Segurana em redes de computadores

1.

Copyright

, ESAB - Escola Superior Aberta do Brasil.

Pgina: 1

Segurana em redes de computadores

Introduo
vital para as organizaes estarem acessveis atravs da Web, para se manterem competitivas perante o concorrido mercado globalizado. Neste novo cenrio, a informao torna-se o ativo mais importante da organizao, pois atravs de sua manipulao de forma rpida e precisa que milhares de pessoas realizem negcios em tempo real, provando a realizao de transaes comerciais a partir de um nico clique. O mundo atual um sonho para muitos que se esforaram para conseguirmos acessar lugares distantes atravs de uma rede de computadores. Nem mesmo os inventores do TCP/IP, nem da Internet, poderiam imaginar a extenso e a extenso deste projeto, bem como seu uso nos mais diversos segmentos mundiais, que causou em todo o mundo a propagao de uma nova cultura digital. Do ponto de vista tcnico, alcanamos a era digital, sem termos acoplados os conceitos de segurana para esta grande rede, pois o que seria apenas uma pequena rede militar, tornou-se a grande rede mundial. Os protocolos no foram criados para serem utilizados em to larga escala em termos de segurana, pois apresentam diversas vulnerabilidades. Mas, complicado mud-los, pois um padro mundial. Se de um lado, temos a necessidade das organizaes em dispor seus negcios de forma rpida, fcil e acessvel, de outro temos estes problemas tcnicos. Esta matria tem como objetivo fornecer conceitos importantes de segurana para serem aplicados em paradigmas do mundo real, como solues a serem implantadas nos mais diversos nveis da Internet, para que de acordo com o valor dispensado a esta meta, seja feito o melhor aproveitamento possvel da verba, direcionando os esforos a uma maior segurana das informaes. Este esforo vem ao contrrio dos objetivos da Internet, que interligar todas as redes do mundo, porm, sem este trabalho teramos receio de acessar a Web e disponibilizar informaes pessoais ou comerciais. Este um campo em ascenso e ainda, muito restrito, porm promete grandes oportunidades para os que almejam atuar nesta rea.

Pgina: 2

Segurana em redes de computadores

2. Conceitos bsicos de segurana

No adianta uma organizao estar atuando virtualmente se as informaes que alimentam o sistema estiverem vulnerveis. Da mesma maneira que este um fator diferencial para a globalizao, a vulnerabilidade pode conduzir ao fracasso uma empresa. O advento da Era da Informao trouxe consigo uma srie de problemas pertinentes a vulnerabilidades de sistemas operacionais e protocolos. Um exemplo clssico o Code Red, que causou em torno de 2,9 bilhes de dlares de prejuzo por causar lentido na rede, devido aos sistemas operacionais Windows NT e 2000. Podemos ainda citar, os diversos ataques a sites como Yahoo, Amazon, CNN, UOL, entre outros. Como tambm, a perda de privacidade de diversos clientes da CD Universe, devido a ataque no site bem-sucedido, onde foram roubados os nmeros de carto de crdito dos clientes. Porm, os maiores ataques que causam prejuzos s organizaes, no so os externos, mas os internos que ocorrem a partir da prpria rede. Para complicar este cenrio, antes queramos que as pessoas externas a organizaes no conseguissem enxergar as redes corporativas. Atualmente, o grande desafio das organizaes a disponibilizao de servios atravs das redes externas, Internet, como se os parceiros comerciais estivessem dentro da empresa e para isto, ocorre o acesso rede interna.

1.1. A Tecnologia globalizado

da

Informao

no

mercado

Primeiramente, preciso definir trs palavras que usarei neste capitulo: 9 Dado: uma caracterstica qualquer de um objeto. Pode ser um nome, data de nascimento de algum ou a cor dos olhos de uma pessoa. Em informtica, uma seqncia qualquer de bits armazenados. 9 Informao: Quando associamos o nome a uma pessoa especfica, com sua cor de olhos e pele, data de nascimento, temos uma informao, pois os dados comeam a ter sentido. 9 Conhecimento: Quando temos um conjunto de informaes, dados pessoais, comerciais e religiosos de algum, por exemplo, podemos traar um melhor perfil da pessoa e dependendo deste conjunto de informaes posso atuar de diferentes maneiras. Pgina: 3

Segurana em redes de computadores Este agir diferente o conhecimento, pois agrega valor ao ser humano e a organizao, podendo trazer vantagem competitiva. Na dcada de 70 e 80, temos a informtica como ferramenta de proteo da confidencialidade dos dados. a poca marcada pelo advento dos mainframes, das empresas com muitos funcionrios que tinham dificuldades em realizar at mesmo a folha de pagamento e contabilidade. Na dcada de 80 e 90, com o advento das redes corporativas, a tecnologia da informao utilizada para guardar no mais dados, mas informaes consistentes e processadas. A informtica avana na administrao e parte da estratgia da empresa para minimizar seus custos. O importante a integridade da informao. A partir da dcada de 90, temos uma nova preocupao: disponibilidade. Temos as redes IP, tornando-se essencial aos negcios e so armazenadas nos sistemas informatizados no mais informaes, mas conhecimentos - e este o objeto a ser protegido nos computadores. Atualmente, o mundo globalizado exige uma nova postura das empresas: alta competitividade na disputa de novos mercados. Mas, como conseguir atingir o maior nmero de mercado e ser mais eficiente do que o concorrente, oferecer um melhor produto, com maior eficincia e manter um bom relacionamento ? A resposta atravs de sistemas interligados via rede, que conseguem atingir clientes nos mais diversos pontos geogrficos, com sistemas que provem esta nova viso mercadolgica e globalizada. Diante do exposto, para qualquer organizao necessrio observar alguns requisitos, como infra-estrutura em telecomunicaes e sistemas informatizados capazes de prover as necessidades do mundo atual. A informtica, desta maneira, torna-se no mais um acessrio de auxlio na execuo de atividades se forma centralizada e mais rpida, mais parte do negcio da organizao que possibilita sua posio diante do cenrio mundial. Desta maneira, surge a necessidade da criao dos chamados ambientes corporativos, que nada mais do que a interao de terceiros dentro da empresa, para que os parceiros de negcios consigam atuar de forma mais rpida e eficiente, maximizando o tempo entre a necessidade e fechamento do negcio entre empresas, tornando-se, muitas vezes, pea fundamental e seletiva entre empresas. Pgina: 4

Segurana em redes de computadores Como exemplo, podemos citar as montadoras de automveis do Brasil. Ao ser solicitado um carro, todas as peas so solicitadas on-line aos parceiros comerciais, que as entregam dentro do prazo esquematizado, pois seguem um padro de fabricao dependendo da demanda, e faz com que na data prometida o carro solicitado seja entregue ao cliente. Isto tudo oferece muitas vantagens s empresas, principalmente porque no mais necessrio trabalhar com grandes estoques. A tecnologia oferece ainda a possibilidade de dispor de acessos remotos (tanto a clientes externos quanto internos), usurios mveis e comunicao entre filiais. Do ponto de vista da segurana, preocupaes como as descritas a seguir: temos algumas

9 Diversidade de tecnologia: Apesar da maioria das organizaes utilizarem o TCP IP, cada uma possui suas peculiaridades: cultura, polticas internas, perfil de usurio, que precisam ser estudadas com cuidado, pois extrapolam o lado tcnico e operacional. 9 Preservao das informaes: vital para as organizaes que possuem este tipo de transao, a confiabilidade na proteo das informaes, especialmente em casos onde existe grande interao entre empresas, para que uma no consiga obter dados no permitidos, nem da prpria empresa nem das empresas parceiras. 9 Acesso de informao: Quanto mais nveis de acesso tm as informaes disponveis, maior o custo e a complexidade do gerenciamento. A partir dos pontos acima, iremos refletir como poderemos minimizar estes impactos negativos dentro da organizao, atravs de tcnicas, metodologias e tecnologias de segurana.

1.2. Por que se proteger ?

Ao contrrio do que muitos pensam, a proteo de uma organizao em TI no apenas contra hackers, vrus e funcionrios maliciosos, mas como uma garantia de que os negcios da empresa estaro disponveis de forma fcil e flexvel, favorecendo e concretizando as diversas tendncias da globalizao, tais como: B2B (Business to Business), B2C (Business to Consumer) entre outros. Podemos citar como exemplo, o caso da Ford no Brasil que no ano de 2000, atravs do B2C, conseguiu realizar transaes no valor de 3.311,0 milhes de dlares e do Banco do Brasil, que obteve Pgina: 5

Segurana em redes de computadores o valor de transaes on-line na ordem de 4.077,4 bilhes de dlares. Diante de valores to expressivos, podemos mensurar o quanto importante instabilidade dos sistemas informatizados para estas e muitas empresas mundiais. Esta uma das preocupaes que temos que ter quando falamos em segurana, tambm. Outros dados que precisamos saber que de acordo com pesquisas realizadas nos Estados Unidos (Computer Security Institute e FBI), temos um aumento substancial em incidentes de segurana, sendo que 70% envolvem a Internet, 31% sistemas internos e 18% acessos remotos. De acordo com Information Security, os nmeros de servidores que sofreram ataques entre 2000 e 2001 foram dobrados e esto distribudos da seguinte maneira: 48% sofreram ataques, 39% ficaram indisponveis e 32% ataque tipo overflow, podendo ter resultado em perda de confidencialidade. Apesar destes dados estatsticos, os ataques que mais atingem as organizaes so os vrus, worms e Cavalo de Tria, que chegou a um percentual de 89%. Estes dados estatsticos vm reforar a idia da necessidade da segurana. Durante qualquer tipo de incidente, existem grandes probabilidades dos clientes no conseguirem realizar negcios devido falta ou lentido da instabilidade dos sistemas informatizados. Isto para a organizao perda de dinheiro e credibilidade, fator muito importante e buscado com afinco em empresas que oferecem este tipo de servio.

2. As ameaas organizacionais
As ameaas organizacionais so dividas em cinco (5) subconjuntos: 9 9 9 9 9 Ameaas fsicas Ameaas lgicas Ameaa ocupacional Ameaa a confidencialidade Ameaa ambiental

2.1. Ameaas Fsicas

As ameaas fsicas so aquelas que os recursos materiais utilizados no ambiente de informao esto expostos, colocando em risco a integridade operacional da organizao.

Pgina: 6

Segurana em redes de computadores Infelizmente, em muitas empresas, gasta-se muito em segurana das informaes e terminam se esquecendo de proteger o patrimnio. Segue alguns exemplos de ameaas fsicas: 9 Catstrofes (momento de intensa e descontrolada distribuio): Podemos citar desabamento, exploses, incndios, inundaes, paralisaes, sabotagem, espionagem, roubo; furtos, terrorismo, acidente, furaco, entre outros. 9 Supresso de servios: Infra-estrutura operacional da tecnologia vigente falha ou deixa de existir causando interrupo ou descontinuidade as organizaes. 9 Falha de energia. 9 Falha de equipamentos: Citamos defeito de fabricao, m reviso, uso inadequado, tempo de vida til do equipamento. 9 Temperatura do equipamento. 9 Queda de comunicao por acidente natural ou erro operacional.

2.2. Ameaas lgicas

As ameaas lgicas so aquelas que ocorrem quando acontece uma modificao da capacidade funcional devido a dolo, acidente ou erro de recursos. Podemos citar como exemplo: 9 Hacker ou usurios que conseguem acesso e usam de forma ilegais sistemas corporativos. 9 Alterao e distribuio de dados de forma ilegal e destrutiva, atravs do uso intencional de programas maliciosos. De ponto de vista da segurana, este ato to criminoso quanto destruio de bens tangveis. 9 Vrus: So programas que se ocultam dentro de outros. 9 Vermes: Agem de forma independente, gerando cpias dele mesmo em outros sistemas. De modo geral, sua atuao consiste em distribuir programas e interromper o funcionamento da rede e sistemas computacionais. 9 Roubo de equipamentos portteis, devido a informaes restritas a organizao. 9 Pirataria de software.

Pgina: 7

Segurana em redes de computadores

3.3. Ameaas ocupacionais

A ameaa ocupacional ocorre quando acontece uma desestabilizao de recursos humanos, modificando a capacidade funcional da organizao. 9 9 9 9 Espao fsico Layout Temperatura Iluminao

2.3. Ameaa a confidencialidade

A ameaa a confidencialidade ocorre quando intencionalmente ou acidentalmente algum consegue acesso a um recurso que no tem autorizao de possuir. A privacidade atingida por coletas ou mau uso de dados, como o recebimento de emails, propaganda indesejveis, como por exemplo: convite ao uso de carto de crdito em compras, tornandose um grande problema quando acontece um excesso.

2.4. Ameaa ambiental

A ameaa ambiental acontece quando se aplicam os quatro itens anteriores infra-estrutura do ambiente, ou seja, a rede de computadores: 9 9 9 recursos. 9 9 Destruio de informao ou de outros recursos. Modificao ou deturpao da informao. Roubo, remoo ou perda da informao ou de outros Revelao de informaes. Interrupo de Servios.

As ameaas podem ser acidentais, ou intencionais, podendo ser ambas ativas ou passivas. 9 Ameaas acidentais: So as que no esto associadas inteno premeditada. Um exemplo os bugs de software e hardware. 9 Ameaas intencionais: So as que esto associadas inteno premeditada. Como exemplos podemos citar a observao Pgina: 8

Segurana em redes de computadores de dados com ferramentas simples de monitoramento de redes e alterao de dados, baseados no conhecimento do sistema. 9 Ameaas Passivas: So as que, quando realizadas no resultam em qualquer modificao nas informaes contidas em um sistema. 9 Ameaas Ativas: Envolvem alteraes de informaes contidas no sistema, ou modificaes em seu estado ou operao.

1. Conhecendo os atacantes
Antes de conhecermos como defender as organizaes precisamos conhecer um pouco dos tipos de atacantes e ataques que as organizaes esto sujeitas. Este captulo tem como objetivo fazer com que a pessoa tenha o conhecimento dos tipos de atacantes, seu perfil, como atacam e exemplos de incidentes ocorridos.

1.1. De quem preciso organizao ?

me

proteger

ou

O termo hacker, em sua definio original, significa: pessoas que utilizam seus conhecimentos para invadir sistemas de computadores, com intuito de desafiar suas habilidades. Esta definio possui denotao diferente daquela que muitas vezes empregamos: hacker aquele que invade sistemas computacionais visando causar transtornos s vitimas. Podemos dizer que a maioria dos hackers so pessoas que colocam o conhecimento em informtica como algo de destaque em suas vidas, uma forma de poder. Em geral, so excelentes programadores de linguagens de alto nvel, como Assembler ou C, e conhecem muito bem redes de computadores. Antigamente, somente existiam hacker e cracker aqueles que causavam danos a sistemas e roubavam informaes - e, como curiosidade, os hackers no gostavam, pois acabavam sendo incorporado a eles esta caracterstica. Atualmente, esta classificao foi alterada e de acordo com estudos realizados, temos diversas classificaes para os diversos tipos e nveis de hacker, este tpico ir explanar sobre os mais conhecidos. Pgina: 9

Segurana em redes de computadores 9 9 9 9 9 9 9 9 9 9 9 9 9 Hackers Full Fledged ou Crackers Script kiddies ou Newbies Lammers Wannabe Cyberpunks Carders Phreakers Insiders Coders White hat Gray hat Cyberterrorista

1.1.1. Hackers
No mundo da Cincia da Computao ou Cincia da Informao, os hackers so analistas de sistemas que so especialistas em segurana e auditoria. Com tcnicas estudadas e algumas prprias, eles procuram brechas e possveis falhas no sistema, e relatam o que foi achado e, se existe uma forma para consertar. Infelizmente este conceito de hacker mudou depois de Kevin Mitinick, que utilizava estas tcnicas para roubar informaes vitais principalmente do governo americano. Depois que Mitnick foi preso, a mdia mundial o chamou de hacker, e o termo ficou assim conhecido por todos, como sendo a pessoa que invade e rouba informaes de sistemas. Com a nova economia gerada pelos computadores e pela Internet, comum que as empresas guardem suas informaes em formato digital, e tambm comum a contratao de hackers por outras empresas, para espionagem industrial. Um hacker no age somente na Internet. Para descobrir informaes que possam lev-lo a conseguir completo controle sobre o sistema, faz um verdadeiro trabalho de detetive. Um livro que ilustra muito bem esta situao A Arte de Enganar, do Kevin Mitnick. Hoje, ele proibido de acessar qualquer computador e presta consultoria de segurana para diversas organizaes mundiais, conforme a liberao do governo americano. No livro, ele narra vrios episdios de acesso a informaes sigilosas. Ele no diz que foi ele quem obteve o acesso, mas muita gente acredita que sim. Pelo sim ou pelo no, valido ler para verificar como podemos ser enganados facilmente.

Pgina: 10

Segurana em redes de computadores

1.1.2. Full Fledged ou Crackers

So os chamados full fledged ou crackers que utiliza suas habilidades para invadir sistemas e roubar informaes secretas das empresas, sendo os verdadeiros terroristas da Internet, com intuito de roubar e destruir dados. No medem conseqncias, contanto que consigam o que querem. No so de confiana e costumam ser desprezados pelos prprios hackers. comum vender as informaes para a prpria vitima, ameaando a divulgao do roubo, no caso da empresa no negociar. Este ato chamado de blackmail. Como exemplo, podemos citar o caso da CD Universe que teve um cracker em seus sistemas. Ele capturou os dados de carto de credito dos clientes e exigiu 100 mil dlares para no divulgar. A CD Universe no atendeu a solicitao e houve a divulgao dos mesmos.

1.1.3. Script kiddies ou Newbies

Os scripts kiddies ou newbies (novatos) so os principiantes e apesar de muitos descartarem este tipo, trazem diversos problemas para as empresa. Em geral, so pessoas inexperientes, que possuem conhecimento mdio sobre como navegar na Internet, e utilizam pequenos programas para tentar invadir computadores, (normalmente de usurios domsticos) disponveis na Internet. Eles no entendem o que esto fazendo, nem o que significa o programa o programa. So freqentadores de salas de chat, onde procuram trocar informaes com pessoas mais experientes. Este tipo de hacker perigoso para as organizaes que no possuem uma poltica de segurana adequada, por isso apresentam algumas vulnerabilidades, como atualizao de patch em servidor, sistemas operacionais e banco de dados. Porm, foi devido a este tipo de hacker que as organizaes comearam a perceber o valor da segurana e realizarem procedimentos que minimizem os efeitos deste tipo de ataque. Este tipo de hacker a imensa maioria na Internet e tambm o que mais causa incidente. Um fator interessante que por os conhecimentos serem limitados dos scripts kiddies, muitas vezes servidores Windows sofrem ataques com comandos Unix. Pgina: 11

Segurana em redes de computadores

1.1.4. Lammers
Os lammers so script kiddies que esto comeando a entender como o programa de invaso funciona, e descobrem locais onde podem trocar informaes e aprender alguma tcnica de hackerismo. Gostam de falar em salas de chat que conseguem invadir sistemas, querendo se apresentar a Internet. s vezes, em chat fazem "flood" (ou inundao de informaes). Felizmente, para cada grupo de Lammers que aparecem hoje na Internet, somente uns poucos conseguem chegar a se tornarem hackers propriamente ditos.

1.1.5. Wannabe
Os wannabe so lammers que conseguiram invadir computadores com o uso de um programa ou parar os sistemas de um provedor pequeno ou empresa utilizando alguma tcnica. O nome "Wannabe" surgiu devido ao nmero crescente de lammers, que "querem ser" hackers, e possuem algum conhecimento para isto. So aprendizes e se bem orientados, podem se tornar bons hackers. comum escutar notcias de sites na Internet pichados pelos wannabe.

1.1.6. Cyberpunks
Os cyberpunks so hackers que se dedicam invaso por divertimento e desafio. Possuem profundos conhecimentos e preservam sua privacidade, utilizando criptografia em suas comunicaes. Uma caracterstica que eles acreditam que o governo tenta captar as informaes das pessoas na Internet, tornando-se um grande inimigo. So os mais extremistas que acreditam e divulgam as teorias de conspirao que, muitas vezes, encontramos na Web. Por terem um bom conhecimento e serem muito desconfiados, conseguem descobrir diversas vulnerabilidades em sistemas, servios e protocolos, ajudando comunidade e aos Pgina: 12

Segurana em redes de computadores distribuidores a corrigir estes problemas. Infelizmente, as grandes empresas distribuidoras contam com esta ajuda externa e no adotam a poltica do desenvolvimento com segurana, caso contrrio, no teramos tantas correes em nossos sistemas computacionais,

1.1.7. Carders
Os carders so especialistas em roubar nmeros de cartes de crdito, e utilizar estes nmeros para comprar via Internet. Como os crackers, os carders, so hackers que, ou conseguiram invadir um sistema de uma operadora de cartes de crdito, ou trabalhavam no setor de Informtica de uma operadora. Este tipo de hacker costuma causar grandes prejuzos as operadoras e empresas, obrigando estas a revisar a segurana constantemente.

1.1.8. Phreakers
Os phreakers so especialistas em telefonia e informtica. Possuem conhecimento suficiente para invadir um sistema utilizando o sistema, de telefonia de um pas, diferente daquele que est localizado.

1.1.9. Insiders
Os insiders so os responsveis pela maioria dos incidentes graves nas organizaes. Este tipo de ataque originrio a partir da prpria organizao, podendo ser realizado a partir da engenharia social ou at mesmo relao de funcionrio com o chefe, atravs da espionagem industrial e suborno. A espionagem industrial, geralmente atribuda aos insiders, a nova modalidade do crime organizado. E a demanda para estes hackers grande, pois vivemos numa sociedade baseada no conhecimento e informao. Muitas pessoas nas organizaes no sabem do valor que possuem em suas mos. Apesar do que muitos pensam, os ataques internos, apesar de ser em menor quantidade, apresentam maiores prejuzos s organizaes. o que diz uma pesquisa realizada pela Computer Crime and Security Survey - Computer Security Institute. A pesquisa mostra que os hackers so os maiores atacantes a empresas (81%) contra os funcionrios internos (76%). Porm, o ataque realizado por funcionrios internos resulta em maiores perdas financeiras, sendo o Pgina: 13

Segurana em redes de computadores roubo de propriedade intelectual da organizao. O valor do prejuzo por roubo destas informaes correspondeu a 151 milhes de dlares, e o segundo colocado a fraude financeira a 93 milhes de dlares. Os funcionrios so as maiores ameaas para a empresa, por possurem fcil acesso a informaes, por conhecer pessoas de outros setores, ou seja, a fonte de informaes importantes e ter acesso a diversas informaes da empresa. Os insiders so geralmente funcionrios insatisfeitos com a empresa ou o chefe, pois so mais fceis de serem manipulados por concorrentes, que sabem como persuadir as pessoas que se encontram neste tipo de situao. Os terceiros podem constituir um grave risco, por conhecerem a rotina da organizao, informaes sigilosas, hbitos e pontos fracos da empresa. possvel que aceitem suborno para transmisso destas informaes, a fim de obter segredos industriais. Outro controle importante das pessoas da limpeza e manuteno predial, pois possuem acessos a diversas reas restritas. A engenharia social pode ser utilizada nestas pessoas para a obteno de diversas informaes importantes.

1.1.10.

Coders

Os coders so os hackers que compartilham seus conhecimentos escrevendo livros, ministrando palestras e seminrios sobre sua experincia. uma atividade lucrativa para os coders. Kevin Mitnick, mais uma vez, um exemplo.

1.1.11.

White hat

Os white hats, hackers do bem, hackers ticos, samurais ou sneakers, so os que utilizam seus conhecimentos para descobrir vulnerabilidades nos sites, aplicando as correes necessrias. Em geral, trabalham de maneira legal dentro da organizao, exercendo a funo de assegurar a segurana organizacional. Em suas atividades esto os testes de invases, para que se possa mensurar o nvel de segurana da rede, porm deve-se limitar este processo, para que dados sigilosos a empresa no sejam expostos. Pgina: 14

Segurana em redes de computadores O servio de um white hat importante, mas deve-se tomar cuidado para que o mesmo no queira cobrar a mais do que o combinado a fim de aplicar a correo vulnerabilidade. Infelizmente, preciso constantemente realizar esta atividade, pois a cada nova implantao, podemos estar disponibilizando novas brechas de segurana.

1.1.12.

Gray hat

Os gray hats so os black hats que fazem papel de white hats, exercendo funo na rea de segurana, tendo conhecimento em hacking. Empregar um gray hat perigoso para a organizao. Muitas vezes, eles provocam incidentes para ajudar na resoluo - e receber por isto. Existem casos de gray hats que foram contratados para encontrar e corrigir vulnerabilidades, porm o servio no foi feito.

1.1.13.

Cyberterrorista

Os cyberterroristas so aqueles que realizam ataques a um alvo direcionado, escolhido cuidadosamente por questes religiosas, polticas ou comerciais, derrubando a comunicao entre a Internet e a empresa, principalmente com ataques DoS (Denial of Service). Como exemplo, podemos citar o ataque no site da SCO e Microsoft no ano de 2003, que devido a ataque coordenado ficou indisponvel e obteve na mdia grande destaque.

2.

Conhecendo os tipos de ataque

Como os hackers agem para conseguirem invadir sistemas em ambientes cooperativos ? Existe algum tipo de planejamento antes de um ataque ? Se sim, quais os pontos que so monitorados ? Qual o pior tipo de ataque e o disponibilidade da organizao ? que mais compromete a

Pgina: 15

Segurana em redes de computadores Estas e outras perguntas sero respondidas neste captulo, apesar de no esgotar este assunto.

5.1. Como os hackers agem para conseguirem invadir sistemas em ambientes cooperativos ?
Na realidade existem duas maneiras de um hacker conseguir informaes de uma empresa: atravs da engenharia social e utilizao de invases tcnicas. Em qualquer um dos dois tipos, so exploradas as deficincias no projeto do sistema ou de seu gerenciamento. Inclusive, o gerenciamento de sistemas vem sendo algo muito pesquisado e est aumentando oportunidades de se trabalhar nas organizaes nesta atividade. O maior problema para as organizaes que os softwares adquiridos no esto sendo desenvolvidos para atender o quesito segurana, mas por estratgia de marketing - que diz que o produto realiza determinada tarefa e ira estar disponvel no mercado em deter minada data, minimizando o tempo de desenvolvimento e teste. Construir sistemas seguros exige maior disponibilidade de tempo e uma metodologia que propicie este comportamento. Diversos testes devem ser realizados. E, sejamos sinceros, a maior parte das organizaes sequer testam suas aplicaes devidamente, quanto mais proprietrios de sistemas operacionais e ferramentas para gerenciamento. fcil afirmar pela quantidade de atualizaes que so necessrias no decorrer da vida til dos softwares que utilizamos. Geralmente, os hackers tentam explorar algumas condies, tais como as abaixo listadas: 9 Explorao das vulnerabilidades, tanto de implementao quanto de designer do sistema operacional, servios aplicativos e protocolos; 9 Utilizao de senhas de fcil deduo que podem ser obtidas atravs de capturas (packet sniffing); 9 Uso imprprio de ferramentas para gerenciamento, como sniffing que serve para diagnosticar problemas na rede e por scanning identifica portas ativas do sistema, e servios por porta. 9 Configurao, administrao ou manuteno imprpria de sistemas coordenados por componentes de segurana. Este fato vem salientar a necessidade de se realizar as configuraes dos componentes de forma apropriada. Ter um firewall na rede no significa que a rede est protegida. O mesmo se aplica aos Sistemas de Deteco de Intruso (IDS) mal configurados.

Pgina: 16

Segurana em redes de computadores A princpio, temos conscincia que a maior parte dos hackers na Internet so os newbies ou script kiddies e seus ataques so os mais simples (atacam vulnerabilidades do sistema operacional ou parecido, atravs de programas disponveis da Web). Ao menos, este tipo de ataque deve no comprometer a continuidade dos negcios da empresa. As ferramentas de defesa, monitorao de rede, planos de contingncia e poltica de respostas a incidentes vem a combater os hackers constantemente, porm complicado disponibilizar defesas novos tipos de ataques, por isso importante que existam polticas e administradores de redes voltados segurana.

1.1. Existe algum tipo de planejamento antes de um ataque ?

Os motivos que levam um hacker a invadir um site so diversos. Se falarmos de script kiddies, eles nem sabem o que esto fazendo, mas querem realizar ataques. Se falarmos dos insiders ou black hats, teremos um perfil diferente, eles realmente querem roubar informaes sigilosas e invadir sistemas causando prejuzos s vitimas, causando os maiores transtornos aos sites. Os cyberterroristas tambm so perigosos para seus alvos, pois podem comprometer a infra-estrutura at mesmo de uma nao. Se um hacker com experincia, como insiders, black hats ou cyberterrorista, decidem invadir algum sistema, em primeiro lugar, dever obter o maior quantidade de informaes de seu alvo. Aps conseguir o levantamento dos dados, eles utilizam os seguintes recursos: 9 9 9 no sistema 9 sistema Monitorao de rede Penetrao no ambiente corporativo Insero de cdigos prejudiciais e;ou informaes falsas Envio de muitos pacotes com a finalidade de derrubar o

As conseqncias so diversas, pois depende da segurana implementada na rede atacada. Segue alguns exemplos: 9 Monitorao por parte dos hackers na rede corporativa 9 Roubo de informaes confidenciais a empresa 9 Alterao em sistemas corporativos, especialmente em base de dados e servidores. 9 Negao de servios a usurios com permisso de acesso Pgina: 17

Segurana em redes de computadores 9 Fraudes e perdas financeiras 9 Perda da credibilidade perante o mercado 9 Trabalho extra e indisponibilidade para clientes devido recuperao dos recursos Um fato que valido ressaltar que os hacker tentam esconder suas evidencias de ataque, alterando logs do sistema operacional, trocando arquivos de configurao, entre outros procedimentos. Entretanto, existem maneiras de no permitir estes processos, atravs dos Sistemas de Deteco de Intruso.

Etapas bsicas para a metodologia de ataque Extrado do site www.microsoft.com

1.2. Tipos de Ataques

Para um hacker, o sucesso de um ataque est em obter informaes de um sistema sem ser percebido. Estaremos relacionando os principais tipos de ataques e as tcnicas utilizadas para obteno de informaes confidenciais. Podemos dividi-los nos seguintes tipos: 9 Ataques para obteno de informaes 9 Ataques fsicos 9 Ataques de negao de servios ou Denial Of Service (DoS) 9 Ataques ativos contra o protocolo TCP 9 Ataque no nvel de aplicao 9 War Dialing

Pgina: 18

Segurana em redes de computadores

1.1.1. Ataques para obteno de informaes 1.1.1.1. Dumpster diving ou trashing

Muitas pessoas, no sabem o valor do lixo de sua empresa. O hacker, sabendo deste valor, examina os lixos em busca de informaes importantes para o ataque, e muitas vezes conseguem. Na Arte de Enganar, Kevin Mitnick, existem muitas situaes semelhantes. No Brasil, esta tcnica muito utilizada pelos hackers, pois nossa cultura menosprezar o valor do lixo. Para amenizar este risco, importante distribuir fragmentadoras de papis, pra evitar que o cruzamento das informaes, que constam em papis descartados no lixo, sejam cruzadas e transformadas em acesso a informaes de clientes ou usurios. Esta prtica deve ser incorporada a poltica da empresa.

