Secure Tropos: Conhecendo a metodologia e ferramentas CASE

Neste post será abordada a sobre a metodologia Secure Tropos, uma extensão a metodologia Tropos, para modelagem de Sistemas de Software Orientado a Agentes com avaliação direcionada requisitos de segurança de software. A metodologia Secure Tropos é parte de um projeto da Universidade de Brighton, na área de avaliação de Requisitos de Software relacionados a segurança.

Secure Tropos consiste em uma metodologia com o objetivo de modelar e analisar os requisitos de software relacionados à segurança ao lado de requisitos funcionais. A metodologia fornece um processo para a análise de requisitos que impulsione os projetistas de sistemas na aquisição de requisitos até a sua verificação, dando suporte a modelagem de Requisitos Não Funcionais relacionados à segurança de software em Sistemas Multiagentes.

Metodologia Secure Tropos

A metodologia Secure Tropos baseia-se no princípio de que a segurança deve ser analisada e considerada desde as fases iniciais do processo de desenvolvimento de sistemas de software e não adicionado como uma reflexão tardia. Como tal, o método fornece uma linguagem de modelagem, um processo da área de segurança e um conjunto de algoritmos para suportar a análise e a consideração de segurança desde as fases iniciais do processo de desenvolvimento. A metodologia Secure Tropos consiste de um conjunto de conceitos de Requisitos da Engenharia de Domínio e, em particular, Engenharia de Requisitos Orientada a Objetivos, como ator, objetivo, plano e dependência enriquecido com conceitos de engenharia de segurança, como a restrição de segurança, objetivos de segurança e ataques. O processo em Seguro Tropos é uma das análises das necessidades de segurança das partes interessadas e do sistema em termos de restrições de segurança, impostas às partes interessadas e do sistema, identificando os objetivos de segurança que garantam a satisfação dessas restrições de segurança, atribuindo mecanismos e recursos de segurança para o sistema ajudando a agregar satisfação aos objetivos de segurança.

Secure Tropos é baseado no conceito de Restrições de Segurança que, no contexto da Engenharia de Software, é geralmente definida como algo que pode influenciar a análise e o projeto de um sistema de software em desenvolvimento, restringindo algumas soluções alternativas de concepção, por entrar em conflito com alguns dos requisitos do sistema, ou por refinamento de alguns dos objetivos do sistema. Em outras palavras, as restrições podem representar um conjunto de restrições que não permitem ações específicas a serem tomadas ou prevenir que certos objetivos sejam alcançados. Muitas vezes, as restrições são integradas na especificação por descrições textuais existentes. No entanto, esta abordagem pode levar a mal entendimento e uma definição pouco clara de uma restrição e seu papel no processo de desenvolvimento. Consequentemente, isso resulta em erros logo no início das fases do processo de desenvolvimento que se propagam para as fases posteriores do processo de desenvolvimento que causam muitos problemas quando descoberto; se eles são descobertos. Portanto, são definidas restrições na segurança, como um conceito descrito separadamente.

Para poder mapear e tratar e tratar requisitos relacionados a segurança do software foi introduzido o conceito de Restrições de Segurança que foi definido dentro do contexto do Secure Tropos como: uma condição de segurança imposta a um Ator que restringe cumprimento de metas de um outro ator, execução de planos ou disponibilidade de recursos; contudo Restrições de Segurança estão fora do controle de um Ator. Um Ator representa uma entidade que tem intenções e objetivos estratégicos dentro do sistema de software ou no seu ambiente organizacional. No interior de uma rede de atores, que normalmente é o caso em grandes sistemas de software com várias partes interessadas, um Ator pode depender de um outro ator para um objetivo, um plano ou um recurso. Um Objetivo/Meta representa uma condição de melhoramento no mundo em que o ator habita e ele persegue para cumprir. Em outras palavras, os objetivos representam os interesses estratégicos do ator. Um Objetivo de Segurança representa um objetivo que é atribuído a um ator e indica um curso de ação que o ator precisa seguir para satisfazer uma ou mais Restrições de Segurança. A satisfação de uma ou mais restrições de segurança por um Objetivo de Segurança é definido através de um Relacionamento de Satisfação. Um Plano representa, em um nível abstrato, uma maneira de fazer alguma coisa. O cumprimento de um Plano pode ser um meio para satisfazer um Objetivo. Como tal, diferentes planos (alternativas), que os atores poderiam empregar para atingir seus objetivos, são modelados permitindo que os engenheiros de software raciocinem sobre as diferentes maneiras que os atores podem alcançar seus objetivos e decidir a melhor maneira possível. Um Mecanismo de Segurança representa um mecanismo de sistema que suporta a satisfação de um Objetivo de Segurança. Um Recurso representa uma entidade física ou de informação que um dos agentes requer para fazer uso. A principal preocupação quando se trata de recursos é saber se o recurso está disponível e quem é responsável pela sua entrega. Uma Segurança de Recurso representa um recurso físico ou de informação que precisa ser protegido, por exemplo, uma ficha de cuidados de saúde. Para apoiar a análise e avaliação da solução de segurança desenvolvido, a metodologia suporta a modelagem de Ataques à Segurança. Um Ataque é uma ação que pode causar uma potencial violação de segurança no sistema. No contexto de um Ataque, um invasor representa um Ator malicioso que tem interesse para atacar o sistema. Como descrito acima, o Ator tem intencionalidade e objetivos estratégicos dentro do sistema. No caso de um Atacante, a intencionalidade e objetivos estratégicos estão relacionados com a quebra de segurança de um sistema e identificação e execução de objetivos maliciosos. Para apoiar a modelagem de dependências entre atores para um Objetivo de Segurança, Mecanismo de Segurança e/ou Segurança de Recurso, Secure Tropos introduz a ideia de Dependência de Segurança.

