLTable NameWidth=*

AddIconByEncoding (CMP,/icons/compressed.gif) x-compress x-gzip x-bzip2

AddIconByType (TXT,/icons/text.gif) text/* AddIconByType (IMG,/icons/image2.gif) image/* AddIconByType (SND,/icons/sound2.gif) audio/* AddIconByType (VID,/icons/movie.gif) video/*

AddIcon /icons/binary.gif .bin .exe AddIcon /icons/binhex.gif .hqx AddIcon /icons/tar.gif .tar AddIcon /icons/world2.gif .wrl .wrl.gz .vrml .vrm .iv AddIcon /icons/compressed.gif .Z .z .tgz .gz .zip AddIcon /icons/a.gif .ps .ai .eps [...corte...] AddIcon /icons/back.gif .. AddIcon /icons/hand.right.gif README AddIcon /icons/folder.gif ^^DIRECTORY^^ AddIcon /icons/blank.gif ^^BLANKICON^^ DefaultIcon /icons/unknown.gif

HeaderName HEADER.html ReadmeName README.html IndexIgnore .??* *~ *# HEADER* README* RCS CVS *,v *,t

E agora explicando as opções:

* IndexOptions: Aqui estão as opções principais de como a lista de diretórios vai ser gerada. O principal
elemento que precisamos saber aqui é o FancyIndexing, que adiciona ícones aos arquivos, informações como tamanho

e data de criação/modificação. Basicamente o FancyIndexing é quem deixa a listagem mais bonitinha :PAs outras opções são: VersionSort faz com que caso os arquivos tenham versões no nome (exemplo: 1.0, 1.01, 1.02, 1.1, etc), o Apache ordene da forma certa. O HTMLTable, na minha opinião bastante importante, gera uma tabela para a listagem, ao invés do texto solto, o que é útil para personalizar o visual depois. Por último, o NameWidth=* faz com que a coluna do nome se extenda o quanto for preciso, pois se especificar um número, ele vai cortar o resto do arquivo quando completar o número de caracteres.

* AddIcon*: Todas as diretrizes que começarem com AddIcon especificam que ícone mostrar para o

arquivo/diretório. O AddIconByEncoding especifica o ícone de acordo com o tipo de codificação do arquivo, o AddIconBytype especifica pelo tipo de arquivo e o AddIcon especifica por um sufixo contido no arquivo. Os próprios exemplos citados acima já dão uma boa idéia de como usá-los. Para ver todos os ícones disponíveis no seu Apache, acesse o diretório http://www.dominio.com.br/icons/.

* DefaultIcon: Simples, quando não souber qual ícone usar (ou seja, não estiver configurado com AddIcon*), utilizar este ícone.
* HeaderName: Que arquivo incluir acima da listagem. No exemplo padrão, se o diretório tiver um HEADER.html no diretório, ele vai incluir antes da listagem começar na página. Esta é a diretriz chave para a personalização.
* ReadmeName: Funciona da mesma forma que o HeaderName, só que inclui um arquivo abaixo da listagem. No exemplo padrão, se existir um arquivo README.html, ele será incluído depois da listagem terminar na página.
* IndexIgnore: Quais padrões de arquivos devem ser ignorados na hora de listar. Em outras palavras, tudo que

tiver definido nessa diretriz não vai ser mostrada na listagem. No exemplo padrão ele vai omitir os arquivos ocultos, tudo que terminar com ~, tudo que começar com HEADER e README, e arquivos relacionados à CVS/RCS.

Não é tão difícil entender né?

Então como deu pra perceber, os pontos-chave aqui são: IndexOptions FancyIndexing, HeaderName e ReadmeName. 3. Personalizando a listagem!

Agora que entendemos como funciona o mod_autoindex, está na hora de personalizá-los! Para fazer isso, precisamos modificar o IndexOptions com uma nova opção. Então o exemplo anterior ficará assim:

IndexOptions FancyIndexing VersionSort HTMLTable NameWidth=* SuppressHTMLPreamble

O SupressHTMLPreamble faz com que na hora de gerar a listagem, caso seja encontrado um HeaderName, o Apache não vai gerar um cabeçalho HTML padrão antes do arquivo HeaderName e da listagem.