1.1.1.2. Engenharia social A engenharia social a tcnica que explora as fraquezas humanas e sociais, ao invs da tecnologia. Ela possui como objetivo a persuaso de pessoas, atravs da enganao, empregando falsas identidades, a fim de obter informaes como senhas, ou dados que sejam importantes para invadir o sistema. Muitas vezes, utilizado jargo da prpria organizao para obter xito neste processo. De forma clssica, o hacker se passa por algum da alta hierarquia da empresa e consegue as informaes que precisam, ou usa novos funcionrios contratados para conseguirem dados que de outra forma no conseguiriam. Segue alguns outros exemplos de engenharia social: Exemplo 1: Algum desconhecido liga para a sua casa e diz ser do suporte tcnico do seu provedor. Nesta ligao ele diz que sua conexo com a Internet est apresentando algum problema e, ento, pede sua senha para corrigi-lo. Caso voc entregue sua senha, este suposto tcnico poder realizar uma infinidade de atividades maliciosas, utilizando a sua conta de acesso a Internet e, portanto, relacionando tais atividades ao seu nome. Exemplo 2: Voc recebe uma mensagem via e-mail, dizendo que seu computador est infectado por um vrus. A mensagem Pgina: 19

Segurana em redes de computadores sugere que voc instale uma ferramenta disponvel em um site da Internet, para eliminar o vrus de seu computador. A real funo desta ferramenta no eliminar um vrus, mas permitir que algum tenha acesso ao seu computador e a todos os dados nele armazenados. Exemplo 3: Voc recebe uma mensagem via e-mail, onde o remetente o gerente ou o departamento de suporte do seu banco. Na mensagem mencionado que o servio de Internet Banking est apresentando algum problema e que tal problema pode ser corrigido se voc executar o aplicativo que est anexado a mensagem. A execuo deste aplicativo apresenta uma tela anloga quela que voc utiliza para ter acesso conta bancria, aguardando que voc digite sua senha. Na verdade, este aplicativo est preparado para furtar sua senha de acesso conta bancria e envi-la para o atacante. Estes casos mostram ataques tpicos de engenharia social, pois os discursos apresentados nos exemplos procuram induzir o usurio a realizar alguma tarefa e o sucesso do ataque depende nica e exclusivamente da deciso do usurio em fornecer informaes sensveis ou executar programas. Como exemplo prtico, temos o ocorrido AOL em outubro de 1998. Atravs da engenharia social, um hacker conseguiu alterar o DNS e direcionar todo o trfego para um outro servidor, que no era do provedor.

1.1.2. Ataques fsicos

O ataque fsico caracterizado por roubo de equipamentos, softwares ou fitas magnticas e dos mtodos de ataques mais comuns. Um exemplo clssico e famoso de Kevin Poulser, que roubou diversos equipamentos do provedor de acesso de diversas organizaes, quebrando o sigilo e confidencialidade de diversas empresas.

1.1.1.1. Informaes livres e disponveis na Internet

Informaes distribudas livremente na Internet e consideradas no intrusivas so valiosas para ataques direcionados.

Pgina: 20

Segurana em redes de computadores Como exemplo podemos citar consultas ao DNS, anlise de cabealhos de email e busca de informaes em lista de discusses. Baseados nestes tipos de dados possvel descobrir detalhes sobre sistemas, topologia e dados de usurios que podem servir num ataque, mesmo de forma inconsciente para quem o fornece. Como exemplo, podemos citar as listas de discusses que muitas vezes constam informaes da pessoa, como cargo e setor, e dos superiores em caso de mensagens mal formadas de ausncia. Outros exemplos so os protocolos Simple Network Management Protocol (SNMP) e o Netbious, e servios como finger, ruses, systat, netstat, todos os casos disponibilizam informaes do tipo de sistema operacional e sua verso.

1.1.1.2. Packet Scanning ou eavesdropping

Esta tcnica consiste na captura de pacotes que trafegam pela rede. Diversos softwares realizam esta tarefa, como snoop do Solaris, tcpdump do Linux, utilizados para resoluo de problemas de rede. As informaes obtidas pelos sniffers so referentes pacotes que trafegam pelo segmento que o software esta funcionando. Os sniffers disponibilizam diversas ferramentas de filtros, que auxiliam na deteco de problemas e identificao de transaes. Fazer sniffer na rede muito importante para os administradores, porm em mos de hackers um grave problema para a organizao. Para minimizar este problema, recomendvel segmentar a rede, atravs de switch ou roteadores, pois este procedimento dificulta o entendimento do trfego. Outros tipos de informao que capturada atravs de sniffers so as senhas sem criptografia, ou seja, que trafegam com FTP, Telnet ou Pop. Os emails tambm perdem sua confidencialidade atravs dos sniffers. Como medida de segurana, recomendvel o uso de criptografia, como SSH ou IPSec, ao invs do Telnet. importante tambm, o uso de criptografia nos emails. Existem diversas tcnicas para descobrir se um sniffer est sendo executado. Um dos mtodos mais simples verificar se existe, em cada equipamento da rede, seu processo em execuo, porm comum que os hackers o inibam da lista, dificultando a percepo dos administradores. O mesmo ocorre com a verificao de equipamentos em execuo de modo promscuo. Pgina: 21

Segurana em redes de computadores Uma maneira de amenizar o problema de execuo de sniffer por hackers a utilizao de trfego com senha. A identificao do hacker feita quando o mesmo tentar acessar recursos com uma senha no vlida, porm ele consegue efetuar algumas transaes de forma legtima, inclusive com os dados do usurio que ele roubou. O Mac Detecction uma maneira do hacker aproveitar a vulnerabilidade do endereo IP em equipamentos que no esto implementados o TCP/IP corretamente, utilizando um MAC Address falso, onde o IP no confere com o MAC Address de equipamentos em modo promscuo. O DNS Detecction utiliza a caracterstica de alguns sniffers de realizar o DNS Reverso onde um trfego com endereo falso colocado na rede e, o sniffer captura o trafego e tenta resolver o nome atravs do DNS. O DNS consegue saber quantos sniffers esto na rede, porm no consegue localizar os segmentos. O Load Detecction a deteco a partir do comportamento de um equipamento quanto a tempo de resposta, levando em considerao que o equipamento onde est sendo executado sniffer possui um tempo de resposta maior do que o normal. Em geral, enviado um pacote teste para realizar a analise estatstica. Entretanto, esta tcnica no funciona com eficincia em redes de muitos trfego e banda considervel, pois torna-se semelhante o tempo de resposta com e sem sniffer.

1.1.1.1.1.

Um caso prtico: Como senha contra Sniffers

proteger

sua

Digamos que o usurio possui uma senha adequada, a troca realizada com certa regularidade e um dia surpreendido por uma invaso em sua conta, por exemplo. As evidncias indicam que invases a contas de terceiros partiram de sua conta e voc no tem a menor idia do que est acontecendo. Isto , algum pode ter feito uso de sua conta e realizou estes atos como sendo voc. Como isso pode ter acontecido? Uma forte possibilidade que voc tenha sido vtima de um ataque de "sniffer". Mas, o que isso? Sniffers so programas que permitem a um atacante roubar sua senha e assim utilizar a sua conta como se fosse voc. Estes tipos de ataques so comuns. muito importante que voc, como usurio Internet, tenha conscincia de como suas senhas so vulnerveis e como tomar medidas apropriadas para tornar sua Pgina: 22

Segurana em redes de computadores conta mais segura. Selecionar uma boa senha e regularmente trocar de senha ajuda bastante, mas tambm muito importante que se conhea quando se est vulnervel a sniffers e como lidar com eles. Os atividade da que estes monitorando sniffers so programas que permitem monitorar a rede registrando nomes (username e senhas) sempre acessam outros computadores da rede. Atuam o fluxo de comunicao entre os computadores.

Estes programas ficam monitorando o trfego da rede para capturar acessos a servios de redes, tais como: servio de email remoto (IMAP e POP), acesso remoto (telnet, rlogin, etc), transferncia de arquivos (FTP), etc., com objetivo de obter a identificao de acesso conta do usurio, caso esteja nas mos de um hacker. Cada um destes servios utiliza um protocolo que define como uma sesso estabelecida, como sua conta identificada e autenticada e como o servio utilizado. Cada servio autenticao, usurio e sucesso na sua tentativa que mais interessam no sesso. ao ser disponibilizado solicita uma senha, neste momento o hacker obtm de saber dados alheios, ou seja, os dados snifffer, neste caso, so os do inicio da

A figura seguinte mostra o processo de "conversao" entre duas mquinas remotas, onde a identificao do usurio passa "abertamente" pela rede de uma mquina para outra. Neste exemplo transferncia de arquivos via FTP.

Pgina: 23

Segurana em redes de computadores A mquina A inicia a conexo com a mquina B, que solicita identificao do usurio. Este ao se autenticar na mquina remota B tem sua senha capturada pelo sniffer. Para entender como um "sniffer" funciona, voc precisa saber que cada computador em uma LAN compartilhada pode visualizar todos os pacotes de dados que transitam de um computador a outro desta LAN. Assim, cada computador desta rede pode executar um programa sniffer que verificar os pacotes, podendo os salvar em um arquivo. Basicamente, os seguintes passos so executados por atacantes (veja ilustrao a seguir): (1) (2) (3) (4) o atacante ao penetrar em sua rede, quebrando uma determinada mquina; instala um programa sniffer; este programa monitora a rede em busca de acesso a servios de rede, as capturas so realizadas e registradas em um log file; em seguida o arquivo de log recuperado pelo atacante.

Existem diversas razes que levam pessoas a roubarem senhas, desde para simplesmente para perturbar algum, desafiar conhecimentos ou praticar atividades ilegais (invaso em outros computadores, roubo de informaes, etc.).

Pgina: 24

Segurana em redes de computadores Um atrativo para os hackers a capacidade de utilizar a identidade de terceiros nestas atividades. Uma das principais razes que atacantes tentam quebrar sistemas e instalar sniffers poder capturar rapidamente o mximo de contas possvel, afim de ocultar seus ataques. Parece desesperador dizer tudo o que um sniffer pode fazer para uma rede, em mos erradas. Mas, o importante saber onde esto os riscos e tentar se proteger de maneira adequada. Quando voc tem seu carto de crdito roubado ou desconfia que algum pode estar utilizando-o indevidamente, voc cancela o carto e solicita outro. Da mesma forma, como senhas podem ser roubadas, fundamental que voc a troque regularmente. Esta precauo limita a quantidade de tempo que uma senha roubada possa ser utilizada por um atacante. Nunca compartilhe sua senha com outros. Este compartilhamento torna difcil saber onde sua senha est sendo utilizada (e exposta) e mais difcil detectar uso no autorizado. Nunca fornea sua senha para algum alegando que precisa acessar sua conta para corrigir algum problema ou quer investigar uma quebra do sistema. Este truque um dos mtodos mais eficazes de hacking, conhecido como "engenharia social". Um outro aspecto que voc dever levar em considerao o nvel de segurana da rede que voc utiliza ou administra. Se voc estiver viajando e necessita acessar computadores de sua organizao remotamente. Por exemplo, pegar algum arquivo em seu home directory e voc tem disponvel um cybercaf ou uma rede de outra organizao. Voc tem certeza que pode confiar naquela rede ? Voc tanto pode estar sendo monitorado com sniffers quanto pode ter algum trojan fornecendo suas informaes a algum hacker. Se voc no ter nenhuma alternativa para acesso remoto seguro e s tem disponveis recursos como Telnet, por exemplo, voc pode minimizar o efeito negativo trocando a senha ao final de cada sesso. Lembre-se que somente os primeiros pacotes (200 a 300 bytes) de cada sesso carregam informaes de seu login. Portanto, ao trocar sempre sua senha antes de encerrar a sesso, esta no ser capturada e a senha anterior que esteve exposta rede no ser mais vlida. claro que possvel se capturar tudo que passar pela rede, mas atacantes no tem interesse de lotar o sistema de arquivo rapidamente e com isso ser facilmente descobertos.

Pgina: 25

Segurana em redes de computadores As redes continuam vulnerveis a sniffers devido a diversos fatores. Podemos dizer que a maior parte do problema que as empresas tendem a investir mais em novos recursos do que em adicionar segurana. Novas funcionalidades de segurana podem deixar os sistemas mais difceis de configurar e menos convenientes para utilizar. Uma outra parte do problema est relacionada a custos adicionados por switches Ethernet, hubs, interfaces de rede que no suportam o modo especial promiscuous que sniffers podem utilizar. Os sniffers so aplicaes passivas, no geram nada que possa ser sentido facilmente pelos usurios e/ou administratores. Em geral, no deixam rastros. Uma maneira de detectar um sniffer verificar todos os processo em execuo. Isto no totalmente confivel, mas um bom ponto de partida. Comandos para listar processos em execuo variam de plataforma para plataforma. Se voc estiver em uma mquina Unix, o sniffer aparecer em uma lista do comando ps, a menos que este ps seja um trojan (programa implementado pelo atacante que aparentemente funciona como o esperado, mas efetuar funes desconhecidas pelo usurio). No Windows, basta verificar na lista de processos em execuo e para isto, basta apertar <CTRL><ALT><DEL>. Uma outra alternativa procurar por um sniffer conhecido. Existe uma grande chance do atacante estar utilizando uma verso freeware. Obviamente, existe a possibilidade do atacante ter escrito o seu prprio sniffer e neste caso a busca fica mais difcil. preciso gastar mais tempo em analisar o que pode ter sido alterado pelo atacante. Por exemplo, comparar backup de dias diferentes ou utilizar alguns programas que possam ajud-lo nesta atividade, como: TripWire, ATP e Hobgoblin que so programas interessantes para checagem da integridade do sistema e arquivos. Os sniffers podem ser disfarados na listagem do ps (o prprio ps como a maioria dos programas tambm pode). Basta trocar o argumento do seu argv[0] (o primeiro argumento) para um nome qualquer e no parecer ser um programa suspeito que esteja em execuo. Alguns utilitrios permitem identificar se o seu sistema encontra-se em modo promscuo e lev-lo a encontrar uma mquina suspeita. Muitas organizaes que esto atentas a este problema utilizam:

Pgina: 26

Segurana em redes de computadores 9 Placas de redes que no podem ser colocadas em modo promiscuo. Assim, os computadores no podem ser transformados em sniffer. 9 Normalmente, a interface Ethernet passa somente pacotes at o protocolo de nvel mais alto que so destinados a mquina local. Esta interface em modo promiscua permite que todos os pacotes sejam aceitos e passados para a camada mais alta da pilha de protocolos. Isto permite que a seleo do que se deseja. 9 Nos pacotes em transito pela rede, os dados so criptografados, evitando assim que senhas trafeguem s claras. Considerando o ltimo item, a prtica de utilizar criptografia em sesses remotas, ajuda a manter a segurana das informaes e senhas. Porm, para uma segurana mais efetiva somente quando implementado em TODOS os computadores que voc utiliza em sua empresa, em sua casa e nas organizaes fora se sua empresa que eventualmente tenha conta. Uma das tecnologia de criptografia bastante comum atualmente na comunicao segura entre mquina remota SSH (Secure Shell). O SSH encontra-se disponvel para diferentes plataformas. O seu uso no impede que a senha seja capturada, mas como esta encontra-se criptografada no servir para o atacante. O SSH negocia conexes utilizando algoritmo RSA. Depois que o servio autenticado, todo o trfego subsequente criptografado utilizando tecnologia IDEA. Este tipo de criptografia bastante forte.

1.1.1.3. Port Scanning

O port scanning um conjunto de ferramentas utilizadas para obter informaes dos servios executados por um equipamento, atravs do mapeamento de portas. Para um hacker, o port scanning favorece a reduo de esforo quanto a ataques atravs de portas que no esto disponveis nenhum servio, podendo atacar de forma mais direcionada, conforme o servio disponvel e porta. O nmap o port scanning mais utilizado, sendo empregado em auditorias de firewall ou IDS, alm de determinar falhas na pilha TCP/IP, que podem ser exploradas em ataques do tipo DoS. Atravs do mtodo fingerpriting, ele consegue identificar o sistema operacional dos equipamentos scanneados. Existe ainda, a possibilidade de informar a seqncia de pacotes TCP, o que esta Pgina: 27

Segurana em redes de computadores sendo feito em cada porta, por usurio, o nome DNS e se o endereo pode se tornar uma vtima do smurf. Uma caracterstica muito utilizada do nmap o scanning paralelo que auxilia na deteco de estado de hosts pelos pings paralelos, filtragem de portas, decoy scanning, fragmentao de pacotes e flexibilidade na especificao de portas e alvo. Outra informao til, que o nmap informa o status de cada porta aberta, se aberta (aceita conexes), filtrada (o firewall impede que seja especificado o estado da porta) e no filtrada.

1.1.1.4. Scanning de vulnerabilidades

O scanning de vulnerabilidade realiza diversos testes na rede, tanto em protocolos, servios, aplicativos ou sistemas operacionais. Se o hacker conseguir realizar o port scanning, por exemplo, ele conseguir direcionar melhor seu ataque, na porta e servio disponibilizado correto, alm de ter identificado o sistema operacional do alvo, diminuindo o tempo gasto para causar o incidente de segurana. Atravs do scanner, que examina roteadores, firewalls, sistemas operacionais e outras entidades IP, so detectados alguns riscos existentes na rede, como: 9 Compartilhamento de arquivos no protegidos por senha. 9 Configurao incorreta de roteadores, firewall, navegadores ou servios. 9 Software com atualizaes faltantes. 9 Nmero de pacote TCP com facilidade de hackers descobrir. 9 Buffer overflow em servios, softwares e sistemas operacionais. 9 Falhas de protocolos utilizados na rede. 9 Roteadores mal configurados que expe a rede. 9 Checagem de trojans. 9 Verificao de senhas fceis de deduzir. 9 Possibilidade de ataque de negao de servio, ou Denial of Service (DoS). O scanner consegue diagnosticar diversas vulnerabilidades de sistema, e uma ferramenta poderosa para a anlise de riscos, segurana e auditoria. Ele vem alertar a organizao de suas fragilidades para que medidas de segurana sejam tomadas. Pgina: 28

Segurana em redes de computadores Todo scanning resulta num relatrio, que deve ser avaliado pelos administradores de rede ou segurana, para diagnosticar a existncia de falsos-positivos (deduo do scanner de ataque quando na verdade no ). Outro fator, a necessidade de se atualizar constantemente com assinaturas de novos ataques, para que o scanning seja o mais preciso possvel. Como vimos, atravs do scanning podemos obter dados importantes da rede. Isto vlido para administradores e para hackers. Por isso, vital que exista na rede Sistema de Deteco de Intruso (IDS) para no permitir que hacker exera esta atividade.

1.1.1.5. Firewalking
O firewalking um analisador de pacotes similar ao traceroute, que obtm informaes de redes remotas protegidas por firewall, atravs do protocolo ICMP. Os pacotes analisados so registrados mesmo que passem via gateways, permitindo o mapeamento dos roteadores antes dos firewalls. Atravs destas informaes, possvel gerar a topologia da rede e obter informaes sobre filtragens de pacotes no firewall. Uma das maneiras de se proteger contra o firewalking proibindo o trfego de pacotes ICMP na rede, utilizao de proxy ou Network Address Translation - NAT no firewall (o NAT faz com que um certo IP externo tenha receba uma traduo dentro da rede interna, outro IP e vice-versa).

1.1.1.6. IP Spofing
O IP Spoofing uma tcnica onde o endereo real do atacante mascarado, evitando do mesmo ser encontrado. bem utilizado em sistemas autenticadores e em ataque de negao de servio ou Denial of Service (DoS), nos quais os pacotes de respostas no so esperados. O IP Spoofing no consegue entregar a resposta das requisies, pois o IP na realidade no existe. Um administrador pode proteger a rede corporativa restringindo as interfaces de rede, atravs de filtros de acordo com o endereo utilizado na rede externa.

Pgina: 29

Segurana em redes de computadores Exemplo: se a empresa tem endereos 200.246.200.0 disponveis externamente, o firewall deve negar conexo onde a origem 200.246.200.0. O Land pode auxiliar na pesquisa da vulnerabilidade TCP/IP, fazendo com que a origem e destino tenham a mesma porta, caso estejam dentro da rede corporativa, evitando o IP Spoofing de endereos internos a rede.

1.1.3. Ataques de negao de servios ou DoS

Os ataques de negao de servios ou Denial of Service (DoS) so aqueles que ao atingirem um alvo, deixam o sistema indisponvel os usurios legtimos. Na maioria das vezes, e realizam o Syn Flood, enviando grande nmero de conexes que no so completadas, somente para aumentar o uso dos recursos aos equipamentos alvos. Outro exemplo, o envio de Smurfs, que causam interrupo nos servios. A condio propcia para este tipo de ataque est no mau desenvolvimento de aplicaes, sistemas operacionais e protocolos, que fornecem brechas de segurana que podem ser exploradas. Como exemplo, podemos citar os servidores Unix e Linux. Ao receberem um grande nmero de conexes sem conseguir responder, seu processo sobe para o total de 1500, causando uma parada no servidor. Do Windows, podemos citar o caso do mapeamento de DLL, que ao ser acessado, pode referenciar outra DLL, com o mesmo nome, podendo exercer atividade diferente.

1.1.1.1. Syn Flood

O Syn Flood o envio de conexes (Syn) em quantidade capaz de fazer com que o servidor no consiga responder. A pilha da memria sofre overflow, desprezando as requisies legtimas dos usurios. Pode ser evitado com a comparao com o nmero de conexes novas e em aberto, alertando quando o valor padro ser ultrapassado. Outra vulnerabilidade o controle dos pacotes que trafegam pela rede e sua seqncia, que devem estar no padro esperado.

Pgina: 30

Segurana em redes de computadores Uma maneira de evitar este tipo de ataque aumentando a fila de conexes e diminuindo o time-out handshake. Esta opo no elimina, mas minimiza o problema.

1.1.1.2. Fragmentao de pacotes

Antes de qualquer coisa, preciso entender porque o protocolo IP permite a fragmentao de pacotes. Existe a capacidade mxima de cada tipo de meio fsico de quantidade mxima de trafego de dados, denominada Maximun Transfer Unit ou MTU. A rede Ethernet limita a transferncia a 1500 octetos e a FDDI a 4770 octetos, por exemplo. Como existem informaes maiores que este tamanho, o endereo IP especifica que permitido fragmentar em pacotes as mensagens com tamanho maior que o MTU, afim de que as mesmas atinjam o destino. Neste caso, o pacote fragmentado de um tamanho que possa trafegar pela rede, aps negociao entre os hosts, de forma que no host destino seja remontado. Existem alguns problemas neste processo. O primeiro que o pacote pode alterar a porta de conexo no meio da transmisso, facilitando o acesso a sistemas que no so permitidos ao usurio. O segundo que se o reagrupamento de pacotes for maior do que o permitido, ocorre o chamado buffer overflow causando indisponibilidade e travamento no sistema, um DoS. No fim de 1996, ocorreu o Ping ODeath que nada mais foi do que a explorao desta vulnerabilidade. Era enviado ping de tamanho grande, que gerava o travamento de sistemas. O problema resolvido atravs de patch, que corrigiram o que fazer quando acontece overflow no kernel. O terceiro que por ser processado no host, complicado saber se um ataque ou no, para um firewall ou sistema de deteco de intruso, por melhor configurado que seja. O quarto que os filtros de pacotes no podem restringir a fragmentao. Usar NAT no resolve estes problemas, pois o mesmo encontra-se vulnervel a este ataque. O Teardrop uma ferramenta que explora a fragmentao de pacotes IP, auxiliando os administradores para a defesa de ataque por fragmentao de pacotes.

Pgina: 31

Segurana em redes de computadores

1.1.1.3. Smurf e fraggle

O Smurf uma tcnica que gera trfego na rede atravs de broadcast de ping (ICMP echo) na rede, a partir de um IP falsificado (IP Spoofing). Desta maneira, a rede tenta responder requisio e no consegue, afetando a sua performance. O fraggle seria a mesma tcnica, porem utilizando o UDP echo. Para resolver este problema, o administrador deve configurar os roteadores a no permitirem broadcast, no permitindo desta maneira o uso de ping na rede. O egress filtering outra maneira de minimizar problemas com Smurf. O mtodo consiste em somente aceitar requisies de ping da rede corporativa, evitando que endereos desconhecidos trafeguem pela rede. A filtragem se torna fundamental, especialmente para ataques coordenados.

1.1.4. Ataques ativos contra o TCP

Uma conexo TCP definida por quatro informaes bsicas: 9 9 9 9 Endereo de IP do cliente Porta de TCP do cliente Endereo de IP do servidor Porta de TCP do servidor

Todo byte enviado identificado por uma seqncia de 32 bits, diferente em cada conexo e de forma seqencial, que reconhecida pelo receptor da mensagem. Aproveitando a desincronicidade do protocolo TCP, que no garante que a seqncia ser preservada aps estabelecida a conexo, dois hosts comeam a trocar informaes, ento, um terceiro host (do hacker) coloca a seqncia certa em seus pacotes, interferindo no meio da comunicao, enviando pacotes vlido, ocasionando o ataque chamado man-in-the-middle. O problema deste ataque a quantidade de TCP ACK, pois ao receber um ACK invalido a seqncia enviada a outro host sucessivamente, at que algum o negue. Existem dois mtodos que auxiliam na desincronizao de conexes: early desyncronization (interrompe conexo e forma outra internamente com nova seqncia) e null data desyncronization Pgina: 32

Segurana em redes de computadores (envio de grande quantidade de dados para o servidor e clientes, de forma que os mesmos no percebam).

1.1.5. Ataques coordenados ou DDoS

Esta uma modalidade de ataque onde existem vrios hosts que so coordenados por um hacker para atacar determinado site ou servidor. muito eficiente, pois normalmente a vtima no tem como minimizar a situao, por no saber identificar a origem do ataque. Os primeiros hierrquicos. ataques DDoS utilizavam quatro nveis

O hacker coordena diversos servidores master. Atravs das vulnerabilidades de sistemas conhecidas nestes servidores, atravs de scannings, instalado daemons programas que iro atacar as vtimas. Este tipo de ataque utiliza alta tecnologia, inclusive de criptografia entre servidores master e daemons. A instalao de daemons realizada de modo dinmico e so implementadas diversas maneiras de se esconder as evidencias do ataque.

Ilustrao de ataque DdoS Extrado do site www.invasao.com.br

Como exemplo de ferramentas utilizadas para ataques DDoS, podemos citar: trinoo e TFN. O trinoo um ataque DDoS para o protocolo UDP. Ele utiliza um reduzido nmero de servidor mster e grande nmero de daemons, instrudos para atacar certos IPs. O trinoo no utiliza IP Spoofing e o trfego com os servidores masters requerem senhas. Pgina: 33

Segurana em redes de computadores Em 1999, este tipo de ataque tornou indisponvel o site da Universidade de Missota. Porm, este tipo de ataque possui assinatura que pode ser colocada no IDS para sua deteco, alm de outros pontos falhos que podem ser diagnosticados, mas existe aumento de complexidade de gerenciamento. O TFN um ataque DDoS para o protocolo TCP e implementa o IP Spoofing, TCP SYN Flooding e ICMP . O processo de ataque acionado quando o hacker d especificao aos masters para iniciar o ataque atravs dos daemons. Neste tipo de ataque, as origens e os pacotes podem ser alterados de forma aleatria. Existe assinatura que ajudam sua deteco na rede para IDS.

1.1.6. Ataque no nvel de aplicao

Este tipo de ataque os que exploram as brechas de seguranas dos protocolos, servidores e aplicativos, no nvel de aplicao. Os tipos mais comuns so: 9 9 9 9 9 9 Buffer Overflow Ataque atravs de gateways da rede Vulnerabilidades no protocolo FTP e SNMP Vrus Trojans Worms

1.1.1.1. Buffer Overflow

um ataque onde o hacker envia mais dados do que o tamanho do buffer, preenchendo o espao da pilha, com intuito de que os dados sejam perdidos devido a falha na camada de aplicao, sendo possvel a execuo de comandos que podem dar permisso, at mesmo de administradores do sistema, reescrevendo o cdigo na pilha do sistema. um dos ataques mais utilizados por hackers.

Pgina: 34

Segurana em redes de computadores

Frames no cache da pilha Extrado do site www.inf.ufrgs.br

Um exemplo prtico que pode acontecer um hacker enviar uma string na URL com tamanho superior ao manipulvel. Se a aplicao no estiver tratando esta situao, possvel acontecer pane no sistema, ajudando a acontecer um ataque buffer overflow. Por este ataque ser caracterstico de cada aplicao sua preveno muito complicada em geral, est resumida correo em aplicativos. A maior parte destas correes so geradas a partir dos incidentes ocorridos, de forma reativa. o famoso desenvolvimento voltado venda e no a segurana, conforme expomos nesta disciplina. Existe uma tcnica que pode auxiliar neste processo, que na realidade vem localizar de forma aleatria o buffer overflow, no permitindo que o hacker venha a gravar as informaes da maneira que lhe interessante (seqencialmente) e com conhecimento de sua localizao na pilha. Um produto que oferece este recurso o Secured da Memco.

Pgina: 35

Segurana em redes de computadores

1.1.1.2. Ataques a gateways da rede

Este um ataque que se aproveita das vulnerabilidades de bugs em servidores, navegadores de Internet, Common Gateway Interface (CGI) e Active Server Pages (ASP). Os ataques mais comuns so: 9 Web defacement: Alterao em contedo das paginas por hackers. So as chamadas pixaes de sites. 9 Poison null: Possibilita a visualizao do contedo dos diretrios, muitas vezes permitindo a alterao e consulta atravs de servidores Web, utilizando o mascaramento dos comandos de checagem de segurana CGI (null byte pacote de dados no detectados pelo script CGI) 9 Upload Bombing: um ataque direcionado a sites com upload, cuja finalidade enviar arquivos que preencham o disco rgido da vitima, j que no realizada a checagem de espao em disco disponvel. 9 Web Spoofing ou Hyper Spoofing: so as famosas pginas falsas que muitas vezes so sugeridas por links em emails. Neste ataque, as pessoas pensam estar numa pgina legitima de uma organizao, quando, na verdade, est fornecendo seus dados pessoais a um hacker. Como dica de segurana sempre melhor a pessoa escrever a URL no browser, e no clicar em links caso clicar, verificar se a pgina que est aparecendo a que realmente ela pensa estar. Desabilitar o Javascript bom, pois os scripts podem alterar caractersticas da pgina, porm muitos sites perdero funcionalidades.

1.1.1.3. Problemas com protocolo SNMP

O Simple Network Management Protocol (SNMP) o protocolo que fornece informaes como: sistema, tabelas de rotas, tabela ARP (Address Resolution Protocol), conexes UDP e TCP, entre outras informaes para gerenciamento de rede.

Pgina: 36

Segurana em redes de computadores

Funcionamento do SMTP

O problema deste protocolo que existem muitas vulnerabilidades de segurana, principalmente quanto a facilidade de obter informaes do sistema, motivo que altamente recomendvel este tipo de sistema estar devidamente protegido. O SNMP no possui mecanismo de travamento de senhas aps x tentativas, possibilitando a hackers utilizar programas de senhas para conseguir acesso, sem ser percebido. tambm um ponto de falha para softwares de segurana, como o TCP Wrapper. No entanto, o SNMP um protocolo til para gerenciamento e na maioria das organizaes so utilizados. o

Para minimizar os efeitos das vulnerabilidades, so adotados procedimentos como: 9 Habilitao somente de daemons e servios especficos do SNMP, pois quanto maior o nmero de servios e daemons disponveis, maior a probabilidade de ataques isto valido no s para este protocolo, mas para qualquer tipo servidor e servio. 9 Os nomes da comunidade devem ser manipulados como senhas, adotando polticas de senhas, para que hackers no consigam prever as mesmas e acessar informaes secretas. 9 Permitir que somente hosts especficos consigam obter informaes SNMP, com usurios especficos por exemplo, o administrador.