A Dependência de Segurança introduz uma ou mais restrições de segurança que devem ser cumpridas para que a dependência seja válida.

As etapas de processo de desenvolvimento na metodologia Secure Tropos são:

• Modelagem de Atores;
• Modelagem de dependências;
• Identificação de Restrições de Segurança;
• Delegação de Restrições de Segurança e Objetivos;
• Modelagem de Objetivos;
• Modelagem de Restrições de Segurança;
• Modelagem de Entidades de Segurança;
• Análise de Ameaças;
• Análise de Vulnerabilidades;
• Modelagem de Atacantes;
• Seleção de Provedor de Nuvem.

Além destes processos de modelagem, existe também as visões. A metodologia é composta de cinco visões:

• Visão Organizacional;
• Visão dos Requisitos de Segurança;
• Visão de Componentes de Segurança;
• Visão de Ataques à Segurança;
• Visão de Análise de Nuvem.

Em cada uma dessas visões existem os componentes e relacionamentos utilizados para modelagem na ferramenta. Nas Tabelas 1 a 3 serão descritas as visões, seus componentes e suas utilidades em cada visão: existem componentes que são utilizados em várias visões, mas com a mesma utilidade e que, por isto, serão descritos somente na sua visão de origem e nas demais visões que são utilizados serão simplesmente citados.

Tabela 1. Descrição dos elementos da Visão Organizacional.

Um elemento importante que não é descrito como componente gráfico na Visão Organizacional da Tabela 1 é a Fronteira do Ator. O usuário de escolher se o Ator deve ser exibido, com ou sem um limite. A fronteira é um quadro em torno de todos os objetos no modelo, que pertencem diretamente ao respectivo Ator. Fronteira do Ator indica limites intencionais de um determinado Ator. Todos os elementos dentro de um limite para um Ator são explicitamente desejados por esse Ator. Para atingir estes elementos, muitas vezes, um Ator deve depender das intenções dos outros Atores, representados por Enlaces de Dependência através das Fronteiras do Ator. Por sua vez, um Ator é dependido de satisfazer certos elementos, representados por um Enlace de Dependência no sentido oposto.

Tabela 2. Descrição dos elementos da Visão de Requisitos de Segurança.

Tabela 3. Descrição dos elementos da Visão Ataques à Segurança.

As outras duas visões não serão descritas neste post, pois fazem uso dos elementos aqui citados de uma forma mais detalhada.

Ferramenta Case e Instalação

Atualmente a ferramenta CASE para suporte a metodologia Secure Tropos é a SecTro2 versão 2.0 disponível somente para a plataforma Windows. O único pré-requisito para instalação da ferramenta é a instalação de Banco de Dados para armazenamento dos projetos. Existem dois tipos de instalação: instalação para o Windows XP e instalação para Windows 7 e 8. Ambas serão descritas a seguir.

Instalação no Windows XP

Para instalação do SecTro2 no Windows XP é necessária a instalação Microsoft SQL Server Desktop Engine (MSDE), uma versão reduzida do banco de dados Microsoft SQL Server. Clique para executar a aplicação de nome “setup.exe” para iniciar o processo de instalação e aguarde até que o processo de instalação esteja completo e tenha finalizado, como mostra a Figura 1.

Figura 1. Diretório da aplicação MSDE.

Após isto, vá para o pacote de instalação do SecTro2 e localize a aplicação chamada “setup_sectro2.exe” e execute para iniciar o processo de instalação (Figura 2). As próximas imagensa seguir ilustram as etapas do processo de instalação.

Figura 2. Diretório da aplicação de instalação do SecTro2.

A etapa a seguir é para customização da instalação, onde você deve informar o nome da conta do usuário logado no computador e se este computador pertence a alguma organização. Escolha o nome do usuário, organização e selecione uma das duas opções de instalação. A primeira opção é para instalação da aplicação para todas as contas de usuário presentes no Windows e a segunda opção faz instalação da aplicação somente para o usuário corrente e que está logado.