Isso significa agora que o arquivo que você definir no HeaderName será o cabeçalho da sua página HTML e o ReadmeName servirá como rodapé! No cabeçalho você poderá agora incluir estilos CSS e outras coisas mais que desejar.

Vamos montar um exemplo bonito aqui. Eu vou substituir primeiro todos os ícones padrões do Apache para ícones do Oxygen Icons, depois fazer um cabeçalho e rodapé utilizando alguns templates simples.

Vamos considerar agora que nenhuma configuração do mod_autoindex foi feita. Vou incluir agora a seguinte configuração de IndexOptions:

IndexOptions FancyIndexing VersionSort HTMLTable NameWidth=* SuppressHTMLPreamble IndexOptions FoldersFirst IconWidth=22 IconHeight=22 Charset=UTF-8 XHTML IndexOptions SuppressDescription SuppressColumnSorting IgnoreCase IconsAreLinks IndexOptions SuppressRules

Agora vou incluir também os arquivos de cabeçalho e rodapé da página, que estarão dentro de um diretório chamado /includes na raiz do domínio Web.

O cabecalho.html:

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> <head>

<link rel="stylesheet" href="/includes/autoindex.css" type="text/css" media="screen" />
<title>Listagem Automática do Apache</title>

</head> <body>
Listagem Automática do Apache

<form action="" method="get">

Ordenar por: <select name="C"> <option value="N" selected="selected"> Nome</option> <option value="M"> Data de Modificação</option> <option value="S"> Tamanho</option> </select> <select name="O"> <option value="A" selected="selected"> Crescente</option> <option value="D"> Decrescente</option> </select> Padrão: <input type="text" name="P" value="*" /> <input type="submit" name="X" value="Ir" />

</form>

Agora o rodape.html:

Este é um exemplo e este é o rodapé do exemplo!

</body> </html>

Agora o autoindex.css que incluí no cabeçalho:

body {

background-color: #2949ff;
font-size: 13px;

}

img {

border: 0;

}

1. wrapper {

background-color: #ffffff;
width: 95%;
margin: 20px auto 20px auto;
padding: 10px;
text-align: center;

}

1. titulo {

text-align: center;

}

1. listagem table {

width: 90%;
margin: 10px auto 10px auto;
border: 1px dotted #000000;
text-align: left;

}

1. listagem table tr th {

display: none;

}

1. disclaimer {

width: 75%;
margin: 0 auto 0 auto;
background-color: #e0e0ff;
border: 1px solid #000000;
text-align: center;

}

Pronto! Com esses 3 arquivos dentro do /includes, vamos adicionar as seguintes configurações no Apache:

HeaderName /includes/cabecalho.html ReadmeName /includes/rodape.html

Também mudei os ícones, mas não vou colocar todas as linhas aqui, exemplos:

AddIconByType (TXT,/icons/oxygen/text-plain.png) text/* AddIcon /icons/oxygen/tar.png .Z .z .tgz .gz .zip AddIcon /icons/oxygen/go-previous.png .. AddIcon /icons/oxygen/stock_folder.png ^^DIRECTORY^^ AddIcon /icons/oxygen/openofficeorg-20-presentation.png .odp AddIcon /icons/oxygen/application-x-rpm.png .rpm

Agora é só reiniciar/recarregar o Apache e testar nossa nova listagem. Olha só como ficou: Listagem Automática modificada!

Listagem Automática modificada! 4. Outras Dicas 4.1. Utilizando o PHP junto ao mod_autoindex

A diretriz HeaderName do mod_autoindex só aceita arquivos que tem o tipo text/html e por padrão, para o PHP funcionar ele deixa os tipos de arquivos como application/x-httpd-php. Isso quer dizer que se você colocar no HeaderName, por exemplo, cabecalho.php, ele não vai aceitar.

Para resolver isso, temos que executar o PHP como CGI, assim podemos especificar que o arquivo é do tipo text/html, mas é executado como se fosse um CGI pelo Apache. Então primeiramente verifique que você tenha instalado a versão CGI do PHP, vendo se o arquivo /cgi-bin/php existe no servidor Web e seja executável.