1.1.1.4. Vrus e Worm

Os vrus de computador so programas altamente sofisticados e desenvolvidos em linguagens especficas de programao para infectar e alterar sistemas. Normalmente eles possuem tamanhos reduzidos e so projetados por programadores extremamente hbeis, visando afetar de maneira adversa o seu computador. Portanto, no os subestime. Pgina: 37

Segurana em redes de computadores Os worms se diferem dos vrus somente por se espalharem rapidamente, sem interao dos usurios. A preveno a melhor vacina para se evitar a contaminao de computadores por qualquer tipo de vrus. Uma das posturas preventivas a ser adotada estar sempre alerta com documentos ou arquivos que so transmitidos pela Internet. Manter sempre cpias de segurana dos arquivos mais importantes outro procedimento recomendvel em qualquer situao, pois pode ser o ltimo recurso para salvaguardar informaes. No existe computador, principalmente que esteja conectado Internet, imune aos vrus. Centenas de novos vrus so detectados mensalmente. Portanto, importante atualizar o programa de antivrus periodicamente, aumentando as chances de estar protegido dos vrus j conhecidos. Porm, quanto aos vrus recm criados, existe o perigo de ser atacado sem ter vacina disponvel, mesmo com antivrus atualizado. Vale repetir: sua segurana perfeita est no seu hbito de preveno. Os poucos minutos perdidos por dia podem valer horas, dias ou at meses de trabalho.

1.1.1.5. Trojans ou Trojan Horses

Os trojans so programas que so furtivamente instalados no computador sem o conhecimento do usurio. Geralmente, o usurio instala o programa no computador, sem saber, enquanto pensa estar instalando outro software que deseja. Com a disseminao da Internet, os trojans comearam a vir como anexos em emails, ao abrir o anexo automaticamente o usurio instala o programa em seu computador. J existem trojans mais sofisticados que podem ser instalados sem ao do usurio, atravs de scripts em pginas web, aproveitando-se, principalmente das propriedades do ActiveX (em ambiente Microsoft) A origem do nome vem da mitologia grega, mais precisamente da odissia de Ulisses, que para vingar-se dos Troianos, com quem j batalhavam por dez anos e resgatar sua amada Helena que por eles havia sido raptada, mandou construir um gigantesco cavalo de madeira para presentear os troianos. No interior do cavalo, soldados gregos entraram em Tria e assaltaram a cidade. O elemento surpresa foi fundamental para o sucesso grego.

Pgina: 38

Segurana em redes de computadores Alis, esta histria deu origem expresso presente de grego. Similarmente, os trojans se alojam o micro do incauto usurio que pensa estar acessando algo de seu interesse. Os trojans so programas que podem ter aes das mais variadas, dependendo apenas do cdigo escrito pelo seu autor. Muitos podem danificar o sistema, apagar arquivos e causar outros danos maiores. Um tipo de trojan muito utilizado pelos crackers o Backdor Trojan ou Remote Access Trojan (RATs). Este tipo de trojan executa aes que preparam o computador da vtima para ser invadido remotamente, atravs de programas que permitem uma conexo no sistema do micro onde se instalam, que passa a funcionar como servidor do micro invasor que executa o programa cliente. Eles tambm podem conter programas keystroke-logging, para capturar senhas e outras informaes confidenciais. Os mais famosos trojans so: 9 Back Orifice, NetBus (RAT); 9 K2pS (RAT+Keystroke-logging); 9 Portscan, Xitame: Busca portas abertas no micro. O motivo para o surgimento de tantos trojans a facilidade e rapidez de sua criao, principalmente se comparado aos vrus, e no exigirem tanto conhecimento tcnico para desenvolv-los. A grande maioria desenvolvida em linguagens de alto nvel, como Visual Basic ou Delphi. Alm disto, os trojans podem ser utilizados para objetivos mais concretos, como espionagem industrial. Os trojans no ficam circulando pela Internet, o que dificulta sua captura para anlise e criao de vacinas pelas empresas especializadas. Outro fator que torna os trojans mais perigosos que um vrus pode ser detectado pelas alteraes que causa no sistema, enquanto um trojan pode estar em atividade no computador sem que o usurio sequer perceba. Por esta razo no bastam os antivrus para se proteger dos trojans. necessrio tambm que se utilize programas anti-trojans, programas de deteco de intruso, analisador de contedos, analisador de vulnerabilidades, programas que chequem as chaves de inicializao do sistema verificando os programas que iniciam automaticamente, aplicar as correes de falhas de sistema fornecidas pelos fabricantes (Patchs) e, sobretudo, ter uma conduta adequada, no abrindo anexos de email antes de analis-los, no

Pgina: 39

Segurana em redes de computadores utilizar programas piratas ou baixados de redes p2p como KaZaa, ou iMesh.

1.1.1.6. War Dialing

uma ferramenta utilizada para verificar as informaes dos nmeros dos modens na rede, que em tese no devem existir na rede, pois aumenta as probabilidades de ataque, pois o trfego no passa pelo firewall. til para a auditoria e nas mos de hackers podem causar srios problemas para a organizao, pois eles identificaro as maiores vulnerabilidades da rede.

1.1.7. SPAM
Apesar de no ser propriamente um ataque, algo que acarreta o aumento de trfego na rede e deve ser prevenido por todos. uma maneira de muitas vezes, usurios acessarem pginas falsas, entre outros problemas. O termo SPAM, longe do mundo virtual, , na verdade, a marca de um presunto enlatado americano (http://www.spam.com/), que no tem relao com o envio de mensagens eletrnicas no solicitadas, exceto pelo fato de que, na srie de filmes de comdia do Monty Python, alguns Vikings desajeitados pediam repetidas vezes o referido presunto. No ambiente da Internet, SPAM considerado um abuso e se refere ao envio de um grande volume de mensagens no solicitadas, ou seja, o envio de mensagens indiscriminadamente a vrios usurios, sem que estes tenham requisitado tal informao. O contedo do SPAM pode ser: propaganda de produtos e servios, pedido de doaes para obras assistenciais, correntes da sorte, propostas de ganho de dinheiro fcil, boatos desacreditando o servio prestado por determinada empresa, dentre outros. Com certa freqncia, os emails de SPAM so chamados de junk e-mails, ou seja, lixo. Seguindo com a terminologia, quem envia SPAM chamado de spammer. A maneira mais formal de se referir a SPAM UBE, Unsolicited Bulk E-mail. Pode-se tambm usar o termo UCE,

Pgina: 40

Segurana em redes de computadores Unsolicited Comercial E-mail, quando se trata de SPAM contendo propaganda de modo geral. Os tipos mais comuns de SPAM, considerando contedo e propsito, so: 9 9 9 Boatos e correntes Propagandas Outras ameaas e brincadeiras

1.1.1.1. Boatos e correntes

Os boatos e as correntes na Internet tm algo em comum: pedem para serem enviados a todas as pessoas que voc conhece. Tais emails se apresentam com diversos tipos de contedo, sendo na maioria das vezes histrias falsas ou antigas. Para atingir seus objetivos de propagao, os boatos e correntes apelam para diversos mtodos de engenharia social. Ainda dentre os boatos mais comuns na rede, pode-se citar aqueles que tratam de cdigo malicioso, como vrus ou cavalos de tria. Neste caso, a mensagem sempre fala de vrus poderosssimos, capazes de destruir seu computador e assim por diante. Um dos mais famosos o Good Times, que circulou pela rede durante anos e, de vez em quando, ainda aparece um remanescente enviado por internautas desavisados. Para maiores informaes sobre boatos e vrus, consulte o site Computer Virus Myths no site http://www.vmyths.com/

1.1.1.2. Propagandas
Os SPAMs com o intuito de divulgar produtos, servios, novos sites, enfim, propaganda em geral, tm ganhado cada vez mais espao nas caixas postais dos internautas. No o objetivo deste artigo discutir a legitimidade da propaganda por email, mas sim discutir SPAM, e muitas empresas tm usado este recurso para atingir os consumidores. Isto sem contar a propaganda poltica que inundou as caixas postais no ltimo ano. Vale ressaltar que, seguindo o prprio conceito de SPAM, se recebemos um email que no solicitamos, estamos sendo vtimas de SPAM, mesmo que seja um email que nos interessa. O maior problema com a propaganda por SPAM que a Internet se mostra como um meio frtil para divulgao de produtos, atinge um grande nmero de pessoas e a baixo custo, sendo que na Pgina: 41

Segurana em redes de computadores verdade, quem paga a conta quem recebe a propaganda, como discutido anteriormente.

1.1.1.3. Outras ameaas, brincadeiras, etc.

Alguns SPAMs so enviados com o intuito de fazer ameaas, brincadeiras de mau gosto ou apenas por diverso. Ainda assim so considerados SPAM. Casos de ex-namorados difamando exnamoradas, emails forjados assumindo identidade alheia e aqueles que dizem: "ol, estou testando uma nova ferramenta spammer e por isto voc est recebendo este email", constituem alguns exemplos. Vale lembrar que no h legislao especfica para casos de SPAM. No entanto, pode-se enquadrar certos casos nas leis vigentes no atual Cdigo Penal Brasileiro, tais como: calnia e difamao, falsidade ideolgica, estelionato, etc.

1.1.1.4. Alguns artifcios usados pelos spammers

Muitos so os artifcios usados pelos spammers para convenc-lo de ter recebido um email vlido e no um SPAM, alguns dos mais usados so os descritos a seguir: O One-time email so aqueles que dizem que sero enviados somente uma vez e que voc no precisa se preocupar, pois no ser importunado novamente. Trata-se de SPAM e bem provvel que voc receba outras cpias do mesmo tipo de email. "Caso no tenha interesse em continuar recebendo este tipo de mensagem, por favor solicite sua retirada de nossa lista de distribuio, enviando e-mail para remove-me-from-list@..." Esta outra categoria de disfarces usada em SPAM so as que pedem para serem removidos ou ignorados, caso no sejam de seu interesse. Neste caso, antes de remov-lo, reclame. Simplesmente deletar e no reclamar, ignorando o SPAM pode tornlo conivente, pois o spammer continuar atuando tranqilamente. "Voc se cadastrou em nosso site e, portanto, est recebendo esta mensagem. Caso queira sair de nossa lista de divulgao..." Uma variao do tipo remove-me. Alguns SPAMs se utilizam dos recursos vlidos de cadastro on-line de determinados sites para dar legitimidade ao email. Novamente, no responda e reclame. Pgina: 42

Segurana em redes de computadores A ao perante os SPAM deve ser a reclamao. No se deve ignorar o recebimento de SPAM, pois isto encoraja cada vez mais este tipo de prtica. Em se tratando do usurio final, recomenda-se contatar o administrador de sua rede, notificando o SPAM, enviando o e-mail recebido com o header completo. Caso o usurio final decida reclamar ele prprio, ento deve seguir as orientaes abaixo. Com relao ao administrador de rede, responsabilidade deste reclamar dos SPAMs recebidos pelos usurios, assim como tomar providncias em caso de uso de seu servidor de e-mail como replay ou ainda, em casos de SPAMs enviados por usurios de sua rede. Para reclamar de um SPAM recebido, deve-se: 9 Enviar a notificao ao administrador ou contato tcnico da rede origem do SPAM; nunca diretamente ao spammer. A notificao deve ser enviada tambm para abuse@dominio_spammer e para os grupos de segurana responsveis pelas redes vtima e spammer; 9 Anexar reclamao, o header completo do e-mail de SPAM. O header a pea principal a ser investigada num SPAM, analise-o cuidadosamente, identificando a rede origem e eventuais servidores usados como replay. Esta a parte mais complicada, pois o header de SPAM no confivel e pode ter sido forjado em vrios nveis. Algumas dicas sobre anlise de header: 9 Desconfie dos campos FROM e TO. Eles podem conter usurios invlidos, domnios invlidos ou "spoofados", isto , os domnios usados no FROM e no TO podem ser inexistentes, ou ainda no serem, de fato, a origem do SPAM. Este recurso usado para confundir e distrair a ateno do administrador ao tentar identificar a origem do SPAM, ou em outros casos para difamar o domnio "spoofado"; 9 Examine todos os nmeros IP e domnios que aparecem no header, tente resolv-los pelo DNS; 9 Estude, detalhadamente. Se conhecer a sintaxe dos headers gerados, maiores sero as chances de sucesso no processo de anlise de headers de SPAM; 9 Cuidado com ferramentas de anlise automtica de headers, elas podem gerar resultados falsos e originar reclamaes incoerentes.

Pgina: 43

Segurana em redes de computadores 9 Anexar reclamao, o contedo da mensagem de SPAM, somente se incluir informaes relevantes para uma eventual investigao; 9 Em caso de uso de relay, deve-se copiar a reclamao para o administrador ou contato tcnico pela rede que hospeda o servidor usado como relay, para abuse@domnio_relay e para o grupo de segurana responsvel pela rede em questo; 9 Opcionalmente, pode-se encaminhar a reclamao com cpia para o MAPS atravs do e-mail relays@mail-abuse.org, incluindo, no corpo da mensagem, a diretiva: Relay:<IP-do-servidorcom-relay>, este procedimento um tipo de denncia automtica. Se o administrador receber denncias de SPAM partindo de sua rede, as recomendaes so: 9 9 9 Identificar o usurio que enviou o SPAM; Advertir ou punir o usurio spammer de acordo com as Responder ao reclamante.

AUPs;

Por outro lado, caso a notificao seja de uso do servidor de e-mail como relay, o administrador deve tomar as providncias para corrigir o problema o mais rpido possvel, sob pena de ser conivente com o envio de SPAM, enquanto no solucionar a questo e responder aos reclamantes. No caso de notificao recebida da ORBs, necessrio ainda solicitar a remoo do nmero IP do servidor da base mantida pela entidade. Atualmente os Servidores da UFSCarNet instalados na Secretaria Geral de Informtica, trabalham com filtragem de e-mail para barramento de vrus, e uma lista de controle de "SPAMMERS" conhecidos. Sua ajuda valiosa no combate a esta prtica, na qual solicitam a colaborao de todos. Para colaborar, basta enviar o email SPAM de modo completo (com todos os cabealhos, ou como um anexo na mensagem) para os endereos citados e para o controle, nos seguintes endereos: spam@power.ufscar.br ou abuse@power.ufscar.br.

1.3. DMZ - Demilitaryzed Zone

Podemos dizer que uma rea de servios da empresa que no protegida, como por exemplo, servios externos de correio eletrnico e vrios outros servidores www, ou seja, so servidores pblicos uma estratgia utilizada para enganar e detectar intrusos. alguns A DMZ serve tambm para tentar detectar invases onde equipamentos so posicionados propositalmente sem Pgina: 44

Segurana em redes de computadores proteo, ou seja, atrs do firewall, esses equipamentos so isolados da rede interna e monitoram tentativas de ataques. A DMZ se posiciona como uma sub-rede entre a rede local e a Internet, conhecida como zona desmilitarizada (DMZ - Demilitarized zone). Onde no permitido o trfego direto entre a rede local e a internet ambas podem apenas acessar a sub-rede, normalmente atravs de um bastion host entre esta e a rede privada. Existe um filtro de pacotes entre a Internet e a sub-rede, e outro entre esta e a rede privada. O primeiro tem como funo impedir o trfego direto entre a rede privada e a Internet. J o segundo tem por objetivo proteger a rede privada em caso de comprometimento do bastion host. Isto pode ser feito limitando o acesso deste rede local. O conceito de zona desmilitarizada tambm pode ser obtido atravs de firewalls de terceira gerao que agregam a capacidade de filtrar pacotes e proxies especficos numa nica caixa ou equipamento. Tais elementos podem tanto ser implementados puramente em software ou atravs de roteadores comerciais. Hoje extremamente comum o desenho de topologias de rede no modelo Internet/DMZ/Rede Interna. Afinal de contas, um modelo simples e de baixo custo de implementao. Em poucos dias a empresa desloca todos os servidores que precisam ser acessados por usurios na Internet para a rede DMZ, normalmente implementada atravs de uma terceira placa no firewall, e com isso corta todo o acesso direto da Internet para sua rede interna. Os mais cuidadosos implementam servidores de relay SMTP e at mesmo um Proxy http para evitar o acesso direto das estaes Internet tambm. Se forem consultados, os especialistas em segurana provavelmente diro que uma rede segura. Um desenho como este dificulta a invaso da rede interna atravs de um ataque aos servidores da DMZ. Se o firewall for bem configurado e esses servidores forem constantemente atualizados, a possibilidade de invaso por este caminho torna-se realmente muito pequena.

Pgina: 45

Segurana em redes de computadores

Exemplo de arquitetura de rede desmilitarazida

6. Poltica de segurana e de contingncia

Conhecemos nossos atacantes e como nos atacam. Mas, como posso preparar a organizao para no deixar que os hacker a invadam ? E se formos atacados, como proceder ? Esta uma preocupao mundial e no Brasil temos normas que prevem este tipo de incidentes. A realidade que no existe se formos atacados, mas quando. Este captulo visa instruir como adotar uma poltica de segurana e contingncia que venha a ajudar as empresa em situaes catastrficas ou de incidentes de segurana.

Pgina: 46

Segurana em redes de computadores

6.1. Plano de Contingncia: o que fazer quando os riscos se concretizam ?

Antes de falar diretamente sobre Plano de Contingncia, fazse necessrio uma retornada no tempo para melhor entender o destaque que atualmente em nossa sociedade se faz segurana da informao e conseqentemente a se ter um Plano de Contingncia. Desde o incio da civilizao humana h uma preocupao com as informaes e com os conhecimentos agregados a elas. Visto que, ao longo da Histria, a vitria ficou nas mos de quem estava na vanguarda do conhecimento. Hoje, vivemos na Era da Informao, uma poca onde a comunicao e troca de experincia ganham seu lugar e passam a ser o diferencial nos negcios. Onde as fontes de riquezas deixam de ser fsicas e a informao passa ser mais do que uma base do negcio e sim, em muitos casos, o prprio negcio. Com advento dos primeiros computadores, com o surgimento das mquinas de tempo compartilhado, at chegar nos dias atuais, onde a economia encontra-se interligada por redes eletrnicas em tempo real, a questo de segurana das informaes torna-se cada vez mais importante e crucial. Independente do porte ou setor de atividade de uma empresa, sua estratgia de operao visar ter vantagens competitivas. Para tanto, deve agregar cada vez mais valor aos seus produtos e/ou servios. Neste cenrio globalizado, a informao, em conjunto com os meios e formas de comunic-las produtivamente, revela-se uma arma poderosa de gesto empresarial. Contudo, esta maior comunicao gera visibilidade, o que tambm pode significar vulnerabilidade. Sendo assim, garantir a segurana da informao torna-se um diferencial estratgico, proporcionando vantagem competitiva e at mesmo a sobrevivncia de uma empresa. desnecessrio dizer a importncia de uma rea de Tecnologia da Informao (TI) para as empresas, tornando para os gestores de TI uma obrigao o reconhecimento e o gerenciamento de riscos atravs de aes preventivas e pr-ativas. Pois, por melhor que seja um sistema, nenhum imune de falhas. E por isso que as empresas devem estar preparadas caso algo venha a acontece. A adoo de um Plano de contingncia uma forma de amenizar os riscos em TI, ou at mesmo de reduzi-los a um nvel mnimo. Pgina: 47

Segurana em redes de computadores Quando se fala em Plano de Contingncia, muito mais do que pensar em pura e simplesmente em tecnologia, se fala em definir prioridades e regras de negcio. Deve-se pensar alm, focar no sucesso dos negcios da empresa. Contudo, podemos ento definir Plano de Contingncia em TI como sendo um plano elaborado, escrito, divulgado, testado, mantido atualizado que objetiva manter o negcio contnuo, mesmo que haja situaes de risco, ou um sinistro que afete reas/equipamentos/servios de TI. O Plano de Contingncia deve ser bem mais do que um documento formal que defina diretrizes e normas em relao a procedimentos a serem seguidos (por toda a empresa sem excees) quando da situao de risco. O Plano de Contingncia deve agregar segurana fsica e lgica aos dados e ao capital intelectual da empresa.

1.1. Importncia do Plano de Contingncia

Com o aumento crescente e a ampla utilizao de tecnologias informatizadas nos ambientes organizacionais, sejam quanto a formas para armazenamento de dados, sistemas operacionais, ERPs, comrcio eletrnico, Intranet e Internet, sistemas interligados em redes locais e mundiais, expomos a organizao a uma srie de vulnerabilidades, tais como: 9 9 9 9 9 9 9 9 9 9 servios; 9 Falta de energia por mais tempo do preventivo; Sabotagem; Fraudes eletrnicas; Espionagem; Vandalismo; Danos com o servidor central ou pontos; Virus; Invasores (hackers); Trfego de dados interrompidos; Problemas com fornecedores de software, hardware e Imprevisibilidade e catstrofes;

Um plano de contingncia trata de manter uma estrutura para solucionar os problemas, que no foram detectados e ou resolvidos nos sistemas de segurana e preventivos da empresa. quase inevitvel, que em algum momento, um destes fatos, ou outras foras, danifiquem os dados da empresa, podendo Pgina: 48

Segurana em redes de computadores ocasionar desde pequenas paradas, at uma perda total de dados e servios, e conseqentemente custos para restabelec-los e prejuzos nos casos de sistemas com relao direta ao negcio da empresa. de extrema relevncia um plano de contingncia, que aponte os pontos crticos do processo da empresa, permitindo uma rpida soluo do problema, garantindo a continuidade, de uma forma imperceptvel aos usurios e clientes, minimizando os impactos negativos, em custos e prejuzos. O plano de contingncia deve garantir a operacionalidade do processo, em todos os nveis, contando com profissionais que faam os reparos no menor tempo possvel. Dependendo da rea de atuao da empresa, o plano de contingncia tambm pode ter a abrangncia, prevendo possveis alteraes fiscais e legais e quebras de fornecimento por causas diversas, tais como greves, etc. Com um plano de contingncia, bem definido, revisado e testado regularmente, a empresa pode e deve renegociar com as companhias de seguro um melhor custo, pois esta estaria se prevenindo contra estes problemas.

1.1.1. Segurana Fsica

Devemos atentar para ameaas sempre presentes, mas nem sempre lembradas: incndios, desabamentos, relmpagos, alagamentos, problemas na rede eltrica, acesso indevido de pessoas no CPD, treinamento inadequado de funcionrios e etc... As medidas de proteo fsica, tais como servio de guarda, uso de no-breaks, alarmes e fechaduras, circuito interno de televiso e sistemas de escuta so realmente uma parte da segurana de dados. As medidas de proteo fsica so freqentemente citadas como segurana computacional , visto que tm um importante papel na preveno dos problemas citados no pargrafo anterior. O ponto-chave que as tcnicas de proteo de dados, por mais sofisticadas que sejam, no tm serventia nenhuma se a segurana fsica no for garantida. Por mais seguro que seu ambiente seja, ele no estar cem por cento seguro se a pessoa que deseja invadir seu sistema tiver acesso fsico ao mesmo.

Pgina: 49

Segurana em redes de computadores

1.1.2. Segurana Lgica

Esta requer um estudo maior, pois envolve investimento em softwares de segurana ou elaborao dos mesmos. Um recurso muito utilizado para se proteger dos bisbilhoteiros da Internet a utilizao de um programa de criptografia que embaralha o contedo da mensagem de modo que ela se torna incompreensvel para aqueles que no sejam o receptor ou emissor da mesma.

1.2. Especificao do Plano de Contingncia 1.1.1. NBR ISO/IEC 17799 1.1.1.1. Introduo
Os gerentes de segurana vem h muito tempo esperando por algum que produza um conjunto razovel de padres de segurana de informaes reconhecido globalmente. Muitos acreditam que um cdigo de prtica ajudaria a suportar os esforos dos gerentes de TI. E, tambm influenciariam decises, aumentariam a cooperao entre os vrios departamentos em nome do interesse comum pela segurana e ajudaria a tornar a segurana, uma das prioridades organizacionais. Desde o seu lanamento pela Organizao de Padres Internacionais (International Standards Organization) em dezembro de 2000, o ISO 17799 se tornou o padro de segurana mais reconhecido em todo o mundo. O ISO 17799 definido como "um abrangente conjunto de controles formado pelas melhores prticas em segurana de informaes".

1.1.1.2. As origens do ISO 17799

Por mais de 100 anos, o British Standards Institute (BSi) e o International Organization for Standardization (ISO) vm fornecendo referncias globais para padres operacionais, de fabricao e de desempenho. Uma coisa que o BSi e o ISO no tinham ainda proposto era um padro para a segurana de informaes. Pgina: 50

Segurana em redes de computadores Finalmente em 1995, o BSi lanou seu primeiro padro de segurana, BS 7799. O BS 7799 foi criado com a inteno de abranger assuntos de segurana relacionados ao comercio eletrnico, ou e-commerce. Em 1995, problemas como o Y2K e EMU tornaram-se precedentes sobre todos os outros assuntos. Para piorar, o BS 7799 foi considerado inflexvel e no foi adotado globalmente. O momento no era correto e questes de segurana no despertavam grande interesse naquele tempo. Avancemos para quatro anos mais tarde. Em maio de 1999, o BSi tentou novamente, lanando a segunda verso do BS 7799, uma enorme reviso da verso anterior. Essa edio continha vrios aperfeioamentos e melhoras desde a verso de 1995. Foi nessa poca que o ISO identificou a oportunidade e comeou a trabalhar na reviso do BS 7799. Em dezembro de 2000, o International Standards Organization (ISO) adotou e publicou a primeira parte do BS 7799 como seu prprio padro, chamando-o ISO 17799. Nessa mesma poca, de uma maneira formal de credenciamento e certificao de compatibilidade com os padres foram adotadas. O Y2K, EMU e outras questes foram concludas ou reduzidas no ano 2000, e a qualidade geral do padro melhorou dramaticamente. A adoo do BS 7799 Parte 1 (o critrio padro) pelo ISO foi mais aceitvel por um eleitorado internacional, e foi nessa poca que um conjunto de padres de segurana finalmente recebeu reconhecimento global.

1.1.1.3. Uma estrutura de recomendaes

O padro ISO 17799 elimina a segunda parte do BS 7799, que abrange implementao. O ISO 17799, como conhecido hoje, uma compilao de recomendaes para melhores prticas de segurana, que podem ser aplicadas por empresas, independentemente do seu porte ou setor. Ele foi criado com a inteno de ser um padro flexvel, no guiando seus usurios a seguir uma soluo de segurana especfica ao invs de outra. As recomendaes do ISO 17799 continuam neutras com relao tecnologia e no fornecem nenhuma ajuda na avaliao ou entendimento de medidas de segurana j existentes. Por exemplo, discute a necessidade de firewalls, mas no aprofunda nos tipos de firewalls e como devem ser usadas. Isso leva alguns opositores a dizer que o ISO 17799 muito vago e pouco estruturado para ter seu valor realmente reconhecido. Pgina: 51

Segurana em redes de computadores A flexibilidade e impreciso do ISO 17799 so intencionais, pois muito difcil criar um padro que funcione para todos os variados ambientes de TI, e que seja capaz de crescer com a mutante paisagem tecnolgica atual. Ele simplesmente fornece um conjunto de regras, em uma indstria onde elas no existiam.

1.1.1.4. As dez reas de controle do ISO 17799 1.1.1.1.1. Poltica de Segurana

Seu objetivo prover direo uma orientao e apoio para a segurana da informao. Convm que a direo estabelea uma poltica clara e demonstre apoio e comprometimento com a segurana da informao atravs da emisso e manuteno de uma poltica de segurana da informao para toda a organizao. O documento da poltica deve ser aprovado pela direo, publicado e comunicado, de forma adequada, para todos os funcionrios. Convm que este expresse as preocupaes da direo e estabelea as linhas-mestras para gesto da segurana da informao. No mnimo, convm que as seguintes orientaes sejam includas: i) Definio de segurana da informao, resumo das metas e escopo e a importncia da segurana como um mecanismo que habilita o compartilhamento da informao. j) Declarao de comprometimento da alta direo, apoiando as metas e princpios da segurana da informao. k) Breve explanao das polticas, princpios, padres e requisitos de conformidade de importncia especfica para organizao, por exemplo: 9 Conformidade com a legislao e clusulas contratuais 9 Requisitos na educao de segurana 9 Preveno e deteco de vrus e software maliciosos 9 Gesto da continuidade do negcio 9 Conseqncias das violaes na poltica de segurana da informao l) Definio das responsabilidades gerais e especficas na gesto da segurana da informao, incluindo o registro dos incidentes de segurana. m) Referncias documentao que possam apoiar a poltica, por exemplo, polticas e procedimentos de segurana mais Pgina: 52

Segurana em redes de computadores detalhado de sistemas de informao especficos ou regras de segurana que convm que os usurios sigam. A poltica deve ser comunicada atravs de toda a organizao para os usurios na forma que seja relevante, acessvel e compreensvel para o leitor em foco.

1.1.1.1.2.

Organizao da Segurana

Seu objetivo orienta necessidade da criao de uma estrutura de gerenciamento para iniciar e controlar a implementao de segurana da informao dentro da organizao. Incentiva criao de fruns apropriados de gerenciamento com liderana da direo sejam estabelecidos para aprovar a poltica de segurana da informao, atribuir as funes e coordenar a implementao da segurana atravs da organizao. Se necessrio, recomendado a criao de uma fonte especializada em segurana da informao seja estabelecida e disponibilizada dentro da organizao. So recomendados contatos com especialistas de segurana externos, para se manter atualizado com as tendncias do mercado, monitorar normas e mtodos de avaliao, alm de fornecer o principal apoio, durante os incidentes de segurana. Convm que um enfoque multidisciplinar na segurana da informao seja incentivado, tais como o envolvimento, cooperao e colaborao de gestores, usurios, administradores, projetistas de aplicaes, auditores, equipes de segurana e especialistas em reas como seguro e gerenciamento de risco. A seguir citaremos os tpicos mais importantes desta norma: 9 Gesto do frum de segurana da informao 9 Coordenao da segurana da informao 9 Atribuio das responsabilidades em segurana da informao 9 Processo de autorizao para as instalaes de processamento da informao 9 Consultoria especializada em segurana da informao 9 Cooperao entre organizaes 9 Anlise crtica independente de segurana da informao 9 Segurana no acesso de prestadores de servios 9 Terceirizao

Pgina: 53

Segurana em redes de computadores

1.1.1.1.3.

Classificao e Controle do Patrimnio

Seu objetivo manter a proteo adequada dos ativos da organizao. Convm que todos os principais ativos de informao sejam inventariados e tenham um proprietrio responsvel. O inventrio dos ativos ajuda a assegurar que a proteo est sendo mantida de forma adequada. Convm que os proprietrios dos principais ativos sejam identificados e a eles seja atribuda a responsabilidade pela manuteno apropriada dos controles. A responsabilidade pela implementao dos controles pode ser delegada, mas a responsabilidade pela prestao de contas recomendada que fique com o proprietrio nomeado do ativo. a) Ativos de informao: base de dados e arquivos, documentao de sistema, manuais de usurios, material de treinamento, procedimentos de suporte, planos de continuidade, procedimentos de recuperao, informaes armazenadas. b) Ativos de software, aplicativos, sistemas, ferramentas de desenvolvimento e utilitrios. c) Ativos fsicos. d) Servios computao e servios de comunicao, iluminao, eletricidade.

1.1.1.1.4.