A próxima etapa será escolher como a aplicação será instalada, ou seja quais recursos de aplicação serão instalados. A Figura 3 ilustra os dois recursos que são o modo de instalação da aplicação e os pacotes de linguagens: como pode ser observado só existe um pacote de linguagem que é para o idioma Inglês; consequentemente só existe um modo de instalação que é o Standalone. O modo de instalação do tipo Standalone é que a aplicação só será instalada no computador corrente, ou seja, não se trata de um software em cuja instalação precisa ser realizada em vários computadores. Mantenha selecionada as duas opções e não esqueça de marcar a opção para criação do banco de dados no ato da instalação “Install SecTro2 database now”, pois senão você terá de fazer isto manualmente. Marcando está opção no ato da instalação da ferramenta, automaticamente é criado um esquema de banco de dados que é utilizada pela ferramenta salvar configurações de projetos e da própria ferramenta em si. Escolha o idioma que é utilizada pela interface, onde são oferecidas quatro opções para atender usuários do sistema em regiões ocidentais e orientais dos continentes. Após todas as configurações necessárias prossiga com o processo de instalação onde na próxima etapa é pedido ao usuário para confirmar as configurações e prosseguir com o processo de instalação.

Figura 3. Ilustração da etapa de customização da instalação.

Os próximos passos serão o processo de instalação da ferramenta SecTro2. Será criado o esquema de banco de dados e pede autorização do usuário para clicar no botão “OK”. Em seguida o processo é finalizado.

Instalação no Windows 7/8

Para instalação do SecTro2 no Windows 7/8 é necessária a configuração e instalação do banco de dados Microsoft SQL Server Express. O banco de dados já vem incluído no pacote de instalação do SecTro2 localizado na pasta “SQLExpress”, como mostra a Figura 4.

Figura 4. Ilustração do pacote de instalação SecTro2.

Dentro da pasta "SQLExpress" localize a aplicação "sqlexpress.exe" e execute-a. Antes da instalação aparece uma janela de mensagem intitulada “Program Compatibility Assistant” (Assistente de Compatibilidade de Programa) aparece pedindo para concordar com possíveis problemas de compatibilidade quanto a instalação do Microsoft SQL Server Express que será instalado no computador o Windows 8/7. Selecione a segunda opção “Run the program without getting help” (Executar o programa, sem a obtenção de ajuda).

Quando iniciar a instalação, selecione "New installation or add features to an existing installation" (Nova instalação ou adicionar recursos a uma instalação existente) na janela do centro de instalação quando de uma nova instalação do Microsoft SQL Server. Na próxima etapa, ler e concordar com os termos de licença, clique no botão "Next".

O próximo passo de instalação consiste em selecionar quais recursos serão instalados na máquina. Este processo não requer qualquer modificação dos parâmetros de instalação mencionados na Figura 5, ou seja, marque todas as caixas de seleção. Certifique-se de que todas as caixas estão selecionadas nas "Features:" e clique em "Next". No próximo passo da instalação, selecione "Default Instance" para instalação de instância padrão do banco de dados e clique no botão “Next”. A instalação customizada que é a segunda opção é indicada para usuários de banco de dados avançados e que não será objeto de descrição aqui neste post. Para mais informações sobre instalação da ferramenta com configurações avançadas de banco de dados, entrar em contato com os autores da ferramenta no site do projeto informado acima. Lembre-se do nome da instancia que está sendo criada, pois ela será solicitada quando for ser instalado o SecTro2.

Figura 5. Ilustração da seleção das Features.

Normalmente, nada tem que ser mudado na etapa "Server Configuration" (Configuração de Servidor), onde o usuário deverá selecionar a primeira opção (SQL Server Database Engine) que consiste em usar o Microsoft SQL Server como servidor de gerenciamento de banco de dados. Na etapa de "Database Engine Configuration" (Configuração de Banco de Dados), selecione "Mixed Mode" (Modo Misto), que consiste em fazer com que tanto o usuário possa logar manualmente no banco de dados quanto aplicações peçam autorização ao Windows para se autenticar no banco de dados; e crie uma senha para autenticação. É importante lembrar dessa senha, pois ela será necessária durante o processo de instalação do SecTro2. Depois de digitar a senha duas vezes, clique em "Next".

Desmarque a caixa de seleção no caso de ser selecionado na etapa de "Error Reporting" (Reportar Erro); se você selecionar esta opção caso exista algum erro de instalação do SQL Server este erro será reportado a Microsoft, e clique em "Next". A instalação do banco de dados será iniciada. Após a instalação do banco de dados, uma janela de relatório será aberta. Se tudo ocorreu bem, clique em "Close" para fechar a janela de instalação do banco de dados. Caso algum erro tenha aparecido durante o processo de instalação, verifique manualmente que tipo de erro ocorreu para correção, pois a instalação do SecTro2 depende da instalação do SQL Server. É recomendável que consulte fóruns da Microsoft para ajuda na correção dos erros.

A próxima etapa é a instalação da ferramenta SecTro2. Os passos de configuração e instalação são semelhantes ao que ocorre no Windows XP, com o acréscimo da etapa de escolha da instância que foi criada no processo de instalação do SQL Server e autenticação no esquema de banco de dados. Escolha a mesma instância e senha criados na etapa de instalação do banco de dados SQL Express. As demais etapas serão a criação do esquema de banco de dados e autenticação no banco de dados SQL Server. Com isto é finalizado o processo de configuração e instalação da ferramenta SecTro2.

Espero que tenham gostado e até o próximo post pessoal.