Agora na configuração do Apache (dentro do <Directory> ou em um .htaccess), coloque as seguintes linhas:

AddType text/html .php AddHandler php-script .php Action php-script /cgi-bin/php

Depois recarregue o Apache. Lembre-se que esta configuração é apenas recomendada para diretórios que utilizarão o mod_autoindex realmente.

Agora você já pode mudar o HeaderName:

HeaderName /includes/cabecalho.php

Isto é bastante útil para gerar templates dinâmicos do seu site dentro do mod_autoindex. Pode ser usado também para melhorar a saída do exemplo anterior deste tutorial, mostrando o diretório atual que o usuário se encontra, se um usuário está logado, entre muitas outras coisas que uma linguagem de programação como o PHP proporciona.

E apesar de eu citar o PHP, isto serve para qualquer outro tipo de linguagem, já que na verdade a interface é CGI. Pode ser Python, C, Perl e até quem sabe shell-script! 4.2. Internacionalizando os cabeçalhos da tabela

O que me deu um impulso para escrever este tutorial foi a pergunta de como traduzir o cabeçalho da tabela, ou seja, as palavras Name, Last Modified, Size, Description. Procurando uma solução, não consegui achar uma muito robusta, pois na verdade o próprio mod_autoindex não permite fazer isso a não ser modificando seu código-fonte.

A solução que eu achei (e até apliquei no exemplo do tutorial) foi colocar um CSS que esconde este cabeçalho, sendo assim possível criar um outro cabeçalho! Infelizmente isso não iria funcionar em navegadores que não suportam CSS, como alguns navegadores em modo texto/terminal.

De qualquer forma, o seguinte CSS foi responsável por esconder o cabeçalho:

table tr th {

display: none;

}

Talvez haja uma solução mais robusta, mas quem sabe? 5. Referências

A principal referência sobre o assunto é a própria documentação do mod_autoindex, onde podemos encontrar uma descrição de todas as diretrizes possíveis:

* http://httpd.apache.org/docs/1.3/mod/mod_autoindex.html (Apache 1.3)
* http://httpd.apache.org/docs/2.0/mod/mod_autoindex.html (Apache 2.0)

* http://httpd.apache.org/docs/2.2/mod/mod_autoindex.html (Apache 2.2)

INDEX

127.0.0.1 — Fri, 18 Sep 2009 13:57:28 GMT

127.0.0.1: /* Base de Conhecimento */

<big>'''Começando o conhecimento.'''</big>

== Base de Conhecimento ==

* [[DNS]]
* [[Configurando um servidor DNS]]
* [[DNSSec Solucao de Seguranca para servidores DNS]]
* [[Instalando Servidor DNS secundario com DNSSec]]
* [[Servidor de Email QMAIL + DEBIAN]]
* [[Instalando o Open-Audit no Debian 5.0]]
* [[Configurando um servidor de email com Postfix + Spamassassin +Mailscanner + Pyzor + Razor no Debian Lenny ( Atualizado )]]
* [[ExpressoMail]]
* [[Dez falhas em Segurança da Informação!]]
* [[APACHE]]

== APACHE ==
* [[Personalizando o Índice Automático de Arquivos do Apache]]
* [[Apache: Mostrando páginas de um servidor Intranet num servidor Internet]]

== Consulta ==

* [http://www.mediawiki.org/wiki/Manual:Configuration_settings Lista de opções de configuração]
* [http://www.mediawiki.org/wiki/Manual:FAQ FAQ do MediaWiki]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Lista de discussão com avisos de novas versões do MediaWiki]

INDEX

127.0.0.1 — Fri, 18 Sep 2009 13:56:48 GMT

127.0.0.1: /* Base de Conhecimento */

<big>'''Começando o conhecimento.'''</big>

== Base de Conhecimento ==

* [[DNS]]
* [[Configurando um servidor DNS]]
* [[DNSSec Solucao de Seguranca para servidores DNS]]
* [[Instalando Servidor DNS secundario com DNSSec]]
* [[Servidor de Email QMAIL + DEBIAN]]
* [[Instalando o Open-Audit no Debian 5.0]]
* [[Configurando um servidor de email com Postfix + Spamassassin +Mailscanner + Pyzor + Razor no Debian Lenny ( Atualizado )]]
* [[ExpressoMail]]
* [[Dez falhas em Segurança da Informação!]]