Segurana dos funcionrios

Seu objetivo reduzir os riscos de erro humano, roubo, fraude ou uso indevido das instalaes. recomendada que responsabilidades de segurana sejam atribudas na fase de recrutamento, includas em contratos e monitoradas durante a vigncia de cada contrato de trabalho. Os candidatos potenciais devem ser devidamente analisados, especialmente para trabalhos sensveis, que todos os funcionrios e prestadores de servio, usurios das instalaes de processamento da informao, assinem um acordo de sigilo. Este acordo deve constar: 9 9 9 9 9 9 9 Segurana nas responsabilidades do trabalho Seleo e poltica de pessoal Acordos de confidencialidade Termos e condies de trabalho Treinamento do usurio Educao e treinamento em segurana da informao Respondendo aos incidentes de segurana e ao mau funcionamento Pgina: 54

Segurana em redes de computadores 9 Notificao dos incidentes de segurana 9 Processo disciplinar

1.1.1.1.5.

Segurana Fsica e Ambiental

Seu objetivo prevenir acesso no autorizado, dano e interferncia s informaes fsicas da organizao. recomendvel que os recursos e instalaes de processamento de informaes crticas ou sensveis do negcio sejam mantidos em reas seguras, protegidas por um permetro da segurana definido, com barreiras de segurana apropriadas e controles de acesso. Convm que estas reas sejam fisicamente protegidas de acesso no autorizado, dano ou interferncia.

1.1.1.1.6.

Gerenciamento Comunicaes

de

Operaes

Seu objetivo garantir a operao segura e correta dos recursos de processamento da informao. Convm que os procedimentos e responsabilidades pela gesto e operao de todos os recursos de processamento das informaes sejam definidos. Isto abrange o desenvolvimento de procedimentos operacionais apropriados e de respostas a incidentes. So recomendados procedimentos operacionais, como: Documentao dos procedimentos de operao Controle de mudanas operacionais Procedimentos para o gerenciamento de incidentes Segregao de funes Separao dos ambientes de desenvolvimento produo 9 Gesto de recursos terceirizados 9 9 9 9 9

Dentro deste tpico verificamos a existncia do planejamento e aceitao dos sistemas onde, as preparaes prvias so requisitos para garantir a disponibilidade adequada da capacidade e recursos. As projees da demanda de recursos e da carga de mquina futura devem ser feitas para reduzir o risco de sobrecarga dos sistemas, segue abaixo mais alguns itens sobre o planejamento: 9 Planejamento da Capacidade 9 Aceitao dos Sistemas 9 Proteo contra o software malicioso Pgina: 55

Segurana em redes de computadores 9 9 9 9 9 9 9 Housekeeping Cpias de Segurana Registro de operao Registro de falhas Gerenciamento de Rede Controle da Rede Gerenciamento de mdias removveis

1.1.1.1.7.

Controle de Acesso

Identifica a importncia da monitorao e controle do acesso a recursos da rede e de aplicativos, para proteger contra abusos internos e intruses externas.

1.1.1.1.8.

Manuteno Sistemas

Desenvolvimento

de

Seu objetivo garantir a segurana seja parte integrante dos sistemas de informao. Isto incluir infra-estrutura, aplicaes do negcio e aplicaes desenvolvidas pelo usurio. O projeto e a implementao dos processos do negcio que do suporte s aplicaes e aos servios podem ser cruciais para segurana. Os requisitos de segurana devem ser identificados e acordados antes do desenvolvimento dos sistemas de informao. Convm que todos os requisitos de segurana, incluindo a necessidade de acordos de contingncias, sejam identificados na fase de levantamento de requisitos de um projeto e justificados, acordados e documentados como parte do estudo de caso de um negcio para um sistema de informao.

1.1.1.1.9.

Gerenciamento Negcios

da

Continuidade

dos

Seu objetivo no permitir a interrupo das atividades do negcio e proteger os processos crticos contra efeitos de falhas ou desastres significativos. O processo de gesto da continuidade deve ser implementado para reduzir, para um nvel aceitvel, a interrupo causada por desastres ou falhas da segurana, atravs de combinaes de aes de preveno e recuperao. Pgina: 56

Segurana em redes de computadores importante que as conseqncias de desastres, falhas de segurana e perda de servios sejam analisadas, recomenda-se que os planos de contingncia sejam desenvolvidos e implementados para garantir que os processos do negcio possam ser recuperados dentro da requerida escala de tempo. importante que tais planos sejam mantidos e testados de forma a se tornarem parte integrante de todos os outros processos gerenciais. A gesto da continuidade do negcio deve incluir controles para a identificao e reduo de riscos, a limitao das conseqncias dos danos do incidente e a garantia da recuperao tempestiva das operaes vitais. A seguir tpicos importantes dentro da continuidade do negcio: 9 9 9 9 9 Processo de gesto da continuidade do negcio Anlise do Impacto Documentando e Implementando planos de continuidade Estrutura do plano Testes, manuteno dos planos de continuidade.

1.1.1.1.10. Conformidade
Instrui as empresas a observar como a sua compatibilidade com o ISO 17799 se integra ou no com outros requisitos legais como o European Union's Directive on Privacy (Diretivas da Unio Europia sobre Privacidade), Health Insurance Portability and Accountability Act (Decreto de Responsabilidade e Portabilidade de Seguro de Sade, HIPAA) e o Gramm-Leach-Bliley Act (GLBA). Essa seo exige tambm uma reviso da poltica de segurana e compatibilidade tcnica, alm de consideraes a serem feitas com relao ao sistema do processo de auditoria, para garantir que cada empresa se beneficie o mximo possvel.

6.3.1.5. Benefcios do ISO 17799

Uma empresa com o certificado ISO 17799 pode fazer mais negcios do que aquelas sem certificao. Se um cliente em potencial estiver escolhendo entre dois servios diferentes, e a segurana for uma preocupao, eles geralmente selecionaro a opo certificada. Alm disso, uma empresa certificada oferecer: 9 Segurana corporativa aprimorada Pgina: 57

Segurana em redes de computadores 9 9 9 9 9 Planejamento e Gerenciamento de segurana mais efetivo Parcerias e e-commerce mais seguros Confiana aprimorada do cliente Auditorias de segurana mais seguras e precisas Reduo de responsabilidades legais

1.1.1.5. Status do ISO 17799

O ISO est atualmente revisando o 17799 para torn-lo mais aceitvel pelo seu pblico global. O ISO 17799 determinou o primeiro padro e suas recomendaes principais e idias sero criadas e expandidas de acordo com as necessidades futuras. At ento o ISO 17799 o padro a ser seguido. Se a sua empresa no possui um programa de proteo de informaes, o ISO 1779 pode fornecer as diretrizes para a criao de um. Mesmo que voc no queira se tornar certificado, o ISO 17799 pode servir como um guia para a criao da postura de segurana da sua empresa. Voc pode pensar nesse padro como uma boa diretriz de segurana a ser usada pela sua empresa. Porm, voc poder descobrir que os benefcios da certificao podem ser muito abrangentes.

1.3. Avaliao e Riscos de um Plano de Contingncia 6.4.1. Introduo

A grande maioria das empresas que operam no Brasil espera enfrentar algum tipo de problema de segurana virtual, mostrou a Oitava Pesquisa Nacional de Segurana da Informao, realizada pela empresa Mdulo. Segundo o estudo, 82% dos entrevistados esperam enfrentar mais problemas, enquanto 43% das companhias reconheceram ter sofrido ataques aos seus sistemas de segurana, sendo que 24% desses eventos ocorreram nos ltimos seis meses. A pesquisa revela outro dado interessante: embora a grande maioria dos pesquisados reconhea que a tendncia de crescimento desse problema seja real, somente 49% dessas empresas tm algum plano de ao formalizado em caso de ataques. A preocupao com a segurana, no entanto, entrou definitivamente na pauta dos investimentos dos empresrios: 77% admitem gastar mais neste item em 2003, com duas tendncias claras: 81% vo investir na Pgina: 58

Segurana em redes de computadores capacitao tcnica de pessoal e 76% pretendem implementar uma poltica de segurana. Neste sentido, 75% dos entrevistados reconhecem serem conscientes para a necessidade das empresas realizarem anlises de riscos. Segundo um balano realizado pela Modulo, os hackers so os principais responsveis por 48% dos ataques e invases no ano passado, representando um aumento de 15% com relao ao ano de 2001. Empregados das prprias empresas saltaram de 24% para 31%; e ex-funcionrios somam 8% e os concorrentes saram do 1% para 4%. A Oitava Pesquisa Nacional de Segurana da Informao ouviu, entre maro e agosto deste ano, 547 profissionais - o triplo dos entrevistados em 2001 - ligados s reas de tecnologia e segurana da informao de todos os segmentos econmicos, abrangendo mais de 30% das mil maiores empresas do Pas, revelou a Mdulo. Na verdade, a Tecnologia da Informao representa apenas um componente das operaes de negcios com as quais as pessoas tm de se preocupar. Embora as ameaas cibernticas aumentem diariamente, o perigo de danos causados por desastres naturais e por indivduos est sempre presente, e no deve ser subestimado. As empresas devem contar com medidas implementadas que protejam todos os aspectos de seus negcios, desde a segurana fsica at emergncias de segurana da TI e dos negcios em geral. Os eventos catastrficos de 11 de setembro de 2001 mostraram ao mundo a importncia crucial do planejamento contra desastres e veio a dar maior impulso a continuidade de negcios em todos os segmentos organizacionais, aumentando a necessidade de se ter redundncia e os chamados Discovery Recovery. Um sistema de segurana eficiente ocorre quando a administrao compreende suas prioridades e continua a avaliar a segurana para ir ao encontro aos interesses da empresa protegendo sua rede contra falhas na segurana, e ainda ficar aberta o suficiente para que as funes principais dos negcios sejam conduzidas com eficincia.

6.4.2. Medidas de Segurana 6.4.2.1. O que so Medidas de Segurana?

As Medidas de Segurana so esforos como procedimentos, software, configuraes, hardware e tcnicas empregadas para atenuar as vulnerabilidades com intuito de reduzir a probabilidade de Pgina: 59

Segurana em redes de computadores ocorrncia da ao de ameaas e, por conseguinte, os incidentes de segurana. Como tudo envolve custo, antes de decidir pela estratgia a ser adotada, importante atentar para o nvel de aceitao dos riscos. Este deve definir os nveis de investimentos das medidas de segurana que sero adotadas pela empresa.

6.4.2.2. Qual a melhor medida de segurana?

Muitos acreditam que possa existir um modelo ideal de segurana pronto e que seja encontrado em livrarias, supermercados, ou quem sabe em lojas de convenincia! Seria muito bom se isso fosse verdade! Muito longe desta realidade, modelos de segurana devem ser preparados por profissionais especializados na rea, segundo diversos fatores como tipo de negcio, estratgia, ambiente operacional, cultura da empresa, entre outros. Muitas vezes, a combinao de vrias estratgias pode ser a sada para que a empresa consiga atingir o nvel de segurana desejado e que requerido em funo de seu tipo de negcio. Existem algumas estratgias que podem ser aplicadas em um ambiente computacional. A seguir, apresentamos trs estratgias de segurana que podem ser utilizadas. So elas: Medida Preventiva, Detectiva e Corretiva.

6.4.2.2.1. Medida Preventiva

Este tipo de estratgia possui como foco a preveno da ocorrncia de incidentes de segurana. Todos os esforos esto baseados na precauo e, por esta razo, o conjunto de ferramentas e/ ou treinamentos esto voltados para esta necessidade. As aes preventivas devem estar previamente oradas, contratadas, acompanhadas e atuantes. Podem se restringir a uma ao puramente tcnica controlada internamente ou pode requerer uma ao externa (fornecedores, terceiros, etc.). As aes Preventivas esto atuando em pr-ocorrncias do risco.

Pgina: 60

Segurana em redes de computadores

6.4.2.2.1. Medida Detectiva

a estratgia utilizada quando se tem a necessidade de obter auditabilidade, monitoramento e deteco em tempo real de tentativas de invaso. Alguns exemplos: 9 9 9 9 9 9 9 9 Monitoramento Monitorao de ataques; Controle sobre os recursos; Controle das atividades de usurios. Auditoria Trilhas Documentao Log

6.4.2.2.3. Medida Corretiva

Por outro lado s aes corretivas so ativadas psocorrncia do risco. Podem ser os ltimos estgios antes do acionamento de um Plano de Contingncia. Aes corretivas em demasia podem ser o resultado de um planejamento ou operaes inadequadas ou mesmo a falta deles. Aes corretivas, na maioria das vezes ocorrem de forma emergencial, sem planejamento e dependendo do procedimento e das ferramentas adotados podem ser mais nocivas para o ambiente de TI do que benficas. Podem ser evitadas caso haja aes Preventivas.

6.4.3. Definio de Incidente de Segurana

Inicialmente, temos que ter em mente que a questo no : "SE, mas QUANDO", ou seja, em algum momento teremos um incidente de segurana em nossa rede com um maior ou menor nvel de gravidade, desta forma, faz-se necessrio definirmos claramente o que um incidente de segurana. Esta definio DEVE estar contida em nossa poltica de segurana, mas de forma genrica podemos classificar como incidente de segurana: "Invases de computador, ataques de negao de servios, furto de informaes por pessoal interno e/ou terceiros, atividades Pgina: 61

Segurana em redes de computadores em redes no autorizadas ou ilegais Desta forma, alm de termos claramente definidos o que um incidente de segurana devemos estabelecer medidas de pr e ps-incidente, ou seja, devemos estar preparados para a ocorrncia de um incidente. Entre as medidas pr-incidentes podemos incluir: 9 Classificao dos recursos a serem protegidos; 9 Implementao de mecanismos de segurana; 9 Definio de equipe multidisciplinar para atuar em caso de incidentes; 9 Classificao dos incidentes quanto ao nvel de gravidade; 9 Elaborao da estrutura administrativa de escalonamento do incidente (do operador, passando pelos gerentes at o presidente); 9 Montagem de kit de ferramentas para atuar em incidentes em plataforma diversas; 9 Definio de procedimentos a serem adotados; Entre as medidas ps-incidentes podemos incluir: 9 9 9 9 incidente; Procedimentos de coleta e preservao de evidncias; Procedimentos de recuperao dos sistemas afetados; Procedimentos de rastreamento da origem; Elaborao de processo legal contra o causador do

6.4.4. Avaliao de Riscos

Talvez a parte mais complexa da segurana seja a avaliao. Nesta fase, sua empresa deve determinar a fora e vulnerabilidade de sua rede. Voc deve priorizar os recursos comerciais e avaliar se estes recursos chaves esto protegidos pelas solues de segurana atuais. Fundamentalmente, a segurana centraliza-se em capacitar um sistema a manter dados particulares confidenciais, proteger a integridade da informao quando esta for enviada de um ponto a outro, e assegurar-se da identidade dos usurios. Ainda no h um sistema totalmente seguro. Falhas nos computadores so inevitveis. Desde que as arquiteturas de rede so complexas e o ambiente da computao est sempre mudando, existem sempre novos riscos e exposies para a rede. O assunto a ser enfocado se as vulnerabilidades de uma empresa - os riscos que ela corre - so administrveis ou no.

Pgina: 62

Segurana em redes de computadores Uma dica neste estgio priorizar os ativos da empresa e destacar os mais cruciais que requerem ateno imediata em caso de evento inesperado. Alguns passos para seguir nesta fase: 1. Identificar onde existe a vulnerabilidade: Avaliar a arquitetura e a poltica de acesso da rede, o uso das solues como firewalls e codificao, usando sistemas de verificao como um software de deteco de intrusos, filtros de e-mail e software antivrus. 2. Analisar as vulnerabilidades: Nesta rea deve ser includa uma anlise da relao custo-benefcio para os riscos nas vulnerabilidades. Para fazer isto, voc deve ter um senso claro das informaes das propriedades dos negcios. 3. Reduzir os Riscos: Conforme as redes de computadores vo se tornando mais complexas, a avaliao tambm precisa reduzir os riscos. Classifique este aspecto respondendo a perguntas sobre solues e polticas de segurana interna, por exemplo, senhas utilizadas, compartilhamento de informaes, entre outros. De modo a auxiliar no processo de mapeamento e pontuao do grau de criticidade dos recursos, segue alguns pontos que devem ser observados: 1. Identificao dos ativos a serem protegidos: Dados (quanto a confidencialidade, integridade e disponibilidade), recursos (quanto m utilizao, indisponibilidade, outros) e reputao ( Imagem, credibilidade, outros). 2. Identificao dos possveis atacantes: concorrentes, funcionrios, ex-funcionrios, pessoal terceirizado, visitantes, vndalos, espies. 3. Identificao dos tipos de ataque: Denial of Service ou de Negao de Servio, Roubo de Informao, erros ou Acidentes. 4. Classificao dos ativos quanto ao grau de impacto para o negcio, caso seja comprometido. 5. Elaborao da documentao da rede e arquitetura atual, contendo: Sistemas operacionais utilizados, Verso do sistema operacional, Fornecedor, Servios habilitados, Responsveis pelo sistema, etc. 6. Definio de diretivas quanto ao monitoramento da rede e sistemas (email, sites acessados, programas utilizados). Pgina: 63

Segurana em redes de computadores 7. Definio intelectual; de diretivas referentes propriedade

8. Identificar instituies federais, internacionais e os profissionais especializados, bem como estabelecer acordo de cooperao, por exemplo: FAPESP, RNP e DPF, EMBRATEL, Telecom em geral, entre outras. 9. Devemos tambm definir uma estratgia de proteo dos ativos conforme o grau de criticidade do mesmo para a instituio. Uma regra universal para definio dos investimentos "o valor investido na proteo do ativo no deve ser maior que o valor do mesmo", na definio dos valores devemos levar em considerao fatores, tais como: tempo de recuperao, impacto ao negcio entre outros.

6.4.5. Monitorando Sistemas e Brechas

O monitoramento da segurana deve ser classificado de acordo com o quanto ele sensvel, registra e reage ao uso ou mau uso da rede, e como cuida de novos problemas e solues disponveis a partir de uma comunidade de peritos. 1. Leve em conta seus parceiros: Obviamente, a sua empresa trabalha com e depende de outras empresas para a execuo de algumas funes essenciais aos seus negcios. Certifique-se de que seus principais fornecedores e parceiros comerciais tambm tenham planos contra desastres implementados. 2. Compromisso ao nvel executivo: Assim como acontece com qualquer outra iniciativa de segurana que envolva tempo e recursos, os seus planos de contingncia e de recuperao de desastre tero de ser financiados pela empresa. Isso poder requerer um compromisso por parte dos executivos de sua organizao. A fim de demonstrar a necessidade de tal plano, e de testar tais planos regularmente, esteja preparado para fornecer administrao anlises e documentao demonstrando o risco de possveis perdas financeiras caso um desastre ocorra e sua empresa no possa se recuperar. 3. Teste o plano: A fim de provar o seu compromisso com o planejamento de recuperao de desastres, preciso que voc teste completamente o seu plano. No espere at que um incidente ocorra para descobrir se seus planos so efetivos. Encare isso como um treinamento de incndio possvel que um incndio nunca Pgina: 64

Segurana em redes de computadores acontea, porm importante que todos saibam o que fazer, e que o equipamento seja testado, nesse caso detectores de fumaa e de alarme, caso um incndio real acontea. A freqncia com que voc testa a integridade de seu sistema deveria ser uma parte abrangente de suas conquistas nessa rea. Como parte do monitoramento, um sistema de segurana faz verificaes peridicas nos arquivos chaves do sistema, e as gravaes dessas verificaes podem ser ento comparadas detectando assim, invases ou alteraes indesejadas. Este processo ajuda a estabelecer uma viso detalhada dos pontos fracos e fortes das redes. A TI pode criar polticas de segurana e solues baseadas nesses resultados. 4. Atualize o plano: Quando elementos importantes em seu plano de negcios so alterados, a eficcia do plano afetada, portanto hora de revis-lo. As alteraes em sua estrutura operacional, tais como novos softwares, novos parceiros de negcios ou a adio de redes sem fio podem indicar que hora de revisar o plano e atualiz-lo para que reflita as mudanas. Mesmo que a empresa classifique a infraestrutura de segurana como excelente neste momento deve, num curto espao de tempo, reavali-la a fim de prevenir novas ameaas rede por ataques de hackers e vrus que se tornaro cada vez mais complicados medida que a Internet for se integrando aos seus negcios. A capacidade crescente do comrcio eletrnico aumenta a vulnerabilidade da rede aos vrus e invasores. Uma segurana eficiente ir requerer reavaliao constante na maneira como sua empresa avalia, monitora, planeja, e testa a segurana das redes. Os gerentes de TI, juntamente com os principais executivos das reas centrais de negcios, so as pessoas mais indicadas para avaliar a qualidade e os mtodos do plano de segurana. Eles podem determinar melhor quais recursos da rede so considerados mais valiosos para os objetivos da empresa, construindo um plano claro e slido, identificando os pontos com maiores vulnerabilidades e essenciais empresa. Em intervalos regulares, eles tambm so as pessoas mais indicadas para reavaliar e classificar o plano de segurana e seu desempenho. Entretanto, eles no devem ser os nicos preocupados com a segurana, este plano deve ser bem conhecido pelos funcionrios e deve deixar bem claro quem deve ser o primeiro contatado para que possa responder e tomar decises.

Pgina: 65

Segurana em redes de computadores

6.4.6. A Organizao e os Riscos

Aps a identificao de um possvel incidente devemos: 1. Confirmar a ocorrncia do mesmo, de forma a evitar esforo desnecessrio, ou seja, distinguir entre o falso-positivo e incidente real; 2. Registrar todas as aes tomadas; 3. Definir o nvel de criticidade do incidente; ] 4. Identificar sistemas atingidos direta ou indiretamente; 5. Observar se o incidente continua em curso; 6. Acionar os especialistas necessrios para a resposta ao incidente; 7. Notificar a gerncia quanto ao estado do sistema, tempo estimado de recuperao e aes de contra-resposta; 8. Isolar os sistemas atingidos at a recuperao do mesmo e coleta das evidncias; Devemos notar que aes de contra-resposta no significam bombardear a origem do ataque, caso tenhamos identificado a mesma, mas sim os procedimentos de preservao das evidncias, e recuperao do sistema. Esta questo fundamental, pois realizar uma ao de "ataque" contra o agressor no uma medida muito inteligente visto que: 1. Seu tempo ser gasto com uma ao que poder complic-lo; 2. Voc mostra ao agressor que o mesmo foi descoberto; 3. Estar utilizando os recursos de sua instituio de forma incorreta; 4. Estar contribuindo para a elevao do nvel de lixo na Internet como um todo; Os procedimentos mais recomendados so a discrio e aes para identificao da tcnica utilizada para comprometer o sistema. Somente as pessoas certas devem ser notificadas, com Pgina: 66

Segurana em redes de computadores informaes claras do ocorrido, as aes que devem ser tomadas e o tempo estimado para normalizao do sistema. Montar uma equipe de resposta a incidente no tarefa fcil, desta forma devemos identificar dentro da instituio profissionais com diferentes perfis e acion-los no caso de intruso. Estes profissionais devem antes passar por treinamento para familiarizao dos procedimentos de resposta a incidentes e entendimentos das aes e hierarquias a serem respeitadas, ou seja, podemos ter uma equipe relativamente pequena de profissionais altamente especializados em resposta a incidentes, sendo que esta equipe sabe que pode acionar outros interlocutores internos ou at mesmo externos, no processo de resposta a um incidente de segurana. A equipe deve contar com profissionais multidisciplinares e/ou com especialidade tais como: criptografia, banco de dados, TCP/IP, Firewall, sistema de deteco de intruso ou IDS, elementos de conectividade, plataformas variadas, estenografia, estrutura de arquivos, e outras especializaes. Em conjunto com outros setores a equipe de resposta a incidente deve classificar os mesmos quanto: gravidade, prioridade, valor do ativo, tcnica utilizada, entre outros quesitos. Deve estar claro a todos os envolvidos no processo da hierarquia de escalonamento, que no caso da ocorrncia de um incidente de segurana, deve-se ter um interlocutor entre a equipe de resposta e a direo da instituio, em nenhum momento membros da equipe devem comentar as aes com outras pessoas, sobre o risco de comprometer a continuidade dos trabalhos, pois o incidente pode ter origem interna. Tambm importante lembrar que uma equipe de resposta a incidente deve ter direito de acesso a setores, recursos e dados de forma a poder executar seu trabalho.

1.1.1. Poltica de Segurana de Senhas

Uma senha fcil de se deduzir a causa mais comum dos problemas de segurana. Existem alguns critrios que devem ser seguidos para a troca de senha que todo usurio deve saber. 9 Nunca criar senhas tomando por base o prprio nome, mesmo que seja o seu nome de trs para frente.

Pgina: 67

Segurana em redes de computadores 9 A senha no pode ser fcil de adivinhar, como o nome do marido ou da mulher, do namorado ou namorada, do seu co, a placa do carro, a rua onde mora, a data do nascimento ou outra informao conhecida. Os hackers costumam usar os programas e dicionrios on-line para adivinhar expresses como, por exemplo, dedicao . 9 A dica ser criativo, utilizando por exemplo: frases, como: At que a morte nos separe, querida e utilizando a primeira letra de cada palavra: aqamnsq. Dessa forma, a senha no propriamente uma palavra, mas fcil de lembrar e difcil de adivinhar. aconselhvel combinar palavras com nmeros. 9 Nunca crie uma senha somente com nmeros, pois muito fcil adivinhar.

1.1.1.1. Regras
Existem algumas regras recomendveis para a criao de usurios e senhas, que podem ser utilizadas para minimizao com problemas de senhas. Quanto aos usurios, podemos citar: 9 No usar a conta do superusurio ou administrador para outros setores / funcionrios; 9 Criar grupos por setores / reas afins; 9 Criar contas dos usurios de acordo com seus nomes, dentro dos grupos. Como sugesto de senhas, no utilizar: 9 Mesmo nome de usurio, nome de login; 9 Senha em branco; 9 Palavras bvias, tais como: senha, pass ou password; 9 A mesma senha para diversos usurios; 9 Primeiro e ltimo nome do usurio; 9 Nome da esposa / marido, pais ou filhos; 9 Informao sobre si mesmo, tais como: placa do carro, data de nascimento, telefone, CPF, etc; 9 Palavra com menos de seis caracteres. Quanto a senhas, podemos sugerir o uso de: 9 Letras maisculas e minsculas;

Pgina: 68

Segurana em redes de computadores 9 Palavras com caracteres no alfabticos como nmeros ou sinais; 9 Fcil de lembrar para no ter que escrever; 9 Fcil de digitar, sem ter que olhar o teclado.

1.2. Estatsticas de Investimentos em Contingncia de Grandes Empresas

Neste tpico, iremos mencionar as medidas de contingncia de sete grandes empresas para se ter uma idia da necessidade e aderncia do mercado quanto a necessidade de continuidade de seus negcios. O importante a ressaltar que o fato de no utilizar a contingncia ou investir ainda no garante a continuidade dos negcios para uma organizao. importante colocar em pauta a quantidade de tempo que necessria para que a operacionalidade da empresa retorne e seu status, o quanto pode estar defasada as informaes se comparada ao momento de incidente.

6.5.1. Volkswagen
Faturamento em 2000: 8,9 bilhes de reais. Investimento em proteo de dados e contingncia: No Informado. Tipo de contingncia: centro de dados de emergncia em outro local. J teve de usar os sistemas de contingncia? Sim, por causa de greves em algumas unidades. Os atentados nos Estados Unidos afetaram os planos de contingncia? O centro de dados foi construdo em 1985. Nada mudou nos planos.

1.1.1. Shell
Faturamento em 2000: 8,4 bilhes de reais. Investimento em proteo de dados e contingncia: 5% do investimento anual com TI. Tipo de contingncia: centro de dados de emergncia em outro local. J teve de usar os sistemas de contingncia? No. Os atentados nos Estados Unidos afetaram os planos de contingncia? No. Os planos de contingncia existem desde a poca dos mainframes. Nada foi alterado.

Pgina: 69

Segurana em redes de computadores

1.1.2. Credicard
Faturamento em 2000: 2,3 bilhes de reais. Investimento em proteo de dados e contingncia: a contingncia aumenta em 20% os custos de TI Tipo de contingncia: sistemas distribudos em trs locais no Brasil J teve de usar os sistemas de contingncia? Sim, por causa de um prdio danificado. Os atentados nos Estados Unidos afetaram os planos de contingncia? Os procedimentos de proteo de dados so bastante rgidos, mas talvez sejam reforados.

1.1.3. CSN
Faturamento em 2000: 1,6 bilho de reais. Investimento em proteo de dados e contingncia: No Informado. Tipo de contingncia: sistemas redundantes no centro de dados. J teve de usar os sistemas de contingncia? No informado. Os atentados nos Estados Unidos afetaram os planos de contingncia? Os computadores ficam em salas-cofres. Nenhuma medida adicional foi tomada.

1.1.4. Bristol-Myers Squibb

Faturamento em 2000: 0,55 bilho de reais. Investimento em proteo de dados e contingncia: 4% do investimento anual de TI. Tipo de contingncia: contingncia terceirizada. J teve de usar os sistemas de contingncia? No. Os atentados nos Estados Unidos afetaram os planos de contingncia? Tem planos de contingncia h mais de 20 anos. No vai fazer mais investimentos.

1.1.5. Deutsche Bank

Faturamento em 2000: No Disponvel. Investimento em proteo de dados e contingncia: 1 milho de reais por ano Tipo de contingncia: contingncia terceirizada. J teve de usar os sistemas de contingncia? No.

Pgina: 70

Segurana em redes de computadores Os atentados nos Estados Unidos afetaram os planos de contingncia? Vai investir em proteo, mas afirma que isso j estava planejado antes dos atentados.

1.1.6. GVT
Faturamento em 2000: No Disponvel. Investimento em proteo de dados e contingncia: No Informado. Tipo de contingncia: sistemas redundantes no centro de dados. J teve de usar os sistemas de contingncia? Sim, por causa de falha em equipamentos. Os atentados nos Estados Unidos afetaram os planos de contingncia? Estuda a contratao de um servio terceirizado de recuperao de desastres.

2.

Firewall

O firewall um dos principais componentes de segurana de uma empresa, como tambm o mais conhecido e antigo. O nome firewall significa barreira de fogo que nas organizaes implantado para que os usurios da Internet no acessem dados das Intranets, restringindo a visibilidade das informaes, conforme as permisses de cada um, ou seja, entre duas redes ele a barreira que permite ou no o acesso de dados. Existem duas definies clssicas mais antigas e aceitas, foi dada por Bill Cheswick e Steve Bellovin, em Firewall and Internet Security: Reppeling the Wily Hackers: Firewall um ponto entre duas ou mais redes no qual circula todo o trfego. A partir deste trfego possvel controlar e autenticar o trfego, alm de registrar por meio de logs, todo o trfego da rede, facilitando sua auditoria. um dos maiores destaques para hackers, pois se o mesmo conseguir acess-lo, pode alterar suas permisses e alcanar o bem mais valioso das empresas a informao. A outra definio de Chapman e define firewall como um componente ou conjunto de componentes que restringe o acesso entre uma rede protegida e a Internet, ou entre conjuntos de redes. O conceito do firewall na Internet vem com restringir o acesso que a Internet possibilita, quebrando da conectividade sem limites. Porm, possuir um resolve os possveis problemas de segurana, pois o sozinho no uma barreira, mas suas configuraes funo ser atingida. o intuito de o paradigma firewall no componente que faz esta

Pgina: 71

Segurana em redes de computadores Os primeiros firewalls foram implantados em roteadores, no final da dcada de 80, por estarem em posio privilegiada conectando redes distintas. As regras de filtragem eram baseadas na origem, destino e tipo de pacote. Com o advento da Web, foi necessrio separar as funcionalidades do firewall dos roteadores. Neste novo cenrio e para atender as questes de segurana, houve aumento de complexidade, surgindo as mais diversas tecnologias, tais como: filtro de pacote ou estado, proxies, hbridos e adaptativos. Outras funcionalidades foram implementadas, como o firewall reativo e individual. Atualmente, existe uma tendncia a serem adicionados mais servios aos firewalls, mesmo no estando diretamente associado segurana, como por exemplo, gerenciamento de banda, balanceamento de cargas, servidor de email ou Proxy, entre outros. Este captulo ira ilustrar o funcionamento dos principais tipos de firewalls, tecnologias, arquiteturas, principais produtos comerciais e componentes integrantes na arquitetura.

