Utilitário em destaqueA ferramenta da Microsoft para avaliação de segurança

Lance Whitney

Faça download do código deste artigo: Microsoft Security Assessment Tool 3.0 (apenas em inglês) (10547.2KB)

O rastreamento de problemas de segurança de rede pode ser difícil e demorado. Uma ferramenta que pode ajudá-lo a identificar e a resolver riscos de segurança é o MSAT (Microsoft® Security Assessment Tool), um utilitário gratuito que apresenta um questionário eletrônico em que você descreve o seu ambiente de segurança. Projetado para empresas de médio porte, com uma estrutura de 50 a 500 computadores, o MSAT possui 172 perguntas organizadas em categorias diferentes e oferece uma análise da sua situação e recomendações sobre como aprimorá-la.

O MSAT começa por um conjunto de consultas sobre o seu modelo de negócios, utilizado para a criação de um BRP (Business Risk Profile, ou perfil de risco de negócios), que avaliará o seu risco de segurança em comparação a outras empresas do seu setor. Normalmente, o questionário pode ser preenchido em duas horas e você pode interrompê-lo e retomá-lo em qualquer ponto. Estas são as categorias com exemplos de perguntas:

Informações básicas A sua organização possui quantos clientes e servidores?

Segurança de infra-estrutura Os seus funcionários trabalham de forma remota? Os prestadores de serviço externos acessam a sua rede?

Segurança de aplicativos A sua empresa desenvolve aplicativos? Ela armazena dados confidenciais processados por seus aplicativos?

Segurança de operações A sua rede corporativa está conectada a redes externas? A sua organização recebe alimentações de dados de partes externas?

Segurança de pessoas A sua empresa terceiriza a manutenção dos computadores? Você permite que os funcionários baixem dados confidenciais da empresa para suas estações de trabalho?

Ambiente A sua organização possui quantos funcionários? Existe uma rotatividade alta em seu departamento de TI?

Em seguida, o MSAT gera uma avaliação que será utilizada como uma medida chamada DiDI (Defense-in-Depth Index, ou índice de defesa detalhada) e que se concentrará nos seus processos de segurança. Usando as mesmas categorias, estas são as perguntas típicas: a sua organização emprega firewalls em todos os locais? Você utiliza macros personalizadas em seus aplicativos do Microsoft Office? Os seus usuários possuem direitos administrativos em suas estações de trabalho? Você possui uma diretiva para a implantação de patches e de atualizações em seus PCs?

De acordo com as suas respostas, o MSAT oferecerá três relatórios. O relatório de resumo exibe um gráfico de barras com os resultados. Uma classificação alta no BRP indica mais risco, enquanto que uma classificação alta no DiDI representa mais segurança. Como o MSAT destaca, embora um BRP baixo e um DiDI alto pareçam ser preferíveis, na verdade é mais importante examinar áreas individuais. Dessa forma, para cada área, o relatório completo indica se você atende ou não a práticas recomendadas, se precisa aprimorá-las ou se alguma delas está ausente (consulte a Figura 1).

Figure 1** The complete report **(Clique na imagem para aumentar a exibição)

Por fim, o relatório de comparação solicita que você carregue os seus resultados de forma anônima em um site seguro do MSAT, onde poderá comparar os seus resultados aos de outras organizações.

Você pode baixar a ferramenta do site Orientação de Segurança da Microsoft, securityguidance.com, ou do site da TechNet Magazine, technetmagazine.com/code07.aspx.

Lance Whitney é consultor de TI, instrutor e redator técnico. Ele passa incontáveis horas fazendo ajustes em estações de trabalho e servidores do Windows. Jornalista de formação, Lance ingressou corajosamente no mundo de TI há 15 anos.

© 2008 Microsoft Corporation e CMP Media, LLC. Todos os direitos reservados. A reprodução parcial ou completa sem autorização é proibida..