== APACHE ==
* [[Personalizando o Índice Automático de Arquivos do Apache]]
* [[Apache: Mostrando páginas de um servidor Intranet num servidor Internet]]

== Consulta ==

* [http://www.mediawiki.org/wiki/Manual:Configuration_settings Lista de opções de configuração]
* [http://www.mediawiki.org/wiki/Manual:FAQ FAQ do MediaWiki]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Lista de discussão com avisos de novas versões do MediaWiki]

INDEX

127.0.0.1 — Fri, 18 Sep 2009 13:50:07 GMT

127.0.0.1: /* APCACHE */

<big>'''Começando o conhecimento.'''</big>

== Base de Conhecimento ==

* [[DNS]]
* [[Configurando um servidor DNS]]
* [[DNSSec Solucao de Seguranca para servidores DNS]]
* [[Instalando Servidor DNS secundario com DNSSec]]
* [[Servidor de Email QMAIL + DEBIAN]]
* [[Instalando o Open-Audit no Debian 5.0]]
* [[Configurando um servidor de email com Postfix + Spamassassin +Mailscanner + Pyzor + Razor no Debian Lenny ( Atualizado )]]
* [[ExpressoMail]]
* [[Dez falhas em Segurança da Informação!]]
* [[APACHE]]
== Consulta ==

* [http://www.mediawiki.org/wiki/Manual:Configuration_settings Lista de opções de configuração]
* [http://www.mediawiki.org/wiki/Manual:FAQ FAQ do MediaWiki]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Lista de discussão com avisos de novas versões do MediaWiki]

INDEX

127.0.0.1 — Fri, 18 Sep 2009 13:49:47 GMT

127.0.0.1: /* Base de Conhecimento */

<big>'''Começando o conhecimento.'''</big>

== Base de Conhecimento ==

* [[DNS]]
* [[Configurando um servidor DNS]]
* [[DNSSec Solucao de Seguranca para servidores DNS]]
* [[Instalando Servidor DNS secundario com DNSSec]]
* [[Servidor de Email QMAIL + DEBIAN]]
* [[Instalando o Open-Audit no Debian 5.0]]
* [[Configurando um servidor de email com Postfix + Spamassassin +Mailscanner + Pyzor + Razor no Debian Lenny ( Atualizado )]]
* [[ExpressoMail]]
* [[Dez falhas em Segurança da Informação!]]
* [[APACHE]]
== APCACHE ==

== Consulta ==

* [http://www.mediawiki.org/wiki/Manual:Configuration_settings Lista de opções de configuração]
* [http://www.mediawiki.org/wiki/Manual:FAQ FAQ do MediaWiki]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Lista de discussão com avisos de novas versões do MediaWiki]

Dez falhas em Segurança da Informação!

127.0.0.1 — Wed, 16 Sep 2009 18:38:38 GMT

127.0.0.1:

Tenho observado que a maioria dos problemas de segurança da informação ocorrida em organizações está
relacionada a um conjunto básico de falhas na implantação e desenvolvimento do processo de segurança da
informação. Destaco as seguintes falhas mais comuns e mais graves em uma organização:

1. Não existência de uma estrutura de políticas, normas e procedimentos
Os regulamentos (políticas, normas e procedimentos) existem para explicitar como a organização deseja que o
recurso informação deva ser tratado. Além do mais, como não temos legislação no Brasil em certos assuntos,
por exemplo monitoramento de mensagem de correio eletrônico, a organização precisa dizer aos seus usuários
com será tratado esta questão.

2. A gestão do controle de acesso permite uma identificação para uso comum.
Eu ainda fico admirado, mas, ainda encontro em muitas organizações identificações que não são individuais e
são utilizadas por um grupo de usuários. Não me refiro aqui às situações de exceção. São casos normais de acesso
à informação. Com esse acesso comum é muito difícil identificar qual usuário fez determinado acesso.