1.1.

A funcionalidade do firewall e sua composio

Um firewall um sistema ou grupo de sistemas que refora uma poltica de segurana de dados existente entre uma organizao e eventuais usurios situados fora da mesma, especialmente os de origem na Internet, criando uma barreira inteligente atravs da qual s passa o trfego autorizado. A soluo certa para a construo de um firewall raramente constituda de uma nica tcnica. , ao contrrio, um conjunto balanceado de diferentes tcnicas para resolver diferentes problemas. Os problemas que devem ser resolvidos dependem de quais servios a organizao pretende tornar disponveis e de quais riscos esta considera aceitveis. Por outro lado, as tcnicas a serem empregadas para a soluo destes problemas dependem do tempo, recursos financeiros e conhecimento tcnico disponvel na organizao. O objetivo de qualquer firewall criar um permetro de defesa projetado para proteger os recursos internos de uma organizao. Para tal, deve atender a alguns requisitos:

Pgina: 72

Segurana em redes de computadores 9 Deve ser parte integrante da poltica global de segurana da organizao, de modo a evitar ser contornado facilmente por meios disponveis a qualquer dos usurios internos; 9 Todo o trfego de dados para dentro ou para fora da rede corporativa deve passar obrigatoriamente pelo firewall, para poder ser inspecionado; 9 Deve permitir apenas a passagem do trfego especificamente autorizado (poltica conservadora - "o que no for expressamente permitido proibido"), bloqueando imediatamente qualquer outro; 9 Deve ser imune penetrao, uma vez que no pode oferecer nenhuma proteo ao permetro interno uma vez que um atacante consiga atravess-lo ou contorn-lo. Um firewall, como se pode ver na figura a seguir, age como uma barreira que controla o trfego entre duas redes. O mais seguro de todos os tipos de firewall seria aquele que bloqueasse todo o trfego com o mundo exterior, mas isto derrubaria o propsito de fazer conexes com redes externas. A degrau seguinte na escala seria permitir trfego com o mundo exterior, mas manter severo controle sobre ele, de modo seguro. Assim, o firewall pode ser encarado como um par de mecanismos: um existe para bloquear trfego e o outro existe para permiti-lo. A definio do equilbrio entre estas duas polticas ser sempre baseada numa poltica global de segurana da organizao.

Firewall tpico

Como o firewall gerencia todo e qualquer acesso entre a rede interna e a Internet, sem ele cada componente do sistema na rede interna estaria exposto a ataques externos e, portanto, deveria possuir capacidades de segurana acentuada. Alm disso, o nvel de Pgina: 73

Segurana em redes de computadores segurana geral da rede interna seria delimitado, por baixo, pelo elemento mais "fraco" desta rede. A existncia do firewall permite ao administrador da rede definir um ponto de controle nico, atravs do qual pode impedir acessos no autorizados, proibir que servios e dados potencialmente vulnerveis saiam da rede interna e fornecer proteo contra diversos tipos de ataques, pela concentrao de esforos e tecnologias de forma consolidada neste nico ponto. Outra vantagem do uso de um firewall a possibilidade de monitorao centralizada e gerao de alarmes de invaso. De modo geral, pode-se dizer que, para uma organizao que mantm conexes permanentes com a Internet, a questo no se os ataques ocorrero, mas sim quando ocorrero. Os administradores de rede devem dispor de ferramentas adequadas para gerar relatrios de segurana e verificar o estado de suas defesas. Se o administrador de rede no tiver meios de saber que houve uma tentativa de invaso e se foi ou no bem sucedida, no precisaria ter um firewall. Um outro benefcio do uso de firewalls que estes tornaramse os locais ideais para a colocao de Tradutores de Endereos de Rede (NAT - Network Address Translators), essenciais para aliviar a crescente escassez de endereos IP registrados. Assim, a organizao necessita ter apenas um endereo IP conhecido e fornecido por um ISP (Internet Service Provider), sendo os demais criados internamente e geridos pelo NAT. O firewall composto por diversos componentes, que isoladamente so responsveis por algum tipo de servio especfico, que de acordo com o tipo disponvel, vai definir o papel do firewall e seu nvel de segurana. De acordo com a diviso clssica temos quatro tipos de funcionalidades de firewall: 9 9 9 9 Filtros Proxies Bastion Hosts Zonas Desmilitarizadas

Por apresentarem o mesmo papel, porm de forma mais atualizada, atores modernos incluem nesta lista os seguintes itens: 9 NAT Network Address Translation 9 VPN - Virtual Private Network

Pgina: 74

Segurana em redes de computadores As aplicaes de firewall abrangem desde a camada de rede (camada 3 no modelo OSI, ou camada IP, no modelo TCP/IP) at a camada de aplicao (camada 7 no modelo OSI, ou camada 5 no modelo TCP/IP). Os firewalls que operam no nvel da rede geralmente baseiam suas decises nos endereos de origem e destino e nas portas contidas em pacotes IP individuais. Um roteador simples a forma mais tpica de um firewall operando no nvel da rede. Um roteador no capaz de decises sofisticadas sobre o contedo ou a origem de um pacote. Por outro lado, este tipo de firewall bastante rpido e transparente para os usurios. No outro extremo, firewalls que atuam no nvel da aplicao, so geralmente computadores executando servidores proxy, que no permitem fisicamente a existncia de trfego entre redes, e que efetuam elaboradas operaes de verificao nos dados que por eles trafegam. Alm disso, firewalls deste tipo so excelentes tambm como tradutores de endereos de rede (NAT), j que o trfego "entra" por um lado e "sai" por outro, depois de passar por uma aplicao que efetivamente mascara a origem da conexo inicial. Este tipo de firewall certamente menos transparente para os usurios e pode at causar alguma degradao no desempenho.

1.1.1. Filtros
Os filtros so os responsveis por rotear pacotes de forma seletiva, aceitando ou descartando, atravs da analise de cabealho. Esta seleo definida a partir da poltica de segurana adotada pela organizao. Existem dois tipos de filtros: os filtros de pacotes e os filtros de pacotes por estado.

1.1.1.1. Filtros de Pacotes

O filtro de pacotes caracterizado por realizar filtros, baseados no cabealho do pacote, quanto origem, porta de origem, destino, porta de destino e direo de conexes. Para configurar, so relacionados os filtros com IP ou servio (TCP, UDP, etc) permitindo ou proibindo o trfego.

Pgina: 75

Segurana em redes de computadores Estes filtros so estticos, por isso este tipo de tecnologia tambm conhecido por static packet filtering. Para pacotes ICMP, o filtro realizado a partir de cdigo ou mensagem de erro.

Internet

Filtro de Pacotes Rede Interna

Firewall de filtro de pacotes

As principais vantagens em utilizar esta tecnologia so: 9 Por exercer sua funo na camada de rede e transporte, a tecnologia mais flexvel, barata e fcil de ser implementada. 9 Os roteadores, que atuam como gateway, podem ser configurados para exercer esta funo. 9 Proporciona baixo overhead/alto throughtput 9 transparente para o usurio 9 Melhor desempenho, comparado aos proxies. Porm existem algumas desvantagens em utilizar esta tecnologia: 9 O grau de segurana menor, pois pode-se criar pacotes que passem pela filtragem. 9 No consegue distinguir entre pacotes verdadeiros ou falsos 9 preciso configurar o sentido dos pacotes para que no ocorra IP spoofing, para determinar se o pacote vem da rede interna ou externa. Isto impossibilita o IP spoofing de mquinas internas, mas os endereos externos ficam vulnerveis neste caso. 9 preciso configurar corretamente para a rede no sofrer port scanning, fingerpriting ou outros ataques. 9 Existe dificuldade no gerenciamento 9 Problemas com protocolos que utilizam portas dinmicas, como: RPC, X11 e H.323, pois somente o cabealho no fornece todos os dados necessrios. Pgina: 76

Segurana em redes de computadores 9 O primeiro pacote fragmentado validado e os demais no so totalmente verificados, expondo a rede a uma grave brecha de segurana.

1.1.1.1.1.

O funcionamento do Filtro de Pacote

Os firewalls que funcionam com sistemas de filtragem de pacotes entre computadores internos e externos rede corporativa realizam esta tarefa de forma seletiva. Um roteador um dispositivo que recebe pacotes de uma rede e os envia a outra rede. Um roteador com filtragem de pacotes conhecido como screening router (ou roteador examinador). Seu objetivo decidir se aceita/recusa o trafego de cada pacote que recebe. Para tal, examina cada datagrama para determinar se atende a alguma de suas regras de filtragem de pacotes. Estas regras baseiam-se na informao contida nos cabealhos dos pacotes, que consiste nos seguintes itens: 9 9 9 9 9 9 Endereo IP da origem; Endereo IP do destino; Protocolo encapsulado (TCP, UDP, ICMP ou IP Tnel); A porta de origem TCP/UDP; A porta de destino TCP/UDP; O tipo de mensagem ICMP.

Se houver coincidncia nas informaes e a regra permitir a entrada do pacote, este encaminhado de acordo com a informao da tabela de roteamento. Se, por outro lado, houver coincidncia, mas a regra exigir a rejeio do pacote, este descartado. Se no houver coincidncia, um parmetro padro determinar se haver rejeio ou aceitao do pacote. Algumas regras tpicas de filtragem so: 9 Permitir entrada de sesses Telnet somente para determinada lista de computadores internos; 9 Permitir entrada de sesses FTP somente para determinada lista de computadores internos; 9 Permitir sada de todas as sesses Telnet; 9 Permitir sada de todas as sesses FTP; 9 Rejeitar todas as conexes de sistemas externos rede corporativa, exceto para conexes SMTP (para a recepo de e-mail); 9 Rejeitar todo trfego de entrada e sada oriundo de determinadas redes externas. Pgina: 77

Segurana em redes de computadores Para entendermos como funciona a filtragem de pacotes, precisamos atentar para a diferena entre um roteador comum e um screening router. Um roteador comum simplesmente observa o endereo de destino de cada pacote e decide qual o melhor caminho para enviar o pacote ao seu destino. Ento, a deciso de como tratar o pacote baseada somente no endereo de destino. Existem, ento, duas possibilidades: ou o roteador sabe como enviar o pacote ao seu destino, e o faz, ou no sabe, e retorna-o origem, com uma mensagem ICMP para o destino inalcanvel. Um screening router, por outro lado, observa as caractersticas do pacote mais detidamente. Alm de determinar se pode ou no rotear o pacote ao seu destino, tambm determina se deve faz-lo, de acordo com as regras de segurana que o roteador deve fazer cumprir. Na figura abaixo, observamos a posio tpica de um screening router num sistema.

Usando um screening router para a filtragem de pacotes

A maioria dos sistemas firewall existentes em conexes Internet baseiam-se em um screening router, uma deciso motivada principalmente pelo baixo custo desta soluo, j que a filtragem de pacotes uma caracterstica includa como parte integrante dos softwares que acompanham qualquer roteador. Alm disso, mesmo que o screening router no seja a nica ferramenta de proteo, certamente estar presente mesmo em arquiteturas mais elaboradas, j que a filtragem de pacotes no nvel do roteador fornece um grau de segurana inicial muito bom, numa camada baixa da rede (a camada 3, veja diagrama a seguir).

Pgina: 78

Segurana em redes de computadores

A posio da filtragem de pacotes usando um screening router, como vista pelo modelo de camadas TCP/IP

Embora seja possvel ter apenas um screening router como medida de segurana entre a rede interna e a Internet, isto coloca grande responsabilidade neste dispositivo, j que a nica medida de proteo da rede. Se falhar, toda a rede interna estar exposta. Alm disso, no capaz de modificar servios ou de proteger operaes individuais dentro de um servio, podendo apenas neg-lo ou permitilo, o que exige normalmente o uso de arquiteturas mais complexas.

1.1.1.2. Filtros de Pacotes por estado

Buscando suprir as deficincias do filtro de pacotes, foi criado o filtro de pacotes por estado como uma evoluo, com o desenvolvimento do dynamic packet filter ou stateful packet filter que filtra os pacotes a partir das informaes dos pacotes e sua tabela de estado. Um firewall que utiliza esta metodologia verifica as informaes do primeiro pacote, de acordo com a filtragem como no filtro de pacotes. alimentada a tabela de conexes com a entrada deste pacote, juntamente com suas informaes e estado da conexo, sendo a nica diferena entre o filtro de pacotes, mas que corrige o problema da fragmentao de pacotes. importante ressaltar, que a tabela de conexes gera um log para posteriores pesquisas. As principais vantagens so:

Pgina: 79

Segurana em redes de computadores 9 e rede. 9 9 9 9 protocolos Log de conexes abertas ou no Abertura temporria da rede Baixo overhead e alto throughtput Compatibilidade com quase todos Bom desempenho, por trabalhar no nvel de transporte

os

tipos

de

As principais desvantagens so: 9 Permite conexo direta para mquinas rede externa 9 A autenticao somente realizada via aplicao (application gateway) 9 Apesar de divulgarem que o filtro de estado atua na camada de aplicao necessrio, na firewalls, outros softwares para realizar esta atividade. internas da gateway de pacotes por maioria dos

1.1.1. Proxies
O proxy nada mais do que um tradutor de endereos de aplicaes. Trabalha tanto na camada de sesso, transporte e aplicao. Seu objetivo no permitir que estaes internas se comuniquem a servidores externos sem reendereamento, promovendo assim, uma maior segurana dentro da rede, j que externamente o endereo interno est mascarado. Um proxy funciona como um daemon e no utiliza um mecanismo nico para controle do trfego, sendo necessrio um cdigo especial para cada tipo de aplicao. Sua implementao simples, minimizando ataque no mesmo. Por possuir um sistema de alarme, possvel registrar todo o trfego da rede, tanto interno quanto externo. Existem dois tipos de proxys, os gateways de circuito e de aplicao. Sua principal diferena est na camada TCP na qual atua. O primeiro atua como relay entre cliente e servidor externo, no verificando os servios executados. Este procedimento pode causar problemas de segurana, pois o gateway de pacote no sabe diferenciar os servios, permitindo sua entrada na rede. Por exemplo, pode-se utilizar a porta 80 (http), para trafegar outro tipo de informao, sem a percepo do firewall. O segundo, realiza esta verificao, fazendo com que o payload dos pacotes sejam filtrados.

Pgina: 80

Segurana em redes de computadores

1.1.1.1. Gateway de circuito

Um gateway de circuito uma funo especializada que pode ser realizada por um gateway de aplicao (uma estao segura - um computador - que permite aos usurios comunicarem-se com a Internet atravs de um servidor proxy, cdigo especial que aceita ou recusa caractersticas ou comandos especficos de certas aplicaes, ou mesmo aceita ou recusa a prpria aplicao). Este tipo de firewall opera na camada de sesso do modelo OSI (camada 4), ou camada de transporte, no modelo TCP/IP (vide figura 5 a seguir). Este firewall usa as conexes TCP/IP como proxy, pois um circuito proxy instalado entre o roteador da rede e a Internet. este proxy que comunica-se com a Internet, em lugar da prpria rede local, e s o seu endereo IP tornado pblico na Internet.

A posio de um firewall baseado em um gateway de circuito, como vista pelo modelo de camadas TCP/IP

Os gateways de circuito monitoram a troca de informaes entre pacotes para determinar se uma determinada sesso que est sendo requerida legtima ou no. As informaes passadas a um computador remoto atravs de um gateway de circuito parecem ser originrias do prprio gateway. Com isto, omitem-se informaes mais detalhadas sobre a rede interna. Entretanto, este tipo de firewall ainda no realiza qualquer filtragem ou processamento de pacotes individualmente. Suas aplicaes tpicas so as conexes de sada, quando os usurios internos que as utilizam so considerados "confiveis". Desta forma, Pgina: 81

Segurana em redes de computadores uma configurao bastante utilizada um computador (o bastion host, um sistema especificamente configurado e protegido para resistir aos ataques externos, como ser detalhado mais adiante) que opera como gateway de aplicao para conexes entrando no sistema e como gateway de circuito, para as que saem. Isto torna o sistema firewall mais transparente e fcil de usar para os usurios internos que desejam acesso direto Internet, enquanto prov as funes necessrias proteo da rede interna contra o trfego que vem da Internet. A figura a seguir ilustra a operao de uma tpica conexo Telnet atravs de um gateway de circuito. Este simplesmente transmite as informaes, sem nenhum exame ou filtragem dos pacotes. Todavia, como a conexo parece, aos usurios externos, gerada e gerenciada no gateway de circuito, informaes sobre a rede interna no esto disponveis. S o endereo IP do gateway conhecido.

Uma conexo Telnet atravs de um gateway de circuito

1.1.1.1. Gateway de aplicao

Um gateway no nvel (ou camada) de aplicao permite ao administrador de redes implementar uma poltica de segurana muito mais restritiva do que um roteador. Ao invs de contar com uma ferramenta genrica de filtragem de pacotes para gerenciar o fluxo de servios da e para a Internet, uma aplicao especial (servidor proxy) instalada no gateway para cada servio desejado. Se o servidor proxy para uma dada aplicao no for instalado, o servio no estar disponvel e os pacotes correspondentes no atravessaro o firewall. Alm disso, o servidor proxy pode ainda ser configurado para permitir que apenas algumas caractersticas da aplicao sejam oferecidas, a critrio do administrador.

Pgina: 82

Segurana em redes de computadores A filtragem de pacotes num servidor proxy continua, ento, sendo efetuada, com a diferena de que, como o servidor examina intensivamente os pacotes recebidos no nvel da aplicao (camada 7 do modelo OSI, ou camada 5 do modelo TCP/IP - veja figura a seguir), pode filtrar comandos especficos desta, o que seria impossvel para um roteador. Assim, por exemplo, um servio http pode estar sendo oferecido, mas determinados comandos, como http:post e http:get, podem ser bloqueados.

A posio da filtragem de pacotes usando um gateway de aplicao, como vista pelo modelo de camadas TCP/IP

Um esquema que esclarece a posio ocupada pelo servidor proxy na filtragem de pacotes pode ser visto na figura abaixo. Com a presena do servidor proxy, no h comunicao direta entre a rede interna e a Internet; a rede interna conecta-se ao computador que age como um gateway (ou porto de acesso) e este conecta-se Internet, o que reduz as chances de um ataque externo e ainda permite a inspeo dos dados que passam atravs do firewall. Este computador muitas vezes conhecido por bastion host, ou bastio, porque o sistema especificamente projetado para suportar ataques externos.

Pgina: 83

Segurana em redes de computadores

Um servidor proxy entre a Internet e a rede interna

Um bastion host apresenta caractersticas de projeto bem especficas, com a finalidade de prover segurana por restrio de acesso, como: 9 A plataforma de hardware do bastion host executa uma verso segura do sistema operacional, especialmente projetada para proteg-lo das vulnerabilidades do sistema operacional tpico; 9 Somente os servios considerados essenciais so instalados no bastion host, pois um servio no disponvel no pode ser alvo de ataques; 9 Exigncia de autenticao de usurio para acesso aos servios proxy; 9 Somente um subconjunto de comandos do conjunto padro de uma aplicao disponibilizado aos usurios autenticados; 9 Somente os computadores que gerenciam determinado servio esto disponveis aos usurios autenticados; 9 Cada servidor proxy independente dos demais operando no bastion host, de modo a impedir que vulnerabilidades especficas afetem a segurana como um todo. Os gateways de aplicao oferecem aos administradores de redes completo controle sobre cada servio individual, porque o servidor proxy limita os servios disponveis, os comandos disponveis dentro de cada servio e os computadores conectados para atenderem s requisies de servio. Simplificam igualmente a negao de servio, bastando no disponibilizar um servidor proxy para a aplicao. Outras duas vantagens inerentes a este arranjo so a possibilidade de ocultar os nomes dos computadores internos e a viabilidade de analisar os contedos dos pacotes para verificar se so Pgina: 84

Segurana em redes de computadores "apropriados" e seguros (exemplo: rejeitar e-mails que contenham certas palavras). A principal limitao de gateways de aplicao a exigncia de modificao nos modos de conexo de usurios aos servios, ou seja, a falta de transparncia para os usurios.

1.1.2.

Stateful Multi-Layer Inspection Firewalls

Considerada a terceira gerao dos firewalls, esta tecnologia de Inspeo de estado multi-camada permite examinar cada pacote em todas as suas camadas do modelo OSI, desde a rede (camada 3) at a aplicao (camada 7), sem a necessidade de processar a mensagem (vide figura abaixo). Com a tecnologia SMLI, o firewall usa algoritmos de verificao de dados da camada de aplicao (ao invs de executar servidores proxy especficos para cada aplicao), otimizados para altas velocidades de inspeo, enquanto os pacotes so simultaneamente comparados a padres conhecidos de pacotes amigveis. Por exemplo, ao ter acesso a algum servio externo, o firewall armazena informaes sobre a requisio de conexo original, tais como o nmero da porta, o endereo de destino e o de origem. No retorno da informao, o firewall compara os pacotes recebidos com as informaes armazenadas, para determinar se sero admitidos na rede interna. Desta maneira, a SMLI oferece a velocidade e a transparncia ao usurio tpicas de um filtro de pacotes, aliadas segurana e flexibilidade de um gateway de aplicao.

A posio da Inspeo de Estado Multi-Camada, como vista pelo modelo de camadas TCP/IP

Pgina: 85

Segurana em redes de computadores A principal limitao desta tecnologia que ela expe os endereos IP das mquinas internas rede, j que permite que os pacotes internos alcancem a Internet. Esta limitao pode ser contornada com a adio de servidores proxy em conjunto, o que eleva ainda mais a segurana.

1.1.3.

Bastion Hosts

Os bastion hosts so os equipamentos que prestam servios Internet. Por estarem em contato direto com conexes externas, devem estar protegidos da melhor maneira possvel. Estar protegido significa que um bastion host deve executar SOMENTE os servios e aplicativos essenciais, bem como ter a ultima verso de atualizaes e patches de segurana instalados em sua configurao, assim que disponibilizado ao mercado. O bastion host a ponte de interao com a zona desmilitarizada, pois os servios disponveis DMZ devem ser impreterivelmente instaladas nestes equipamentos protegidos.

1.1.4.

Zonas Desmilitarizadas

A zona desmilitarizada (DMZ) uma rede que fica entre a rede interna e externa. Esta segmentao garante que caso algum equipamento bastion host seja atacado na rede DMZ, a rede interna continuar sua operacionalidade de forma intacta e segura.

1.1.5.

NAT Network Address Translation

O NAT (Network Address Translator) um tradutor de endereos de rede que visa minimizar a escassez dos endereos IP, pois o crescimento da Internet tem sido grande e, para que uma mquina tenha acesso rede, preciso ter um endereo IP vlido. O NAT uma das solues que existem para a economia de endereos IP.

Pgina: 86

Segurana em redes de computadores Para o tradutor funcionar, preciso usar endereos IP privados, note que, tais endereos s podem ser utilizados em redes corporativas, pois, no so propagados pela Internet. A traduo pode ocorrer de forma esttica, onde se estabelece uma relao entre endereos locais e endereos da Internet ou dinmica, onde o mapeamento de endereos locais e endereos da Internet feito conforme a necessidade de uso. As tradues estticas so teis quando disponibilizamos servios na rede interna, como exemplo, um site Web. Nesse quadro, quando o pedido de conexo chega ao roteador, o NAT consulta a tabela de endereos e transcreve para o IP interno correspondente, permitindo assim, que seja possvel fazer uma conexo no sentido da Internet para a rede interna.

J as tradues dinmicas, so teis quando, se pretende dar acesso aos computadores no sentido da rede corporativa para Internet, e ela funciona da seguinte maneira, o computador da rede corporativa faz uma requisio que passa pelo roteador e ele, aloca em sua tabela, o endereo da mquina interna que requisitou a informao e o endereo Internet configurado no roteador (esse endereo pode ser nico ou uma faixa de endereos), e quando os dados retornam da Internet, o NAT consulta a tabela de tradues e responde a mquina que fez a requisio.

Pgina: 87

Segurana em redes de computadores

Mostraremos agora a tabela de endereos IP reservados, invlidos ou privativos, descritos no RFC 1918: 9 10.0.0.0/8 a 10.255.255.255 255.255.255.0) 9 172.16.0.0 a 172.31.255.255 /12 255.240.0.0) 9 192.168.0.0 a 192.168.255.255 /16 255.255.255.0) O NAT est definido na RFC 1631. 1.1.6. VPN - Virtual Private Network (mscara (mscara (mscara

Virtual Private Network ou Rede Privada Virtual uma rede privada construda sobre a infra-estrutura de uma rede pblica, normalmente a Internet. Ou seja, ao invs de se utilizar links dedicados ou redes de pacotes (como Frame Relay e X.25) para conectar redes remotas, utiliza-se a infra-estrutura da Internet. Motivada pelo lado financeiro, onde os links dedicados so caros, e do outro lado est a Internet, que por ser uma rede de alcance mundial, tem pontos de presena espalhados pelo mundo. As conexes com a Internet podem ter um custo mais baixo que links dedicados, principalmente quando as distncias so grandes, esse tem sido o motivo pelo qual, as empresas cada vez mais utilizam a infra-estrutura da Internet para conectar a rede privada. A utilizao da Internet como infra-estrutura de conexo entre hosts da rede privada uma tima soluo em termos de custos, mas no em termos de privacidade, pois a Internet uma Pgina: 88

Segurana em redes de computadores rede pblica, onde os dados em trnsito podem ser lidos por qualquer equipamento. Ento como fica a questo da segurana e a confidencialidade das informaes da empresa? A criptografia a resposta. Incorporando criptografia na comunicao entre hosts da rede privada de forma que, se os dados forem capturados durante a transmisso, no possam ser decifrados. Os tneis virtuais habilitam o trfego de dados criptografados pela Internet e esses dispositivos, so capazes de entender os dados criptografados formando uma rede virtual segura sobre a rede Internet. Os dispositivos responsveis pelo gerenciamento da VPN devem ser capazes de garantir a privacidade, integridade, autenticidade dos dados. Teremos um capitulo que ir abordar mais profundamente este assunto.

1.1.7.

Limitaes no uso de firewall

Um firewall no pode proteger uma rede interna de ataques que no passem por ele. Se o uso de canais de discagem por parte dos usurios da rede for irrestrito, usurios internos podero realizar conexes diretas dos tipos PPP (Point-to-Point Protocol) ou SLIP (Serial Line Internet Protocol), que contornam as barreiras de segurana do firewall e oferecem significativo risco de ataques por trs (veja figura a seguir).

Uma conexo SLIP contornando o firewall

Outra proteo que o firewall no pode prover contra usurios internos agindo de m f ou por ignorncia. Usurios podem remover dados confidenciais por meio de disquetes, cartes de notebooks, ou serem vtimas de hackers fazendo-se passar por administradores de sistemas e solicitando que revelem uma senha, por exemplo.

Pgina: 89

Segurana em redes de computadores O mesmo se pode dizer quanto proliferao de vrus de computador: as organizaes devem dispor de softwares anti-vrus em toda a rede interna, para sua proteo. Uma outra forma de ataque contra a qual os firewalls no so totalmente eficazes so ataques acionados por dados. Nestes casos, dados aparentemente inofensivos so introduzidos no interior da rede interna, seja atravs de email, seja por cpia de arquivos. Neste caso, a execuo de um programa determinado pode disparar alteraes significativas em arquivos relacionados segurana do sistema, tornando-o vulnervel.

1.1.8.

Decises bsicas de projeto para firewalls

No projeto de firewalls para proteo de redes corporativas durante conexes Internet, algumas questes devem ser abordadas pelo administrador de sistemas: 9 9 9 9 A orientao do firewall quanto passagem de dados; A poltica global de segurana da organizao; O custo da soluo escolhida; Os blocos componentes do sistema firewall.

A orientao do firewall quanto passagem de recursos pode ser resumida a duas posies diametralmente opostas: 9 Tudo o que no for especificamente permitido proibido: Posio que determina que o firewall deve bloquear todo e qualquer trfego e que cada servio ou aplicao desejada deve ser implementada caso-a-caso. Esta abordagem , sem dvida, a mais segura e recomendada. Sua desvantagem dar questo da segurana maior peso que questo da facilidade de uso. 9 Tudo o que no for especificamente proibido permitido: Posio que determina que o firewall deve permitir a passagem de todo e qualquer trfego, e que servios ou aplicaes potencialmente perigosas devem ser desabilitadas caso-a-caso. Esta abordagem cria um ambiente mais flexvel, oferecendo mais servios aos usurios, mas sua desvantagem colocar a facilidade de uso num patamar de importncia maior que a segurana. Como j discutimos antes, o firewall parte integrante de uma determinada poltica de segurana da organizao, fator que define os parmetros e os requisitos do que denominamos defesa do permetro. Por outro lado, o terceiro fator que determinar qual a soluo tcnica a ser adotada , sem dvida, o custo. Este Pgina: 90

Segurana em redes de computadores determinar qual a complexidade e a abrangncia da proteo a ser oferecida. Levando-se em conta os trs fatores acima, uma organizao pode definir os itens integrantes do sistema firewall. Um sistema tpico poder conter um ou mais dos seguintes blocos componentes: 9 Roteador com filtragem de pacotes; 9 Gateway em nvel de aplicao (ou servidor proxy); 9 Gateway em nvel de circuito.

7.1.11. Exemplos de arquiteturas de firewall

O sistema mais comum de firewall consiste em nada mais que um roteador com filtragem de pacotes, colocado entre a rede interna e a Internet, executando aa tradicionais funes de rotear o trfego de pacotes entre redes e usar regras de filtragem para aceitar ou recusar este trfego. Neste arranjo, os computadores da rede interna tm acesso direto Internet, enquanto os externos s dispem de acesso limitado rede interna. A poltica de segurana mais adotada nesta arquitetura "tudo o que no for especificamente permitido proibido".

Roteador com filtragem de pacotes

Suas vantagens so o baixo custo e a transparncia para os usurios. Por outro lado, apresenta as seguintes desvantagens: 9 Exposio a ataques por configurao inadequada dos filtros; 9 Exposio a ataques perpetrados atravs de servios permitidos (j que no h exame do contedo dos pacotes); 9 Necessidade de segurana adicional e autenticao de usurios para cada computador acessvel a partir da Internet; Pgina: 91

Segurana em redes de computadores 9 Exposio da estrutura da rede interna (j que a troca de pacotes entre usurios internos e externos permitida, h a exposio dos endereos IP internos); 9 Se o roteador for atacado, toda a rede interna fica desprotegida. O segundo exemplo de arquitetura emprega a filtragem de pacotes, que aliada a um computador especificadamente projetado e protegido contra ataques externos, o bastion host. Esta arquitetura prov maior grau de segurana porque implementa tanto a filtragem de pacotes, em primeira instncia, quanto o fornecimento de servios atravs de servidores proxy (aplicaes com finalidades especiais, instaladas no bastion host, que intermediam a comunicao entre os meios interno e externo, impedindo a direta troca de pacotes entre eles). Neste esquema, um roteador com filtragem de pacotes colocado entre o bastion host e a Internet. As regras de filtragem de pacotes s permitem que o trfego externo tenha acesso ao bastion host; o trfego dirigido a qualquer outro computador da rede interna bloqueado. Como os sistemas internos residem na mesma rede que o bastion host, a poltica de segurana determina se os sistemas internos tero acesso direto Internet ou se devero utilizar os servios de proxy concentrados no bastion host, o que pode ser reforado pelo bloqueio de todo o trfego de sada que no se origine no bastion host. As vantagens deste arranjo so: um servidor pblico (que fornea servios Web ou FTP, por exemplo) pode ser colocado no mesmo segmento da rede situado entre o bastion host e o roteador, permitindo acesso direto de usurios externos sem comprometer a rede interna (protegida pelo bastion host); ou o mesmo servidor pode situar-se aps o bastion host e estar disponvel apenas atravs de servios proxy, tanto para usurios internos quanto externos.

Screened host firewall (Single-homed bastion host)

Um arranjo ainda mais seguro, visto na seguir, pode ser construdo com um bastion host que apresenta duas interfaces de Pgina: 92

Segurana em redes de computadores rede: uma com a rede interna e outra com a Internet, passando pelo roteador. Neste arranjo, conhecido por dual-homed bastion host, no h mais nenhuma possibilidade de acesso direto entre os sistemas da rede interna e a Internet; todo o trfego bloqueado no bastion host e o uso dos servios de proxy passa a ser compulsrio mesmo para os usurios internos. Deve-se, entretanto, evitar que usurios externos tenham a possibilidade de efetuar um login diretamente ao bastion host, sob pena de comprometer a segurana obtida com este arranjo.

Screened host firewall (Dual-homed bastion host)

Este arranjo emprega ainda um bastion host e um roteador para acesso Internet, mas adiciona um segundo roteador interno (na interface bastion host-rede interna), criando o que se convencionou chamar de "zona desmilitarizada", ou DMZ. Este arranjo o que de mais seguro se pode conceber em termos de arquiteturas de firewall, pois aplica conceitos de segurana desde a camada de rede at a de aplicao, alm de restringir o acesso a tudo o que pblico (bastion host, servidores pblicos, modems, etc.) a uma rea restrita, a zona desmilitarizada. Esta funciona como se fosse uma pequena rede isolada, situada entre a Internet e a rede interna. O trfego direto atravs desta proibido e os sistemas, tanto os internos quanto os externos, s tm acesso limitado zona desmilitarizada. Para o trfego externo, o roteador mais externo oferece proteo contra os ataques externos mais comuns, bem como gerencia o acesso da Internet subrede DMZ. Somente o bastion host (ou, s vezes, o servidor pblico, dependendo da rigidez da poltica de segurana deste) est disponvel para acesso. J o roteador interno prov uma segunda linha de defesa, gerenciando o acesso da subrede DMZ rede interna, aceitando somente o trfego originado no bastion host. Para o trfego de sada, as regras so semelhantes. Os sistemas internos rede privada somente tm acesso ao bastion host, atravs do controle exercido pelo roteador interno. E as regras de filtragem do roteador externo exigem o uso de servios proxy para o acesso Internet, ou seja, s permitem o trfego externo que se origina do bastion host. Pgina: 93

Segurana em redes de computadores Este arranjo traz diversos benefcios importantes: trs nveis de segurana (roteador externo, bastion host e roteador interno) separam a Internet do meio interno; somente a subrede DMZ conhecida na Internet, de modo que no h meio de se conhecerem rotas de acesso rede interna; da mesma forma, somente a subrede DMZ conhecida para a rede interna e no existem rotas diretas para o acesso Internet.

Screened-subnet firewal

1. Sistemas de Deteco de intruso (Intrusion Detecction System)

ou

IDS

Os sistemas de deteco de intruso um componente muito importante para deteco de ataques, portanto torna-se essencial para ambientes cooperativos. Uma vez que, aos termos este tipo de ambiente favorece entrada aos sistemas internos a terceiros. O IDS importante, mas preciso definir com cuidado sua localizao para que sua funcionalidade seja realizada adequadamente. OS primeiros IDSs surgiram no inicio dos anos 80. Um bom estudo foi conduzido por Stanfort Research Institute, de julho de 1983 a 1986 o Project 6169: Statistical Techniques Development for Audit Trail System. Neste captulo, iremos explanar sobre os objetivos, caracterstica, tipos, metodologias de deteco e intruso e como estabelecer uma melhor localizao dentro da rede.

1.1. Objetivos e caractersticas de um IDS

O firewall um componente de segurana que bloqueia ou no acessos entre redes, exercendo uma funo de segurana nas bordas por sua principal tarefa ser liberar ou no acessos. O IDS vem Pgina: 94

Segurana em redes de computadores complementar os componentes de segurana, pois seu principal objetivo monitorar e acompanhar as atividades internas ao sistema ou rede. Em outras palavras, o IDS tem como finalidade verificar se os acesso liberados aos bolses de segurana (extranet e redes desmilitarizadas que tem como caracterstica a interconexo de organizaes) esto sendo realizados da forma esperada, ou esto sendo uma brecha de segurana. Um IDS deve monitorar no apenas estes bolses, como tambm a prpria Internet e sistemas internos, pois muitas pesquisas demonstram que ataques internos so os maiores responsveis por perdas financeiras. Desta forma, o IDS um detector de anomalias, atividades imprprias ou incorretas de sistemas corporativos, atravs de verificao de portas e usurios que so permitidos a realizarem acesso a informaes. Desta maneira, o firewall nega o acesso e o IDS tem poder de verificar se o acesso legitimo. O IDS tambm pode rastrear requisies que foram barradas pelo firewall. O IDS pode alarmar aos responsveis dos problemas ocorridos e, dependendo do caso, reconhecer o problema. As principais caractersticas de um IDS, conforme a HAL 98, SAN 99-2 e BEC 99 so: 9 Monitorao e anlise das atividades dos usurios e sistemas 9 9 padres de 9 9 9 anomalia 9 9 9 9 Avaliao de integridade de sistemas e dados Analise estatstica do comportamento de sistemas e de ataque Deteco de erros de configurao de sistemas Fornecimento de informaes em tempo real Resposta apropriada a cada ocorrncia apontada com Identificao de origem e destino do ataque Capacidade de registro dos ataques para aprendizagem Flexibilidade de resposta Configurao apropriada para evitar "falso-positivos"

Cada empresa adota uma poltica aps a deteco de ataque. Segue alguns exemplos conforme GRA 99 e BE 99: 9 Reconfigurao do firewall. 9 Aviso SNMP para sistemas como Tvoli, Open View ou Spectrum. 9 Registro no Event Viewer. Pgina: 95

Segurana em redes de computadores 9 Gerao de log no Syslog. 9 Comunicao aos responsveis por email ou Pager. 9 Gravao das informaes de ataque e evidncias, para aprendizagem. 9 Execuo de programas que manipulam eventos.

1.2. Tipos de IDS

Existem trs tipos de IDSs: 9 Sistemas baseados em estao ou Host-Based Intrusion Detection (HIDS) 9 Sistemas baseados em redes ou Network-Based Intrusion Detection (NIDS) 9 Hybrid IDS ou IDS hbrido Existe, ainda, os honeypots, que apesar de no serem IDS, podem ser utilizados por administradores de sistemas para aprender as maneiras de ataques, detectando e armazenando seus tipos.

1.1.1. Sistemas baseados em estao ou Host Based intrusion detection (HIDS)

O Host Based intrusion detection realiza o monitoramento atravs de arquivos de logs ou agentes de auditoria, podendo monitorar acessos e alteraes em arquivos de sistemas, privilegio de usurios, processos, programas executados, uso de CPU, entre outras informaes. Um exemplo tpico deste tipo de IDS um sistema de coleta de dados seria um sistema de registros (logs). Esses sistemas so responsveis pelo armazenamento de ocorrncias em aplicaes que rodam na estao. As aplicaes esto configuradas para enviar seus registros para este sistema e ele o encarregado de armazen-los em uma srie de arquivos. Um eventual sistema de anlise usaria essa base de registros do sistema comparando-a com padres prestabelecidos com o objetivo de detectar intruses. A arquitetura de um sistema desse tipo pode ser visualizada na figura a seguir:

Pgina: 96

Segurana em redes de computadores

Arquitetura de um sistema de registros

O checksum uma das maneiras de realizao da checagem de integridade dos arquivos de sistema. Isto interessante para deteco de backdoors, por exemplo, pois em geral so ferramentas cujo arquivo corrompido. Um exemplo de IDS que realiza estas atividades o Tripwire. Para analisar logs, o IDS verifica com excelncia os ataques de fora bruta, ou seja, aqueles com maior direcionamentos de mquinas para determinados servios. Ataques mais sofisticados so mais difceis de serem identificados atravs do IDS. Um exemplo de software o Swatch. Ele envia alerta quando detectado um comportamento suspeito do servio ou equipamento, ou seja, quando o mesmo apresentar um padro diferente do definido como padro. Para monitorao de portas, ou seja, verificao de tentativas de ataques e acesso a portas no utilizadas pelo sistema, caracterizado por um servidor tentar se logar ou realizar atividade em diversas portas de um servidor. O Portsentry, Abacus Project faz este tipo de verificao. Atravs das informaes fornecidas e com o auxilio de ferramentas como o TCP Wrapper, podem-se alertar os administradores do sistema por meio de email, Pager e at mesmo a interao com o firewall na colocao de regras de filtragem. Porm, particularmente, no recomendo este procedimento. Acho necessrio que alguma pessoa responsvel por a segurana verifique o caso e tome as medidas cabveis. Se deixar por responsabilidade do IDS, perigoso fechar portas, servios ou IP que no devem ser fechados indisponibilizando os servios da organizao, maior objetivos dos hackers. As maiores vantagens do HIDS so: 9 Verificao de tentativas de ataques, baseadas em logs, em tempo real. Pgina: 97

Segurana em redes de computadores 9 Monitorao de acesso a arquivos, modificaes em permisses de arquivos ou usurios, logs de usurios no sistema, funes de administrador. 9 Ataques centrados em servidor (keyboard attack) podem ser detectados facilmente muitas requisies para o mesmo servidor. 9 Garantia de verificao de ataques, mesmo se forem trafegados dados criptografados, pois o sistema operacional os decifra antes da analise do HIDS. 9 independente da topologia de redes, podendo estar associados entre hubs ou switches. 9 Em geral, fornece pouco "falso-positivos". 9 No necessitam de hardware adicional, somente softwares. Como tudo no perfeito, existem algumas desvantagens: 9 Difcil gerenciamento e configurao nos hosts monitorados 9 dependente do Sistema Operacional, j que cada um possui um sistema de log diferente. 9 No e capaz de detectar ataques de rede, como scanning de rede ou smurf somente de servidores isolados. 9 Caso o HIDS seja atacado, as informaes so perdidas. 9 Necessita de grande disponibilidade de espao em disco para os registros do sistema 9 No Windows 98 no muito eficiente, pois registra poucos logs do sistema e auditoria. 9 Os hosts monitorados apresentam queda de performance.

8.2.2. Sistemas baseados na Rede (SDIR) ou Network-Based Intrusion Detection System (NIDS)
O Network-Based Intrusion Detection realiza o monitoramento atravs do trafego do segmento de rede, atuando de forma promiscua. Sua anlise realizada a partir dos cabealhos e contedos dos pacotes, comparando com os padres estabelecidos. Os sistemas baseados na rede ou Network-based Intrusion Detecction System funciona da seguinte maneira. Os pacotes so capturados e feita uma anlise em cada um deles para verificar se este est dentro de padres pr-determinados ou no, indicando respectivamente trfego normal ou uma tentativa de ataque. Em um meio compartilhado de difuso, os pacotes passam livremente e todas as interfaces a ele conectadas recebem estes pacotes. Dependendo do endereo de destino do nvel de enlace do Pgina: 98

Segurana em redes de computadores pacote, a interface o passa para o barramento interno da mquina para processamento posterior. Mas, a princpio, todas as interfaces recebem todo o trfego. Sendo assim, necessrio posicionar o SDIR na rede que se quer proteger para que ele possa receber os pacotes necessrios para sua anlise, como mostrado na figura a seguir:

Deteco de intruso em uma rede local de difuso

importante frisar que estaes de trabalho conectadas rede tambm podem receber pacotes destinados a outras estaes. Para que uma interface de rede consiga receber pacotes no destinados a ela, necessria que ela trabalhe em um modo especial, chamado modo promscuo. Existem basicamente dois modos de operao em uma interface de rede: 9 Normal: Cada interface de rede verifica o endereo de destino do nvel de enlace, tambm chamado endereo MAC (Medium Access Control), ou ainda endereo fsico. Sendo o endereo do pacote idntico ao endereo da interface, o pacote repassado para processamente interno. 9 Promscuo: A verificao feita no modo anterior completamente ignorada e todos os pacotes so repassados para processamento. Esse processo tambm chamado de sniffing na rede. Isso pode trazer problemas tanto para a estao de trabalho, que pode no suportar o processamento de todos os pacotes de uma rede local (seria necessrio verificar o endereo de destino da camada de rede por software), quanto para a segurana da rede, que pode ficar comprometida devido a exposio de dados sigilosos, como autenticaes. Os NDIS ou SDIRs precisam trabalhar em modo promscuo para que mesmo os pacotes no destinados a ele possam ser analisados. Tendo todas as informaes que trafegam pela rede, Pgina: 99

Segurana em redes de computadores possvel ao sistema, por exemplo, detectar varreduras de portas, monitorar conexes ou datagramas maliciosos, que caracteriza um ataque antigo ao IIS, no pacote com destino ao servidor web) ou ainda verificar ataques de negao de servio (e.g., atravs da falta de resposta de um servidor a uma requisio de um servio). Em redes comutadas, cada mquina recebe o trfego que corresponde somente a ela. Ou seja, uma mquina A no receberia trfego destinado a mquina B e vice-versa. Isso se deve ao conhecimento da localidade fsica de onde est conectada cada estao pelo comutador, ou seja, em qual porta est qual mquina, e ao fato da anlise do endereo de destino do cabealho da camada de enlace. Para detectar intruses em redes desse tipo, seria necessrio algum tipo de artifcio no comutador com o objetivo de fazer com que todo o trfego que passa por ele seja enviado, alm da porta do destinatrio, para a porta onde est conectado o SDIR. Esse artifcio chamado de espelhamento de portas e tem objetivo de refletir o trfego de outras portas para uma porta especfica. O modo como ele feito mostrado na figura a seguir na estao A passa um quadro para a estao B e este refletido na porta do SDIR.

Deteco de intruso baseado em espelhamento de portas no comutador

Ao contrrio do HIDS, muito eficiente contra ataques de port scanning, IP spoofing e SYN flooding, detectando buffer overflow e ataques a um determinado servidor. As principais vantagens so: 9 Por ser analisado pacotes, a monitorao e vlida para diversas plataformas. 9 Ataques de port scanning, IP spoofing e SYN flooding so detectados.

100 Pgina:

Segurana em redes de computadores 9 Pode ser configurado para monitorar atividades suspeitas em portas conhecidas 9 Identifica ataque em tempo real, permitindo ao administrador responder o mais breve possvel ao evento. 9 Registra os ataques e tentativas. 9 difcil para um hacker conseguir apagar os rastros num NIDS, caso o mesmo consiga invadir o equipamento. 9 O hacker tem dificuldade de saber se existe ou no um NIDS 9 No causa queda de performance na rede As principais desvantagens so: 9 9 protocolos, 9 9 switches Perda de pacotes quando a rede esta saturada Dificuldade de compreenso de alguns tipos de como o SMB. No consegue decifrar pacotes criptografados Dificuldade de utilizao em redes segmentadas por

Para amenizar o problema da segmentao de redes com switches, tendncia natural das redes modernas, os administradores de redes vm utilizando tcnicas como: 9 Utilizaes de IDS incorporadas ao switch, porm limitada sua capacidade de deteco e poder de processamento. 9 Utilizao de porta para monitorao nos switches, porm recebe uma velocidade menor que causa perda de pacotes monitorados. 9 Utilizao de HIDS e NIDS em conjunto Existem algumas tcnicas utilizadas por hackers para no serem monitorados pelo NIDS. Segue alguns exemplos: 9 Envio de pacotes fragmentados devido a alguns NIDS no serem capazes de tratar. 9 Ataques a portas no convencionais, como do DNS (53), para envio de backdoors, por exemplo. 9 Slow Scan Ataque de forma pausada para que o IDS no perceba o ataque. Para evitar este tipo de atitude com sucesso, preciso configurar o IDS apropriadamente. 9 Ataques por diferentes origens, ou ataques coordenados, ficando mais difcil a caracterizao de ataque. 9 Atravs do IP spoofing ou proxy mal configurado, o hacker pode executar o ataque e no ser identificado. 9 Mudana nos padres do IDS, para que o ataque no seja reconhecido. 101 Pgina:

Segurana em redes de computadores

Para manter o NIDS preciso algumas precaes, pois grande o volume de informaes que so armazenadas no sistema. As dimenses destes recursos computacionais devem ser mensuradas de acordo com: 9 Quanto maior o armazenamento das conexes TCP, maior a probabilidade de deteco de ataques. Para isto, preciso mais memria nos equipamentos. 9 Para solucionar o problema da fragmentao, preciso que seja utilizada a memria para montagem deste tipo de pacote. 9 Para o caso scanning, slow scan, o IDS deve armazenar o mximo de tempo possvel s informaes. A maioria das organizaes utiliza um sensor ou agente de segmento para monitorao, que captura os pacotes e os tratam antes de enviar a console, utilizando criptografia, principalmente o algoritmo assimtrico RSA para formao de um canal seguro.

1.1.1. Hybrid Intrusion Detection System

O IDS hbrido tem como objetivo agregar as vantagens do NIDS e HIDS, de forma a melhorar a deteco de tentativas de ataques e intruses. A medida que os HDIS atuam somente em estaes crticas, o NDIS atua analisando todo o trfego de rede, inclusive aquele para estaes que no contem um sistema de deteco rodando. Uma configurao bastante comum seria a de um SDIR para a rede local e SDIEs rodando nos servidores principais, como mostrado na figura abaixo.

102 Pgina:

Segurana em redes de computadores

Deteco de intruso hbrida

O IDS hbrido, como o NIDS, captura o trafego da rede, processa, detecta e responde a ataques. Porm, a estratgia que ele utiliza diferente: existe o processamento a partir dos pacotes do prprio sistema, como o HIDS, eliminando o problema da performance. Porm, existe o problema da escalabilidade. necessrio instalar em cada estao para que seja efetuada a monitorao.

1.2.

Honeypot

Honeypot uma maneira de aprender a partir de intruses e ataques. Os sistemas de deteco aprendem a partir das ocorrncias e padres definidos, mas o honeypot uma experincia ao vivo e a cores de um ataque. tambm conhecido por sacrificial lamb, decoy, booby trap, lures ou fly-traps. O honeypot uma armadilha onde existem em ou mais equipamentos que esto, em geral, em uma rede separada que aparentemente contm informaes importantes da empresa para que os hackers os acessem. realizado um estudo detalhado das tcnicas utilizadas e do ataque, podendo estar associado a um sniffer, para identificar os hackers nem sempre utilizado devido dimenso da coleta, e o IDS para aprender a partir das tcnicas empregadas no ataque. 103 Pgina:

Segurana em redes de computadores recomendado que o honeypot esteja em uma rede em paralelo por questes de segurana, pois mais fcil chegar em mquinas com aplicaes normais se estiverem na mesma rede, pois a partir da mquina a pessoa consegue ter maior visibilidade. Independente da soluo a ser adotada no caso, preciso preservar a rede de ataques a partir do honeypot. Como curiosidade, na Internet existe um projeto com oito honeypots que fornecem informaes sobre tentativas de ataques, a titulo de aprendizagem. o Honeynet Project. Existem diversas plataformas (Windows, Solaris, Linux) e as estatsticas das tentativas so compartilhadas, gratuitamente, na Internet.

1.3.

Metodologias

Existem dois tipos de abordagem que os IDS utilizam para deteco de intruso ou ataque. So elas: 9 Knowledge-Based Intrusion Detection 9 Behavior-Based Intrusion Detection

1.1.1. Knowledge-Based Intrusion Detection

Este tipo de deteco de ataque atua como um antivrus, utilizando um conjunto de assinatura conhecido e armazenado em uma base de dados. As assinaturas so tipos de conexes e trfegos que indicam um ataque, tendo uma taxa de acertos boa. Porm, no so reconhecidas como ataque as assinaturas que no estiverem na base de conhecimento. Para adotar este tipo de IDS e o mesmo atuar de forma eficaz, preciso manter atualizao constante na base. A atualizao da base depende do sistema operacional, verso, plataforma e aplicaes utilizadas na rede, que a partir das vulnerabilidades dispe de assinatura para identificao. O alarme disparado no caso de identificao de ataque, no Knowledge-Based Intrusion Detection chamado do burlar alarm. Seu funcionamento semelhante a um alarme residencial, disparando conforme eventos e momentos definidos e da maneira que o administrador da rede configurar ou seja, adequado a Poltica de Segurana da organizao.

104 Pgina:

Segurana em redes de computadores O Knowledge-Based Intrusion Detection possui a vantagem de apresentar poucos falso-positivos, o que aumenta a credibilidade do componente e diminui o tempo de verificao dos administradores, lembrando que muitos alarmes falsos, dependendo da rede, inviabilizam o trabalho. Outra vantagem que os administradores podem criar sua prpria assinatura para refinar os falsos-positivos, fazendo scripts para atingir este objetivo. Porm, existem algumas desvantagens: 9 No consegue detectar ataques que no esto armazenados no banco de dados sua assinatura semelhante aos antivrus 9 Caso algum hacker coloque espaos em branco em partes da assinatura, ele no reconhece o ataque, j que o processo dele est associado identicidade da base de dados. 9 Necessidade de alta disponibilidade de recursos computacionais, especialmente em ataque distribudo coordenado, j que muitas vezes existem grande volumes de pacotes a serem avaliados e pela deteco ser em tempo real. Exigiria menos recurso se fossem avaliados os logs ou pacotes de rede, porm o ataque no seria detectado em tempo real. Existem assinaturas que detectam falhas de conexes TCP em diversas portas, identificando assim scanning na rede. Este tipo de assinatura dividido em trs: 9 String: Atravs da String realizada uma avaliao se possvel ser um ataque. Normalmente, necessrio realizar algum tipo de procedimento com a string a fim de refin-la ou utilizar assinatura composta (mais do que uma assinatura) para identificar o ataque. No Unix ou Linux comum utilizar o "cat " ++ ">;.rhosts", para refinar pesquisa e utilizar assinaturas compostas, como cgi-bin, IFS e aglimpse para detectar intruso, sem gerar muitas falsos positivos. 9 Portas: Verifica as tentativas de conexo na porta. 9 Cabealho: Rastreia por combinaes sem lgica ou perigosa nos cabealhos dos pacotes. Um exemplo a identificao de pacotes com SYN e FIN, significando que o cliente deseja iniciar e finalizar uma conexo ao mesmo tempo, o que normalmente no acontece, demonstrando claro indicio de ataque.

105 Pgina:

Segurana em redes de computadores

1.1.2. Behavior-Based Intrusion Detection

Este tipo de deteco baseado atravs de desvios normais de comportamento dos usurios ou sistemas. Existe uma classificao do modelo da normalidade por os administradores, que devem estudar e conhecer a normalidade para que o ataque seja detectado, comparando constantemente com a situao andamento. A deciso de ser um ataque realizada de forma estatstica ou heurstica, apontando comportamentos diferentes quanto trfego, utilizao de CPU, atividade de disco, logon de usurios e horrios, acesso a determinado disco, entre outros. As principais Detection so: vantagens do Behavior-Based Intrusion

Mesmo que no esteja definida uma assinatura, o IDS ir identificar o ataque por a mudana de comportamento, detectando a intruso at mesmo de novos tipos de ataques. Este operacional. IDS independente de plataforma ou sistema

Os principais aspectos negativos so: 9 Gerao de falsos-negativos (ataque que no causa mudana significativa na medio do trafego), ou seja, um ataque e no alarmado. 9 Grande nmero de falsos-positivos (alteraes perceptivas que no so ataques), podendo ser bug no sistema de monitoramento ou erro na analise de medio. Existem projetos de inteligncia artificial para sanar estes tipos de problemas, com redes neurais e lgica fuzzy.

1.2.

A padronizao dos IDS

Ainda est em andamento a padronizao dos IDSs e tem como finalidade a criao de formatos e procedimentos para compartilhamento de informaes entre sistemas. Este trabalho vem sendo realizado por a IETF (Internet Engineering Task Force). O nome do projeto Intrusion Detection Exchange Format (IDWG) [IET 01].

106 Pgina:

Segurana em redes de computadores Seus principais objetivos so: 9 Definio de formatos de dados e procedimentos para troca de resposta 9 Definio de formatos de dados e procedimentos para compartilhamento de informaes 9 Definio de mtodos de gerenciamento dos sistemas que necessitarem interagir com outros. Depois da criao do projeto, esperado que seja definida uma forma nica (linguagem comum a todos os IDSs) de formatos de dados e procedimentos, para comunicao entre IDS e exigncias que os equipamentos devem se preocupar, tanto para gerenciamento quanto para troca de informaes. Outro resultado esperado a obteno de um melhor protocolo para comunicao entre IDSs. Existem alguns documentos que j foram criados: 9 Intrusion Detection Exchange Protocol (IDXP) 9 Utilizao de XML para troca de mensagens de intruso 9 Tnel que passa entre o firewall, utilizando o gerenciamento do IDS. 8.6. Onde deve estar localizado o IDS na rede Na realidade, o IDS pode ser colocado em qualquer lugar dentro da rede, mas cada lugar possui um tipo de proteo especifico. Se utilizarmos um IDS na entrada dos acessos da Internet na rede corporativa, estaremos detectando possveis ataques e intruses contra toda a rede da organizao, at mesmo aqueles que no teriam nenhum efeito contra servidores protegidos. Este tipo de IDS bem utilizado, pois fornece uma rica fonte dos tipos de tentativas de intruso, auxiliando ate mesmo os administradores a reconhecerem assinaturas e atualizarem as bases dos HIDS. Se utilizarmos um IDS prximo de um firewall, principalmente os que possuem o core-business, outro tipo comum de localizao, conseguimos identificar ataques contra o firewall, e como j foi explicado, pode ser configurado para que regras sejam aplicadas bloqueando o acesso. Outro ponto tambm importante prximo a DMZ, que identifica o trafego de empresas coligadas que podem estar sendo 107 Pgina:

Segurana em redes de computadores usadas como ponte para alcanar a organizao, ou at mesmo elas prprias. O mesmo se aplica a VPN. Com o advento dos bolses de segurana e o acesso a recurso interno cada vez maior, interessante colocar IDS dentro do ambiente cooperativo tambm. Porm, no uma prtica muito comum nas empresas devido ao custo.

1. Rede Privada Virtual ou VPN 1.1. O que VPN ?

Uma rede privada nada mais do que computadores interligados, por hubs ou switchs, compartilhando informaes ao grupo que formam. Observamos que esta soluo vem resolver problemas de redes com equipamentos no mesmo local, com o mnimo de segurana. Quanto maior a rede privada - maior seu custo, pois precisaremos utilizar fibra tica, por exemplo, para conseguirmos conexo. Esta soluo para diversas empresas que so grandes e possuem uma infra-estrutura que suporta este tipo de medidas, como bancos. Vivemos num mundo globalizado, onde muitas empresas so virtuais ou so pequenas e representadas em diversas partes do mundo. Como estas empresas devem se comunicar a constante preocupao, pois solues como fibra tica, possui um alto custo que no corresponde realidade das mesmas. A rede pblica que temos a Internet, onde tudo compartilhado e existe conexo entre diversos equipamentos, pessoas e servios do mundo. Porem, no existe regras de propriedade e segurana, muito menos administradores dos computadores interconectados. Pensando na rede pblica e na rede privada trabalhando juntas, surgiu um novo paradigma, um estudo onde o que se quer ter uma rede privada de segurana dentro da rede pblica, a fim de minimizar custos, porm com a segurana de uma rede privada. Este paradigma denominado Rede Privada Virtual ou VPN (Virtual Private Network). Esta soluo vem sendo cada vez mais empregada devido expanso das intranets, onde no necessrio adquirir novos 108 Pgina:

Segurana em redes de computadores produtos para manipular suas informaes, somente o browser. Os funcionrios possuem uma viso da organizao que lhe necessria atravs dos sistemas, com suas permisses, centralizando as informaes em servidores, que distribuem as informaes, banco de dados e arquivos. Para associar todas estas vantagens on-line, em qualquer lugar, surge mais uma vez a necessidade de tomada de decises, sem estar necessariamente dentro da organizao. Como fazer com que o acesso a intranet seja feito via rede pblica e de forma confivel ? A VPN vem a ser uma soluo, mais simples e barata, de alcanar este objetivo.

Conexo VPN entre duas redes interligadas Figura extrada do site http://www.clubedasredes.eti.br

1.2. A proteo da VPN

A segurana depende do valor do que se quer proteger. Quando falamos de bens materiais, tomamos por base os preos de mercado. Porm, quando o assunto informao digital, preciso que os responsveis pelo dado consigam mensurar, tanto em quantidade quanto em qualidade, quais so as informaes que mais precisam ser protegidas. Esta anlise baseada em quanto organizao pode perder em caso de roubo da informao. preciso saber visualizar as informaes da empresa de forma macro, ter percepo, para identificar o nvel de segurana apropriado, pois se sermos extremistas, podemos ver necessidade de colocar autenticao por retina em salas de servidores. Esta uma 109 Pgina:

Segurana em redes de computadores atitude certa do ponto de vista da segurana, porm, em termos econmicos, no deciso vivel em muitos casos. O ideal na formao de VPN corporativa conseguir analisar as necessidades da organizao como um todo, e subdividi-las conforme os grupos que necessitam do mesmo tipo de informao, ou seja, recomendado fazer uma diviso em subgrupos dentro da rede corporativa. A partir do momento que temos esta diviso, preciso identificar quais grupos tero um nvel de segurana maior, de acordo com o tipo de informao manipulada e os prejuzos que podem ocorrer em caso de perda da confidencialidade. Considerando que a informao ser trafegada pela Internet, sendo fragmentada em pacotes visveis pela rede, o tnel VPN possui algumas premissas que visam fazer com que as informaes transmitidas tenham segurana, como se estivesse em rede privada. So elas: 9 9 9 9 9 Privacidade Integridade Autenticidade No-repudio Facilidade

1.1.1. Privacidade
A privacidade deve garantir que somente as informaes ao grupo de VPN do usurio estejam disponveis para o acesso dele, como se estivesse numa rede corporativa. Outro ponto importante, que apesar de utilizar a Internet como conexo, qualquer pessoa que consiga capturar as informaes no consiga identific-las. Para resolver este problema, preciso utilizar tcnicas de criptografia algoritmos matemticos que visam dificultar o entendimento dos pacotes e para conseguir decifr-los seria necessrio muito tempo e esforo para descobrir o algoritmo reverso.

110 Pgina:

Segurana em redes de computadores

1.1.2. Integridade

Esta premissa esta no conceito que a mensagem enviada deve ser idntica mensagem recebida. A integridade de dados obtida atravs da funo hash.
Se for utilizada a funo hash no documento ou mensagem antes de trafegar via Web e durante sua transmisso no ter nenhuma tentativa de alterar os dados, a mesma funo hash conseguira abrir a mensagem no destino. Caso contrario, o resultado ser diferente e o destino saber que houve alguma interrupo no caminho.