3. Não existência de gestor da informação.
Historicamente a área de tecnologia exercia a função de gestor da informação. Mas, mesmo nos anos iniciais da
tecnologia da informação a área de informática deveria ser apenas um prestador de serviço, deveria ser o
custodiante da informação. É fator crítico de sucesso para o processo de segurança da informação a existência do
gestor da informação que deve ser a pessoa da área de negócio ou da área administrativa que á a responsável por
aquela informação. É o gestor da informação que vai autorizar (ou negar) o acesso dos demais usuários da empresa
àquela informação.

4. Planos de continuidade que são apenas belos documentos.
Planos de continuidade de negócio ou planos para situações de contingência devem ser um processo vivo. Mas,
muitas empresas desenvolvem seus planos e os mesmos ficam parados nas estantes. Um plano de continuidade tem que
ser vivo: atualizado constantemente, testado e crescente em termos de escopo e cenário.

5. Registros de ações realizadas: não existem ou pouco tempo de guarda.
Registros para investigação (auditoria ou computação forense) precisam ter definidos sua existência e seu
tempo de vida. Um registro de acesso (log) a um sistema que seja guardado apenas um dia é muito pouco caso haja
uma investigação sobre uma ação indevida nesta aplicação. Também é importante a existência do registro de
tentativas de acesso e erros de identificação/senha.

6. Cópias de segurança: definição da informática.
As cópias de segurança devem existir por razões de recuperação do ambiente de tecnologia, requisitos legais,
aspectos históricos e exigências de auditoria. Apenas o primeiro caso é de responsabilidade da área de
tecnologia. Requisitos legais e necessidade de guarda por questões históricas devem ser definidos pela área de
negócio. Exigências de auditoria devem ser definidas pelas auditorias internas ou externas.

7. Não existência de um gestor do processo de segurança.
A segurança da informação é uma responsabilidade de todos. Porém, um profissional deve ser responsável pela
existência do processo de segurança da informação. Empresas de médio e grande porte podem ter um funcionário
dedicado a esta função,evidentemente desde que ele tenha os pré requisitos para a mesma.

8. Não existência de uma gestão de risco.
Quando não existe uma gestão de risco, as análises de risco e de ameaças são feitas aleatoriamente e
normalmente apenas quando se tem um risco eminente. Toda organização deve ter uma gestão de risco contínua.

9. Não alinhamento da segurança com o negócio.
A segurança deve considerar as prioridades do negócio da organização. Mas lembro que as áreas de negócio e a
direção da organização devem considerar a participação da segurança da informação em definições estratégicas.
Evidentemente não falo aqui de situações de extremo segredo, como por exemplo, a junção de duas instituições\
financeiras.

10. Usuário: pouco treinamento e conscientização.
A pessoa humana é o fator determinante para o sucesso ou fracasso do processo de segurança da informação em
uma organização. Cada usuário precisa ser treinado e conscientizado. Precisa saber suas responsabilidades, o que
pode e o que não pode fazer.

Garanta que a sua organização não falha nestes dez itens citados. Se você conseguir isto com certeza sua
organização terá um excelente nível de proteção da informação.

Dez falhas em Segurança da Informação!

127.0.0.1 — Wed, 16 Sep 2009 18:38:07 GMT

127.0.0.1:

Tenho observado que a maioria dos problemas de segurança da informação ocorrida em organizações está relacionada a um conjunto básico de falhas na implantação e desenvolvimento do processo de segurança da informação. Destaco as seguintes falhas mais comuns e mais graves em uma organização:

1. Não existência de uma estrutura de políticas, normas e procedimentos
Os regulamentos (políticas, normas e procedimentos) existem para explicitar como a organização deseja que o
recurso informação deva ser tratado. Além do mais, como não temos legislação no Brasil em certos assuntos,
por exemplo monitoramento de mensagem de correio eletrônico, a organização precisa dizer aos seus usuários
com será tratado esta questão.

2. A gestão do controle de acesso permite uma identificação para uso comum.
Eu ainda fico admirado, mas, ainda encontro em muitas organizações identificações que não são individuais e
são utilizadas por um grupo de usuários. Não me refiro aqui às situações de exceção. São casos normais de acesso
à informação. Com esse acesso comum é muito difícil identificar qual usuário fez determinado acesso.

3. Não existência de gestor da informação.
Historicamente a área de tecnologia exercia a função de gestor da informação. Mas, mesmo nos anos iniciais da
tecnologia da informação a área de informática deveria ser apenas um prestador de serviço, deveria ser o
custodiante da informação. É fator crítico de sucesso para o processo de segurança da informação a existência do
gestor da informação que deve ser a pessoa da área de negócio ou da área administrativa que á a responsável por
aquela informação. É o gestor da informação que vai autorizar (ou negar) o acesso dos demais usuários da empresa
àquela informação.

4. Planos de continuidade que são apenas belos documentos.
Planos de continuidade de negócio ou planos para situações de contingência devem ser um processo vivo. Mas,
muitas empresas desenvolvem seus planos e os mesmos ficam parados nas estantes. Um plano de continuidade tem que
ser vivo: atualizado constantemente, testado e crescente em termos de escopo e cenário.

5. Registros de ações realizadas: não existem ou pouco tempo de guarda.
Registros para investigação (auditoria ou computação forense) precisam ter definidos sua existência e seu
tempo de vida. Um registro de acesso (log) a um sistema que seja guardado apenas um dia é muito pouco caso haja
uma investigação sobre uma ação indevida nesta aplicação. Também é importante a existência do registro de
tentativas de acesso e erros de identificação/senha.

6. Cópias de segurança: definição da informática.
As cópias de segurança devem existir por razões de recuperação do ambiente de tecnologia, requisitos legais,
aspectos históricos e exigências de auditoria. Apenas o primeiro caso é de responsabilidade da área de
tecnologia. Requisitos legais e necessidade de guarda por questões históricas devem ser definidos pela área de
negócio. Exigências de auditoria devem ser definidas pelas auditorias internas ou externas.

7. Não existência de um gestor do processo de segurança.
A segurança da informação é uma responsabilidade de todos. Porém, um profissional deve ser responsável pela
existência do processo de segurança da informação. Empresas de médio e grande porte podem ter um funcionário
dedicado a esta função,evidentemente desde que ele tenha os pré requisitos para a mesma.

8. Não existência de uma gestão de risco.
Quando não existe uma gestão de risco, as análises de risco e de ameaças são feitas aleatoriamente e
normalmente apenas quando se tem um risco eminente. Toda organização deve ter uma gestão de risco contínua.

9. Não alinhamento da segurança com o negócio.
A segurança deve considerar as prioridades do negócio da organização. Mas lembro que as áreas de negócio e a
direção da organização devem considerar a participação da segurança da informação em definições estratégicas.
Evidentemente não falo aqui de situações de extremo segredo, como por exemplo, a junção de duas instituições\
financeiras.

10. Usuário: pouco treinamento e conscientização.
A pessoa humana é o fator determinante para o sucesso ou fracasso do processo de segurança da informação em
uma organização. Cada usuário precisa ser treinado e conscientizado. Precisa saber suas responsabilidades, o que
pode e o que não pode fazer.

Garanta que a sua organização não falha nestes dez itens citados. Se você conseguir isto com certeza sua
organização terá um excelente nível de proteção da informação.

Dez falhas em Segurança da Informação!

127.0.0.1 — Wed, 16 Sep 2009 18:34:55 GMT

127.0.0.1: Criou página com ' Tenho observado que a maioria dos problemas de segurança da informação ocorrida em organizações está relacionada a um conjunto básico de falhas na implantação e dese…'

Tenho observado que a maioria dos problemas de segurança da informação ocorrida em organizações está relacionada a um conjunto básico de falhas na implantação e desenvolvimento do processo de segurança da informação. Destaco as seguintes falhas mais comuns e mais graves em uma organização:

1. Não existência de uma estrutura de políticas, normas e procedimentos
Os regulamentos (políticas, normas e procedimentos) existem para explicitar como a organização deseja que o recurso informação deva ser tratado. Além do mais, como não temos legislação no Brasil em certos assuntos, por exemplo monitoramento de mensagem de correio eletrônico, a organização precisa dizer aos seus usuários com será tratado esta questão.

2. A gestão do controle de acesso permite uma identificação para uso comum.
Eu ainda fico admirado, mas, ainda encontro em muitas organizações identificações que não são individuais e são utilizadas por um grupo de usuários. Não me refiro aqui às situações de exceção. São casos normais de acesso à informação. Com esse acesso comum é muito difícil identificar qual usuário fez determinado acesso.

3. Não existência de gestor da informação.
Historicamente a área de tecnologia exercia a função de gestor da informação. Mas, mesmo nos anos iniciais da tecnologia da informação a área de informática deveria ser apenas um prestador de serviço, deveria ser o custodiante da informação. É fator crítico de sucesso para o processo de segurança da informação a existência do gestor da informação que deve ser a pessoa da área de negócio ou da área administrativa que á a responsável por aquela informação. É o gestor da informação que vai autorizar (ou negar) o acesso dos demais usuários da empresa àquela informação.

4. Planos de continuidade que são apenas belos documentos.
Planos de continuidade de negócio ou planos para situações de contingência devem ser um processo vivo. Mas, muitas empresas desenvolvem seus planos e os mesmos ficam parados nas estantes. Um plano de continuidade tem que ser vivo: atualizado constantemente, testado e crescente em termos de escopo e cenário.

5. Registros de ações realizadas: não existem ou pouco tempo de guarda.
Registros para investigação (auditoria ou computação forense) precisam ter definidos sua existência e seu tempo de vida. Um registro de acesso (log) a um sistema que seja guardado apenas um dia é muito pouco caso haja uma investigação sobre uma ação indevida nesta aplicação. Também é importante a existência do registro de tentativas de acesso e erros de identificação/senha.

6. Cópias de segurança: definição da informática.
As cópias de segurança devem existir por razões de recuperação do ambiente de tecnologia, requisitos legais, aspectos históricos e exigências de auditoria. Apenas o primeiro caso é de responsabilidade da área de tecnologia. Requisitos legais e necessidade de guarda por questões históricas devem ser definidos pela área de negócio. Exigências de auditoria devem ser definidas pelas auditorias internas ou externas.

7. Não existência de um gestor do processo de segurança.
A segurança da informação é uma responsabilidade de todos. Porém, um profissional deve ser responsável pela existência do processo de segurança da informação. Empresas de médio e grande porte podem ter um funcionário dedicado a esta função,evidentemente desde que ele tenha os pré requisitos para a mesma.

8. Não existência de uma gestão de risco.
Quando não existe uma gestão de risco, as análises de risco e de ameaças são feitas aleatoriamente e normalmente apenas quando se tem um risco eminente. Toda organização deve ter uma gestão de risco contínua.

9. Não alinhamento da segurança com o negócio.
A segurança deve considerar as prioridades do negócio da organização. Mas lembro que as áreas de negócio e a direção da organização devem considerar a participação da segurança da informação em definições estratégicas. Evidentemente não falo aqui de situações de extremo segredo, como por exemplo, a junção de duas instituições financeiras.

10. Usuário: pouco treinamento e conscientização.
A pessoa humana é o fator determinante para o sucesso ou fracasso do processo de segurança da informação em uma organização. Cada usuário precisa ser treinado e conscientizado. Precisa saber suas responsabilidades, o que pode e o que não pode fazer.

Garanta que a sua organização não falha nestes dez itens citados. Se você conseguir isto com certeza sua organização terá um excelente nível de proteção da informação.

INDEX

127.0.0.1 — Wed, 16 Sep 2009 18:34:30 GMT

127.0.0.1: /* Base de Conhecimento */

<big>'''Começando o conhecimento.'''</big>

== Base de Conhecimento ==

* [[DNS]]
* [[Configurando um servidor DNS]]
* [[DNSSec Solucao de Seguranca para servidores DNS]]
* [[Instalando Servidor DNS secundario com DNSSec]]
* [[Servidor de Email QMAIL + DEBIAN]]
* [[Instalando o Open-Audit no Debian 5.0]]
* [[Configurando um servidor de email com Postfix + Spamassassin +Mailscanner + Pyzor + Razor no Debian Lenny ( Atualizado )]]
* [[ExpressoMail]]
* [[Dez falhas em Segurança da Informação!]]

== Consulta ==

* [http://www.mediawiki.org/wiki/Manual:Configuration_settings Lista de opções de configuração]
* [http://www.mediawiki.org/wiki/Manual:FAQ FAQ do MediaWiki]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Lista de discussão com avisos de novas versões do MediaWiki]