1.1.3. Autenticidade
necessrio ter certeza que as informaes enviadas foram entregues ao destinatrio. Esta garantia dada pelo uso da Infra-estrutura de Chave Pblica, na forma da assinatura digital. Calcula-se o hash da mensagem cifrando-o com a chave privada da origem. a chamada assinatura digital que adicionada ao final da mensagem. Quando o destinatrio recebe a mensagem, usa a chave pblica da origem para decifrar a assinatura digital. A partir deste momento, descobre-se o hash, que permite descobrir se houve ou no alterao na mensagem. A chave privada de uso exclusivo do autor, garantindo que no h maneira de outra pessoa utiliz-la, fazendo com que a premissa da autenticidade seja validada. A assinatura digital possui valor legal, na legislao brasileira.

1.1.4. No-repdio
O no-repudio est na afirmao que determinado usurio realizou determinada tarefa e no pode ser negado posteriormente, devido a registros. A assinatura digital consegue garantir o norepudio juntamente com a autenticidade.

111 Pgina:

Segurana em redes de computadores

1.1.5. Facilidade
a premissa que possui menos aspectos tcnicos e maior entendimento entre os componentes da empresa. preciso que todos os envolvidos estejam conscientes da poltica de segurana e consigam acessar as informaes de forma simples, independente do nvel de conhecimento do usurio. Quanto mais fcil o ambiente, maior a aderncia dos usurios.

1.2. Implicaes da VPN em termos de segurana

As premissas acima so conceituais, pois estamos falando de uma tecnologia perfeita ou pelo menos, ideal. Na realidade, nem sempre temos disponvel a assinatura digital em redes VPN. Atravs da VPN, informaes so trafegadas na Web, sofrendo grandes riscos de perderem sua confidencialidade.

Pessoas no autorizadas podem bisbilhotar o contedo de mensagens Figura extrada do site www.gta.ufrj.br

112 Pgina:

Segurana em redes de computadores Caso a VPN no estiver utilizando uma arquitetura de criptografia, como a PKI, so necessrios alguns cuidados adicionais com ataques e dados recebidos da Internet. Como exemplo de ataque, podemos citar o packet sniffing, onde qualquer individuo consegue capturar os dados trafegados, destruindo a confidencialidade, caso no esteja devidamente protegido. Ataque contra conexes TCP outro tipo de problema que a integridade pode ser comprometida, Existe ainda o IP Spoofing, no caso de um usurio passar por outro, causando problemas de autenticao e autorizao.

1.3. Fundamentos da VPN e criptografia

Cabealho IP mais os cabealhos de extenso Extrado do site www.redes.unb.br

Conforme exposto, a VPN fundamentada na criptografia para que possa garantir a autenticidade, confidencialidade, integridade e no-repdio das conexes. Por estar na camada trs do modelo OSI, a criptografia independente da rede ou aplicao. Outro fundamento da VPN o tunelamento. Ele permite a comunicao entre diversos protocolos, atravs da criao de um tnel virtual entre a origem e destino da conexo. Os tneis VPN podem ser criados tanto na rede corporativa, quanto na estao do prprio usurio, procedimento comum em acesso remoto. 113 Pgina:

Segurana em redes de computadores Para usurios dentro da rede corporativa, a VPN como se a rede externa fosse interna, de forma transparente. o chamado gateway-to-gateway. Para caso de usurios isolados, necessrio que seja iniciado o processo de conexo ao tnel, a partir do prprio equipamento, no sendo to transparente quanto na rede corporativa. o chamado client-to-gateway, pois realizado atravs de um software no cliente.

Criptografia na camada de enlace, na de rede e na aplicao. Figura extrada do site: www.gta.ufrj.br

1.4. Acesso remoto e VPN

Nem preciso comentar como importante atualmente o acesso remoto para as organizaes. Porm, se as informaes das empresas perderem sua confidencialidade, este recurso torna-se desnecessrio e sua necessidade torna-se questionada. Segue algumas situaes que devem ser revisadas quando disponibilizamos este tipo de servio: 9 A segurana de conexes tem como base o protocolo IPSec, que tem demonstrado segurana em VPN, sendo que a integridade, autenticao e confidencialidade so negociadas por ele. 114 Pgina:

Segurana em redes de computadores Entretanto, necessrio saber implement-lo, caso contrrio, podese comprometer a segurana, principalmente quanto a algoritmos criptogrficos. 9 Os arquivos do certificado digital e chave assimtrica, bem como parmetros para a gerao do tnel, so armazenados em um arquivo que deve ser importado pelo cliente, causando um incidente em caso de roubo do equipamento ou captura do arquivo, caso um hacker o obtenha. Neste caso, o hacker necessitaria tambm da chave de importao do arquivo. Da, a importncia da implantao e exigncia destes dois fatores na conexo VPN.

Incluso na poltica de segurana da necessidade de cuidado ao envio de notebooks para assistncia tcnica, onde algum pode copiar os dados e informaes necessrias a VPN, ou emprstimo destes equipamentos.
Como sugesto recomendvel inserir senhas de acesso a VPN no cliente e estudar a melhor maneira de armazen-la bem como ser criptografada para envio ao servidor.

1.5. Protocolos de tunelamento

O tunelamento um pilar da VPN, e pode ser realizadas nas camadas dois e trs do modelo OSI, com vantagens e desvantagens.

Esquema de um tnel VPN Figura extrada do site www.abusar.org

115 Pgina:

Segurana em redes de computadores Como exemplo de protocolos na camada dois, temos: Pointto-Point Tunneling Protocol (PPTP), Layer 2 Forwarding (L2F), Layer 2 Tunneling Protocol (L2TP), entre outros. Na camada trs temos o IP Security (IPSec) ou Mobile IP. As vantagens dos protocolos na camada dois so: simplicidade, compresso e codificao completa e inicializao bidirecional de tnel. Os protocolos da camada trs, no possuem esta vantagem, porem estabilidade, segurana e confiabilidade. O tunelamento nvel dois (ou seja, aquele que utiliza protocolo na camada dois) mais indicado para redes de acesso discado ou acessos que associam trafego utilizao. Suas desvantagens so: padronizao em desenvolvimento, baixa preocupao com escalabilidade, segurana e confiabilidade.

PPTP x L2TP Figura extrada do site www.abusar.org

Para o tunelamento de nvel trs, temos as desvantagens: poucos fabricantes (apesar de muitos fabricantes estarem 116 Pgina:

Segurana em redes de computadores implementando o IPSec) e maior complexidade no desenvolvimento. Apesar disto, vem se tornando o padro mais aceito em redes VPN.

IPSec em modo tnel Figura extrada do site www.rnp.br

1.6.

Controle de Trfego e Gerenciamento

O controle de trfego para uma VPN essencial para garantir a qualidade do servio disponibilizado. Este controle obtido atravs do gerenciamento de banda, que determina a dimenso da banda que cada protocolo pode utilizar (IPSec, FTP, http, entre outros), para que a VPN tenha um bom desempenho e no gaste seus recursos somente em um tipo de protocolo. O gerenciamento em VPN tem como finalidade, integrar a poltica de segurana da organizao (de forma centralizada local ou remota), aumentando a escalabilidade da soluo. Existem softwares no mercado que oferecem servios de monitoramento, deteco e soluo de problemas. Existem provedores de VPN que a partir de ferramentas contabilizam o acesso e o valor a ser pago pela organizao. Em caso de seguir o caminho de contratao deste servio, preciso estar ciente de fatores como: rea de cobertura, acesso, desempenho, segurana, gerenciamento, largura de banda e garantia de qualidade de servios.

117 Pgina:

Segurana em redes de computadores

10. Criptografia 1.1. O que criptografia ?

A criptografia vem para garantir a privacidade no mundo virtual. De acordo com diversos estudos, complicado impedir todas as maneiras que pessoas consigam capturar pacotes que trafegam pela rede. J que muito difcil garantir via infra-estrutura, a criptografia vem como uma maneira de garantir a privacidade das informaes, embaralhando-a de forma eficiente, atravs de algoritmos especficos para esta finalidade. A importncia da criptografia vem crescimento gradativamente dentro das organizaes. Ela garante a confidencialidade, integridade, autenticao, certificao e norepudio. Estas caractersticas esto presentes em protocolos com Secure Shell (SSH) e IP Security (IPSec), sendo um ponto importante dentro de Rede Privada Virtual (VPN Virtual Private Network) ou Infra-Estrutura de Chave Publica (PKI Public Key Infrastructure). Criptografia significa estudo de cdigos e cifras. Sua origem do grego kryptos significa oculto e graphen significa escrever. A palavra saphar significa dar nmeros, motivo que a maioria das criptografias esto associadas a algoritmos matemticos. A criptografia no moderna, como muitos pensam. Em V a.C., os espartanos j utilizam a criptografia no exrcito. Eles cifravam e ocultavam as mensagens usando um basto de madeira. A mensagem era escrita num papel ou pano e era enrolada no formato do basto. O destinatrio recebia a mensagem e caso no se encaixasse dentro do basto que tinha, idntico ao que foi utilizado para enrolar a mensagem, era porque algum leu a mensagem e tentou adulter-la. A criptografia por substituio foi inventada pelo imperador Julio Csar, a mais ou menos, 2000 anos atrs. Ele enviava mensagens trocando as letras do alfabeto por trs letras subseqentes (A -> D, B -> E, e assim sucessivamente). O segredo da criptografia est em como as partes sabero criptografar e descriptografar a mensagem, ou seja, nas chaves e no no algoritmo empregado. Os melhores sistemas criptogrficos so os de domnio pblicos, pois diversos cientistas os analisam e validam quanto falhas ou vulnerabilidades. 118 Pgina:

Segurana em redes de computadores Quando falamos em criptografia, temos dois tipos diferentes de chaves: chaves simtricas, ou secretas, e as chaves assimtricas, ou publicas.

1.2. Tipos de Chaves

No universo de sistemas criptogrficos, um mtodo seguro se atender a dois quesitos: 9 Quanto mais testado pelos cientistas e conhecido for o algoritmo, maior a probabilidades da suas estabilidades quanto falhas de segurana. 9 A chave deve ser um segredo difcil de descobrir, mesmo com tentativas exaustivas de processamento. Abaixo constam os principais tipos de chaves (pblica e privada) e como elas atuam para alcanar este objetivo.

1.1.1. Chaves Simtricas ou Secretas

A chave simtrica surgiu em 1972 pela IBM e depois foi revista em 1977, pelo Nacional Institute of Standards (NIST), Federal Information Processing Standards (FIPS-46-1) e American Nation Standards Institute (ANSI X9.32), com o nome de Data Encryption Standard ou DES. O padro criado utiliza uma chave com 64 bits, sendo 56 para chave e 8 de paridade. Para a poca, foi um grande avano, pois acreditava-se que somente em 228 milhes de anos (com testes a cada 100ms) o algoritmo poderia descobrir a chave. Uma curiosidade quanto aos 56 bits de tamanho da chave simtrica que esta foi uma imposio de restrio do governo americano. O uso de chaves maiores s permitido para fins militares. Entretanto, os cientistas anunciaram a quebra da DES por volta de 1997, fazendo com que os que utilizam esta chave tenham receio. Foram implementadas algumas variantes da DES, por exemplo, a 3DES, que nada mais do que o uso de trs chaves DES que embaralhadas formam a mensagem. At agora a 3DES vem sendo mais utilizada e no foi quebrada, pelo menos por enquanto.

119 Pgina:

Segurana em redes de computadores A caracterstica das chaves simtricas que a chave conhecida na origem e destino, sendo a mesma. O grande problema conseguir que o emissor e receptor consigam conhecer a chave, somente eles, da mesma forma que as alteraes que ocorram na chave sejam conhecidas em ambas partes. Para isto, preciso ter uma comunicao segura entre o receptor e emissor. A maior vantagem no uso de chaves simtricas sua velocidade, principalmente se comparada a chaves assimtricas. Porm, existem algumas desvantagens que devem ser analisadas: 9 Constante troca de chave secreta: O segredo de uma chave compartilhado por duas organizaes que precisam interagir para obter as chaves para comunicao, antes que seja efetuada a transao. Esta troca deve ser feita de forma no digital, preferencialmente. Este detalhe eleva o custo da soluo em alguns casos, alem de ser um processo lento. Por ser de forma no digital, pessoas no autorizadas podem ter acesso a este material, colocando em perigo a confidencialidade, portanto se faz necessrio constantemente troca de chave. 9 Difcil gerenciamento de chaves em larga escala: Se considerarmos os fatores de quantidades de entidades que a empresa se comunica e multiplicarmos por chaves, teremos uma enorme quantidade. Se juntarmos ainda, as trocas feiras regularmente, teremos um processo critico para gerenciar. 9 Problemas na troca de chave inicial: Muitas vezes, complicado saber com quem estamos lidando na Internet, ou se a pessoa que receber a chave ter a idoneidade de utiliza-la corretamente, sem divulgar a terceiros. Para este problema, surgiram os Centros de Distribuio de Chaves (KDC - Key distribution Center). So os responsveis pela distribuio de chaves para usurios desconhecidos, por isso necessrio estar sempre on-line. Deve ser um foco de ateno aos administradores, pois um ataque neste ponto nico desestrutura a empresa na distribuio das chaves. Outro tpico importante a gerencia do servidor para usurios externos a organizacao. 9 No permitem a assinatura e certificao digital

120 Pgina:

Segurana em redes de computadores

1.1.2. Chaves Assimtricas

Na criptogrfica com chave assimtrica temos um segredo dividido em duas partes relacionadas matematicamente, por dois nmeros primos grandes fatorados entre si. Uma parte da chave distribuda livremente - a chave pblica - e a outra conhecida somente da pessoa que a gerou a chave privada. A chave assimtrica demonstra segurana maior do que a simtrica devido aos recursos computacionais disponveis atualmente, que no conseguem em centenas de anos descobrir quais os nmeros primos que originaram a chave. Em vias normais, a chave privada armazenada usando a chave simtrica AES, pois aumenta a segurana na parte mais importante do processo. A chave privada a garantia que somente quem tem a chave publica utilizada ira descobrir a mensagem enviada. Ao enviarmos uma mensagem, usamos a nossa chave privada e a chave publica do destinatrio para criptografar os dados. Para abrir a mensagem de um destinatrio, utilizamos a nossa chave privada para descriptografar a mensagem original. Uma necessidade das chaves assimtricas um repositrio onde as pessoas que precisam se comunicar busque a chave publica para criptografar e enviar os dados ao destinatrio. Neste caso, este repositrio deve ser confivel ou esta ir ser uma grande falha, pois ao buscar uma chave voc precisa ter certeza que est criptografando para a pessoa certa descriptografar. Por isso, recomendvel cuidado como: 9 Estabelecimento de relao de confiana no repositrio de chaves pblicas. 9 Encontrar formas de confiar na integridade da informao recebida. Para estabelecer esta relao de confiana, surgiu o Certificado Digital, que ser explicado em outro tpico deste captulo.

121 Pgina:

Segurana em redes de computadores

1.1.3. Comparando as chaves

Como escolher o modelo mais apropriado de criptografia ? Em diferenas: primeiro lugar, preciso esclarecer as principais

Criptografia Simtrica

Processamento rpido Gerenciamento e distribuio de chaves complicadas Relacionamento com entidades desconhecidas de forma no ou em servidores digital centralizadores No suporta assinatura digital Suporta assinatura digital

Criptografia Assimtrica Processamento lento Gerenciamento e distribuio de chaves de forma simples Facilidade em estabelecer relacionamento com entidades desconhecidas

Em segundo lugar, os modelos de criptografias podem ser combinados. Existem casos onde se opta pelas mensagens serem enviadas via chave simtrica, por ser mais rpida a transmisso, e a distribuio das chaves atravs das chaves assimtricas. Tudo ira depender da arquitetura e nvel de segurana das informaes. Os seguintes protocolos aceitam o sistema de criptografia hbrido: IPSec, SSL e TLS, PGP, S/MIME, Set, X.509.

1.3. Algoritmos
Vrios algoritmos matemticos foram implementados para suprir as necessidades para atender os servios das chaves assimtricas ou simtricas. Abaixo, temos os principais e seus objetivos.

1.1.1. Diffie-Hellman
Este algoritmo tem o nome de seus inventores Whitfield Diffie Martin Helann. O objetivo deste algoritmo prover de maneira rpida e eficiente a troca de chaves (pblica e privada) entre sistemas, baseadas nas duas partes da chave de cada usurio. 122 Pgina:

Segurana em redes de computadores Apesar de apresentar-se de maneira simples, possui uma desvantagem: no momento de trafegar a chave pblica do outro usurio, a comunicao realizada de forma insegura. Outro usurio pode se passar pelo destinatrio. Isto se deve a preocupao do algoritmo ser somente na criptografia e no incluir a autenticao.

1.1.2. RSA
O RSA um algoritmo proposto por Ron Rivest, Adi Shamir e Leonard Adleman, pesquisadores do MIT em 1977. um dos mais velhos algoritmos de criptografia de chaves pblicas, porm utiliza-se da eficincia da multiplicao de grandes nmeros primos e retorno de tempo no hbil para a operao reversa. Pode ser utilizado em diversos contextos: criptografar e descriptografar dados, assinar e validar uma assinatura digital, estabelecimento de chaves pblicas e privadas entre sistemas, garantia da integridade de informaes.

1.1.3. DAS
O DAS uma proposta padro de assinatura digital baseada no algoritmo de Schnorr e ElGamal. Em seu lanamento, foi muito atacado e considerado um algoritmo perigoso. Diversas questes tcnicas foram questionadas, principalmente pelo fato do padro reconhecido ser o RSA. Atualmente, este algoritmo explicitamente recomendado para autenticao de assinatura digital, ou seja, integridade das informaes- no podendo ser utilizado para criptografia ou troca de chaves. Para complementar as funes do DAS, sugere-se o Digital Signiture Scheme (DSS).

123 Pgina:

Segurana em redes de computadores

1.1.4. ECDSA (Elliptic Digital Signiture Algorith) e ECDH (Elliptic Curve Diffie-Helman)
O ECDSA e ECDH, na realidade, no so algoritmos, mas uma forma de implementao que altera a maneira que funcionam, para curvas elpticas. Alterando os algoritmos para trabalharem de forma elptica, o algoritmo se torna mais seguro e tem um menor tamanho, resolvendo um dos maiores problemas dos algoritmos de chave pblica. Porm, o tempo de processamento maior do que o RSA.

1.1.5. Funes hash

A assinatura digital precisa de um mecanismo para seu adequado emprego, devido lentido dos algoritmos assimtricos, ou seja, devido ao tamanho das mensagens, torna-se invivel utilizar somente chaves assimtricas por causa do tempo necessrio para realizar a criptografia. A funo hash tem como objetivo calcular um valor de tamanho fixo baseado na mensagem que se deseja assinar, chamado de Digest ou valor hash. Esta funo fornece maior agilidade e integridade confivel. Com a alterao de qualquer bit dentro da mensagem, ocorre a alterao do valor hash, que indica a mudana da origem ao destino da mensagem. Alguns exemplos de funo hash: SHA-1, MD5, MD4 e MD2, sendo a mais utilizada e considerada mais segura a SHA-1.

1.1.6. Comparao de algoritmos

Tanto o DH quanto desvantagens quanto ao RSA: o DSS apresentam algumas

9 Os dados criptografados com RSA apresentam a metade do tamanho 9 O limite da padronizao da assinatura DSS de 1024, enquanto a RSA utiliza chaves de 2.048 ou 4.096, dependendo da implementao 9 Maior tempo de processamento do algoritmo DH ou DSS comparado ao RSA As principais vantagens do uso de DH ou DSS so: 124 Pgina:

Segurana em redes de computadores 9 No possuem patentes e podem ser utilizados universalmente 9 ElGamal considerado com melhor performance em criptografia do que o RSA 9 Servios separados, garantindo a revogao de chaves sem comprometer assinaturas relacionadas.

1.4. Ataques a sistemas criptogrficos

Ao contrrio dos componentes de segurana, os ataques a sistemas criptogrficos, em sua maioria, no ocorrem pelo testes de chaves possveis, ou fora-bruta, mas atravs da explorao de falhas no projeto, implementao e instalao dos sistemas. O perfil do atacante de sistemas criptogrficos diferente dos de rede. preciso possuir um timo conhecimento matemtico para conseguir encontrar alguma vulnerabilidade e explor-la. Os ataque que mais preocupam so os que procuram descobrir informaes como tempo, consumo de energia e radiao de dispositivos de tokens ou smart card. So os chamados sidechannel attack. Outro ataque o failure analysis, que foram diversos erros durante a operao visando derrubar a segurana dos smart card. Os sistemas criptogrficos podem ser decifrados se acontecer uma anlise detalhada do comportamento do sistema e como as diferentes chaves se relacionam, sem quebrar o algoritmo, mesmo o RSA. So os chamados timing attack e fazem anlise do comportamento e tempo de criptografia. utilizado para obter chaves privadas RSA, obter a seqncia de tokens, smart card e atingir servidores de comercio eletrnico.

1.5. Certificados Digitais

Um certificado digital nada mais que um documento (eletrnico) contendo a chave pblica de um usurio (ou processo) e dados de identificao do mesmo. Este documento deve ser assinado por uma autoridade confivel, a Autoridade Certificadora, atestando sua integridade e origem. Usualmente, certificados digitais so utilizados para garantir a integridade e origem de chaves pblicas depositadas em bases de dados de acesso pblico. O padro mais comumente utilizado para certificados digitais o denominado X-509, 125 Pgina:

Segurana em redes de computadores o qual prevem, entre outras informaes possveis, os seguintes dados de identificao: 9 9 9 9 9 Chave pblica do usurio; Nome do usurio proprietrio da chave; Nome da organizao associada; Data de emisso do certificado; Perodo de validade da chave.

Desta forma, obtendo-se uma chave pblica de um usurio associado a um tal certificado, confiando-se na autoridade certificadora e verificando-se sua assinatura no certificado, pode-se ter certeza de que a chave realmente pertence ao alegado usurio, e que, pretensamente, somente ele dispe da correspondente chave secreta que o capacita a decifrar mensagens cifradas com aquela chave pblica, ou assinar documentos com a correspondente chave secreta. Os certificados digitais so a resposta tecnolgica atual para o problema de autenticao de usurios na crescente demanda por segurana nos servios oferecidos via Internet, desde home banking, passando por compras on-line, indo at servios de informao por assinatura. Eles podem ser vistos como um passaporte eletrnico, onde esto contidas as informaes e garantias necessrias sobre a identidade do portador, alm de sua chave pblica. Exemplos semelhantes a um certificado so o RG, CPF e carteira de habilitao de uma pessoa. Cada um deles contm um conjunto de informaes que identificam a pessoa e alguma autoridade (para estes exemplos, rgos pblicos) garantindo sua validade. Algumas das principais informaes encontradas em um certificado digital so: 9 Dados que identificam o dono (nome, nmero de identificao, estado, etc) 9 Nome da Autoridade Certificadora (AC) que emitiu o certificado; 9 O nmero de srie do certificado; 9 O perodo de validade do certificado; 9 A assinatura digital da AC. O objetivo da assinatura digital no certificado indicar que uma outra entidade (a Autoridade Certificadora) garante a veracidade das informaes nele contidas.

126 Pgina:

Segurana em redes de computadores

10.5.1. O que Autoridade Certificadora (AC)?

Autoridade Certificadora (AC) a entidade responsvel por emitir certificados digitais. Estes certificados podem ser emitidos para diversos tipos de entidades, tais como: pessoa, computador, departamento de uma instituio, instituio, etc. Os certificados digitais possuem uma forma de assinatura eletrnica da AC que o emitiu. Graas sua idoneidade, a AC normalmente reconhecida por todos como confivel, fazendo o papel de Cartrio Eletrnico. Alguns exemplos tpicos do uso de certificados digitais so: 9 quando voc acessa um site com conexo segura, como por exemplo o acesso sua conta bancria pela Internet possvel checar se o certe apresentado realmente da instituio que diz ser, atravs da verificao de seu certificado digital; 9 quando voc consulta seu banco pela Internet, este tem que assegurar-se de sua identidade antes de fornecer informaes sobre a conta; 9 quando voc envia um e-mail importante, seu aplicativo de e-mail pode utilizar seu certificado para assinar digitalmente a mensagem, de modo a assegurar ao destinatrio que o e-mail seu e que no foi adulterado entre o envio e o recebimento. Autoridades de certificao, como Verisign, Cybertrust e Nortel, assinam certificados digitais garantindo sua validade. Uma CA tambm tem a responsabilidade de manter e divulgar uma lista com os certificados revogados (Certificate Revocation List - CRL). Certificados nesta lista podem ter sido roubados, perdidos ou, simplesmente, estar sem utilidade. As CAs podem estar encadeadas em hierarquias de certificao, onde a CA de um nvel inferior valida sua assinatura com a assinatura de uma CA mais alta na hierarquia.

127 Pgina:

Segurana em redes de computadores

Existem diversos tipos de certificados, conforme descrio feita a seguir: 9 Certificados de CA: utilizados para validar outros certificados; so auto-assinados ou assinados por outra CA. 9 Certificados de servidor: utilizados para identificar um servidor seguro; contm o nome da organizao e o nome DNS do servidor. 9 Certificados pessoais: contm nome do portador e, eventualmente, informaes como endereo eletrnico, endereo postal, etc. 9 Certificados de desenvolvedores de software: .utilizados para validar assinaturas associadas a programas. A infra-estrutura para lidar com o gerenciamento de chaves pblicas definido pelo padro Public Key Infrastructure (PKI), que define onde os certificados digitais sero armazenados e recuperados, de que forma esto armazenados, como um certificado revogado, entre outras informaes.

11. Autenticao

128 Pgina:

Segurana em redes de computadores A autenticao a capacidade de se garantir que a pessoa de fato quem diz ser, dentro de um contexto. Definir um contexto importante, pois uma pessoa pode ser autntica numa situao e, em outra no. Como exemplo podemos citar um passaporte, que valido somente dentro de um pas. Para autenticar algum, o autenticador informaes de autenticao que podem ser: necessita de

9 Algo que definimos, como usurio senha. E uma das maneiras mais insegura, apesar de ser a mais conhecida e utilizada. 9 Algo fsico que possumos, carto de banco, passaporte, entre outros. 9 Algo que somos, como impresses digitais, retina, reconhecimento de voz, rosto e padro de assinatura. 9 Componentes baseados em localizao geogrfica, como GPS. Desta maneira, a identificao a funo declarada pelo usurio, pelas maneiras acima e a autenticao a verificao da veracidade das informaes fornecidas.

1.1.

Autenticao baseada em definies

o tipo de autenticao mais utilizado, por apresentar o custo mais reduzido e a maior parte dos sistemas aceitarem este tipo de autenticao de forma simplificada. Podemos associar a este tipo de autenticao as senhas, chaves criptogrficas ou chave privada da assinatura digital (somente quem as gerou quem sabe - apesar de ser recomendvel o uso de sua gravao em outro dispositivo).

1.2. Senhas
Mesmo sendo as mais utilizadas, so as que mais possuem vulnerabilidades, sendo considerado o elo mais fraco da cadeia de segurana, vindo aps dos seres humanos. A maior desvantagem deste mtodo que a manuteno e confidencialidade da senha est nas mos de quem a utiliza, podendo ser quebrada atravs: 9 Adivinhao 129 Pgina:

Segurana em redes de computadores 9 Observao por pessoas mal intencionadas na introduo de senhas 9 Quebra de confidencialidade, atravs da prpria pessoa, na divulgao de sua senha, ou engenharia social. 9 Monitorao e captura de pacotes atravs de snnifers 9 Acesso a arquivos de senhas em servidores 9 Ataques utilizando forca bruta 9 Processos de logging spoofing realizado por hackers, que capturam tudo o que a pessoa digitar em seu micro. 9 Entre outros Uma maneira de minimizar os efeitos negativos do uso de senha a utilizao das mesmas uma nica vez, sendo trocada a cada novo acesso. Porm, o usurio no se sentir confortvel nesta situao. Mesmo desta forma, existem ataques que podem ser realizados pelos hackers: 9 Man-in-the-middle: O hacker se coloca entre o usurio e o servidor, captura pacotes, modifica e responde para os dois lados da comunicao. 9 Race: Aproveita a vulnerabilidade dos protocolos que trafegam byte a byte, porm so poucos. O hacker controla o envio dos bytes e antes do envio da ltima srie tenta se conectar ao invs do usurio

1.3. Autenticao baseada em objetos

Esta autenticao dividida em dois tipos de dispositivos: de memria ou inteligente. Os dispositivos de memria so conhecidos como memory tokens, armazenando informaes e no as processando. Quando utilizado em conjunto com senhas, forma a chamada autenticao forte combinao de mais de um mtodo de autenticao. As principais desvantagens so: 9 Alto custo, de implementao e dos prprios dispositivos. 9 Dificuldade de administrao. 9 Possibilidade de perda ou roubo. Os dispositivos inteligentes so os memory tokens que possuem capacidade de processamento, ou os chamados smart tokens. Resolve o problema das senhas comuns, atravs da criptografia ou gerao dinmica de chaves.

130 Pgina:

Segurana em redes de computadores Em geral, os smarts tokens geram a cada novo acesso uma nova seqncia sincronizada com o servidor de autenticao, que juntamente com o PIN (senha comum), permite ou no a autenticao do usurio ao recurso, minimizando as chances de colocao de senhas inapropriadas. As principais desvantagens so iguais aos dispositivos de memria.

11.4. Autenticao baseada nas caractersticas fsicas

considerada a autenticao mais segura, por somente depender de fatores humanos, senhas ou perda de objeto, sendo sua principal vantagem. baseado na biometria que atravs das caractersticas fsicas ou comportamento do individuo, verifica sua autenticao, baseada nas informaes armazenadas que devem ser idnticas as do individuo. Ao ser concedida, transmitido o perfil da autorizao. importante que as informaes de cada usurio sejam criptografadas em seus servidores para que, em mos erradas, no aconteam problemas a organizao. Como exemplo, podemos citar: 9 9 9 9 9 9 9 9 9 9 9 Composio qumica de odor corporal Caractersticas faciais Emisses tcnicas Retina ris Impresso digital Geometria das mos Poros da pele Analise de assinaturas Padres de escrita Voz

So diversas as maneiras de autenticao com biometria, conforme visto, porem somente duas, segundo pesquisas, so nicas: ris dos olhos e impresso digital. Algumas desvantagens da biometria so: 9 Pessoas acreditarem que os equipamentos biomtricos no so higinicos (os que coletam a impresso digital precisam ser limpos a todo o momento) ou podem provocar problemas na sade (caso do laser na ris) 131 Pgina:

Segurana em redes de computadores 9 As informaes dos usurios em servidores devem ser criptografadas

1.1. Single Sign-On (SSO)

O Single Sign-On (SSO) um mtodo de identificao e autorizao de usurio que utiliza autenticao nica e transparente, para diversos sistemas corporativos, facilitando a administrao de senhas - tanto por parte dos usurios quanto por parte dos administradores de sistema. Esta soluo pode utilizar qualquer metodologia de autenticao, desde certificados digitais, at tokens, smart cards ou senha. As principais vantagens so: 9 9 9 9 usurio. 9 Possibilidade de padronizao de nome de usurio e senhas, conforme poltica de segurana da empresa. 9 Minimizao de custos com suporte tcnico de produtos e help desk para usurios As principais desvantagens so: 9 necessrio manter bom nvel de segurana nas sesses de logon e armazenamento das informaes dos usurios 9 A identificao nica permite que se ocorrer alguma quebra de confidencialidade, o hacker poder acessar varias aplicaes. 9 O servidor de armazenamento um ponto de invaso visado, pois com este ataque o hacker conseguir acessar todas as informaes da organizao. 9 O servio de autenticao um ponto de falha considervel. Em caso de instabilidade, todos os sistemas ficam comprometidos. Combinao nica de usurio e senha Centralizao das atividades administrativas de sistemas Integrao de autenticao nas aplicaes corporativas Acesso mais fcil a recursos disponveis e autorizados ao

132 Pgina:

Segurana em redes de computadores

1.2.

Os protocolos de autenticao

Estaremos comentando dois protocolos, o RADIUS e o KERBEROS, que so geralmente utilizados na autenticao de acesso remoto nas organizaes:

1.1.1. Protocolo Radius

Baseado em um modelo de segurana distribuda previamente definido pela (IETF), o Radius prov um sistema de segurana cliente/servidor aberto e escalonvel. O servidor Radius pode ser adaptado facilmente para trabalhar com produtos de segurana de terceiros ou em sistemas de segurana proprietrio. Qualquer mecanismo de comunicao, seja um software ou um hardware que utilize o protocolo cliente Radius pode se comunicar com um servidor Radius. O protocolo Radius adequado em sistemas de servios remotos discados. O Radius autentica atravs de uma srie de comunicaes entre o cliente e o servidor. Uma vez que o usurio autenticado, o cliente proporciona a ele, o acesso aos servios apropriados. Os passos envolvidos no processo de autenticao no Radius esto descritos a seguir: 9 O PortMaster cria um pacote de dados com as informaes e o chamado pedido de autenticao. Este pacote inclui a informao que identifica o PortMaster especfico que envia o pedido de autenticao, a porta que est sendo usada para a conexo de modem, identificao do usurio e a senha. Para proteger os dados de hackers que possam estar escutando a conexo, o PortMaster age como um cliente Radius e codifica a senha antes que seja enviada em sua jornada ao servidor Radius. 9 Quando um pedido de autenticao recebido, o servidor de autenticao valida o pedido e ento decifra o pacote de dados para ter acesso a identificao do usurio e senha. Esta informao passada para o sistema de segurana apropriado. 9 Se o usurio e senha estiverem corretos, o servidor envia um reconhecimento de autenticao que inclui informao sobre o 133 Pgina:

Segurana em redes de computadores usurio e as exigncias dos servios. Por exemplo, o servidor Radius contar para o PortMaster que um usurio precisa do Protocolo PPP (ponto-a-ponto) para se conectar rede. O reconhecimento pode tambm, conter filtros, com informaes sobre os limites de acesso do usurio para os recursos especficos na rede. Se o usurio e a senha no estiverem corretos, o servidor Radius envia um sinal ao PortMaster e o usurio ter o acesso negado rede. 9 PortMaster, o servidor Radius envia uma chave de autenticao, ou assinatura, se identificando para o cliente Radius e permitindo ento, a configurao necessria para que os servios de envios e recepes personalizados, funcione para o usurio autenticado.

1.1.2. Protocolo Kerberos

O protocolo Kerberos um servio de autenticao distribudo que permite que um cliente, atravs de um usurio, prov sua identidade a um servidor de autenticao, passando em seguida por um verificador de sesso, para que ento, estabelea a transferncia das informaes com o host destino, evitando assim, a violao da conexo estabelecida. Esse protocolo foi desenvolvido no meado dos anos oitenta como parte do Projeto de MIT Athena. Hoje em dia, uma das solues aos problemas de segurana em rede pois, fornece ferramentas de autenticao e criptografia para trabalhos em redes pblicas como a Internet. O protocolo Kerberos, pode ser utilizado atravs de qualquer tipo de conexo, a autenticao e um dos pontos forte na segurana de qualquer sistema, pois tem a finalidade de atravessar os mecanismos de segurana para autenticar o usurio, autorizando ou no a sua conexo. Muitos dos protocolos usados na Internet no provem segurana. Ferramentas que varrem senhas fora da rede so usadas em brechas de sistemas. Assim, aplicaes que enviam senha sem criptografia pela rede Internet so extremamente vulnerveis. Contudo, em muitas aplicaes cliente/servidor que so desenvolvidas e implementadas, no dada a devida ateno sobre os aspectos aqui mencionados. Alguns administradores tentam usar firewalls para resolver os problemas de segurana de rede. Infelizmente, os firewalls assumem que os acessos ruins esto todos do lado de fora, o que 134 Pgina:

Segurana em redes de computadores freqentemente, uma suposio no muito boa, pois usurios e colaboradores em trnsito, ficam restringidos de usar a rede interna, pois os mecanismos de segurana vo descartar suas tentativas de acesso. O sistema Kerberos usa ingressos eletrnicos para autenticar um usurio para um servidor. Um ingresso s bom para um nico servidor e um nico usurio durante um certo perodo de tempo e para uma mensagem codificada que contm o nome do usurio, o seu servidor, o endereo da rede do servidor do usurio, um selo de tempo e uma chave de sesso. Uma vez que o usurio adquire este ingresso, ele pode usar isto para ter acesso ao servidor quantas vezes forem necessrias at que o ingresso se expire. O usurio no pode decifrar o ingresso, mas pode apresent-lo ao servidor. Com isso, escutas clandestinas no podem violar o ingresso quando este estiver em curso na rede Internet. O protocolo Kerberos envolve dois servidores, um de autenticao e o outro (TGS) que concede os ingressos. Os passos envolvidos no processo do protocolo Kerberos esto descritos a seguir:

Ilustrao demonstrando os passos no processo da autenticao do protocolo Kerberos.

Os passos abaixo, representam a autenticao com o protocolo Kerberos: 9 Obter um ingresso para um servidor designado. O usurio primeiro, pede ao servidor de autenticao Kerberos um ingresso para o Kerberos TGS. Este pedido leva a forma de uma mensagem que contm o nome do usurio e o nome do TGS (pode haver vrios); 135 Pgina:

Segurana em redes de computadores 9 O servidor de autenticao verifica o usurio em seu banco de dados e ento gera uma chave de sesso para ser usada entre o usurio e o TGS. Kerberos codifica esta chave de sesso que usa a chave de segredo do usurio (processo de uma s direo com senha do usurio). Ento cria um TGT (ingresso que concede ingresso) para o usurio apresentar ao TGS e codifica o TGT usando a chave de segredo do TGS (que s conhecido pelo servidor de autenticao e o servidor TGS). O Servidor de Autenticao envia de volta as mensagens codificadas ao usurio; 9 O usurio decifra a primeira mensagem e recupera a chave de sesso. Logo, o usurio cria um autenticador que consiste em seu nome, seu endereo de rede e um selo de tempo, tudo codificado com a chave de sesso gerada pelo servidor de autenticao KERBEROS. O usurio envia o pedido ento ao TGS para fazer ingresso a um servidor designado. Este pedido contm o nome do servidor, o TGT KERBEROS (que foi codificado com o a chave de segredo do TGS), e o autenticador codificado; 9 O TGS decifra o TGT com sua chave secreta e ento usa a chave de sesso includa no TGT para decifrar o autenticador. Compara a informao do autenticador com a informao do ingresso, o endereo da rede do usurio com o endereo foi enviado no pedido e o tempo estampado com o tempo atual. Se tudo se emparelhar, permite a continuao do pedido. O TGS cria uma chave de sesso nova para o usurio e o servidor final com esta chave em um ingresso vlido para o usurio apresentar ao servidor. Este ingresso tambm contm o nome do usurio, endereo da rede, um selo de tempo, e um tempo de vencimento para o ingresso codificado com a chave de segredo do servidor designado e o seu nome. O TGS tambm codifica a nova chave de sesso designada que vai ser compartilhada entre o usurio e o TGS. Envia ambas as mensagens de volta ao usurio; 9 O usurio decifra a mensagem e a chave de sesso para uso com o servidor designado. O usurio est agora pronto para se autenticar com o servidor. Ele cria um autenticador novo codificado com a chave de sesso de usurio e servidor final que o TGS gerou. Para pedir acesso ao servidor final, o usurio envia junto ao ingresso recebido de KERBEROS (que j codificado com a chave de segredo do servidor designado) o autenticador codificado. O autenticador contm o texto plano codificado com a chave de sesso, prova que o remetente sabe a chave. Da mesma maneira que importante, codificar o tempo para prevenir que intrometidos que venham registrar o ingresso e o autenticador, possam tentar usar as informaes em futuras conexes;

136 Pgina:

Segurana em redes de computadores 9 O servidor designado decifra e confere o ingresso e o autenticador e tambm confere o endereo do usurio e o selo de tempo. Se tudo confirmar, o servidor sabe agora que o usurio que esta reivindicando o acesso realmente ele, e podem usar a chave de criptografia para comunicao segura. (Como s o usurio e o servidor compartilham esta chave, eles podem assumir que uma recente mensagem codificou aquela chave originada com a outra chave anterior); 9 Para aplicaes que requerem autenticao mtua, o servidor envia para o usurio uma mensagem que consiste no selo de tempo mais 1, codificada com a chave de sesso. Isto serve como prova ao usurio que o servidor soube da sua chave secreta de fato e pde decifrar o ingresso e o autenticador.

2.

Fraudes em Informtica

Vrus, hackers, golpes, fraudes bancrias. A variedade de ameaas do mundo virtual cresce diariamente e assusta os internautas. Mas, muitas vezes, para garantir proteo, basta tomar cuidados bsicos e utilizar ferramentas simples - e baratas - de segurana e que podem ser a melhor soluo. Os vrus, fonte mais freqente de preocupao dos usurios, podem ser evitados com precaues bsicas, como no abrir arquivos anexados. Outra dica no rodar programas com extenso .VBS, .PIF e .BAT - meios preferidos de disseminao das pragas - mesmo quando o remetente da mensagem "confivel". "Evitar abrir qualquer arquivo no computador um cuidado simples e essencial", observa Mrio Matesco, presidente da empresa de segurana Intersix. Muitos usurios acabam com os computadores infectados por preguia de atualizar os programas antivrus. Para especialistas, essa simples medida poderia ter evitado os estragos provocados por vrus como CodeRed, Goner e Klez, que causaram dor de cabea e prejuzos calculados em bilhes de dlares. "Quem no tem costume de fazer isso deve optar por programas com atualizao automtica", aconselha Jamil Ozelim, engenheiro de sistemas da McAfee. Como foi amplamente discutida nesta disciplina. engana-se quem pensa que os vrus espalham-se apenas por correio eletrnico. crescente o nmero de programas maliciosos que se utilizam de brechas em navegadores e softwares de mensagens instantneas. No incio deste ano, o vrus Cool contaminou milhares de computadores, explorando vulnerabilidades do MSN Messenger e do Internet 137 Pgina:

Segurana em redes de computadores Explorer - ambos da Microsoft. Depois de receber um convite por mensagem instantnea, o internauta entrava em um site, que executava cdigos para roubar informaes, rodar programas e transferir arquivos da vtima. Quando a preveno no suficiente, a soluo confiar nas ferramentas antivrus, que varrem o computador em busca de ameaas. O Norton Internet Security (www.symantec.com.br), o VirusScan (www.mcafee.com.br) e o eSafe Desktop (www.aladdin.com.br), alguns dos softwares mais populares, tm preos que variam de R$ 70 a R$ 100.

12.1. As armadilhas para os internautas

A soluo do firewall pessoal, ferramenta que filtra as informaes que trafegam entre o computador e a Internet, impede a ao de invasores. At pouco tempo atrs, a instalao em mquinas domsticas era considera desnecessria, mas a situao mudou depois que os casos de roubo de informaes deixaram de ser exclusividade do mundo corporativo. Para aqueles que levam trabalho para casa, o cuidado deve ser ainda maior, pois esto em risco as informaes corporativas, tambm. Nesses casos, recomendvel o uso de firewall para estao domstica, antivrus e sistema de proteo de redes VPN. Nem sempre, no entanto, o internauta pode cuidar sozinho da segurana. A integridade de dados e transaes em sites de Internet banking, por exemplo, depende dos sistemas da instituio financeira, restando ao usurio somente redobrar a ateno. Segundo Adolpho Dadalti, chefe da Delegacia de Represso a Crimes de Informtica do Rio de Janeiro, os internautas podem tomar cuidados preventivos, como no passar dados pessoais a estranhos e utilizar assinatura digital para no depender exclusivamente de senhas de acesso. "Os sistemas de segurana dos bancos so vulnerveis. Basta uma pessoa mal-intencionada querer violar o sistema para ultrapassar as barreiras e acessar os dados do correntista. Muitas pessoas que nem tm senha para acesso via Internet j tiveram dinheiro transferido", revela Dadalti. 138 Pgina:

Segurana em redes de computadores No caso mais conhecido de fraude bancria via Internet ocorrido no Pas, descoberto em novembro do ano passado, uma quadrilha do Par conseguiu desviar cerca de R$ 100 milhes de correntistas do Banco do Brasil e da Caixa. Os criminosos utilizavam um software para obter dados pessoais como nmeros de contas e senhas. Preocupada com as fraudes, a Federao Brasileira das Associaes dos Bancos (Febraban) formulou uma cartilha para alertar os correntistas dos perigos da Internet. Os principais conselhos so para que os usurios mudem as senhas de acesso periodicamente e evitem realizar operaes bancrias em equipamentos pblicos. Especialistas lembram que os programas que roubam senhas tambm podem estar em sites. O internauta entra em um site e recebe uma mensagem para baixar um programa, podendo ser uma armadilha. Os recursos tecnolgicos disposio dos criminosos so sofisticados, mas muitos estelionatrios conseguem aplicar golpes somente na base da conversa. Em alguns casos, os prprios usurios fornecem informaes como carto de crdito, sem saberem que esto sendo enganados. No incio de 2001, usurios do UOL receberam um e-mail de recadastramento, com um link para uma pgina falsa do provedor. Cerca de 20 pessoas preencheram o formulrio do site, mas apenas uma queixou-se mais tarde de utilizao indevida do seu nmero de carto de crdito. O segredo desconfiar sempre da autenticidade do que se transmite na Internet.

12.2. Principais ameaas 12.2.1. Vrus e Trojans

Os vrus chegam normalmente por e-mail e podem apagar arquivos, copiar informaes e, no caso dos cavalos-de-Tria, expor o sistema ao de hackers.

139 Pgina:

Segurana em redes de computadores Para se proteger, no abra arquivos anexados, principalmente de remetentes desconhecidos, mantenha o antivrus atualizado e tenha um firewall pessoal instalado para evitar invases.

12.2.2. Backdoors
Os backdoors so brechas em softwares de uso constante como navegadores, clientes de email e programas de mensagens instantneas - que funcionam como portas para invases. Como precaues recomendvel: atualizar sempre os programas com as correes liberadas pelas fabricantes de software e evitar instalar programas piratas.

12.3.3. Programas de email

Os programas de correio eletrnico so a principal forma de disseminao dos vrus comuns e dos cavalos-de-Tria, por isso recomendvel desligar a opo de "auto-execuo" de programas anexados e desabilitar a execuo de programas em Java e JavaScript.

12.3.4. Mensagens instantneas

Os mensageiros ficam conectados a um servidor e possuem brechas que podem servir de entrada para hackers. Algumas maneiras de se proteger destas vulnerabilidades so: 9 Ativar a opo de esconder o endereo IP (Internet Protocol); 9 Utilizar sempre as verses mais recentes do programa; 9 Instalar um firewall pessoal ou utilizar recursos equivalentes embutidos no mensageiro.

12.3.5. E-commerce e Internet banking

Lojas virtuais e sites de Internet banking podem ter falhas nos sistemas de segurana que permitem o acesso de terceiros a nmeros de carto de crdito, senhas e dados pessoais. 140 Pgina:

Segurana em redes de computadores Como precaues, recomendvel: utilizar apenas servios de empresas conhecidas; verificar a existncia de sistemas e protocolos de segurana, normalmente indicados pela figura de um cadeado fechado na parte inferior do navegador ou por endereos do tipo https://.

12.4. Sites falsos

Normalmente, no uma tarefa simples atacar e fraudar dados em um servidor de uma instituio bancria ou comercial, onde existe uma definio rgida de poltica de segurana. Baseado neste fato, os atacantes tm concentrado seus esforos na explorao de fragilidades dos usurios, para realizar fraudes comerciais e bancrias atravs da Internet. Portanto, muito importante que usurios de Internet tenham certos cuidados ao acessar sites de comrcio eletrnico ou Internet Banking.

12.4.1. Que situaes podem ser citadas sobre fraudes envolvendo comrcio eletrnico ou Internet Banking?
Existem diversas situaes que vm sendo utilizadas por atacantes em fraudes envolvendo o comrcio eletrnico e Internet Banking. A maior parte das situaes apresentadas abaixo, com exceo das situaes 3 e 5, envolvem tcnicas de engenharia social. Segue alguns exemplos : 1. O usurio recebe um e-mail ou ligao telefnica, de um suposto funcionrio da instituio que mantm o site de comrcio eletrnico ou de um banco. Neste email ou ligao telefnica o usurio persuadido a fornecer informaes sensveis, como senhas de acesso ou nmero de cartes de crdito. 2. O usurio recebe um email, cujo remetente pode ser um suposto funcionrio, gerente, ou at mesmo uma pessoa conhecida, sendo que este email contm um programa anexado. A mensagem, ento, solicita que o usurio execute o programa para, por exemplo, obter acesso mais rpido a um 141 Pgina:

Segurana em redes de computadores site de comrcio eletrnico ou ter acesso a informaes mais detalhadas em sua conta bancria. 3. Um programa pode capturar e armazenar todas as teclas digitadas pelo usurio, em particular, aquelas digitadas logo aps a entrada em um site de comrcio eletrnico ou de Internet Banking. Deste modo, o programa pode armazenar e enviar informaes sensveis (como senhas de acesso ao banco ou nmeros de cartes de crtido) para um atacante; 4. Alguns sites de Internet Banking tm fornecido um teclado virtual, para evitar que seus usurios utilizem o teclado convencional e, assim, aumentar o nvel de segurana na realizao de transaes bancrias via Web. O fato que um programa pode armazenar a posio do cursor e a tela apresentada no monitor, nos momentos em que o mouse foi clicado. Estas informaes permitem que um atacante, por exemplo, saiba qual foi a senha de acesso ao banco utilizada pelo usurio; 5. Um programa pode controlar a Webcam do usurio, direcionando-a para o teclado, no momento em que o usurio estiver acessando um site de comrcio eletrnico ou de Internet Banking. Deste modo, as imagens coletadas (incluindo aquelas que contm a digitao de senhas ou nmero de cartes de crdito) podem ser enviadas para um atacante. 6. Um atacante compromete o servidor de nomes do provedor do usurio, de modo que todos os acessos a um site de comrcio eletrnico ou Internet Banking so redirecionados para uma pgina Web falsificada, semelhante ao site verdadeiro. Neste caso, um atacante pode monitorar todas as aes do usurio, incluindo, por exemplo, a digitao de sua senha bancria ou do nmero de seu carto de crdito. importante ressaltar que nesta situao normalmente o usurio deve aceitar um novo certificado (que no corresponde ao site verdadeiro) e o endereo mostrado no browser do usurio poder ser diferente do endereo correspodente ao site verdadeiro; 7. O usurio pode ser persuadido a acessar um site de comrcio eletrnico ou de Internet Banking, atravs de um link recebido por e-mail ou em uma pgina de terceiros. Este link pode direcionar o usurio para uma pgina Web falsificada, semelhante ao site que o usurio realmente deseja acessar. A partir da, um atacante pode monitorar todas as aes do usurio, incluindo, por exemplo, a digitao de sua senha bancria ou do nmero de seu carto de crdito. Tambm importante ressaltar que nesta situao normalmente o usurio deve aceitar um novo certificado (que no corresponde ao site 142 Pgina:

Segurana em redes de computadores verdadeiro) e o endereo mostrado no browser do usurio ser diferente do endereo correspodente ao site verdadeiro; 8. O usurio, ao utilizar computadores de terceiros para acessar sites de comrcio eletrnico ou de Internet Banking, pode ter todas as suas aes monitoradas (incluindo a digitao de senhas ou nmero de cartes de crdito), atravs de programas especificamente projetados para este fim (como visto na situao 2). Apesar de existirem todas estas situaes de risco, tambm existem alguns cuidados, relativamente simples, que podem e devem ser seguidos pelos usurios ao acessarem sites de comrcio eletrnico e Internet Banking, de modo a evitar que fraudadores utilizem seus dados (principalmente dados sensveis).

12.4.2. Quais so os cuidados que devo ter ao acessar sites de comrcio eletrnico ou Internet Banking?
Existem diversos cuidados que um usurio deve ter ao acessar sites de comrcio eletrnico ou Internet Banking. Dentre eles, podem-se citar: social . 9 Realizar transaes somente em sites de instituies que voc considere confiveis. 9 Certificar-se de que o endereo apresentado em seu browser corresponde ao site que voc realmente quer acessar, antes de realizar qualquer ao. 9 Antes de aceitar um novo certificado, verificar junto instituio que mantm o site sobre sua emisso e quais so os dados nele contidos. 9 Procurar sempre digitar em seu browser o endereo desejado. No utilize links em pginas de terceiros ou recebidos por e-mail. 9 Certificar-se que o site faz uso de conexo segura, ou seja, que os dados transmitidos entre seu browser e o site sero criptografados e utiliza um tamanho de chave considerado seguro. 9 Estar atento e prevenir-se dos ataques de engenharia

143 Pgina:

Segurana em redes de computadores 9 Verificar o certificado do site, para assegurar-se que ele foi emitido para a instituio que se deseja acessar e est dentro do prazo de validade. 9 No acessar sites de comrcio eletrnico ou Internet Banking atravs de computadores de terceiros. 9 Desligar sua Webcam (caso vec possua alguma), ao acessar um site de comrcio eletrnico ou Internet Banking. 9 Manter o seu browser sempre atualizado e com todas as correes (patches) aplicadas. 9 Alterar a configurao do seu browser para restringir a execuo de Javascript e de programas Java ou ActiveX, exceto para casos especficos. 9 Configurar seu programa de e-mail para no abrir arquivos ou executar programas automaticamente. 9 No executar programas obtidos pela Internet, ou recebidos por e-mail. Com estes cuidados adicionais pode-se evitar que seu browser contenha alguma vulnerabilidade, e que programas maliciosos (como os cavalos de tria) sejam instalados em seu computador para, dentre outras finalidades, fraudar seus acessos a sites de comrcio eletrnico ou Internet Banking.

12.4.3. Como verificar se a conexo criptografada?

Existem dois itens que podem ser visualizados na janela do seu browser, e que significam que as informaes transmitidas entre o browser e o site visitado esto sendo criptografadas. O primeiro pode ser visualizado no local onde o endereo do site digitado. O endereo deve comear com https:// (diferente do http:// nas conexes normais), onde o s antes do sinal de dois-pontos indica que o endereo em questo de um site com conexo segura e, portanto, os dados sero criptografados antes de serem enviados. A figura abaixo apresenta o primeiro item, indicando uma com conexo segura, observado nos browsers Netscape e Internet Explorer, respectivamente.

144 Pgina:

Segurana em redes de computadores

https - identificando site com conexo segura.

O segundo item a ser visualizado corresponde a algum desenho ou sinal, indicando que a conexo segura. Normalmente, o desenho mais adotado nos browsers recentes de um "cadeado fechado" (se o cadeado estiver aberto, a conexo no segura). A figura a seguir apresenta desenhos dos cadeados fechados, indicando conexes seguras, observados nos browsers Netscape e Internet Explorer, respectivamente.

Cadeado - identificando site com conexo segura.

Ao clicar sobre o cadeado, ser exibida uma tela que permite verificar as informaes referentes ao certificado emitido para a instituio que mantm o site, bem como informaes sobre o tamanho da chave utilizada para criptografar os dados. muito importante que voc verifique se a chave utilizada para criptografar as informaes a serem transmitidas entre seu browser e o site de no mnimo 128 bits. Chaves menores podem comprometer a segurana dos dados a serem transmitidos. Maiores detalhes sobre criptografia e tamanho de chaves podem ser ob

12.4.4. Como posso saber se o site que estou acessando no foi falsificado?
Existem alguns cuidados que um usurio deve ter para certificar-se que um site no foi falsificado. O primeiro cuidado checar se o endereo digitado permanece inalterado no momento em que o contedo do site apresentado no browser do usurio. Existem algumas situaes, onde o acesso a um site pode ser redirecionado para uma pgina falsificada, mas normalmente nestes casos o endereo apresentado

145 Pgina:

Segurana em redes de computadores pelo browser diferente daquele que o usurio quer realmente acessar. E um outro cuidado muito importante verificar as informaes contidas no certificado emitido para a instituio que mantm o site. Estas informaes podem dizer se o certificado ou no legtimo e, conseqentemente, se o site ou no falsificado.

12.4.5. Como posso saber se o certificado emitido para o site legtimo?

extremamente importante que o usurio verifique algumas informaes contidas no certificado. Um exemplo de um certificado, emitido para um site de uma instituio mostrado abaixo. This Certificate belongs to: This Certificate was issued by: www.example.org www.examplesign.com/CPS Incorp.by Ref. Terms of use at LIABILITY LTD.(c)97 ExampleSign www.examplesign.com/dir (c)00 ExampleSign International Server CA UF Tecno Class 3 Example Associados, Inc. ExampleSign, Inc. Cidade, Estado, BR Serial Number: 70:DE:ED:0A:05:20:9C:3D:A0:A2:51:AA:CA:81:95:1A This Certificate is valid from Thu Sep 05, 2002 to Sat Sep 06, 2003 Certificate Fingerprint: 92:48:09:A1:70:7A:AF:E1:30:55:EC:15:A3:0C:09:F0 O usurio deve, ento, verificar se o certificado foi emitido para o site da instituio que ele deseja acessar. As seguintes informaes devem ser checadas: 9 Endereo do site. 9 Nome da instituio. 9 Prazo de validade do certificado. Ao entrar em um site seguro pela primeira vez, seu browser ir apresentar uma janela pedindo para confirmar o recebimento de um novo certificado. Ento, verifique se os dados do certificado correspondem instituio que voc realmente deseja acessar e se

146 Pgina:

Segurana em redes de computadores seu browser reconheceu a autoridade certificadora que emitiu o certificado. Se ao entrar em um site seguro, que voc utilize com frequncia, seu browser apresentar uma janela pedindo para confirmar o recebimento de um novo certificado, fique atento. Uma situao possvel seria que a validade do certificado do site tenha vencido, ou o certificado tenha sido revogado por outros motivos, e um novo certificado foi emitido para o site. Mas isto tambm pode significar que voc est recebendo um certificado ilegtimo e, portanto, estar acessando um site falsificado. Uma dica para reconhecer esta situao que alm das informaes contidas no certificado normalmente no corresponderem instituio que voc realmente deseja acessar, seu browser possivelmente ir informar que a Autoridade Certificadora que emitiu o certificado para o site no pde ser reconhecida. De qualquer modo, caso voc receba um novo certificado ao acessar um site e tenha alguma dvida ou desconfiana, no envie qualquer informao para o site antes de entrar em contato com a instituio que o mantm, para esclarecer o ocorrido.

12.4.6. Exemplo de procedimento aps fraude

Se apesar de todos os esforos, uma pessoa ser fraudada por um site falso, por exemplo, recomendvel realizar um levantamento das informaes da mquina que utiliza, a fim de que seja detectada a maneira que o hacker conseguiu efetivar o ataque, para evitar transtornos posteriores. Segue um roteiro, para ambiente Windows, para que uma pessoa siga os passos e faca uma analise da causa do problema. 1. Passo - Fechar todos os programas em execuo 2 Passo Entrar no Regedit: Este passo ir auxiliar na identificao de vrus ou worm no seu computador, pois a maioria deles alteram registros no Windows. importante buscar por palavras chaves a assinatura e registro no arquivo gerado. Para saber quais so relevantes, basta acessa sites, como da Symantec para identifica-las. 9 9 9 9 Clicar em Iniciar (Start) Clicar em Executar (Run) Digitar REGEDIT Clicar em OK 147 Pgina:

Segurana em redes de computadores 9 Maximizar a Janela do Regedit 9 Clicar no menu Registry (Registro) 9 Nas opes apresentadas no menu Registry, escolher Export Registry File (Exportar Arquivo de Registro) 9 Na janela apresentada, escolher a pasta onde o arquivo vai ser salvo (por exemplo C:\) 9 Digitar o nome do arquivo de exportao (vamos padronizar o nome Registro.txt) 9 No tipo de arquivo selecionar Registration Files 9 No Export Range clicar na opo ALL (Todo o registro) para exportar todo o registro 9 Fechar o programa Regedit 3 Passo Processos: Neste passo, verificaremos se existem processos sendo executados sem a sua autorizao, ou seja,k a existncia de trojans ou sniffers em sua mquina. Para identifica-los, basta que voc deixe somente uma aplicao aberta e verifique se existem aplicaes estranhas no gerenciador de tarefas. 9 Digitar <CTRL><ALT><DEL> 9 No Windows NT, XP, 2000 ou 2003~ 9 Clicar na opo Gerenciador de Tarefas (Task Manager) 9 Clicar na aba Processos (Processes) 9 Maximizar a Janela do Gerenciador de Tarefas 9 Clicar no em Nome (Image Name) para ordenar os processos por ordem alfabtica 9 Se for apresentada barra de rolagem vertical na janela apresentada, mover a barra de rolagem totalmente para cima 4 Passo Verificar arquivos: Existem alguns arquivos que so suspeitos de serem trojans ou vrus, conforme especificados a seguir. Caso os encontre em seu micro, recomendvel sua excluso e caso queira estudar seu comportamento, o copie em um disco flexvel para analise. 9 Clicar em Iniciar (Start) 9 Clicar em Localizar (Find) 9 Procurar, a partir do diretrio raiz (C:\) os seguintes arquivos: BPK*.*,. Caso encontre, enviar os arquivos e delet-lo de seu microcomputador 9 Procurar, a partir do diretrio raiz (C:\) os seguintes arquivos: 9 Procurar arquivos *HK.DLL e *WB.DLL, sendo que ambos arquivos devem ter o mesmo incio no nome, por exemplo: KAKAHK.DLL e KAKAWB.DLL. Neste caso, no mesmo diretrio, tambm haver o arquivo .EXE de mesmo nome, no caso do exemplo KAKA.EXE. Enviar os arquivos e delet-los de seu microcomputador.

148 Pgina:

Segurana em redes de computadores 5 Passo - Scan: Verificao da existncia de vrus ou trojans, atravs de uma lista mais atualizada. 9 Reiniciar o microcomputador 9 Executar um antivrus, o Check On Line da Symantec na URL, por exemplo: http:/www.symantec.com/securitycheck/ 9 Executar a desinfeco do seu computador, caso encontre algum vrus ou trojan.

3.

Bibliografia

ANONYMOUS. Traduo Furmankiewicz, Edson e Figueiredo, Joana. Segurana mxima para Linux. Rio de Janeiro: editora Campus 2000. SILVA, Lino Sarlo da. VPN Virtual Private Network. So Paulo, editora Novatec 2003. ULBRICH, Henrique Csar e Della Valle, James. Universidade Hacker. So Paulo, editora Digerati 2002. NAKAMURA, Emilio Tissato e Geus, Paulo Lcio. Segurana de redes em ambientes cooperativos. So Paulo, editora Berkeley 2002. SILVA, Lino Sarlo da. VPN Public key Infrastruture PKI. So Paulo, editora Novatec 2004. Links de referncia: www.icpbrasil.com.br www.nbso.nic.br www.cg.org.br www.rsa.com www.verisign.com www.microsoft.com www.iti.gov.br www.pkiforum.org www.cisco.com www.checkpoint.com www.clubedasredes.eti.br www.abusar.com.br www.hwn.com.br www.gta.ufrg.br www.rnp.br www.rede.unb.br www.revista.unicamp.br www.invasao.com.br www.fccn.pt 149 Pgina:

Segurana em redes de computadores www.penta2.ufrgs.br www.inf.uri.com.br www.redes.unb.br www.linhadecodigo.com.br

150 Pgina: