FACULDADE SALESIANA DE VITRIA PS-GRADUAO EM SEGURANA DE REDES DE COMPUTADORES

ELIANA NASCIMENTO MARINHO LEANDRO MARINHO SANTOS

UMA PROPOSTA DE POLTICA DE SEGURANA EM REDES LINUX

VITRIA 2007

ELIANA NASCIMENTO MARINHO LEANDRO MARINHO SANTOS

UMA PROPOSTA DE POLTICA DE SEGURANA EM REDES LINUX

Monografia apresentada ao Curso de Psgraduao em Segurana de Redes de

Computadores da Faculdade Salesiana de Vitria, como requisito parcial para obteno do ttulo de Especialista em Segurana de Redes de Computadores. Orientador: Prof. M.Sc. Srgio Teixeira.

VITRIA 2007

Dados Internacionais de Catalogao-na-publicao (CIP) (Biblioteca da Faculdade Salesiana de Vitria, Esprito Santo, Brasil)

Marinho, Eliana Nascimento, 1952 M338p Uma Proposta de Poltica de Segurana em Redes Linux / Eliana Nascimento Marinho, Leandro Marinho Santos 2007. 107 f. : il. Orientador: Srgio Teixeira. Monografia (ps-graduao em Segurana de Redes de Computadores) Faculdade Salesiana de Vitria. 1.Redes de Computadores - Segurana. 2. Poltica de Segurana da Informao. 3. NBR/ISO/IEC 17799. I. Santos, Leandro Marinho. II. Teixeira, Srgio. III. Faculdade Salesiana de Vitria. IV. Ttulo. CDU: 004.7

ELIANA NASCIMENTO MARINHO LEANDRO MARINHO SANTOS

UMA PROPOSTA DE POlTICA DE SEGURANA EM REDES LINUX

Monografia apresentada ao Curso de Ps-graduao em Segurana de Redes de Computadores da Faculdade Salesiana de Vitria, como requisito parcial para obteno do ttulo de Especialista em Segurana de Redes de Computadores. Aprovada em 11 de julho de 2007.

COMISSO EXAMINADORA

_____________________________________ Prof. M.Sc. Srgio Teixeira Orientador

_____________________________________ Prof. M.Sc. drian Bonf Drago Faculdade Salesiana de Vitria

_____________________________________ Prof. Esp. Sandro Pereira de Melo 4NIX Servios em Informtica

AGRADECIMENTOS

Agradecemos a todos que colaboraram para que este sonho se tornasse realidade. Em especial, aos nossos pais por todo apoio e dedicao durante estes anos. Ao nosso orientador Prof. Srgio Teixeira pela compreenso, dedicao e amizade. A DEUS, por nos conceder mais esta vitria, por ter nos sustentado nos momentos difceis sem a sua luz e sem a sua direo nada disso seria possvel.

Quando o meu esprito desanima, s tu quem conhece o caminho que devo seguir. SL 142:3

RESUMO

Este trabalho apresenta uma proposta de concepo e implementao de uma poltica de segurana baseada na NBR/ISO/IEC 17799 e em outros trabalhos relevantes na rea de segurana de redes. Alm disso, apresentada uma lista dos principais tipos de ameaas e ocorrncias de ataques segurana da informao nas empresas. Ao final proposta uma relao de procedimentos e configuraes que devem ser implementados em uma rede baseada no Linux para evitar a invaso e o acesso indevido s informaes . Palavras-chave: Redes de Computadores Segurana, Poltica de Segurana da Informao, NBR/ISO/IEC 17799.

ABSTRACT

This work presents a proposal of conception and implementation of one politics of security based on NBR/ISO/IEC 17799 and other excellent works in the area of security of nets. Moreover, a list of the main types of threats and occurrences of attacks to the security of the information in the companies is presented. To the end it is proposal a relation of procedures and configurations that must be implemented in a net based on the Linux, to prevent the invasion and the improper access to the information. Keywords: Computer networks - Security, Information Security Politics, NBR/ISO/IEC 17799.

LISTA DE FIGURAS

Figura 1. Incidentes Reportados ao CERT. Br-1999/Junho de 2006. 2006 ............................ 50 Figura 2 .Incidentes Reportados ao CERT.Br -Abril/Junho de 2006 ...................................... 50

10

LISTA DE QUADROS

Quadro 1: Protegendo o Grub com senha ............................................................................... 66 Quadro 2: Protegendo o Lilo com senha ................................................................................. 67 Quadro 3: vrias opes para configurar o arquivo /etc/fstab ............................................... 68 Quadro 4: Sistema de arquivo /proc ........................................................................................ 70 Quadro 5: Ignorar pacote de Ping........................................................................................... 70 Quadro 6: ignorar pings de broadcast..................................................................................... 70 Quadro 7: Desligar pacotes de fonte roteada.......................................................................... 71 Quadro 8: Desligar aceitao de redirecionamento................................................................ 71 Quadro 9: Opes para o arquivo de configurao Apache ................................................... 72 Quadro 10: comando para criar chaves DAS ......................................................................... 75

11

SUMRIO

1 INTRODUO .................................................................................................................. 13 1.1 MOTIVAO............................................................................................................. 14 1.2 OBJETIVOS ............................................................................................................... 14 1.2.1 GERAL ............................................................................................................. 14 1.2.2 ESPECFICOS.................................................................................................. 15 1.3 METODOLOGIA....................................................................................................... 15 1.4 ORGANIZAO DO TRABALHO......................................................................... 15 2 FUNDAMENTOS DE SEGURANA DA INFORMAO.......................................... 17 2.1 TRABALHOS RELACIONADOS............................................................................ 17 3 FUNDAMENTOS DA NORMA NBR/ISO/IEC 17799 ................................................... 23 3.1 SURGIMENTO DAS NORMAS DE SEGURANA DA INFORMAO.......... 24 3.2 OBJETIVOS E ABRANGNCIA............................................................................. 25 3.2.1 POLTICA DE SEGURANA......................................................................... 26 3.2.2 SEGURANA ORGANIZACIONAL ............................................................. 27 3.2.2.1 Infra-estrutura de segurana de informao ................................. 27 3.2.2.2 Segurana de acesso a terceiros....................................................... 27 3.2.2.3 Terceirizao ..................................................................................... 28 3.2.3 CLASSIFICAO E CONTROLE DOS ATIVOS DA INFORMAO ...... 28 3.2.4 CONTABILIZAO DOS ATIVOS............................................................... 28 3.2.5 CLASSIFICAO DA INFORMAO......................................................... 28 3.2.6 SEGURANA EM PESSOAS ......................................................................... 29 3.2.7 SEGURANA NA DEFINIO E NOS RECURSOS DE TRABALHO...... 29 3.2.8 TREINAMENTO DOS USURIOS................................................................ 29 3.2.9 RESPONDENDO A INCIDENTES DE SEGURANA E MAU FUNCIONAMENTO......30 3.3 REAS DE SEGURANA ........................................................................................ 30 3.3.1 EQUIPAMENTOS DE SEGURANA............................................................ 31 3.3.2 CONTROLES GERAIS.................................................................................... 32 3.3.3 GERENCIAMENTO DE OPERAES E COMUNICAES ..................... 32 3.3.4 CONTROLE DE ACESSO............................................................................... 32 3.3.5 DESENVOLVIMENTO DE SEGURANA DE SISTEMAS......................... 33

12 3.3.6 GESTO DA CONTINUIDADE DO NEGCIO ........................................... 33 3.3.7 CONFORMIDADE .......................................................................................... 34 3.4 SITUAO ATUAL NAS EMPRESAS................................................................... 35 3.5 O VERDADEIRO VALOR DAS EMPRESAS CERTIFICADAS ........................ 40 3.6 CONSIDERAES ................................................................................................... 42 4 AMEAAS SEGURANA DA INFORMAO........................................................ 44 4.1 HACKERS................................................................................................................... 44 4.2 HACKERS ROMNTICOS...................................................................................... 45 4.3 HACKERS PERIGOSOS .......................................................................................... 46 4.4 VRUS.......................................................................................................................... 49 4.5 MOTIVOS QUE LEVAM OS HACKERS S SUAS PRTICAS........................ 51 4.6 SEGURANA FSICA............................................................................................... 53 4.7 PROTEGENDO A REDE .......................................................................................... 55 5 VULNERABILIDADES DO LINUX................................................................................ 56 5.1 VULNERABILIDADE E SEGURANA NO LINUX ............................................ 57 5.2 DICAS GERAIS DE SEGURANA......................................................................... 59 6 UM MODELO DE REFERNCIA PARA A ELABORAO E APLICAO DE UMA POLTICA DE SEGURANA DA INFORMAO........................................... 60 6.1 FASES DA IMPLEMENTAO ............................................................................. 60 6.1.1 MONTANDO A EQUIPE ................................................................................ 61 6.1.2 NECESSIDADES DE SEGURANA ............................................................. 61 6.1.3 IMPLEMENTANDO A POLTICA................................................................. 62 6.2 AS FERRAMENTAS ................................................................................................. 62 7 UMA PROPOSTA DE APLICAO DE POLTICA DE SEGURANA EM UMA REDE LINUX........................................................................................................................................ 64 8 CONSIDERAES FINAIS E TRABALHOS FUTUROS ........................................... 77 9 REFERNCIAS BIBLIOGRFICAS ............................................................................. 79 10 SITES CONSULTADOS ................................................................................................ 82 ANEXO A - Pesquisa nacional de segurana da informao................................................... 88 ANEXO B - Questionrio elaborado para subsidiar a monografia .......................................... 91 ANEXO C - Centro de especializao em segurana .............................................................. 92

13

1 INTRODUO

Grupos de profissionais de informtica espalhados por todo mundo, trabalhando de forma cooperativa, transformaram softwares proprietrios em abertos. Esse fato facilitou e agilizou o acesso informao possibilitando uma maior democratizao no acesso ao conhecimento. Alm disso, surgiram novas tecnologias da informao com custos bem mais acessveis que democratizaram o acesso Internet. O aumento no acesso Internet agravou o problema de segurana das informaes que trafegam pela rede. Muitas empresas e instituies que se conectaram a Internet no deram a devida ateno ao assunto. Atualmente difcil imaginar o funcionamento das instituies bancrias sem o advento da Internet, que trouxe a comodidade e a rapidez no acesso s informaes. A internet proporciona entre outros benefcios, processos mais rpidos, comunicaes dinmicas, e aumento da produtividade de funcionrios remotos e mveis. O acesso s redes de computadores das empresas feito por funcionrios remotos e mveis tem se tornado pea chave, pois se tornou uma condio necessria para que as empresas continuem competitivas. A segurana da informao um tpico bastante divulgado nos meios de comunicao em geral. Apesar da constante divulgao dos problemas e perigos referentes segurana da informao, poucas empresas possuem estrutura adequada para enfrentar as ameaas que podem surgir. Uma alternativa para esse problema a implementao de uma poltica de segurana.

14 1.1 MOTIVAO

O avano tecnolgico e o crescimento da Internet nos ltimos anos possibilitaram a comunicao global entre as empresas. Essa interao trouxe uma dependncia dos sistemas informatizados. Dessa forma, surgiu uma nova viso empresarial que visa preservar os ativos de informao (dados das empresas) diante de um cenrio de ameaas e competitividade cada vez mais acirrada. O nmero de usurios conectados aumenta rapidamente, e conseqentemente a dependncia da tecnologia da informao. Neste contexto, a segurana dos dados torna-se uma questo estratgica e um diferencial competitivo capaz de assegurar a continuidade dos negcios e conseqentemente a prpria sobrevivncia da organizao. Apesar da ampla divulgao nos principais meios de comunicao sobre as atuais ameaas segurana da informao nas empresas muitas delas ainda no deram a devida ateno s ameaas existentes a segurana da informao. Alm disso, muitas empresas que buscam ferramentas ou solues para o problema de segurana nunca ouviram falar na Norma Nacional de Segurana da Informao NBR ISO/IEC 17799. Alm disso, elas no implementaram uma poltica de segurana que permita uma maior eficcia no combate ao problema de acesso indevido s informaes.

1.2

OBJETIVOS

1.2.1

GERAL

Propor uma cartilha de poltica de segurana em um ambiente baseado em software livre, com utilizao do Linux de acordo com a Norma Nacional de Segurana da Informao NBR ISO/IEC 17799.

15 1.2.2 ESPECFICOS

Apresentar os fundamentos da NBR ISO/IEC 17799 e de segurana de informao necessrios para a compreenso e implementao de uma poltica de segurana da informao. Alm disso, apresentar as principais ameaas a segurana da informao nas empresas e, por fim, propor um documento com diretivas de segurana especficas para as empresas.

1.3

METODOLOGIA

Para o desenvolvimento deste trabalho foi utilizada uma metodologia na seguinte sequncia de passos: pesquisa literria com coleta e anlise de dados referentes poltica de segurana, ataques e ferramentas de segurana. Foram observadas algumas referncias aplicao da poltica de segurana no Linux, pois esse trabalho far uma abordagem focando a poltica de segurana no sistema operacional Linux. Foram pesquisados diversos livros, peridicos, trabalhos acadmicos e normas tcnicas sobre o assunto abordado. Alm disso, foram pesquisados livros e revistas especializadas em Segurana da Informao, foi elaborado um questionrio com sugestes de profissionais da rea cujo resultado contribui com a proposta apresentada.

1.4

ORGANIZAO DO TRABALHO

Este trabalho est organizado e estruturado com o objetivo de apresentar a importncia da implantao de polticas de segurana mostrando ferramentas que possam auxiliar na implementao dessas polticas. O captulo 2 - Fundamentos de Segurana da Informao - apresenta o resumo de alguns artigos sobre segurana da informao.

16 O captulo 3 Fundamentos da Norma NBR/ISO/IEC 17799 - apresenta uma explanao sobre a norma NBR/ISO/IEC 17799 e o valor que as empresas certificadas tm. O captulo 4 Ameaas Segurana da Informao - apresenta a proposio do problema, abordando os tipos de ataques que comprometem os dados. O captulo 5 Vulnerabilidades do Linux - tem a proposta de levantar a discusso sobre as vulnerabilidades do sistema operacional Linux. O captulo 6 Um Modelo de Referncia para a Elaborao e Aplicao de Uma Poltica de segurana da Informao - apresenta um resumo de um modelo de poltica de segurana proposto por Alan Cota. O captulo 7 Uma Proposta de Aplicao de Poltica de Segurana em uma Rede Linux apresenta o enunciado da hiptese propondo uma poltica de segurana no sistema

operacional Linux. O capitulo 8 - Consideraes Finais e Trabalhos Futuros - propem trabalhos relacionados proposta apresentada. Finalmente anexos, Glossrio, Lista de Figuras, Lista de Quadros Bibliogrficas. e Referncias

17

2 FUNDAMENTOS DE SEGURANA DA INFORMAO

Hoje em dia a informao o ativo mais valioso das grandes Empresas. Apesar da conscincia que os executivos das empresas tm da importncia da necessidade da criao e implantao de uma Poltica de Segurana da Informao, preciso investir e tomar medidas concretas que permitam a implantao e manuteno de uma poltica de segurana eficaz. A segurana da informao como uma corrente caso exista um elo mais fraco a corrente pode quebrar quando sobre uma presso maior. Portanto, a segurana um problema complexo e integrado, pois depende de todos os elos para que funcione corretamente. O elo mais fraco equivalente a um usurio despreparado, desinformado, desinteressado ou mal intencionado. Sero apresentados alguns trabalhos acadmicos relacionados segurana da informao. Alm disso, ser apresentada uma pesquisa sobre a implantao de polticas de segurana em empresas da Grande Vitria-ES. Adicionalmente ser apresentada uma pesquisa realizada pelo Mdulo Security Solutions sobre segurana da informao. (MDULO 2003).

2.1

TRABALHOS RELACIONADOS

A literatura apresenta vrios trabalhos sobre polticas de segurana de hardware e software nos mais variados ambientes. Dentre os trabalhos relacionados poltica de segurana merecem destaque o artigo PoliCap Um Servio de Poltica para o Modelo CORBA de Segurana onde mencionado o Cherubim e o Control, produto que implementa o COSBAsec e a gerncia de polticas de segurana. O (Policap) um servio de poltica a ser utilizado por aplicaes distribudas que utilizam o modelo CORBA de segurana. O (Policap) foi projetado para ser inserido no contexto do projeto de segurana Jscoweb. Esse projeto est desenvolvendo um esquema de autorizao com o objetivo de concretizar a gerncia de polticas de segurana em redes de larga escala como a Internet. O servio de poltica Policap supre a carncia existente na utilizao de

18 polticas de segurana para a programao com objetos distribudos. So apresentados os resultados de uma implementao e sua avaliao utilizando critrios de segurana do padro ISO 15408. (WESTPHALL, 2004). Preocupado com aspectos de segurana o trabalho Certificados Digitais: Uma ferramenta desenvolvida com base no padro SET apresenta uma viso geral do (Secure Eletronic Transactions) SET, seu funcionamento, objetivos e caractersticas bem como o gerenciamento de certificado. O comrcio eletrnico ser uma das mais importantes maneiras de fazer negcios no futuro, entretanto, seu crescimento tem sido lento devido problemas de segurana. O padro (SET criado em 1996 por um consrcio de empresas e entidades oferece um alto grau de segurana s transaes eletrnicas), entretanto ainda no um padro de fato devido sua grande complexibilidade. O padro SET basicamente dividido em duas partes: sistemas de pagamento e gerenciamento de certificados. O grande nmero de processos criptogrficos utilizando diversos algoritmos diferentes, como (DES e RSA), a necessidade de um modelo distribudo eficiente para emisso, renovao e revogao de certificados e a grande complexibilidade envolvida no desenvolvimento de solues compatveis com o (SET) so os principais fatores que tem inibido sua aceitao. (JAKOBSEN, 2004 & SHAMIR, 2003).Diante disso, um grupo de pesquisadores da UFRGS desenvolveu um conjunto de aplicaes denominado (SET-F) com o objetivo de facilitar o uso do sistema de pagamento baseado no padro (SET) garantindo a sua compreenso e poder fornecer ao mercado do comrcio eletrnico uma ferramenta de segurana a baixo custo para empresas de pequeno e mdio porte. Dando continuidade a esse trabalho, os pesquisadores esto desenvolvendo aplicaes que permitam o gerenciamento de certificados que ainda no contemplado pelo (SET-F). O objetivo desse projeto facilitar a utilizao de um sistema para gerenciar certificados digitais (obteno, renovao e revogao) fornecendo maior grau de segurana ao (SET-F atravs da autenticao das partes envolvidas na transao). De acordo com LEMOS, um desastre ou descuido relacionado a segurana da informao em uma empresa pode ocasionar a paralisao total ou parcial dos ambientes tecnolgicos,

19 trazendo perda de informao e vulnerabilidade e prejuzo financeiro. Ele apresenta uma viso do mercado em relao segurana fsica e lgica da rede de computadores, observando a poltica de acesso, suas concesses e contingncias. O plano de contingncia muito importante, pois visa garantir a continuidade das atividades necessrias organizao. Desta forma, necessria elaborao de um plano que garanta a continuidade, segurana do tratamento e a disponibilidade das informaes em caso de sinistro (LEMOS, 2001). De acordo com Bullara, no final do sculo XX, a Internet veio agregar mais um modo de comunicao, o correio eletrnico que hoje um dos principais meios de comunicao entre pessoas. A comunicao uma necessidade humana e dentro desta necessidade encontramos questes latentes como confidencialidade, integridade, disponibilidade, autenticidade, legalidade e mtodos de no repdio das mensagens enviadas e recebidas atravs do correio eletrnico. Diante disso, o trabalho focaliza a comunicao segura entre pessoas atravs do correio eletrnico, analisando todas as questes latentes acima citadas (BULLARA, 2005). Milhes de usurios enviam suas mensagem atravs do correio eletrnico e no se do conta que estas mensagens encontram-se vulnerveis desde o momento de sua concepo pelo emissor at o momento da leitura por parte do receptor para serem capturadas e lidas por outras pessoas. Tambm no se d conta de que muitas mensagens eletrnicas que chegam ao seu correio eletrnico no so de autoria daquelas pessoas que se dizem ser. A questo de mostrar tanto ao profissional de informtica quanto ao pblico leigo em tecnologia como enviar e receber mensagens eletrnicas de forma segura foi o que motivou os autores a esta empreitada. O trabalho citado mostra todos os aspectos relacionado a segurana de um dos maiores e mais importantes meios de comunicao entre pessoas na atualidade que o correio eletrnico. De acordo com Freire, com a utilizao da Internet as empresas se estruturaram de forma a abrir suas portas para o mundo. justamente essa abertura e superexposio ao mundo exterior que faz com que a Internet, veculo de difuso de informaes utilizado tambm para promover negcios seja usada para finalidades obscuras como espionagem industrial, roubo de informaes, chantagens e outros tipos de crimes cometidos contra o patrimonio dessas corporaes (FREIRE, 2004).

20 A necessidade de tornar o ambiente de rede seguro vital para a manuteno da estabilidade, produtividade, credibilidade e, principalmente, do faturamento dessas empresas. Esta necessidade pode ser saciada a partir da utilizao correta de equipamentos e definio de regras que possam governar o uso apropriado destes equipamentos. Atualmente, existe a necessidade e preocupao das empresas em proteger informaes de sua propriedade ou interesse que trafeguem dentro ou fora de sua rede corporativa. A proteo interna normalmente baseada em definies de poltica de segurana que incluem procedimentos de auditoria interna, segurana de senhas, normas para utilizao de Internet, correio eletrnico, antivrus em estaes de trabalho entre outros mecanismos. A proteo das redes de computadores feita por meio de firewalls. Esses equipamentos protegem a rede interna da invaso de intrusos originrios da Internet permitindo somente a passagem de protocolos e servios autorizados de acordo com as definies da poltica de segurana das empresas. Tecnologias de segurana buscam garantir a segurana contra intrusos, pois a sobrevivncia das empresas depende disso. O mtodo de segurana mais efetivo o Firewall, pois ele certifica que toda comunicao entre a rede corporativa e a Internet esteja em conformidade com a poltica de segurana definida pela corporao. Esse sistema identifica e controla o fluxo de informaes que passa por ele. Ele verifica se o dado deve ser aceito, rejeitado, encriptado ou redirecionado para outra rede. Um firewall pode se comportar como um roteador, filtrando pacotes originrios da Internet baseados na informao contida em cada datagrama atravs da anlise de informaes como endereo de origem, endereo de destino e protocolo utilizado para a comunicao. Em outras situaes ele pode se comportar como um proxy1 servers evitando o acesso direto Internet. Ele filtra acessos no autorizados aplicando restries de trfego originrio do mundo exterior. Firewalls agem como um portal de segurana.

Proxy Server ou servidor de proxy - captura os dados que o destinatrio disponibiliza ao cliente (usurio) e os guarda em uma rea em disco. Na prxima vez que este site for acessado, o web browser primeiro far a procura no servidor proxy. Se os dados forem encontrados neste servidor, a transferncia de dados se dar entre ele e o cliente (web browser). Se o servidor proxy no dispuser dos dados requisitados, o acesso ser feito diretamente ao site de destino.(FURG, 2006).

21 A base para uma poltica de segurana adequada deve conter recomendaes de filtros contra os servios mais perigosos e explorados por invasores na tentativa de execuo de um ataque para o comprometimento de ambientes. A poltica de segurana deve estar em sintonia com os servios (portas/protocolos) que mais so explorados para tentativas de invaso. A melhor regra aplicvel a sistemas de firewall o bloqueio total dessas portas mesmo que estejam bloqueadas aconselhvel a monitorar as tentativas de invaso. importante frisar que o bloqueio de algumas das portas especificadas pode acarretar na paralisao de servios necessrios. Considere os efeitos potenciais das recomendaes (bloqueio de portas) antes de implement-las. (FREIRE, 2004). Em seu trabalho Windows 2000 e Linux: Um Estudo Comparativo no Contexto de Segurana Informtica Lgica, (FERREIRA, 2003) descreve o modelo de segurana lgica dos sistemas operativos Windows 2000 e Linux (Red Hat 8) bem como as respectivas vulnerabilidades e medidas de proteo associadas. igualmente feita uma anlise crtica a um sistema de deteco de intruso para Linux com a finalidade de propor uma melhoria no modelo de segurana apresentado. No existindo sistemas de deteco de intruso gratuitos para o Windows 2000 optou se por efetuar somente o teste em Linux. No entanto, o princpio de utilizao do sistema de deteco de intruso pode ser transposto para o Windows 2000. feita inicialmente uma contextualizao ao tema que incide nas reas referidas expondo os principais aspectos de segurana lgica existentes nestes dois sistemas operativos. Desta forma, pretende se fornecer ao leitor uma idia clara do modelo de segurana lgica do Windows 2000 e do Linux. Seguidamente apresenta-se uma exposio das principais vulnerabilidades encontradas nos dois sistemas operativos, bem como das contramedidas propostas permitindo ao leitor generalizar os conceitos expostos para as vulnerabilidades lgicas de sistemas operativos em geral. De modo semelhante ser-lhe- possivel entender que procedimentos existem para preveno geral de ataques segurana lgica de sistemas operativos atravs da generalizao dos mtodos de preveno enunciados.

22 igualmente feita uma anlise implementao de um sistema de deteco de intruso (IDS) para demonstrar como a segurana lgica poder ser melhorada. Pretende-se definir a importncia de sistemas de deteco de intruso na segurana de sistemas operativos em geral, utilizando como exemplo prtico um IDS para o Linux. Com este trabalho o autor quer mostrar que segurana lgica existe no Windows 2000 e no Linux permitindolhe a comparao de acordo com as suas necessidades, bem como lhe fornecer os passos necessrios para melhorar essa segurana, generalizando os mtodos e as tcnicas estudadas neste trabalho de forma a poder aplic los em reas de investigao de segurana lgica semelhantes. (FERREIRA, 2003).

23

3 FUNDAMENTOS DA NORMA NBR/ISO/IEC 17799

Ao longo da histria desde a mais remota Antigidade o ser humano vem buscando controlar as informaes que julga importante. Na antiga China a prpria linguagem escrita era usada como uma forma de criptografia, pois somente as classes superiores podiam aprender a ler e a escrever. Outros povos como os egpcios e os romanos deixaram registrados na histria sua preocupao com o trato de certas informaes, especialmente as de valor estratgico e comercial. Com a Segunda Guerra Mundial a questo da segurana ganhou uma nova dimenso na medida em que sistemas automticos e eletro-mecnicos foram criados tanto para criptografar como para efetuar a criptoanlise e quebrar a codificao (SCHNEIER, 2001). Tradicionalmente as organizaes dedicam grande ateno para com seus ativos tangveis fsicos e financeiros, mas relativamente pouca ateno aos ativos de informao que possuem. Entretanto, nos ltimos anos, a informao assumiu importncia vital para manuteno dos negcios marcados pela dinamicidade da economia globalizada e permanentemente on-line de tal forma que atualmente no h organizao humana que no dependa da tecnologia de informaes em maior ou menor grau de forma que o comprometimento do sistema de informaes por problemas de segurana pode causar grandes prejuzos ou mesmo levar a organizao falncia (CARUSO, 1995). Visando minimizar esses riscos a International Standartization Organization (ISO), publicou uma norma internacional para garantir a segurana das informaes nas empresas. A Associao Brasileira de Normas Tcnicas (ABNT) operando em sintonia com a ISO e atenta s necessidades nacionais quanto a segurana da informao disponibilizou o projeto na verso brasileira da norma ISO para consulta pblica e posterior votao e publicao. Percebe-se que antes mesmo da publicao do documento oficial as empresas brasileiras esto se antecipando no sentido de preparar suas estruturas para implementao dos itens que compem a norma. Tal procedimento justifica-se na medida em que as empresas esto mudando seu comportamento quanto questo da segurana da informao, premiadas pelo risco crescente de roubos e ataques a seus sistemas. Por outro lado compreendem que as

24 normas ISO e ABNT so o resultado de um esforo internacional que consumiu anos de pesquisa e desenvolvimento para se obter um modelo de segurana eficiente e universal.

3.1

SURGIMENTO DAS NORMAS DE SEGURANA DA INFORMAO

O esforo no qual resultaram a (ISO17799 e a Norma ABNT) remontam a 1987 quando o departamento de comrcio e indstria do Reino Unido (DTI) criou um centro de segurana de informaes, o CCSC (Commercial Computer Security Centre) que dentre suas atribuies tinha a tarefa de criar uma norma de segurana das informaes para companhias britnicas que comercializavam produtos para segurana de TI (Tecnologia da Informao) atravs da criao de critrios para avaliao da segurana (SOLMS, 1998). Outro objetivo do CCSC era a criao de um cdigo de segurana para os usurios das informaes. Com base nesse segundo objetivo em 1989 foi publicado a primeira verso do cdigo de segurana, denominado PD0003 - Cdigo para Gerenciamento da Segurana da Informao. Em 1995 esse cdigo foi revisado e publicado como uma norma britnica (BS), a BS7799: 1995. Em 1996, essa norma foi proposta ao ISO para homologao, mas foi rejeitada (HEFFERAN, 2000). Uma segunda parte desse documento foi criada posteriormente e publicada em novembro de 1997 para consulta pblica e avaliao. Em 1998 esse documento foi publicado como BS7799-2:1998 e depois de revisado foi publicado junto com a primeira parte em abril de 1999 como BS7799: 1999. (HEFFERAN, 2000). Em 1998 a lei britnica denominada Ato de Proteo de Dados recomendou a aplicao da norma na Inglaterra o que viria a ser efetivado em 1o de maro de 2000. Ao longo de seu desenvolvimento a norma foi sendo adotada no s pela Inglaterra como tambm por outros pases da Comunidade Britnica tal como Austrlia, frica do Sul e Nova Zelndia (SOLMS, 1998).

25 A parte 1 desse documento foi levada (ISO) e proposta para homologao pelo mecanismo de "Fast Track" para um trmite rpido, pois normalmente uma norma leva at 5 anos para ser avaliada e homologada pela (ISO). Em outubro de 2000 na reunio do comit da (ISO) em Tquio a norma foi votada e aprovada pela maioria dos representantes. Os representantes dos pases do primeiro mundo excetuando a Inglaterra foram contrrios homologao, mas sob votao venceu a maioria e a norma foi homologada como ISO/IEC 17799:2000 em 01 de dezembro de 2000. Atualmente o comit BDD/2 do BSI/DISC est preparando a parte 2 da BS7799 para apresentao a ISO para Homologao. Com a homologao diversos pases incluindo o Brasil esto criando suas prprias normas nacionais de segurana de dados baseados na norma (ISO). Ao mesmo tempo est surgindo a Certificao de Segurana (ISO 17799) que empresas e organizaes podem obter ao aplicar a norma assim como aps a homologao da norma brasileira surgir a respectiva certificao para empresas nacionais.

3.2

OBJETIVOS E ABRANGNCIA

O objetivo fundamental da norma ISO e da norma brasileira, nela baseada, assegurar a continuidade e minimizar o dano empresarial prevenindo e minimizando o impacto de incidentes de segurana. (ISO/IEC 17799:2000) A (ISO/IEC 17799:2000) define segurana como a proteo contra um grande nmero de ameaas s informaes de forma a assegurar a continuidade do negcio minimizando danos comerciais e maximizando o retorno de investimentos e oportunidades. A segurana da informao caracterizada pela preservao dos seguintes atributos bsicos: a) Confidencialidade: segurana de que a informao pode ser acessada apenas por quem tem autorizao. b) Integridade: certeza da preciso da informao.

26 c) Disponibilidade: garantia de que os usurios autorizados tenham acesso a informao e aos recursos associados, quando necessrio. A preservao desses atributos constitui no paradigma bsico da Norma Internacional para Gerenciamento da Segurana da Informao, a ISO17799 e de toda a cincia da Segurana da Informao. A (ISO17799) bem abrangente pretendendo contemplar todos os aspectos da segurana da informao. Nesse sentido divide-se em 12 captulos ou partes cada qual abordando um aspecto da segurana da informao. A norma brasileira segue a mesma estrutura de captulos, itens e controles. Os Captulos que compem a norma so os seguintes: Objetivos, termos e definies, poltica de segurana, segurana organizacional, classificao e controle dos ativos de informao, segurana em pessoas, segurana ambiental e fsica, gerenciamento das operaes e comunicaes, controle de acesso, desenvolvimento de sistemas e manuteno, gesto de continuidade do negcio e conformidade.

3.2.1

POLTICA DE SEGURANA

A elaborao de uma poltica de segurana representa um passo fundamental no estabelecimento de um sistema de gesto de segurana da informao eficaz. Esta visa definir a linha mestra na gesto de risco e segurana da informao definindo: padres a serem seguidos e aes a serem tomadas, descrevem os vrios processos envolvidos com o trabalho de segurana e a responsabilidade sobre os mesmos. O documento da poltica de segurana deve ser claro, de fcil entendimento que conste s referncias aos documentos que serviram de base para a sua construo, como por exemplo: a prpria NBR ISO/IEC 17799, a Constituio Brasileira, o Estatuto da Organizao e etc.

27 3.2.2 SEGURANA ORGANIZACIONAL

Conjunto de responsabilidades, autoridade e relaes entre pessoas de uma organizao. Este macro controle dividido nos seguintes controles:

_ Infra-estrutura de Segurana da Informao; _ Segurana de Acesso a Terceiros; _ Terceirizao.

3.2.2.1 Infra-estrutura de segurana de informao Visa a criao de uma estrutura de gerenciamento da segurana da informao, da definio de responsabilidades, da definio de fontes externas de informaes e ajuda as quais sero utilizadas no processo de implantao da segurana da informao. de vital importncia que as responsabilidades sejam claramente definidas e que a poltica de segurana seja um guia sobre a aplicao de regras e responsabilidades, por isso deve haver um consultor interno ou externo que possa ser invocado sempre que necessrio, principalmente aps suspeitas de incidentes ou violaes na segurana.

3.2.2.2 Segurana de acesso a terceiros O Acesso a terceiros ao ambiente deve ser controlado. Para que haja um controle, uma anlise prvia de risco deve ser realizada. Esta anlise definir os controles necessrios para garantir a segurana do ambiente. Tais controles devem levar em conta tanto os acessos lgicos quanto fsicos bem como o valor da informao que poder ser acessada pelos usurios.

28 3.2.2.3 Terceirizao Este controle visa ajudar a estabelecer as responsabilidades e os riscos quando parte ou todo o processo da informao terceirizado. Inicialmente este processo requer que ocorra a definio e a assinatura de um contrato que ir reger a interao de ambas as partes (organizao e terceirizados). Este contrato por sua vez deve permitir que os requisitos e procedimentos sejam expandidos.

3.2.3

CLASSIFICAO E CONTROLE DOS ATIVOS DA INFORMAO

Embora no exista uma forma padronizada de se classificar a informao existente nas organizaes, do ponto de vista de seu contedo ela costuma ser dividida em trs categorias: informao pessoal, informao de segurana nacional e informao de negcio (KOVACICH, 1998).

3.2.4

CONTABILIZAO DOS ATIVOS

Este procedimento tem por objetivo a elaborao de inventrio dos ativos de informao e atribuio de responsabilidades pela sua proteo. Este processo ajuda a evidenciar a importncia ou "valor" de um determinado ativo para a organizao. Associar um nvel de segurana ao ativo facilita a determinao dos controles de segurana a serem aplicados uma vez que aplicao de controles deve ser proporcional ao valor do que se deseja proteger.

3.2.5

CLASSIFICAO DA INFORMAO

A classificao da informao visa definir o seu nvel de importncia. Normalmente este nvel no esttico podendo desta forma variar com o passar do tempo e com o modelo do ambiente. Para a classificao das informaes necessrio definir um conjunto de regras e nveis de classificao. Estes devem levar em considerao o nvel de

29 compartilhamento/restrio das informaes e o impacto desta classificao nas atividades do ambiente

3.2.6

SEGURANA EM PESSOAS

Este macro controle visa prover os recursos necessrios para o gerenciamento dos fatores de segurana que envolve as atividades humanas na organizao bem como o processo de treinamento e conscientizao quando do uso correto da poltica de segurana. Este macro controle subdividido em: segurana na definio e nos recursos de trabalho, treinamento dos usurios respondendo a Incidentes de segurana e mau funcionamento.

3.2.7

SEGURANA NA DEFINIO E NOS RECURSOS DE TRABALHO

Este visa reduzir os riscos de segurana provenientes das atividades humanas em uma determinada organizao como, por exemplo: os problemas de roubo e venda de informaes confidenciais.

3.2.8

TREINAMENTO DOS USURIOS

Este item tem por finalidade fornecer a todos os usurios das informaes provenientes de uma organizao uma viso completa das ameaas e das preocupaes que a organizao possui sobre a segurana da informao. O treinamento deve capacitar os usurios a apoiarem o bom funcionamento da poltica de segurana. indicado que todos os usurios antes de terem acesso ao ambiente passem por um treinamento completo.

30 3.2.9 RESPONDENDO A INCIDENTES DE SEGURANA E MAU FUNCIONAMENTO

Este controle alm de procurar reduzir os danos causados por falhas no ambiente visa permitir que se aprenda com as falhas j ocorridas. Para tal existe a necessidade da conscientizao dos usurios quanto ao processo de notificao de incidentes, mesmo quando estes incidentes no passarem de simples suspeitas. A conscientizao ir ajudar para que o processo de notificao de incidentes seja feito atravs dos meios e s pessoas corretas, o mais rpido possvel. O quanto antes um incidente for notificado melhor ele poder ser tratado. Para apoiar o processo de notificao, deve haver um sistema formal de notificao de incidentes bem como de resposta aos incidentes. No registro dos incidentes, informaes como tempo de paralisao das atividades, custo, danos e o processo adotado para a sua correo so de vital importncia, pois estas informaes devem ser utilizadas no processo de melhoria da poltica de segurana, bem como no processo de resposta a incidentes. Normalmente o processo de registro de incidentes d origem ao que conhecemos como "kwonledgebase" de incidentes.

3.3

REAS DE SEGURANA

Este macro controle apresenta trs subcontroles que so: as reas de segurana, os equipamentos de segurana e controles gerais e todos relacionados a aspectos fsicos da segurana de informao. A finalidade deste controle inibir oacesso no autorizado s reas onde se encontram informaes vitais para a organizao. A proteo aplicadaa uma determinada rea deve ser proporcional aos riscos identificados pela anlise de riscos. Visitantes e terceiros s podem ganhar acesso s reas especficas da organizao em especial aquelas que esto dentro de permetros de segurana quando acompanhados de um funcionrio responsvel e com a devida autorizao. indicada a utilizao de mecanismos de autenticao que gerenciem a entrada e sada de pessoas e material das reas de segurana.

31 3.3.1 EQUIPAMENTOS DE SEGURANA

Este controle visa prover dos mecanismos necessrios para evitar a paralisao das atividades da organizao ocasionada por danos em seus equipamentos. Para tal, devem ser adotados procedimentos que busquem a proteo fsica contra ameaas e perigos existente no prprio ambiente. Um problema freqente e tratado por este controle o acesso no autorizado aos dispositivos de processamentos. Para inibir este tipo de problema devem ser empregados mecanismos fsicos que evitem o acesso desnecessrio rea de processamento das informaes. Outro fator de risco encontrado em reas de processamento o consumo de bebidas, alimentos e fumo. Tal padro de comportamento tende a gerar vrios tipos de danos aos equipamentos, portanto o consumo de alimentos, bebidas e fumo deve ser tratado pela poltica de segurana da organizao a fim de inibir a sua ocorrncia nas reas de processamento. Problemas gerados pela falta ou alterao da tenso da corrente eltrica tambm devem ser levados em considerao. Quando houver o uso de mecanismos que visem evitar ou minimizar este problema os mesmos devem ser peridicamente testados e submetidos a manutenes preventivas visando com isto garantir o seu perfeito funcionamento. Os cabeamento da rede eltrica e da rede de dados devem ser protegidos contra danos e interceptaes. Sempre que possvel deve se utilizar passagens subterrneas evitando desta maneira pass-los de forma area e por vias pblicas. Devido questo de segurana e gerenciamento somente pessoas previamente autorizadas podem realizar manutenes e instalaes nos equipamentos de processamento da informao pelo mesmo motivo deve existir um registro completo de todos os processos de manuteno. Equipamentos s podem ser retirados da organizao ou utilizados fora das instalaes com uma autorizao explicita fornecida pela administrao da organizao, uma vez que informaes importantes podem ser expostas por descuido dos usurios.

32 3.3.2 CONTROLES GERAIS

Estes objetivam a reduo da possibilidade de divulgao e roubo de informaes que pertencem organizao. Um exemplo de medida a ser adotada a poltica da "tela limpa e mesa limpa". Mesmo sendo simples esta poltica evita que usurios no autorizados tenham acesso s informaes que esto sendo manipuladas em um determinado momento no ambiente. Os terminais de trabalho devem ser mantidos desconectados quando no estiverem em uso ou protegidos por algum sistema de senha ou tranca fsica. Terminais de trabalho que forem abandonados por um determinado perodo de tempo devem realizar a desconexo automtica do usurio conectado.

3.3.3

GERENCIAMENTO DE OPERAES E COMUNICAES

Este visa prover os recursos necessrios para facilitar o processo de gerenciamento dos mecanismos de troca de informaes dentro e fora da organizao e composto dos seguintes subcontroles:

_ Procedimentos e Responsabilidades Operacionais; _ Planejamento e Aceitao dos Sistemas; _ Proteo contra softwares maliciosos;
_ Housekeeping; _ Gerncia de Rede; _ Segurana e Manuseio de Mdias; _ Troca de Informaes e Softwares.

3.3.4

CONTROLE DE ACESSO

Este macro controle pode ser decomposto nos seguintes controles de segundo nvel: _ Requisitos do negcio para controle de acesso; _ Gerncia de acesso dos usurios;

33 _ Responsabilidade dos usurios; _ Controle de Acesso rede; _ Controle de Acesso ao Sistema Operacional; _ Controle de Acesso s aplicaes; _ Notificao do uso e acesso ao sistema; _ Computao mvel e trabalho remoto; Um dos objetivos destes controles inibir os problemas de segurana gerados pelo acesso lgico no autorizado de usurios s informaes da organizao. Independentemente do tipo e do mecanismo de acesso deve haver um processo formal de gerenciamento dos direitos que os usurios possuem quando acessam o ambiente.

3.3.5

DESENVOLVIMENTO DE SEGURANA DE SISTEMAS

Este controle fornece os critrios necessrios para o desenvolvimento de aplicativos mais consistentes com a norma de segurana da organizao e pode ser subdividido nos subcontroles de requisitos de segurana de sistemas, de segurana nos sistemas de aplicao, nos controles de criptografia, na segurana do sistema de arquivo e na segurana dos processos de Desenvolvimento e Suporte.

3.3.6

GESTO DA CONTINUIDADE DO NEGCIO

Este controle se relaciona com os mecanismos necessrios para o perfeito funcionamento do ambiente mesmo quando parte deste apresenta alguma falha. Este controle visa garantir a continuidade da operao do ambiente mesmo em caso de falha parcial. Alcanar o que chamado de contingncia total, ou seja, no haver paralisao do ambiente em nenhum momento de sua operao quase impossvel. Por outro lado um trabalho amplo deve ser realizado para que o tempo de paralisao do ambiente em caso de alguma falha seja tido como aceitvel para o negcio da organizao.

34 A definio deste tempo "aceitvel" dependente do modelo do ambiente e deve ser determinado durante a anlise de risco do mesmo. O plano de contingncia deve abranger toda a organizao e levar em conta os riscos pelos quais o ambiente est exposto assim como o impacto que uma paralisao pode causar no mesmo. O plano de contingncia deve gerar uma documentao que detalhe os objetivos e prioridades deste controle dentro da organizao. O nvel de documentao e o tempo de indisponibilidade devem estar consistentes com o nvel de exigncia existente no ambiente. Devido ao carter mutante dos ambientes das organizaes os planos de continuidade devem ser constantemente testados e atualizados bem como a identificao dos riscos e dos impactos devem ser feitos mediante ao uso de uma ferramenta, como a anlise de risco de segurana. Um plano de continuidade pode ser dividido em cinco partes: a identificao dos procedimentos, a implementao dos procedimentos, a documentao do plano, o processo de treinamento, os testes de conformidade e as atualizaes.

3.3.7

CONFORMIDADE

Este macro controle abrange os aspectos legais relacionados ao uso de determinados softwares, quando e como deve ser realizada a reviso da poltica de segurana e como deve ocorrer o processo de auditoria. Este controle visa inibir violaes legais no uso e manuseio da informao independentemente de seu tipo dentro da organizao. A ISO17799 cobre os mais diversos tpicos da rea de segurana possuindo mais de 100 controles que devem ser atendidos para garantir a segurana das informaes de uma empresa de forma que a obteno da certificao pode ser um processo demorado e muito trabalhoso, consistindo num desafio para as empresas. Em contrapartida a certificao uma forma bastante clara de mostrar sociedade que a empresa d a segurana de suas informaes e de seus clientes a importncia que merecem de

35 tal forma que se espera que em poucos anos todas as grandes empresas tero aderido a norma e obtido suas certificaes como forma de no s assegurar sua sobrevivncia, mas tambm como parte do marketing de suas imagens junto ao pblico e como fator mais um diferencial de competitividade no mercado.

3.4

SITUAO ATUAL NAS EMPRESAS

Os cenrios sociais, tecnolgicos, educacionais e econmicos tm sofrido grandes mudanas nesta virada de sculo com o surgimento de novas atividades e ao mesmo tempo em que outras desaparecem ou so profundamente transformadas. As tecnologias de informao e comunicao vm tomando espao cada vez maior na sociedade alterando de forma significativa os meios de produo e disseminao do conhecimento humano (HUGHES, 1997). O computador presente nas empresas no significa necessariamente melhoria na qualidade em relao produtividade, diminuio dos custos operacionais e expanso no seu segmento de mercado (HAWKINS, 1995). No presente trabalho pode-se perceber que por mais que se trabalhe com esse objetivo dificilmente se conseguir cobrir todas as lacunas que esta rea proporciona. H uma interessante passagem de autor annimo de onde se pode partir para discutir essa questo: A Internet segura. Eles dizem: ento no se preocupe! Isso uma verdade? No. As pessoas de marketing esto mentindo. Ou isso ou eles no tm absolutamente nenhuma idia do que esto falando. A verdade : A Internet no segura nem mesmo moderadamente (ANNIMO 2000: pg. 05, Maximus Security). Estamos atravessando a era da informao, um perodo jamais visto desde a criao da escrita por nossos ancestrais. O crescimento das redes de computadores e o advento da Internet trouxeram grande demanda pela conectividade. As pessoas esto cada vez mais sentindo a necessidade de se interconectar e sempre na expectativa de suprir a necessidade de informao.

36 A cada momento somos surpreendidos por novidades tecnolgicas que facilitam em muito a vida tais como recebimento de informaes atravs dos celulares (tecnologia Wap1), geladeiras que possuem conexo com os supermercados e atravs da internet realizam as compras online sem a interferncia do proprietrio e os SmartCards2 que j podem ser recarregados com valores financeiros sem a necessidade do deslocamento at o banco. Esta revoluo traz os produtos e servios para bem prximo de nossos lares e escritrios. Cada dia mais os segmentos da economia esto se voltando para formas de disponibilizao online das informaes. No setor da iniciativa privada e rea publica no diferente todos esto preparando as suas estruturas para uma futura disponibilizao e acesso da informao atravs da grande rede mundial de computadores. No Brasil poucas empresas e instituies esto valorizando este mecanismo de comunicao de forma adequada. Existem grupos de estudos na rea acadmica que enfocam os assuntos de segurana em informtica, tal como a UNICAMP e a UFRGS. Estes movimentos so ainda muito isolados j que o potencial que as redes possuem de disponibilizao de servios, tais como troca de informaes entre indivduos da mesma empresa ou entre empresas (Bussiness to Bussiness), acesso interno ou externo base de dados e conhecimento e servios de atendimento online aos clientes de maior porte. Todos estes itens ficaram consagrados por serem burocrticos. Agora poderiam ser automatizados atravs das redes e principalmente no sentido de buscar a lucratividade e consolidao das transaes envolvendo a informao de forma segura (HELVECIO, 1999). Na Amrica Latina no diferente do contexto encontrado no Brasil. H uma carncia enorme de grupos de estudos para viabilizar de forma precisa a informao dentro dos ambientes corporativos. Nos demais paises notamos uma preocupao maior por parte apenas dos ingleses e americanos. Na Inglaterra como foi observado anteriormente neste documento foi elaborado um estudo chamado de (BS-77993) no qual podemos constatar uma preocupao da segurana da informao para empresas. Esta norma possui um detalhamento muito interessante de como a empresa deve se colocar no ambiente da internet. Nos Estados Unidos esto surgindo varias empresas que oferecem servios de implantao de procedimentos de segurana e elas esto se proliferando em uma velocidade muito alta. Estas

37 empresas esto sendo criadas com o foco de adequar corporaes em relao segurana da informao. No momento atual brasileiro todos os acontecimentos na rea de segurana no tm impactado em mudanas ou transformaes profundas na rea de segurana da informao corporativa. Com as discusses iniciais dos projetos internacionais e at mesmo os nacionais esto surgindo dentro destas empresas uma preocupao maior das pessoas envolvidas no sentido de como e quais sero as diretrizes de segurana para se alcanar, coletar, solicitar, acessar, trocar, manipular um de seus principais patrimnios: as informaes que devero circular na instituio. Antigamente nas dcadas de 50 at 70 a segurana das informaes e dos sistemas de computao de uma instituio no era muito preocupantes devido ao limitado acesso que se tinha a esses recursos. Em relao aos sistemas, eles eram praticamente confinados ao ambiente interno e estavam protegidos de qualquer acesso externo. Com a evoluo das geraes da informtica o surgimento da microinformtica (IBM-PC4), a facilidade na aquisio de computadores pessoais e o advento dessas redes de computadores tornou-se possvel uma integrao das estruturas atravs das redes, um compartilhamento globalizado dos recursos (networking) e das informaes (internetworking). A segurana das informaes passou a ser uma rea crtica, pois quanto maior a facilidade de acess-las maior a probabilidade de usurios externos compartilhares tambm desse acesso (NORTHCUTT, 2001). Com o crescimento do uso da informtica e telecomunicaes dentro das corporaes e sua integrao com os usurios dessas facilidades mudou-se o paradigma de segurana. Na poca dos mainframes quando ainda no existia a comunicao entre as redes o objetivo central era a proteo dos dados dentro do CPD (Centro de Processamento de Dados) e a sua utilizao em terminais sem capacidade de processamento e armazenamento local era a poca da segurana de dados. Hoje os ambientes so heterogneos, as empresas possuem um parque de informtica muito hbrido com equipamentos cujas velocidades, espaos de armazenamento, recursos e perifricos se diferenciam entre as demais mquinas. Os riscos so diferentes nas diversas arquiteturas de computadores, de redes e ainda por cima com sistemas operacionais diferentes

38 dentro do mesmo local. Existem novas ameaas e as vulnerabilidades esto sempre aumentando. Dependemos no somente do computador local, mas da informao armazenada em lugares distantes e em vrias mdias desde Compact Disc at meios magnticos tais como discos rgidos redundantes e fitas com alta capacidade de armazenamento. A definio e adoo de uma poltica de segurana de rede tornam-se fundamental, pois coloca a informtica sob controle evitando perda de produtividade, aumentando a disponibilidade dos sistemas e protegendo as informaes contra qualquer tipo de uso indevido. Hoje vivemos um perodo de grandes avanos tecnolgicos principalmente nas reas de telecomunicaes e transporte de informaes entre as intranets, extranets e internet. O fcil acesso Internet tanto na empresa quanto no prprio domicilio, leva as pessoas a exigir uma forma mais segura e adequada para acessar a informao. As empresas espalhadas por todo o Brasil comearam a se preocupar com a importncia da facilitao e disponibilizao de sua estrutura atravs das intranets, extranets e internet. No mbito das empresas pblicas os recursos so mais difceis e demorados. J no caso das particulares a disponibilizao de servios de rede primando pela segurana est sendo encarada como um diferencial no sentido de ser um atrativo a mais para novos clientes at mesmo para os clientes fiis. Os ambientes corporativos esto se tornando extremamente complexos integrando vrios sistemas operacionais o que dificulta ainda mais o planejamento por parte dos administradores de redes. As informaes geradas internamente precisam de tratamento muito cuidadoso antes de ser disponibilizadas. A necessidade de segurana para a proteo destes dados organizacionais exige um instrumento que garanta a sua integridade. Comea a despertar uma conscientizao em nvel de segurana das informaes em todos os lugares onde a informtica est presente. E as empresas j pensam neste assunto com uma maior seriedade. A democratizao da informao e quais os critrios para a sua utilizao se tornaram questo de sobrevivncia para estas empresas (PFLEEGER, 1997).

39 As premissas bsicas em relao segurana relacionadas ao acesso das informaes so: confidencialidade, integridade e disponibilidade. A partir da buscar-se- a elaborao de uma poltica de segurana de redes adequada natureza das organizaes. Os benefcios evidentes so: reduzir os riscos com vazamentos, fraudes, erros, uso indevido, sabotagem, roubo de informaes e diversos outros problemas que possam comprometer os princpios bsicos que norteiam a segurana de redes citadas acima. Esta poltica de segurana visa tambm aumentar a produtividade dos usurios em um ambiente mais organizado e com regras O uso com maior intensidade da internet e com maior freqncia nas empresas aumentou a vulnerabilidade de suas prprias redes internas com a abertura de novas portas para a quebra de segurana. O pr-estabelecimento com a implantao de regras e rotinas, ou seja, o estabelecimento de uma poltica interna na qual todos estejam envolvidos, dificultar os ataques e a perda da integridade dessas informaes. O primeiro passo na busca de uma soluo precisa em relao ao tema ser a identificao do que realmente se deve proteger, de quem se est tentando proteger, qual a possibilidade real dessas ameaas, levantamento de dificuldades em uma implementao de medidas de proteo nas quais protegero de maneira efetiva os recursos importantes e como ser feito o processo contnuo de reviso com a finalidade de melhorar cada vez mais e estar sempre em busca de identificar supostas fraquezas. Existe um velho axioma em segurana que diz: O custo de se proteger contra uma ameaa deve ser menor que o custo da recuperao se a ameaa o atingir (DAVIS, 1997). Neste contexto custo significa incluir perdas expressadas em moeda corrente real, reputao da empresa, confiana e outras medidas menos bvias. Com a integrao de todos os servios e sua disponibilizao a empresa poder se tornar foco de tentativas de rompimento da segurana interna. Vrias portas podero ficar abertas caso no haja a preocupao constante com a poltica de proteo a ser implementada. As decises que o administrador tomar vo determinar a vulnerabilidade na rede. A apresentao dos servios que sero fornecidos, a facilidade de uso, o custo da segurana versus o risco da perda sero os fatores mais importantes nesta proposta de pesquisa.

40 Uma poltica de segurana no ambiente corporativo ser a expresso das regras pelas quais poder ser fornecido o acesso aos recursos tecnolgicos da empresa. O principal propsito ser estabelecer tais regras, de que forma sero disseminadas e especificar atravs de quais mecanismos podem ser alcanadas. Outro propsito ser determinar um ponto de referncia a partir do qual se possa configurar e auditar os sistemas computacionais e as redes envolvidas para que sejam adequados aos requisitos de segurana. Os componentes a serem avaliados so: autenticao, acesso, privacidade, relatrios de violaes, procedimentos de backup e recuperao, combate a vrus, monitorao e anlise de dados, parte fsica, parte lgica, responsabilidades, manuteno de toda a estrutura de forma a no prejudicar as pessoas envolvidas no ambiente, guias de orientao para compra de tecnologias computacionais que especifiquem os requisitos ou caractersticas que os produtos devero possuir correlacionados com segurana e um meio pelo qual os usurios dessa estrutura podero relatar problemas e falhas (SCHNEIER, 2001). Uma vez feito um estudo aprofundado sobre estes componentes deve haver um plano de contingncia que dever estar disponvel, testado e atualizado de forma a assegurar o funcionamento da estrutura da rede nas situaes de emergncia ou desastre. A tendncia de mercado neste momento mostra uma crescente preocupao em relao segurana no contexto da informtica. O pas dever nos prximos anos trabalhar muito com este tema em busca de solues viveis e que garantam as premissas bsicas de segurana Polticas de segurana para as informaes devero ser colocadas em prtica para que as empresas possam realmente confirmar o seu importantssimo papel na sociedade capitalista.

3.5

O VERDADEIRO VALOR DAS EMPRESAS CERTIFICADAS

Qual o verdadeiro valor de uma certificao em segurana da informao? O quanto vale uma certificao (BS 7799) e agora (ISO 27001) para empresas verdadeiramente preocupadas com seus ativos de informao?

41 Em primeiro lugar o nvel de comprometimento e investimentos (segurana no custo e agrega valor sim) requer esforos bem direcionados de dirigentes e colaboradores de toda empresa. At aqui nenhuma novidade, gestores e demais profissionais de segurana j sabem disto. Em segundo lugar (o que tambm no novidade) necessrio desenvolver diversos projetos de segurana, mapear processos, estabelecer diretrizes e procedimentos, conformidade com as normas, anlise de riscos, anlise de impactos, planos de continuidade e recuperao de desastres, normas, regulamentos e polticas de segurana. Vamos destacar as polticas de segurana, que sero base da nossa gesto em segurana: controle de acesso, classificao da informao, privacidade de dados, Internet, e-mail, uso de equipamentos, uso de portteis, recursos humanos e dependendo da estrutura da empresa outras podero ser necessrias. Estamos falando em certificao, conformidade com as normas internacionais, ento precisa se mais de: padronizao de processos e documentao, auditorias peridicas, sistema de reporte estruturado e de conhecimento por todos os colaboradores (ou usurios, como prefere a ISO 17799:2005), indicadores de performance e planos de divulgao e conscientizao, buscando a to sonhada cultura de segurana. Cultura que definimos como a percepo da importncia da segurana de nossas informaes. Preocupao que deve ser de todos que fazem parte da empresa sem excees. Este o ponto que queremos chegar: cultura de segurana. Todos estes esforos geralmente buscam um melhor reconhecimento no mercado e confiana dos atuais e futuros clientes. Um pensamento sempre presente nos dirigentes diz respeito ao crescimento sustentado Com uma certificao e excelncia em determinada rea de gesto. Mas ser que nossos clientes efetivamente percebem a importncia e o valor desta certificao? Podemos afirmar que as pessoas preferem ser clientes de um Banco, por exemplo, que possui certificao e reconhecimento mundial em segurana da informao? No temos dados estatsticos nem informaes oficiais e ntegras para afirmar que no. Certamente existem pessoas que preferem trabalhar com instituies comprovadamente preocupadas com a segurana de suas informaes. O verdadeiro valor e os principais benefcios de uma certificao bem sucedida dizem respeito criao de uma verdadeira cultura de segurana. O maior ganho a percepo dos colaboradores em relao

42 importncia de preservar os ativos de informao, dar o tratamento adequado a dados sigilosos, garantir a segurana da empresa e das pessoas que trabalham nela. Com o conhecimento de que as informaes so cada vez mais vitais para os processos de negcios e sobrevivncia das organizaes, e que os ativos de informao se configuram como os mais valiosos dos ambientes corporativos que podemos avaliar o retorno dos investimentos e que a certificao tem muito valor sim. Toda esta energia desprendida no objetiva apenas um certificado e reconhecimento por profissionais de segurana e demais organizaes sejam elas concorrentes ou no. O verdadeiro valor est na nossa prpria casa e no quanto as pessoas iro trabalhar para preservar nossos maiores ativos.

3.6

CONSIDERAES

A segurana eletrnica esta cada vez mais ocupando uma das primeiras posies em prioridades de investimento das empresas. Entende-se que um projeto de segurana alm de definir as tecnologias a serem utilizadas deve contemplar tambm a definio dos procedimentos para que a soluo seja realmente efetiva. A poltica de segurana nortear todo o sistema de segurana de acesso rede. Por se tratar de uma definio poltica no existe um produto pronto e que seja facilmente encontrado no mercado tendo de ser desenvolvido em conjunto com a necessidade de cada empresa. O resultado desta analise ser um produto focando as caractersticas de disponibilidade da informao. As normas e procedimentos que refletem as diretrizes das empresas no item segurana tais como definies de formas de conexes, procedimentos operacionais, escopo de responsabilidade dos usurios e administradores, polticas de utilizao de senhas, procedimentos para situaes de contingncia, procedimentos de recuperao da rede em caso de violaes e as penalidades a serem aplicadas. A monitorao da soluo de segurana de acesso rede no tem garantia eterna. Estas solues so seguras apenas enquanto no so violadas. Existe a necessidade de monitorar permanentemente as solues de segurana definidas. Sendo a nica forma de evitar surpresas

43 quase sempre desagradveis. O produto tem que ser criado de forma a se adequar a esta necessidade atravs do qual determina os procedimentos necessrios para a monitorao contnua e em tempo real da segurana. Contemplando o aprimoramento das solues de segurana (poltica e arquitetura) atravs do acompanhamento de casos sobre problemas de segurana j ocorridos, evitando que os mesmos ocorram novamente. Para empresas que j implantaram uma norma ou soluo de segurana de rede a realizao de testes coordenados para verificar os pontos vulnerveis eventualmente existentes sempre ser necessria. Estes testes simulam a ao de um invasor (interno ou externo) dotado de grande conhecimento e recursos. Aps os testes sua empresa tem um diagnstico preciso com as indicaes de melhorias a serem adotadas. Outra forma de atuao nesta rea ser a contemplao de planos de atendimentos emergenciais diante de ataques de hackers, crackers e outros agentes externos ou internos. Determinando metodologias eficientes para rastrear evidncias e apresentando um plano de ao imediata para interveno e bloqueio da vulnerabilidade exposta. A necessidade de organizar a segurana da informao no ambiente corporativo de forma que estas informaes somente sero acessadas pelos respectivos interessados e uma ampla facilidade de consulta buscando sempre o conforto do cliente, do fornecedor ou de qualquer pessoa que faa parte deste universo independente de onde estiver de preservar a imagem da empresa perante o mercado e para finalizar de nada adianta saber dos itens citados na ISO se no conhecer quais so as ameaas segurana da informao.

44

4 AMEAAS SEGURANA DA INFORMAO

A segurana sempre foi encarada sob o ponto de vista tecnolgico, mas essa estratgia precisa ser contemplada como um problema empresarial. Segundo dados do Gartner Group que realiza a 2a. Conferncia Anual de Segurana no Infocosmo a partir de 2005 a informao seria o ativo mais importante para as empresas e para isso cuidar da infra-estrutura fsica e virtual deveria ser tpico primordial nos processos de negcios das companhias. Porm a maioria das empresas ainda no encontrou o caminho certo para investir em segurana. (ISTF, 2002). Uma ameaa consiste em uma possvel violao da segurana de um sistema. Neste captulo, sero abordados alguns tipos de ameaas e ataques mais frequentes que comprometem as informaes das empresas.

4.1

HACKERS

A imagem produzida no senso comum para a figura do hacker a do jovem que passa o dia inteiro na frente de um computador, conhecedor dos segredos da informtica e dos caminhos nas conexes via Internet. Essa viso no est longe da realidade. No entanto a definio maior do termo surge do efeito que essas atividades podem gerar. O conhecimento das ferramentas que acionam e regem sistemas e programas podem ser usados para democratizar informaes ou para atos criminosos. As atividades possveis atravs do domnio da cincia da computao vo desde pequenas invases em pginas da Internet sem maiores conseqncias at desvio de grandes quantias de dinheiro em contas bancrias. Por outro lado o domnio da mquina pode promover a divulgao do conhecimento que no interessa a grupos econmicos e governos ditatoriais. (HACKERS, 2005). H muita controvrsia em relao palavra hacker. Na sua origem nos anos 60 era usada para designar as pessoas que se interessavam em programar computadores. Passados mais de quarenta anos aps o surgimento do computador pessoal e da Internet o sentido da palavra hacker mudou e hoje ela usada nos noticirios para definir invasores de sistemas alheios e

45 at autores de crimes eletrnicos para desespero dos hackers originais. Os hackers da velha guarda defendiam a categoria e um cdigo de tica. Outros que tambm se intitulam hackers promovem invases, a disseminao de vrus por computador e gostam de divulgar seus codinomes. H at a tentativa de classificar os hackers como pessoas que promovem a liberdade de expresso e de informaes e os crackers como causadores de prejuzo. Mas essa classificao tambm gera uma confuso de sentidos. A palavra cracker vem do verbo em ingls "to crack" significando aqui quebrar cdigos de segurana. Mas, muitas vezes para promover a livre informao preciso "crakear" fazendo do legtimo hacker tambm um cracker.

4.2

HACKERS ROMNTICOS

Entre a comunidade hacker mundial h os que propagam uma ideologia e uma tica prpria que remontam o romantismo da origem do termo no final dos anos 60. O filsofo finlands (HIMANEN, 2001) defende em seu livro A tica dos Hackers e o esprito da era da informao que os legtimos hackers lutam pela liberdade de expresso e pela socializao do conhecimento. Ele divide a categoria em duas vertentes: os libertrios hackers e os contraventores crakers que buscam senhas bancrias e dados sigilosos de empresas. (HIMANEN, 2001) que professor na Universidade de Helsinque e de Berkeley na Califrnia enumera vrias atuaes significativas de hackers que revolucionaram o mundo digital. Entre elas esto: a criao do sistema Linux, por Linus Torvalds em 1991 que tem o cdigo-fonte aberto e pode ser adquirido livremente com os aplicativos disponveis na Internet e a criao do formato MP3 e do programa Napster para troca de msicas atravs da Internet. Para o filsofo os hackers tambm foram importantes para garantir a liberdade de expresso na Guerra de Kosovo divulgando na Internet informaes de rdios censuradas e levando informaes para a China atuando contra a censura oficial. So os ecos da contracultura de

46 uma gerao acostumada a protestar. Essa gerao criou a revoluo digital e os remanescentes que no se alinharam com as grandes empresas como a Microsoft, criaram a ideologia hacker.

4.3

HACKERS PERIGOSOS

Existem vrias formas de testar sistemas de segurana e provar o talento de hackers com ms intenes. As primeiras lies so as brincadeiras de invadir pginas e sistemas de empresas que contam pontos no currculo dessa espcie de hacker. No Brasil h vrios sites que promovem aulas de linguagem de computadores (Java, Flash e etc.) para invadir e danificar outros sites e salas de bate-bapo para troca de informaes. A absoro dos hackers pelo mercado de trabalho na rea de segurana um caminho para os que se destacam. O conhecimento adquirido acaba sendo usado profissionalmente com boa remunerao. H um grande mercado de servios de empresas que vendem a proteo dos sistemas de computadores e no caso da Sans, at promove campeonato entre hackers. uma boa forma de propagar os perigos de um sistema sem segurana e de incentivar as invases para se criar necessidade do produto. Esta lei de mercado ciberntico tambm vale para as grandes empresas que fabricam programas antivrus e se beneficiam da imensa quantidade de novos vrus produzidos mensalmente em escala mundial. Independente da definio utilizada a quantidade de redes e sites invadidos tem aumentado exponencialmente nos ltimos anos. (MC CLURE et al, 2000) afirmam que os crackers utilizam tcnicas para a realizao do levantamento de informaes e seguem normalmente uma seqncia de passos. Alguns desses passos so descritos de maneira sinttica abaixo:

_ Footprint perfil: Nesse passo inicial o invasor procura coletar o mximo de informaes
sobre o alvo a ser atingido. a fase mais relevante para o invasor de sistemas para que obtenha xito em uma tentativa de intruso _ Varredura: Processo pelo qual o invasor depois de escolhido o alvo passa a verificar todas as portas e "janelas" a procura de sistemas ativos e alcanveis. Pode-se definir a varredura de

47 portas como um tipo de ataque que envia solicitaes a uma faixa de portas do servidor com o objetivo de encontrar portas ativas para no prximo passo explorar as vulnerabilidades conhecidas desse servio. Para no chamar a ateno o cracker pode efetuar essa varredura lentamente utilizando vrias ferramentas.

_ Enumerao: Se o cracker j tiver encontrado alguma vulnerabilidade conhecida pelos

passos anteriores inicia ento o processo pelo qual tentar com a ajuda dos dados j obtidos nos passos anteriores identificar recursos e compartilhamento de redes mal protegidas, servios ativos atravs de scanners de portas como tambm as caractersticas especiais de uma topologia como, por exemplo, se respectivos servidores encontram se em Load Balance. Pode tambm enumerar roteadores ou ainda a identificar sistemas de Firewalls. Existem vrios tipos de ataque que utilizados sozinhos ou em conjunto podem invadir um sistema de redes. Os principais meios de ataque so:

_ Password cracking ou quebra de senha: Atividade em que o cracker tenta descobrir as

senhas de acesso de um usurio capturado pelo processo de sniffing, por exemplo. Quando a senha est criptografada pode usar um algoritmo ou a chamada fora bruta, (uma tcnica de criptoanlise onde se tenta toda a possibilidade possvel, uma a uma). Nesse tipo de ataque o invasor utiliza programas com dicionrios de palavras j conhecidas e suas combinaes. Com a velocidade atual dos computadores um programa desse tipo tem condies de efetuar milhares de tentativas em pouco tempo. Uma senha que utilize uma palavra em portugus ou ingls com uma criptografia fraca no dever ser um alvo difcil para esse tipo de programa. O uso da password cracker pode ser legtimo quando administradores de segurana quiserem detectar senhas fracas e substitu-las para melhorar a segurana do sistema.

_ Ping of Death (Ping da morte), Denial of Service (Negao de servio): Ele consiste em
enviar um pacote IP com tamanho maior que o mximo permitido (65535 bytes) para a mquina que se deseja atacar. O pacote enviado na forma de fragmentos (a razo que nenhum tipo de rede permite o trfego de pacotes deste tamanho) e quando a mquina destino tenta montar estes fragmentos, inmeras situaes podem ocorrer: a maioria das mquinas trava, algumas reinicializam, outras abortam e mostram mensagens no console, etc. Praticamente todas as plataformas eram afetadas por este ataque e todas as que no tiveram correes de segurana instaladas ainda o so. Este ataque recebeu o nome de Ping of Death

48 porque as primeiras ocorrncias deste ataque foram a partir do programa Ping, entretanto qualquer pacote IP com mais de 65535 (pacote invlido) provoca o mesmo efeito. A RFC 2828 afirma que este tipo de ataque s causa parada ou lentido excessiva e no possui a finalidade de invadir uma rede ou roubar informaes de dentro dela e sim de parar o funcionamento da rede. [Cross, 2000] complementa definindo-os como muito difceis de prevenir, pois exploram uma falha na tecnologia bsica da comunicao da Internet. Uma variante do Denial of Service so os temidos (DDOS) (Distributed Denial of Service) que um tipo de ataque complexo e que no possui solues fceis.

_ Sniffing: Definido pela (RFC 2828) como sendo o ato de escutar passivamente os dados de
uma rede a procura de senhas de acesso. O padro Ethernet envia um pacote para todas as mquinas em um mesmo segmento. O cabealho do pacote contm o endereo da mquina destino. Supe-se que somente a mquina que tenha o endereo contido no pacote receba-o. Diz-se que um computador est em modo promscuo quando o mesmo captura todos os pacotes, independentemente de serem ou no destinados a ele. Em um ambiente de rede normal, os nomes e as senhas dos usurios so passadas atravs da rede em claro, ou seja, texto no criptografado. No difcil, portanto um intruso utilizando uma mquina com interface de rede em modo promscuo obter qualquer senha inclusive a do administrador usando um sniffer.

_ Spoofing Ttipo de ataque que usa o disfarce. Muitas comunicaes entre computadores na
Internet se baseiam em parceiros confiveis. Um computador X pode manter uma comunicao com um computador Y de forma que no seja necessria a constante verificao de autenticidade entre eles. O hacker ento se disfara dizendo para o computador X que ele o computador Y. Desta forma o computador X vai aceitar seus comandos tranqilamente sem nada perceber. Este tipo de ataque s pode ser eficazmente prevenido atravs de um controle apurado de todos os computadores da rede local que compartilham o mesmo meio fsico ou atravs de uma comunicao confivel baseada em aplicativos de criptografia. So muitas as dificuldades em se encontrar um atacante na Internet. O protocolo utilizado na Internet (TCP / IP) possui em seu corpo o endereo de origem e de destino. Mas, como no envio comum de cartas o endereo do remetente pode ser falso, modificado atravs de

49 spoofing. Alm disso, como no existem barreiras geogrficas, administrativas e polticas na Internet pode ser difcil conseguir cooperao de outros pases (que no foram alvos do ataque) para traar a origem do mesmo. Ou seja, os atacantes podem usufruir de uma certa "proteo" devido a falta de ajuda internacional para perseguir o cracker. (MORRIS, 2001) acrescenta outras dificuldades como a falta de informaes e arquivos de longo acesso ao sistema, alguns provedores de acesso a Internet no possuem ou no mantm o tempo suficiente dos arquivos de logs das conexes que proveu e os crackers experientes alteram os arquivos de log das vtimas escondendo as evidncias de seus crimes.

4.4

VRUS

So pequenos segmentos de cdigos programados ormalmente com ms intenes ue tm a caracterstica de se agregar ao cdigo de outros programas. Assim que so executados disparam o cdigo aliciosamente lterado a fim de causar modificaes indevidas no processamento normal do sistema em que este se encontra causando (ou no) danos de leves a irreparveis. Para os usurios em geral, qualquer tipo de cdigo malicioso que apague os dados ou atrapalhe o funcionamento dos computadores chamado de vrus. Segundo as empresas fabricantes de softwares antivrus Symantec e McAfee o primeiro vrus de computador conhecido surgiu no ano de (1986) e era chamado Brain. Era um vrus de boot (atacava o setor de inicializao do disco rgido e se propagava atravs de um disquete de boot infectado). Atualmente o nmero de vrus tem crescido diariamente. Vrios fatores contriburam para esse aumento dentre os quais pode se citar a exploso do uso da Internet devido facilidade de se trocar informaes e experincias para construo e programao dos vrus e o surgimento de kits para fabricar vrus. Atualmente existem ferramentas disponveis gratuitamente na Internet que fabricam vrus e o usurio no precisa nem saber programar para construir um vrus. Como exemplo pode se citar co vrus Antraz, feito a partir de um kit de criao de vrus que se aproveitou da onda de medo em torno do bioterrorismo no ms de (Outubro / 2001). No causou grandes danos por erros cometidos pelo seu criador devido falta de experinca com programao (MDULO 2004).

50 Essa quantidade enorme de vrus atualmente existente provoca grande perda financeira alem de causar grandes problemas imagem das empresas afetadas. Essas perdas englobam valores financeiros causados pelos vrus devido ao tempo que os equipamentos deixaram de funcionar: perda de produtividade, gastos com reconfiguraes de servidores com desinfeco dos servidores e das estaes de trabalho, treinamento para remoo dos vrus, recuperao de informaes perdidas, entre outras rotinas que ocasionaram perda de tempo produtivo na empresa. Abaixo as estatsticas dos grficos da Figura 1 e Figura 2 comprovam a quantidade de Incidentes (ataques, 1999 a junho de 2006). (Anexo C).

Figura 1. Incidentes Reportados ao CERT. Br-1999/Junho de 2006. Http: //www.Cert.Br/stats/incidentes. Acesso em: 27 Jul 2006

Figura 2 .Incidentes Reportados ao CERT.Br -Abril/Junho de 2006. Http: //www.Cert.Br/stats/incidentes. Acesso em: 27 Jul 2006.

51 4.5 MOTIVOS QUE LEVAM OS HACKERS S SUAS PRTICAS

H muito tempo se ouve falar de adolescentes que passam a noite inteira invadindo sistemas de computadores. Entretanto muito pouco se fala dos mais perigosos hackers. O motivo pelo qual os jovens ganham destaque na mdia a sua captura, pois eles no possuem conhecimento suficiente para se manterem ocultos por muito tempo. Por pura inexperincia deixam rastros por onde passam, pelo descuido e inconseqncia ou porque simplesmente no tm motivos para se esconderem. Do outro lado esto os hackers profissionais extremamente cuidadosos em suas investidas sendo muito mais difceis de se detectar e capturar. Afinal estes no esto brincando (HACKERS, 2005). Independente do tipo de hacker as motivaes para seus ataques so bastante variadas, e podemos dividir suas aes em algumas categorias distintas como: _ Curiosos que so estudantes que passam tempos na internet procurando alguma forma de diverso e normalmente aprendem com programas e ferramentas prontas que esto Web e so facilmente capturados; _ In house que so funcionrios ou ex-funcionrios que procuram causar problemas para a empresa onde atuam ou atuaram. Muitas vezes so movidos por vingana ou mesmo por dinheiro no caso de estarem sendo usados por um concorrente ou um terceiro que tenha interesse em prejudicar a empresa em questo. Estes so responsveis por 80% dos ataques. _ Tcnicos que normalmente so os que criam programas que causam danos sendo extremamente bons no que fazem e espalham rapidamente suas novas tcnicas atravs da Internet. Podem ser pessoas problemticas com dificuldade de integrao na comunidade e trabalham pelo prazer da destruio. _ Profissionais. Esses so os mais perigosos. Muitas vezes criam novas ferramentas ou at utilizam se das que j existem. O diferencial que recebem pelo que fazem. Trabalham para grupos mafiosos, terroristas ou espionagens industriais normalmente so mais velhos (25 anos ou mais), muito inteligentes e difceis de serem pegos. na

52 _ Espionagem industrial ocorre quando uma empresa contrata um hacker para que este invada o sistema da concorrncia e descubra seus planos, roube seus programas ou at mesmo suas polticas de parcerias e de investimento. (geralmente praticadas por hackers profissionais). _ Proveito prprio onde o hacker pode invadir um sistema para roubar dinheiro, transferir bens, cancelar divdas ou at mesmo ganhar concursos, ou seja, qualquer ao em que ele seja diretamente beneficiado. _ Inexperincia onde pode ocorrer uma invaso por ignorncia. Por exemplo, um funcionrio que acessa sua conta da empresa atravs do seu micro em casa. Dependendo da poltica de segurana da empresa, isto pode ser considerado uma invaso mesmo que o usurio no tenha conhecimento do problema que pode causar. _ Vingana. Um ex-funcionrio tendo conhecimento do sistema pode causar vrios problemas se o gerente de segurana da empresa no bloquear seu acesso imediatamente aps sua sada da empresa. Ou um parceiro de pesquisas pode acessar mais do que deve aps a quebra de um contrato trazendo complicaes e prejuzos empresa. _ Status ou necessidade de aceitao onde uma invaso pode fazer com que o invasor ganhe um certo status junto aos seus colegas. Isso pode acarretar uma competio ou uma

verdadeira gincana nas empresas. Dentro de grupos constante a necessidade de mostrar sua superioridade. Este um fato natural, seja entre humanos, animais selvagens ou hackers. _ Curiosidade e aprendizado onde muitos hackers alegam invadir sistemas apenas para aprender como eles funcionam. Alguns fazem questo de testar o esquema de segurana buscando brechas e aprendendo sobre novos mecanismos. Este tipo de ataque raramente causa um dano maior ou compromete os servios atacados. _ Busca de aventuras. O ataque a sistemas importantes onde o esquema de segurana muito avanado pode fazer com que o hacker se sinta motivado pelo desafio e pelo perigo de ser pego. _ Maldade. Algumas pessoas sentem prazer na destruio. Invadem e destroem pelo puro prazer de causar o mal. Raramente so pegos e se vangloriam dos seus atos.

53 Seja o hacker quem for e faa ele o que fizer importante que ele seja neutralizado pelo menos temporariamente at que seu esquema de segurana seja revisto e atualizado. Essa atualizao precisa ser constante, pois os hackers esto sempre em busca de falhas de segurana e muitas vezes, no fazem nada alm de invadir sistemas. extremamente

necessrio que haja algum dedicado a este assunto, pelo menos o mesmo tempo gasto por dia pelos hackers nas tentativas de invaso.

4.6

SEGURANA FSICA

Muitas vezes esquecida a segurana fsica fundamental aos ambientes computacionais. Deve-se analisar a segurana dos recursos fsicos do ambiente de rede como, links de comunicao, equipamentos de rede, computadores, roteadores, hubs, cabeamento, etc. fcil esquecer da segurana fsica, especialmente se voc trabalha em uma pequena empresa ou em casa. No entanto a segurana fsica uma parte extremamente importante para manter computadores e dados seguros. Se um hacker experiente puder ir at sua mquina, eles podero estar comprometidos em questo de minutos. Isso pode parecer um risco remoto, mas h outros riscos como roubo, perda de dados e danos fsicos, que fazem com que seja importante verificar as falhas na segurana fsica. (WIKIPEDIA, 2003). Existem trs princpios simples a seguir: mantenha as pessoas afastadas, no permitir o acesso a todos e proteger a rede. Sempre que possvel os servidores confidenciais devem ser mantidos em local trancado no apenas por uma porta fechada e o acesso deve ser limitado a um grupo selecionado de administradores confiveis. claro que voc no deve deixar os cuidados com segurana prevalecer sobre os requisitos ambientais do equipamento. Por exemplo, trancar um servidor em um armrio impede o acesso de usurios mal-intencionados, mas se no houver ventilao adequada o computador ficar superaquecido e poder falhar tornando os cuidados com segurana inteis. claro que os computadores no so o nico bem valioso que voc possui: pense no valor das fitas de backup! Para que os backups sejam teis melhor voc armazen-los em algum outro lugar onde eles estejam protegidos contra incndio e roubo e ningum possa derramar refrigerante neles.

54 bom restringir o acesso fsico e limitar possveis danos, mas algum precisa ter acesso para usar os computadores. Voc no pode manter todas as pessoas longe deles. A prxima etapa de um bom plano de segurana fsica limitar o que pode ser feito com os computadores. Este um excelente recurso de segurana que no custa nada: bloqueie seu computador quando voc estiver longe dele. No Windows NT, Windows 2000 ou Windows XP, basta pressionar Ctrl+Alt+Delete e, em seguida, "k" (a tecla de atalho para o boto Bloquear). Um invasor rpido pode acessar sua mquina e compartilhar seus discos sem senha em menos de 10 segundos, caso no haja um bloqueio. impotante criar o hbito de bloquear o computador sempre que no estiver usando. O resultado da idia de restringir o acesso fsico s reas onde os computadores esto restringir o acesso das pessoas aos componentes do computador. Voc pode fazer isso com recursos de segurana fsica internos dos computadores. Praticamente todos os computadores de mesa, torre ou laptops vendidos nos ltimos 15 anos possuem alguns recursos de segurana teis que podero ser usados para dificultar o ataque ou o roubo do computador (ou, no caso mais grave, torn-lo intil se for roubado). O Windows tambm oferece inmeros recursos teis como: _ Bloquear o gabinete da CPU. A maioria dos gabinetes dos computadores de mesa e torres possui alas de bloqueio que voc pode usar para impedir que um invasor abra o gabinete. _ Usar uma trava de segurana do tipo cabo para impedir que algum roube todo o computador. Esse um dispositivo particularmente bom para laptops ou computadores de mesa pequenos que podem ser facilmente escondidos em capas ou casacos. _ Configurar o (BIOS) para no iniciar a partir de disquete. Isso dificulta para um invasor remover senhas e dados das contas dos discos de sistema. _ Considerar se vale pena investir na instalao de um alarme com sensor de movimento na sala onde fica o computador. (Lembre-se de que em escritrios domsticos, os sistemas de segurana que cobrem a rea do escritrio geralmente so dedutveis como despesas da empresa).

55 _ Usar o utilitrio syskey (com suporte Windosw NT 4.0, no Windosw 2000e no HIPERLINK Windows XP) para proteger os dados. de

http://www.microsoft.com.technet/prodtechnol/winxppro/reskit/pmbefszbxr.asp

contas local, as cpias locais das chaves de criptografia do EFS (Encrypting File System, sistemade arquivos com criptografia) e outros itens aos quais os invasoresno devem ter acesso.

4.7

PROTEGENDO A REDE

Cabeamento de rede, hubs e at mesmo a interface de rede externa so pontos extremamente vulnerveis de uma rede. Um invasor que possa atacar a rede pode roubar os dados durante a transferncia ou elaborar ataques aos computadores da rede ou at mesmo de outras redes. Sempre que possvel, mantenha hubs e switches em locais trancados ou em armrios trancados passando o cabeamento por paredes e tetos para dificultar o acesso a eles e garantir que os pontos de conexo com dados externos fiquem fora de alcance. Se a pessoa estiver usando uma conexo ADSL com os computadores domsticos ou do escritrio deve verificar se a caixa de interface da companhia telefnica est bloqueada. Caso acontea algo com o cabeamento o servio (ADSL) ser interrompido. Se a pessoa quiser usar uma rede sem fio deve procurar entender plenamente os requisitos de segurana. O processo de configurao dessa rede varia de acordo com o fornecedor do equipamento sem fio mas fcil de se fazer pelo Windows XP. Pode se gastar muito tempo e trabalho para reforar a segurana da rede e acabar descobrindo que vulnervel ao velho ataque de "roubo do computador". Aumentar a segurana fsica fcil e no precisa ser um procedimento caro, especialmente se comparado s vantagens de segurana oferecidas.

56

5 VULNERABILIDADES DO LINUX

(JAVANUNES, 2004) em seu artigo A mitologia da imunidade a vrus no Linux ,constata que ao navegar na rede e entrar em alguns fruns v que o povo anda meio que subestimando o poder dos vrus que existem e que existiro para Linux. Muitos usurios de Linux ou (UNIX) acham que basta se aplicar uma poltica com chmod ali, tirar um usurio root dali, usar um chroot acol e criar boas senhas resolver todos os problemas. Isso j costume cultural em comunidades (UNIX) e Linux, isso s no feito no mundo Windows onde todos usurios dbeis acham que o dono do computador por hierarquia deva ser o administrador e como ele tem de fazer tudo tendo assim a sensao de poder e o uso de outros usurios restritos um estorvo. Sabe - se que o Linux e (UNIX) do um show nisso (vide sendmail e bind) ento um vrus capaz de explorar um desses possveis estouros de memria no Linux pode muito bem ser feito para explorar um programa qualquer que rode como root e que seja usado em rede para entrar no sistema e depois baixar o que bem quiser para completar sua tomada de poder na mquina local colocando qualquer poltica de chmod, chroot, chown e senhas no "chinelo". Depois de tomado o sistema (ownado), o vrus altera o ps para no ser visto no sistema. Esse o caso dos vrus Lion e Adore que atacam vulnerabilidades no (BIND). Se o Linux continuar crescendo e nenhum outro Unix-like superior tomar a cena no mercado desktop os vrus crescero drasticamente. Considerando que cada programa que existe para console ao ser pesquisado em lugares como o (CERT) revela uma falha grave o assunto fica ainda mais srio. Para (JAVANUNES, 2004) os criadores do kernel deveriam encarar esse assunto com seriedade e no ficarem querendo apenas expandir o sistema para servidores da IBM da vida. O kernel 2.6 at prometia algo pra acabar com os buffers overflows, mas foi mais uma promessa do que realidade dever-se-ia criar uma maneira de evitar que somente usurios poderosos pudessem fazer algo no sistema. O kernel por fim deveria ter uma espcie de filtro que impedisse usurios comuns ou eventos incomuns tomassem poderes de root de uma hora para outra como o caso do su que deveria ser banido do console deixando assim um usurio comum completamente isolado do root.

57 5.1 VULNERABILIDADE E SEGURANA NO LINUX

(JNIOR, 2004) mostra abaixo as dez maiores vulnerabilidades do Sistema Operacional Linux/ Uniix e sugestes para minimizar o problema. Essas vulnerabilidades so comuns e persistem at hoje: _ BIND. o principal servio de ataque dos hackers. A maioria dos bugs j foi resolvida, mas a maioria das pessoas mantm as verses mais antigas por uma questo de funcionalidade e por no dispor de tempo para a migrao. preciso utilizar verses mais recentes e adotar uma poltica de mascaramento das informaes. _ RPC. um servio para as chamadas de procedimentos que sero executados remotamente. extremamente importante para a funcionalidade da rede interna, pois utilizados para distribuio de carga, processamento distribudo, cliente/servidor, etc. O (NFS) que um dos compartilhamentos de rede mais conhecidos e utilizados usa diretamente o (RPC). importante usar o servio somente quando for necessrio. _ APACHE. Sem dvidas nenhuma um Web Server bem mais robusto que o (IIS), mas no deixa de estar exposto internet. Vrios ataques a sistemas operacionais NIX ocorrem pelo Apache principalmente para servidores com execuo de scripts e permisses de acesso a programas. preciso ajustar bem as configuraes e habilitar somente scripts e programas com destino correto e que no comprometam de forma alguma o sistema. _ CONTAS DE USURIOS. Esta vulnerabilidade ocorre principalmente sobre contas com senhas fracas ou nulas. Parece ridculo, mas tem pessoas que conseguem invadir sistemas descobrindo senhas pelo mtodo da tentativa e erro e geralmente as senhas so as mais bvias possveis. No o sistema que "hackeado" mas a conta do usurio. Uma vez tendo acesso ao sistema o "hacker" pode se tornar bastante incmodo. Deve se evitar criar contas de usurios em demasia principalmente contas para acesso multiusurio. Adote uma poltica de senhas seguras e jamais permita o acesso a servios e contas de usurios sem senha. _ SERVIO DE TRANSFERNCIA EM ASCII-FTP e e-mail so os programas diretamente relacionados a estes servios. Tudo que passar por eles e for texto puro, no encriptado (o que ocorre na maioria das instalaes), o contedo pode ser capturado. Basta alguma informao

58 ou senha secreta para que a porta esteja aberta. Toda comunicao pode e deve ser feita de forma encriptada. Arquivos (ASCII) so muito vulnerveis e todos podem ter acesso ao seu contedo facilmente. _ SENDMAIL. talvez o pior servio de e-mail do (NIX) em comparao com os seus prprios concorrentes. Tende a ser lento e problemtico. Mas o mais utilizado porque extremamente operacional. possvel coloc-lo para funcionar rapidamente. Por isto a maior fonte de furos existente na comunidade. Se puder, substitua, atualize e configure corretamente. De preferncia gaste um pouco de tempo implementando outro servidor. _ SNMP. Uma excelente ferramenta administrativa principalmente para grandes corporaes. Mas por ser um projeto baseado na comunicao com a rede est sujeito vulnerabilidades. O servio ativado por default no sistema Linux o que causa o esquecimento por parte dos usurios. importante estabelecer regras para utilizao dos servios e s us-lo quando necessrio. _ SSH. a soluo ideal para acesso remoto seguro abolindo de vez o Telnet. No entanto pode se tornar totalmente ineficaz se no for administrado corretamente. Escolha o nvel de segurana mais desejado lembrando que ele diretamente proporcional ao trabalho para configur-lo. E no esquea de proteger chaves privadas dos usurios. Sendo necessrio o uso configure o da forma mais restrita possvel. Restrinja o acesso somente a usurios do sistema. Se possvel restrinja o acesso ao X. Controle o acesso s chaves privadas. Bloqueie passphrases em branco, elas se tornam uma arma na mo dos hackers. _ COMPARTILHAMENTO DE ARQUIVOS. Ocorre principalmente com NIS/NFS e Samba mal configurado. Podem comprometer a segurana abrindo brechas para ataques externos. importante compartilhar somente o que for necessrio e restrinja ao mximo o acesso dos usurios ao compartilhamento. De preferncia use alguma ferramenta de autenticao. _ SSL'S RESTRITIVAS. Embora sejam extremamente eficazes para criar conexes seguras entre cliente/servidor os SSL's permitem o acesso ao servidor por parte do cliente. Pode se tornar uma porta para o acesso de "hackers". a melhor opo quando no puder ficar sem elas.

59 A vulnerabilidade no est necessariamente relacionada ao uso destes servios, mas est muito relacionada m configurao dos mesmos. No confie demais na segurana. A desconfiana o melhor aliado de um bom administrador.

5.2

DICAS GERAIS DE SEGURANA

O sistema operacional deve estar sempre atualizado e nenhuma regra de segurana preo para um bug. Deve se rodar somente os servios necessrios para a operao da rede, verificar se os servios esto rodando com privilgios de root. Estas permisses geralmente causam os maiores furos na segurana. Se no for necessrio desabilite esta opo e verifique se os servios esto configurados adequadamente sua rede. Tutoriais e "How-To" geralmente indicam o caminho de como configurar, mas na sua maioria no muito especfico estabelecer uma poltica de segurana para a sua rede como, por exemplo, servios de compartilhamentos disponveis, poltica de senhas, estabelecer um filtro de tudo que entra na sua rede. De preferncia feche todas as portas que no necessrio para o funcionamento do servidor, evitar servios de comunicao (p2p) como servidores de msicas, vdeos e at chats e mensagens.

60

6 UM MODELO DE REFERNCIA PARA A ELABORAO E APLICAO DE UMA POLTICA DE SEGURANA DA INFORMAO

A palavra segurana segundo (COTA, 2005) tem estado em forte evidncia e com certeza uma rea promissora dentro da tecnologia da informao. Segurana o ato de tornar algo confivel, seguro o bastante para trazer tranquilidade e conforto durante qualquer que seja o processo. Como estamos lidando com sistemas cada vez mais online, cada vez mais robustos e que necessitam estar em funcionamento 24x7 (24 horas e 7 dias por semana) a segurana se torna um tpico no s importante, mas necessrio ao funcionamento de todo este ambiente. A segurana de uma rede deve ser como uma cola que serve para unir de forma harmoniosa todos as reas processuais dentro de uma empresa sem atrapalhar ou impedir a existncia de uma destas reas coexistindo com todos os modelos de negcio e sempre apta a nos reportar o necessrio sobre ela. Isto um ambiente seguro. Isto lidar com segurana. Segurana no sair bloqueando tudo em nossos firewalls sem ao menos calcular a real necessidade daquilo que estamos bloqueando e sim analisar o risco que a utilizao de um software de mensagens instantneas pode trazer para minhas estaes e para dentro da nossa rede local (COTA, 2005).

6.1

FASES DA IMPLEMENTAO

Para uma boa aceitao de um projeto de segurana deve-se atentar para a divulgao do projeto, as necessidades de segurana, os pontos de necessidades, montar a equipe e manter a segurana. Nesta fase deve se conseguir aliados estratgicos dentro da empresa para que o projeto possa fluir por todos os departamentos e ter fora quando algum usurio de mais voz tente derrubar seu projeto. importante que a gerncia e diretoria estejam devidamente informadas e convencidas da real necessidade de segurana que a empresa necessita e dos riscos que a falta dela poder trazer para os negcios da companhia.

61 Antes de iniciar qualquer ao ou anlise prvia deve - se procurar a comunicao interna de sua empresa ou divulgar via correio eletrnico ou intranet que sua empresa estar passando por um processo de reestruturao da segurana. Esta fase do projeto bem importante, pois voc poder ser amado ou odiado por seus usurios e aqui que voc pode conseguir adeptos e aliados fortes ou poder enfrentar srias dificuldades com o andamento do projeto. Conduza esta fase com bastante cautela e mostre os benefcios que a poltica ir trazer para os usurios.

6.1.1

MONTANDO A EQUIPE

Aps ter comunicado seus superiores e todas as reas de sua empresa chegou a hora de montar uma equipe de trabalho para conduzir e fazer com que o projeto tome forma e possa chegar at o final. O tamanho da equipe dever ser de acordo com o tamanho de sua empresa de forma que exista pelo menos 1 profissional de cada rea envolvido para que a poltica se assente de forma unificada em cada rea de sua empresa. A montagem da equipe algo pessoal e pode ser realizado da mesma forma que voc faz para montar equipes de projetos. importante que a equipe tenha um coordenador que ser um elo de ligao entre a equipe do projeto de segurana e os gerentes, supervisores e demais pessoas envolvidas diretamente na administrao da empresa. Pode-se notar que um projeto de segurana abrange mais do que tecnologia, pois a idia politizar as pessoas e agir em suas condutas, hbitos e capacidade de deciso de forma que elas possam contribuir para o bem estar da empresa como um todo.

6.1.2

NECESSIDADES DE SEGURANA

Nesta fase do projeto necessrio levantar os pontos que geram insegurana e vulnerabilidade em nossos sistemas, mas precisamos lembrar que no podemos interferir de forma drstica na rotina dos usurios. Se nosso usurio baixa seus correios (POP) precisamos de no mnimo dar um tempo de adaptao para que ele possa mudar para um tipo de e-mail diferente como um webmail ou um servidor em Postfix. Existem alguns pontos que podero ajudar a identificar quais so as reas inseguras, ou que necessitam de mais segurana como o acesso a Internet,

62 servios de e-mail, servios de instant Messenger, utilizao da rede, autenticao, utilizao das estaes de trabalho, antivrus, troca de senhas e instalao de aplicativos.

6.1.3

IMPLEMENTANDO A POLTICA

Aps todas as fases anteriores cumpridas e mapeadas chegado o momento de "colocar a mo na massa" e comear a dar vida a sua poltica de segurana. Primeiro necessrio atrelar as necessidades de segurana s tecnologias utilizadas atualmente dentro de sua empresa. Tentar iniciar o documento focando nos mtodos de autenticao de usurios como um servidor Linux, um domnio Microsoft ou Novell e Directory. importante existir dentro de sua poltica textos informando as penas para o no cumprimento dos assuntos relatados e exigidos pela poltica de segurana. Aps a aprovao e trmino de seu documento de poltica de segurana ser necessrio realizar uma notificao dentro de sua empresa para mostrar e tornar disponvel ao conhecimento de todos este valioso documento. De preferncia envie uma cpia deste documento para cada colaborador e salve-o em um diretrio de rede acessvel como leitura para todos os usurios.

6.2

AS FERRAMENTAS

Ao apresentarmos as questes de Poltica de Segurana entendemos ser essencial que esta preceda qualquer posicionamento sobre ferramentas utilizadas para auxlio nos procedimentos de implementao da segurana. Do ponto de vista do hardware podemos admitir que O nico sistema totalmente seguro aquele que no possui nenhuma forma de acesso externo, est trancado em uma sala totalmente lacrada da qual uma nica pessoa possui a chave. E esta pessoa morreu ano passado. Ou seja, no existe sistema seguro sob todos aspectos e nenhuma ferramenta que garanta esta segurana. Portanto a implementao de segurana tem que ser feita por um conjunto de hardware e software. Na maioria dos casos presentes no prprio sistema operacional e mquinas servidoras. Os programas devem possuir funes de identificao de usurios, controle de acessos e operaes alm de permitir auditoria do sistema e dos procedimentos.

63 Para mensurar o nvel de segurana dos softwares o padro internacionalmente aceito o estabelecido pelo National Computer Security Center (NCSC) no seu livro padro conhecido como orange book onde so estabelecidas classificaes referentes aos mecanismos de segurana lgica necessrios aos programas. O orange book contm especificaes de quatro grupos gerais divididos em subnveis. Na diviso (D) encontram-se os programas com recursos mnimos recomendados para funes menos crticas. A diviso (C) se refere aos programas que fazem o controle de acesso discricionrio, ou seja, somente as pessoas autorizadas pelo administrador do ambiente operacional podem entrar no sistema. No nvel (C1) os softwares controlam o acesso por meio de senhas. No (C2) j possvel restringir o acesso a dados e operaes de cada usurio. No (C3) h instrumentos de auditoria que indicam quem fez, o que fez e quem autorizou. Neste nvel obrigatrio que quando um arquivo for excludo, por exemplo, o sistema destrua o dado limpando o arquivo em disco e memria impedindo assim a recuperao indevida da informao. Na maioria dos casos as organizaes se do por satisfeitas com nveis (C1 e C2) o que mostra - se insuficiente na qualificao de programas adquiridos de fornecedores diversos. A diviso (B) se refere ao controle de acesso mandatrio em que s o administrador e no o usurio responsvel pela informao determina quem pode ter acesso a qu. No nvel (B1) o controle de acesso obrigatrio e h a rotulao dos objetos e dos dispositivos para exportao de dados. O (B2) exige maior uso dos rtulos e uma separao mais clara entre as funes operacionais e de administrao. O (B3) assegura ainda a recuperao de dados, caso haja queda acidental ou recarga do sistema operacional. Uma ferramenta ou software para obter o certificado de nvel (A) s admite quando se comprova que o mesmo invulnervel aos ataques atravs de algoritmos matemticos que atuam na lgica do sistema. um grau de segurana extremamente formal e complexo que no obtido por aplicaes e sistemas de utilizao comercial.

64

7 UMA PROPOSTA DE APLICAO DE POLTICA DE SEGURANA EM UMA REDE LINUX

As organizaes sejam elas pblicas ou privadas ao perceberem que se tornaram vulnerveis tem-se procurado em alguns casos recuperar o tempo perdido implementando metodologias e ferramentas de segurana sendo que o grande dilema desta questo a criao de um ambiente controlado e confivel, mas que no tire do usurio a agilidade proporcionada pelo micro informtica nos ltimos anos. A tendncia de esquecimento dos procedimentos de segurana at que ocorra algum problema grave muito comum nos ambientes denominados cliente-servidor. Para tanto se devem adotar polticas de segurana que determinem quais itens devem merecer ateno e com quais custos sendo que de qualquer maneira vale a premissa: Um ambiente totalmente seguro depende da aplicao de recursos ilimitados. Um diagnstico simples para o problema pode ser feito observando as ocorrncias de vrus. Se os computadores e as redes da organizao sofrem de infeces virais com certeza as informaes presentes nesta rede sejam pblicas ou confidenciais esto sujeitas e vulnerveis a vazamentos, alteraes indevidas e perdas. Da mesma forma a no existncia de vrus garante que estas mesmas informaes esto bem protegidas e invulnerveis. Em geral sistemas inseguros existem por trs motivos: por desconhecimento (na maioria das vezes extremamente conveniente), por negligncia ou por uma deciso dos nveis estratgicos das organizaes em no adotar a segurana. preciso conhecer os riscos, saber quais as consequncias da falta de segurana, identificar os pontos vulnerveis e determinar uma soluo adequada para a organizao. O primeiro passo para isso avaliar o valor do bem e / ou recurso a ser protegido e sua importncia para a organizao o que ajuda a definir quanto vale a pena gastar com proteo. A anlise do problema deve abordar trs aspectos fundamentais: confidencialidade, integridade e disponibilidade sendo que ningum melhor que o proprietrio da informao para determinar esta relevncia. (GALILEU, 2004). Os conceitos de confidencialidade, integridade e disponibilidade dizem respeito respectivamente a quanto da informao deve ser limitada ou restringida, a correo e certeza que a informao realmente verdadeira e a possibilidade de utilizao da informao no tempo e local requerido pelos usurios.

65 Um projeto de segurana sempre depende das caractersticas de cada organizao como seu ramo de negcios, o grau de importncia das informaes, o grau de dependncia da empresa em relao aos seus computadores dentre outras. As aes prticas podem ir desde a instalao de um sistema simples que solicita senha para utilizar o microcomputador at o uso de equipamentos onde apenas algumas aplicaes so executadas e todas as operaes so monitoradas. Podese ento definir poltica de segurana como um conjunto de normas e regras prticas que regulam como uma organizao gerencia suas informaes e recursos e que torna se seguro quando atende s especificaes da poltica de segurana adotada. (UFRGS, 2003). Existem vrias razes para implementar uma poltica de segurana para seu sistema(s) e a rede. Uma boa poltica de segurana permite desenhar a segurana como um "sistema" ao invs de uma simples mistura de funes diferentes. Por exemplo, sem uma poltica um administrador pode decidir desligar o telnet porque ele transmite senhas sem criptografia, mas deixar acesso (FTP) que tem a mesma fraqueza. Uma boa poltica de rede ajuda a identificar que medidas de segurana valem a pena e as que no valem. Para diagnosticar problemas, conduzir auditorias, ou procurar intrusos pode ser necessrio interceptar trfego de rede, inspecionar o login e histrico de comandos dos usurios, e olhar em seus diretrios de home. Sem dizer isso por escrito e tornando os usurios cientes tais aes podem ser ilegais e colocar voc em problemas legais. Contas de usurios seqestradas so uma das ameaas mais comuns segurana de sistemas. Sem explicar aos usurios porque a segurana importante, e como praticar boa segurana (como no escrever senhas em um post-it grudado em suas mesas), improvvel que voc tenha qualquer chance de contas de usurio seguras. Uma poltica de segurana deve no mnimo conter os seguintes assuntos: uso aceitvel, protees de tela, cuidados com senhas, baixando e instalando software, informao dizendo se os usurios esto sendo monitorados, uso de software antivrus, cuidados com informae sigilosas (qualquer forma escrita, papel ou digital), mesa limpa e informaes confidenciais em local trancado, desligar o PC antes de sair, uso de criptografia, cuidados com chaves para colegas de trabalho confiveis, cuidados com material confidencial quando for viajar,

66 cuidados com equipamentos de computador quando estiver viajando, cuidados com laptops durante viagens e estadias em hotis. A seguir so sugeridas algums cuidados ou configuraes que podem minizar os riscos de invases e auxiliar na aplicao de uma poltica de segurana no ambientem Linux. _ PROTEGER O GRUB COM SENHA: O (GRUB) suporta dois jeitos diferentes de adicionar proteo de senhas a seu gerenciador de inicializao. O primeiro usa texto puro enquanto o seguinte usa criptografia de md5+salt.

Listagem de cdigo 1: /boot/grub/grub.conf Timeout 5 password muderme

Quadro 1 : Protegendo o Grub com senha

Isto ir adicionar asenha muderme. Se nenhuma senha for entrada durante a inicializao o (GRUB) simplesmente ir usar a configurao de inicializao padro. Para adicionar uma senha (Md5) deve se converter a senha para formato criptogrfico (Crypt) que o mesmo formato usado no /etc/schadow. Outra opo criptografar a senha diretamente no Shell do (GRUB). _ PROTEGER O LILO COM SENHA: O LILO tambm suporta dois jeitos de lidar com senhas: global e por imagem, ambos em texto normal. A senha global colocada no comeo do arquivo de configurao e aplica se a todas as imagens de boot.

67 A senha por imagem configurada abaixo: Listagem de cdigo 5: /etc/lilo.conf Image=/boot/bzImage Read-only password=mudeme restricted
Quadro 2 : Protegendo o Lilo com senha

Se a opo restricted no for digitada, ele ir pedir a senha toda vez. Para guardar as novas informaes do lilo.Conf, voc deve rodar /sbin/lilo. _ RESTRINGIR O USO DO CONSOLE: O arquivo /etc/securetty permite que voc especifique em que dispositivos tty (terminais) o administrador (root) pode fazer log-in. sugerido que seja comentado todas linhas fora (Vc1). Isto certificar que o root s poder fazer log-in uma vez e somente em um terminal. _ REGISTROS: Mais registros devem ser adicionados para pegar avisos ou erros que podem indicar um ataque em progresso ou uma invaso com sucesso. Indivduos maliciosos freqentemente escaneiam ou fazem sondas antes de atacar. Tambm vital que os arquivos de registro sejam de fcil legibilidade e manuseio. O Linux permite que voc escolha trs loggers diferentes durante a instalao. _ SYSLOGD: O syslogd o logger mais comum para Linux e Unix em geral. Ele no vem com rotao de registros. Esta funo feita rodando /usr/sbin/logrotate em um servio de cron (o logrotate configurado em /etc/logrotate.conf). A freqncia com que a rotao de arquivos deve ser feita depende da carga do sistema. _ MONTANDO PARTIES: Na hora de montar uma partio ext2, ext3, ou reiserfs existem vrias opes que podem ser aplicadas ao arquivo /etc/fstab. As opes so: _ Nosuid: Que ir ignorar o bit de SUID e trat-lo como um arquivo normal; _ Noexec: Que ir prevenir a execuo de arquivos da partio;

68 _ Nodev: Que ignora dispositivos. Esses ajustes podem ser facilmente contornados ao executar um caminho no direto. No entanto configurando /tmp para noexec ir parar a maioria dos exploits desenhados para serem executados diretamente de /tmp. Listagem de cdigo 1: /etc/fstab /dev/sda1 /boot ext2 noauto, noatime 1 1 /dev/sda2 none swap sw 0 0 /dev/sda3 / reiserfs notail, noatime 0 0 /dev/sda4 /tmp reiserfs notail, noatime, nodev, nosuid, noexec 0 0 /dev/sda5 /var reiserfs notail, noatime, nodev 0 0 /dev/sda6 /home reiserfs notail, noatime, nodev, nosuid 0 0
Quadro 3 : vrias opes para configurar o arquivo /etc/fstab

_ LIMITAES DE USURIO / GRUPO: Controlar o uso de recursos pode ser muito eficaz na hora de prevenir um ataque de Denial of Service local ou restringir o nmero de log-ins mximos permitidos para um grupo ou usurio. No entanto, ajustes muito restritos iro atrapalhar o funcionamento de seu sistema e haver falhas em programas ento se certifique de verificar cada ajuste primeiro. Listagem de cdigo 1: /etc/security/limits.conf. _ soft core 0; _ hard core 0; _ hard nproc 15; _ hard rss 10000; _ maxlogins 2; _ @dev hard core 100000; _ @dev soft nproc 20; _ @dev hard nproc 35; _ @dev -maxlogins 10. /etc/login.defs

69 Se a poltica de segurana diz que os usurios devem mudar suas senhas uma semana sim outra no mude o valor (PASS_MAX_DAYS) para 14 e (PASS_WARN_AGE) para 7. recomendado que se use o envelhecimento de senhas j que mtodos de fora bruta podem encontrar qualquer senha, dado tempo suficiente. Recomenda se que seja configurado (LOG_OK_LOGINS) como ativo. O arquivo login.Access tambm parte do pacote sys-apps/shadow que fornece uma tabela de controle de acessos de log-in. A tabela usada para controlar quem pode e no pode fazer log-in com base no nome de usurio, nome de grupo ou nome de host. Por padro todos usurios em todos os sistemas podem fazer log-in, ento o arquivo consiste somente de comentrios e exemplos. No importa se voc estiver cuidando da segurana de seu servidor ou estao de trabalho recomenda se que voc configure este arquivo para que ningum fora voc mesmo (o administrador) tenha acesso ao console. _ PERMISSES DE ARQUIVOS LEGVEIS GLOBALMENTE: Os usurios normais no devem ter acesso a arquivos de configurao ou senhas. Um indivduo malicioso pode roubar senhas de bancos de dados ou website e us-los para fazer defaces--ou pior ainda, apagar-dados. por isso que importante que as permisses de arquivo estejam corretas. Se voc tem certeza de que um arquivo somente usado pelo root, configure-o com as permisses (0600) e atribua o arquivo ao usurio correto com chown. _ ARQUIVOS SUID/SGID: Arquivos com o bit (SUID ou SGID) configurado executam com os privilgios do usurio ou grupo proprietrio e no do usurio executando o arquivo. Normalmente esses bits so usados em arquivos que devem ser rodados com root para fazer o que devem. Esses arquivos podem levar a comprometimentos de root locais (se contiverem buracos de segurana). Isto perigoso e arquivos com bits de (SUID ou SGID) devem ser evitados a qualquer custo. Se esses arquivos no so usados chmod 0 neles ou desinstale o pacote de que eles originaram (verifique a que pacote eles pertencem usando equery). _ REMOVENDO FUNCIONALIDADES DO KERNEL: A regra bsica na hora de configurar o kernel remover tudo no seja til. Isto no s ir criar um kernel menor, mas tambm remover as vulnerabilidades que podem residir dentro de drivers e outras funes.

70 Tambm considere desligar suporte de mdulos carregveis. Embora seja possvel adicionar root kits sem essa funo fica mais difcil para indivduos maliciosos normais instalarem root kits via mdulos do kernel. _ O SISTEMA DE ARQUIVOS PROC: Muitos parmetros de kernel podem ser alterados atravs do sistema de arquivos /proc ou usando sysctl. Para mudar parmetros e variveis de kernel na hora voc precisa de (CONFIG_SYSCTL) definido em seu kernel. Ele j vem ligado por padro em um kernel 2.4 normal. Listagem de cdigo 1: Desligue o encaminhamento de IP # /bin/echo "0" > /proc/sys/net/ipv4/ip_forward
Quadro 4 : Sistema de arquivo /proc

Certifique-se que o encaminhamento de IP esteja desligado. Ns s precisamos disso para um host hospedado em vrios lugares. aconselhvel ligar ou desligar essa opo antes de outras opes j que ela liga/desliga outras opes tambm.

Listagem de cdigo 2: Ignorar pacotes de ping # /bin/echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_all

Quadro 5 : Ignorar pacote de Ping

Isto far com que o kernel simplesmente ignore todas mensagens de ping (tambm conhecidas como mensagens de (ICMP) de tipo 0). A razo para isso que um pacote de (IP) carregando uma mensagem ICMP pode conter um payload com informaes diferentes das que voc espera. Administradores usam o ping como uma ferramenta de diagnstico e freqentemente reclamam se ele estiver desligado, mas no h motivo para uma pessoa de fora poder fazer ping. No entanto, j que as vezes pode ser til para pessoas de dentro poder fazer ping, voc pode desabilitar mensagens de (ICMP) de tipo 0 no firewall (permitindo que administradores locais continuem a usar essa ferramenta). Listagem de cdigo 3: Ignorar pings de broadcast # /bin/echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
Quadro 6 : ignorar pings de broadcast

71 Isto desliga respotas a broadcasts de (ICMP) e ir prevenir ataques de Smurf. O ataque de Smurf funciona mandando um mensagem de (ICMP) de tipo 0 (ping) para o endereo de broadcast de uma rede. Tipicamente um indivduo malicioso ir usar um endereo de fonte falso. Todos os computadores na rede iro responder mensagem de ping e iro floodar o host com endereo de rede forjado. Listagem de cdigo 4: Desligar pacotes de fonte roteada # /bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route
Quadro 7 : Desligar pacotes de fonte roteada

No aceite pacotes de fonte roteada. Indivduos maliciosos podem usar fontes roteadas para gerar trfego fingindo vir de dentro de sua rede mas que na verdade roteado de volta ao caminho de onde veio para que indivduos maliciosos possam comprometer sua rede. Roteamento de fonte raramente usado para propsitos legtimos, ento voc pode deslig-lo com segurana.

Listagem de cdigo 5: Desligar aceitao de redirecionamento # /bin/echo "0" > /proc/sys/net/ipv4/conf/all/accept_redirects # /bin/echo "0" > /proc/sys/net/ipv4/conf/all/secure_redirects No aceite redirecionar pacotes ICMP. Redirecionamento de ICMP pode ser usado para alterar suas tabelas de roteamento, possivelmente para um fim malicioso. Listagem de cdigo 6: Proteo contra mensagens de erro falsas #/bin/echo"1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses Ative a proteo contra respostas a mensagens de erro falsas.

Quadro 8 : Desligar aceitao de redirecionamento

72 _ SEGURANA DE SERVIOS/ APACHE: O Apache (1.3.26) vem com um arquivo de configurao decente mas de novo, precisa - se melhorar algumas coisas como fazer bind do Apache em um endereo e impedir que ele vaze informaes. Abaixo esto as opes que voc deve aplicar ao arquivo de configurao.

Listagem de cdigo 1: /etc/conf.d/apache HTTPD_OPTS="-D SSL" Listagem de cdigo 2: /etc/apache/conf/apache.conf #Faa-o ouvir seu ip Listen 127.0.0.1 BindAddress 127.0.0.1 #No uma boa idia usar nobody ou nogroup #para todo servio que no roda como root #(simplesmente adicione o usurio apache com grupo apache) User apache Group apache #Impedir que o apache fale sobre a verso ServerSignature Off ServerTokens Prod O Apache compilado com --enable-shared=max e --enable-module=all. Isto ir por padro carregar todos mdulos, ento voc deve comentar todos mdulos que voc no usa na seo LoadModule (LoadModule e AddModule). Reinicie o servio executando /etc/init.d/apache restart.

Quadro 9: Opes para o arquivo de configurao Apache

_ FTP: Geralmente usar (FTP) (File Transfer Protocol) uma m idia. Ele usa dados sem criptografia (isto , senhas so enviadas em texto normal), ouve em 2 portas (normalmente porta 20 e 21), e indivduos maliciosos esto freqentemente procurando por log-ins annimos para trocar warez. J que o protocolo de (FTP) contm vrios problemas de segurana voc deve usar sftp ou (HTTP). Se no for possvel faa a segurana de seus servios o melhor que puder e prepare-se.

73 _ QMAIL: O qmail freqentemente tido como um servidor de correio muito seguro. escrito com segurana (e parania) em mente. Ele no permite relaying por padro e no teve um buraco de segurana desde (1996). Simplesmente faa emerge qmail e v configur-lo! _ SAMBA: Samba o protocolo para compartilhar arquivos com redes Microsoft/Novell e no deve ser usado na Internet. Todavia ainda precisa de medidas de segurana Listagem de cdigo 10: /etc/samba/smb.conf _ [global]. _ #Prender em uma interface. _ interfaces = eth0 10.0.0.1/32. _ #Certificar-se de usar senha criptografada. _ encrypt passwords = yes. _ directory security mask = 0700. _ #permitir trfego de 10.0.0.* _ hosts allow = 10.0.0. _ #Permitir autenticao de usurio. _ #(no use o modo compartilhar). _ security = user. _ #Proibir contas com privilgio. _ invalid users = root @wheel. _ #Tamanho mximo que o smb mostra para uma share (no um limite). _ max disk size = 102400. _ #Manter a poltica de senhas. _ min password length = 8. _ null passwords = no. _ #Usar PAM (se suporte for adicionado). _ obey pam restrictions = yes. _ pam password change = yes. Certifique-se que as permisses esto configuradas corretamente em todas shares. Depois reinicie o servidor e adicione os usurios que devem ter acesso ao servio. Isto feito atravs do comando /usr/bin/smbpasswd com o parmetro -a.

74 _ SSH: A nica medida de segurana que o Openssh precisa ligar um mtodo de autenticao baseado na criptografia de chaves pblicas. Listagem de cdigo 11: /etc/ssh/sshd_config _ #S permitir a verso 2 _ Protocol 2 _ #Desligar log-in de root. Usurios devem usar su para root _ PermitRootLogin no _ #Ligar autenticao de chave pblica _ PubkeyAuthentication yes _ AuthorizedKeysFile .ssh/authorized_keys _ #Desligar autenticaao de .rhost e senha normal _ RhostsAuthentication no _ PasswordAuthentication no _ PermitEmptyPasswords no _ #S permitir que usurios nos grupos wheel ou admin faam log-in _ AllowGroups wheel admin _ #Nestes grupos s permitir os seguintes usurios _ #O @<nomededomnio> opcional mas substitui a #antiga diretiva AllowHosts AllowUsers kn@gentoo.org bs@gentoo.org #Registros SyslogFacility AUTH Loglevel INFO ListenAddress 127.0.0.1 Tambm verifique que voc no tem UsePAM yes em seu arquivo de configurao j que isso sobrepe o mecanismo de autenticao de chave pblica. Agora tudo o que seus usurios tem que fazer criar uma chave (na mquina em que querem fazer log-in) com o seguinte comando:

75

Listagem de cdigo 12: Criando um par de chaves DAS # /usr/bin/ssh-keygen -t das E digite sua senha.
Quadro 10 : comando para criar chaves DAS

_USER MODE LINUX: Outro jeito de criar um ambiente mais seguro rodando uma mquina virtual. Uma mquina virtual como o nome implica o processo que roda em cima de seu sistema operacional real fornecendo um hardware e ambiente de sistema operacional que parece ser sua prpria mquina individual. O benefcio de segurana que se o servidor rodando a mquina virtual for comprometido, s o servidor virtual afetado e no a instalao mestra. _ DETECO DE INTRUSO BASEADA EM REDE: As ferramentas de deteco de intruso baseada em rede monitoram o trfego em um segmento de rede e utilizam essas informaes como fonte dos dados para serem analisados. Especificamente os pacotes da rede so examinados e eles so verificados para ver se existe uma certa assinatura de pacotes maliciosos. O Snort um sniffer de pacotes bastante flexveis ou logger que detecta os ataques utilizando um dicionrio de assinatura de ataques. Ele detecta uma variedade de ataques e probes como estouro de buffer, varredores de portas stealth, ataques (CGI), probes (SMB) e muito mais. O Snort tambm tem a capacidade de gerar alerta em tempo real. Pode - se usar o snort tanto para uma srie de mquinas na sua rede quanto para o seu prprio servidor. Ele uma ferramenta que deve ser instalada em todos os roteadores para manter os olhos na rede. Para instal-lo basta usar o apt-get install snort, seguir as perguntas, e verificar o log. O pacote snort do Debian tem diversas configuraes de segurana ativadas por padro. Entretanto deve - se customizar o programa tendo em mente os servios particulares que voc roda no seu sistema. Tambm seria interessante procurar algumas verificaes especficas para estes servios. Existem outras ferramentas mais simples que podem ser utilizadas para detectar ataques em rede. O portsentry um pacote interessante que pode ajudar a descobrir varreduras contra

76 seus hosts. Outras ferramentas como ippl ou iplogger tambm podem detectar alguns ataques IP (TCP e ICMP) mesmo que eles no forneam os tipos de tcnicas que o snort fornece. _ DETECO DE INTRUSO BASEADA EM HOST: A deteco de intruso baseada em rede envolve o carregamento de um software no sistema a ser monitorado e que utiliza arquivos de log e/ou os programas de auditoria de sistema como uma fonte de dados. Ele procura por processos suspeitos, monitora acesso ao host e pode at monitorar alteraes em arquivos crticos do sistema. O tiger uma antiga ferramenta de deteco de intruso que foi portado para o Debian desde a verso do Woddy. Ele fornece verificaes de casos comuns relacionados a furo de segurana como uso de fora bruta das senhas, problemas no sistema de arquivo, comunicao de processos e outras formas de comprometer o superusurio. Este pacote tambm inclue verificaes de segurana especficas para o Debian como: verificaes de MD5sums de arquivos instalados, localizao de arquivos que no pertencem a nenhum pacote e anlise de processos locais que esto em estaado de escuta. A instalao padro configura o tiger para rodar diariamente gerando um relatrio que enviado para o superusurio sobre possveis comprometimentos no sistema. Ferramentas de anlise de log como logcheck tambm podem ser usadas para detectar tentativas de intruso. Vimos que no existe segurana 100% portanto mesmo depois de implementada a poltica para garantir um bom nvel de segurana o trabalho ainda no acabou. A segurana um processo contnuo. A vasta maioria das invases resulta de vulnerabilidades e no acompanhamento da poltica. Manter um controle rigoroso da aplicabilidade da poltica o passo mais importante que voc pode tomar para garantir a segurana.

77

8 CONSIDERAES FINAIS E TRABALHOS FUTUROS

Esse trabalho busca informar e alertar sobre os tipos de ameaas mais usados pelos invasores para obter informaes ou danificar uma rede. Foram apresentados diversos mtodos e procedimentos de segurana que podem dificultar ou impedir a invaso dos dados, desde que sejam aplicados de maneira adequada. Foi apresentada uma proposta de implantao de uma poltica de segurana. Alm disso, foi feita uma cartilha de configurao para evitar os principais tipos de vulnerabilidades existentes em redes linux. Dessa forma, o profissional que pretende implantar uma poltica de segurana e nunca pesquisou nada sobre o assunto poder utilizar esse trabalho como referncia facilitando e agilizando o trabalho de elaborao e implantao da poltica. A segurana um assunto muito srio e no pode ser deixado de lado. Sabe-se que impossvel proteger uma rede de todos os tipos de ameaas e ataques existentes. A todo momento surgem novas falhas ou brechas que podem comprometer a segurana das informaes das empresas. Portanto a implantao de uma poltica de segurana algo fundamental, pois auxilia na manuteno e atualizao dos procedimentos de segurana da rede. Alm disso, investe na questo humana, pois no adianta ter uma poltica boa se os usurios no esto preparados para manter essa poltica. Uma alternativa de continuidade ao trabalho proposto seria o aprofundamento no estudo das vulnerabilidades e medidas de proteo em redes sem fio. As redes Wireless esto em pleno crescimento. Em continuidade ao trabalho proposto sugerida a pesquisa e elaborao de propostas de polticas de segurana que possam garantir a integridade, disponibilidade e confidencialidade das informaes em redes Wireless A crescente necesidade de maior mobilidade e as melhorias da tecnologia Wi-FI (Wireless Fidelity) que permitem conexes mais rpidas e estveis combinadas com preos mais acessveis esto fazendo com que cada vez mais pessoas utilizem redes sem fio, aumentando a demanda por pontos de conexo, quer em locais de trnsito, quer em ambiente empresarial ou domstico.

78 Apesar dessa demanda as redes sem fio ainda so uma novidade, e diferentemente das redes que utilizam cabos as quais necessitam de conhecimentos tcnicos mais especficos, a montagem e a instalao de redes WI-Fi podem ser efetuadas sem maiores problemas por um usurio iniciante. Essa facilidade, contudo apresenta um risco associado por muitas instalaes (caseiras ou no) que esto sendo realizadas com padres dos fabricantes, ou seja, completamente expostas a qualquer tipo de ataque.

79

9 REFERNCIAS BIBLIOGRFICAS

ANONYMOUS. Segurana Mxima para linux. So Paulo, Editora Campus, 2000. BULLARA, Silvio; Jacob, Vitor Hugo. Segurana no Envio e Recebimento de Mensagens Atravs do Correio Eletrnico. Trabalho acadmico do Instituto de Pesquisas Energticas e Nucleares - Autarquia associada Universidade de So Paulo, So Paulo, 2005. CARUSO, Carlos A. A Segurana em Microinformtica e em redes locais. So Paulo. Editora: LTC, 1995. COTA, Alan. Implementando uma poltica de segurana eficaz. 2005.

www.vivalinuxcom.b r/artigos acessodisponvelem:31/08/2006. DAVIS, Jim et alii. Chamada de sistema de informao digital ou sistema de publicao digital, 1997. Disponvel em: http://www.cs.cornell.edu/cdlrg/dienst/protocols

acessodisponvel em: 2006. FERREIRA, Alexandre Marinho. Windows 2000 e Linux: Um estudo comparativo no contexto de segurana informtica lgica, Universidade Fernando Pessoa, 2003. FREIRE, Alexandre. Sistemas de Firewall e Defesa de Permetros. 2004. Disponvel em http://www.imasters.com.br acessodisponvel em: setembro de 2006. FURG, Alisson. Sistemas de operao e princpios internos. So Paulo, 2006. HACKERS . Quais os motivos que levam os hackers s suas prticas? Disponvel em www.hackers.com.br/ah_hack/motiv.htm acesso disponvel em: Agosto de 20065 HACKERS. Quem so esses caras misteriosos? Disponvel em.

http://www.hackers.com.br/ah_hack/hacker.htm em Junho de 20065. HAWKINS, J. O uso de novas Tecnologias na Educao. Rio de Janeiro: Revista TB, vol 120, Jan / Mar, 1995.

80 HEFFERAN, Rossylenne; BS 7799 Information Security Management, 2000, disponvel em http://www.istc.org.uk HELVECIO, Jose Teixeira Jr. Redes de Computadores: Servios, Adm. e Segurana. So Paulo, Editora: Makron Books, 1999. HIMANEN, Pekka. A tica dos Hackers e o Esprito da Era da Informao.Campus, 2001. HUGHES, Larry J. Jr. Actually Useful Internet Security Techniques. Pratice Hall, 1997. INTERNATION STANDARTIZATION ORGANIZATIO - ISO/IEC 17799, USA, 2000. JAVANUNES. A mitologia da Imunidade a Vrus no Linux. 2004.

www.vivaolinux.com.br. Acesso disponvel em: 31/08/2004 JUNIOR, Dornelles Vissoto. Vulnerabilidade e segurana no Linux. 2004.

www.vivaolinux.com.br. Acesso disponvel em: 31/08/2006. KOVACICH, Gerald L. Information systems security officers guide. Boston: ButterworthHeinemann, 1998. LEMOS, Aline Morais. Poltica de Segurana da Informao, Universidade Estcio de S, Rio de Janeiro, 2001. MCCLURE, Stuar; SCAMBRAY, Joel; KURTZ, George Hacking Exposed, 2a edition, McGraw Hill, 2000. MORRIS, Daniel. Tracking a Computer Hacker, 2001. www.cybercrime.gov. acesso disponvel em: 05 de Junho de 2006. NORTHCUTT; STEPHEN. Segurana e Preveno de Redes.nEditora BERKELEY, 2001. PFLEEGER, Charles P. Security in Computing. 2.ed. New Jersey, USA, Prentice Hall, 1997, pg 156.

81 SCHNEIER, Bruce. Segurana.com: Segredos e mentiras sobre a proteo na vida digital, So Paulo, Editora CAMPUS, 2001. SOLMS, Rossouw von. Information security management (3): the Code of Practice for Information Security Management (BS7799), Information Management & Computer Security, Vol 6 Issue 5, Port Elizabeth, South Africa, 1998. SOLMS, Rossouw von,; Information security management (3): the Code of Practice for Information Security Management (BS7799), Information Management & Computer Security, Vol 6 Issue 5, Port Elizabeth, South Africa, 1998. WESTPHALL, Carla Merkle; Fraga, Joni da Silva; Wangham, Michelle Silva. Policap. Um Servio de poltica para o Modelo Corba de segurana, UFSC, Trabalho apresentado no 18 Simpsio Brasileiro de Redes de computadores, 2004.

82

10 SITES CONSULTADOS

http://www.tba.com.br/pages/alexigor/virtual.htm.Acesso em: 21 Jul 2006. http://www.3elos.com.br/produtos/politicadeseguranca.php. Acesso em: 21 jul 2006. http://www.modulo.com.br/index.jsp. Acesso em: 21 Jul 2003. Http: //www.Vivaolinux.Com.br/artigos/verartigo.Php. Acesso em: 31 Jul 2006. http://www.interfocus.com.br/seguranca.htm. Acesso em: 08 Ago 2006. http://www.technetbrasil.com.br/Artigos/Seguranca. Acesso em: 25 Ago 2006. http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm. Acesso em: 05 Dez 2006. Http; //www.Cert.Br/stats/incidentes. Acesso em: 3 Jul 2006. http:// www.istf.com.br/vb/archive/index.php?t-497.html. Acesso em: 01 Abr 2006 http://www.interfocus.com.br/seguranca.htm. Acesso em: 08 Ago 2006 http://www.technetbrasil.com.br/Artigos/Seguranca. Acesso em: 25 Ago 2006. http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm. Acesso em: 05 Dez 2006. http;//www.Cert.Br/stats/incidentes. Acesso em: 3 Jul 2006. http:// www.istf.com.br/vb/archive/index.php?t-497.html. Acesso em: 01 Abr 2006. http://pt.wikipedia.org/wiki. Acesso em: 08 Mai 2003 http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm. Acesso em: 05 Dez 2006 http;//www.cert.br/stats/incidentes. Acesso em: 3 Jul 2006.

83 http:// www.istf.com.br/vb/archive/index.php?t-497.html. Acesso em: 01 Abr 2006 http://pt.wikipedia.org/wiki. Acesso em: 08 Mai 2006 http;//galileu.interfocus.com.br/interfocus-2/seguranca.htm. Acesso em 11 Abr 2006 http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm. Acesso em: 23 jun 2006 http://www.furg.br/proxy. Acesso em: 10 Set 2006 http://www.tba.com.br/pages/alexigor/virtual.htm.Acesso em: 21 Jul 2006 http://www.3elos.com.br/produtos/politicadeseguranca.php. Acesso em : 21 jul 2006 http://www.modulo.com.br/index.jsp. Acesso em: 21 Jul 2004 http://www.vivaolinux.com.br/artigos/verArtigo.php?. Acesso em : 31 Jul 2006 http://www.interfocus.com.br/seguranca.htm. Acesso em: 08 Ago 2006 http://www.technetbrasil.com.br/Artigos/Seguranca. Acesso em: 25 Ago 2006 http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm. Acesso em: 05 Dez 2006 http;//www.cert.br/stats/incidentes. Acesso em: 3 Jul 2006. http:// www.istf.com.br/vb/archive/index.php?t-497.html. Acesso em: 01 Abr 2002 http://pt.wikipedia.org/wiki. Acesso em: 08 Mai 2006 http;//galileu.interfocus.com.br/interfocus-2/seguranca.htm. Acesso em 11 Abr 2004 http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm. Acesso em: 23 jun 2003 http://www.furg.br/proxy. Acesso em: 10 Set 2006 http://pt.wikipedia.org/wiki. Acesso em: 08 Mai 2006

84 http;//galileu.interfocus.com.br/interfocus-2/seguranca.htm. Acesso em 11 Abr 2006 http://penta.ufrgs.br/gereseg/rfc2196/cap2.htm. Acesso em: 23 jun 2006 http://www.furg.br/proxy. Acesso em: 10 Set 2006 http://www.furg.br/proxy. Acesso em: 10 Set 2006

85

GLOSSRIO

BS 7799 - Norma inglesa de segurana da informao British Decurity; CCSC - Commercial Computer Security Center CPD Centro de Processamento de Dados Criptografia - A palavra Criptografia tem sua origem no Grego: kryptos significa oculto, envolto, escondido, secreto; graphos significa escrever, grafar. Portanto, criptografia significa escrita secreta ou escrita oculta. Criptoanlise - a cincia de quebrar uma mensagem cifrada. Codificao- Significa a modificao de caractersticas de um sinal para torn-lo mais apropriado para uma aplicao especfica, como por exemplo transmisso ou armazenamento de dados. Compact Disc - Disco de material plstico. Crackers - o termo usado para designar quem quebra um sistema de segurana, de forma ilegal ou sem tica. Extranets - Conjunto de duas ou mais intranets ligadas em rede. "Extra" - externo. Voltada principalmente aos clientes e parceiros da empresa. Hackers - So indivduos que criam e modificam software e hardware de computadores, seja desenvolvendo funcionalidades novas ou adaptando as antigas. IDS - Sistema de deteco de Intruso IBMPC - Computador Pessoal, denominao generalizada pelo mercado;

86 Internet - um conglomerado de redes em escala mundial de milhes de computadores que permite o acesso a informaes e todo tipo de transferncia de dados. Intranets - uma rede de computadores privativa que utiliza as mesmas tecnologias que so utilizadas na Internet. NCSC - National Computer Security Center SmartCard Carto inteligente,pode ser utilizado ao invs de cheques; Ti Tecnologia da Informao WAP Nome denominado para tecnologia de Wireless Aplication Protocol;

87

ANEXOS

88

ANEXO A - Pesquisa nacional de segurana da informao

Com o objetivo de corroborar com a pesquisa realizada junto as empresas ser apresentada a pesquisa nacional de segurana da informao realizada pelo Mdulo Security Solutions em 31 de outubro de 2002. A Mdulo Security Solutions divulgou recentemente os resultados de sua 8 Pesquisa Nacional de Segurana da Informao. O resultado deste ano permite concluir que as empresas brasileiras esto cada vez mais conscientes da importncia de se investir em segurana para reduzir os riscos operacionais e atender a requisitos legais compatveis com a natureza de seus negcios. A amostragem do estudo abrangeu entrevistas com 547 profissionais de diversos segmentos econmicos. As entrevistas foram baseadas em um questionrio com 40 perguntas sobre temas como novas tecnologias, tendncias nos investimentos, adoo de solues e questes comportamentais como conscientizao dos usurios tcnicos e executivos. A pesquisa indica que a segurana da informao passou a ser fator importante para 45% dos executivos sendo que 16% a consideram crtica e 32% a classificam como vital. Mesmo assim a falta de conscientizao dos executivos (45%) e dos usurios (38%) foram apontadas como os principais obstculos para implementao da segurana nas corporaes. Em termos de investimentos 77% das empresas informaram que vo aumentar os investimentos em segurana em 2003. Este crescimento pode estar ligado ao aumento substancial da expectativa em torno da ocorrncia de problemas de segurana com 82% dos entrevistados, afirmando esperar mais problemas em 2002. Em 2001 este nmero foi de 63%. Em parte este aumento de incidentes ser devido ao crescimento do nmero de ameaas e das vulnerabilidades nos sistemas e novas tecnologias implantadas. Reforando essas expectativas a pesquisa indicou que 43% das empresas reconheceram ter sofrido ataques nos ltimos 12 meses representando um aumento de 10% em relao a 2001 sendo que 24% das ocorrncias foram registradas nos ltimos seis meses. Outro fato preocupante que 32% no souberam informar se foram atacadas ou no.

89 Apesar da expectativa de aumento nos problemas com a segurana e o crescimento no ndice de registros de ataques e invases a pesquisa mostra que apenas metades das empresas brasileiras (49%) possuem planos de ao formalizados em caso de ataques. A ausncia de procedimentos emergenciais amplia a extenso do problema, deixando as empresas mais vulnerveis e aumentando o impacto sobre os negcios. 78% das empresas reconhecem que tiveram perdas financeiras. Porm 56% ainda no conseguem quantificar o valor dos prejuzos causados pelos problemas com a segurana da informao. Em 22% das organizaes que conseguiram contabilizar estes valores o total de perdas registradas foi de R$ 39,7 milhes sendo que em 4% estas perdas foram avaliadas em mais de R$ 1 milho. Para reduzir os riscos a que esto expostas 78% das empresas possuem oramento especfico para rea de segurana sendo que 33% alocam recursos entre 1 e 5% do oramento total de tecnologia, 24% alocam de 5 a 10% e 21% investem mais de 10% de seu oramento de TI em segurana. Das principais medidas de segurana j implementadas o estudo mostra que as solues ainda possuem caractersticas tcnicas e pontuais como a utilizao de antivrus e firewall. No entanto para 2003 a tendncia que as empresas invistam cada vez mais em capacitao e processos de gesto com prioridade para a capacitao de equipe tcnica (81%), poltica de segurana ( 76%) e anlise de riscos (75%). Os hackers (48%) foram os maiores responsveis por ataques e invases em 2002 representando um aumento de 15% com relao a 2001. Em segundo lugar vm os funcionrios que passaram de 24 para 31%. Surge tambm uma nova ameaa no registrada na pesquisa anterior: a categoria ex-funcionrios que registrou 8%. O percentual relativo a prestadores de servio passou de 3 para 12% e o dos concorrentes de 1 para 4%. A funo de Security Officer vem se consolidando como o principal gestor da segurana nas empresas embora em 41% das organizaes a rea de tecnologia ainda seja responsvel pela segurana da informao. A Internet continua sendo considerado o principal ponto de ataque com 55%. No entanto o acesso remoto teve o maior aumento passando de 9% em 2001 para 16% em 2002 um aumento de 78% em apenas 1 ano.

90 O estudo permitiu tambm anlises mais detalhadas por ramo de atividade, com destaque para o segmento financeiro que no Brasil pode ser considerado como o setor mais preocupado com a adoo de polticas de proteo informao. Das 115 empresas do segmento financeiro que participaram da pesquisa, apenas 5% afirmaram no possuir uma poltica de segurana contra o ndice de 15% na pesquisa geral. Esta maturidade pode ser observada em 88% das empresas que adotam planos de continuidade dos negcios que representa 33% acima do ndice geral incluindo outros setores. Finalmente a pesquisa indica que alm de limitar seus riscos as empresas e o governo precisam tambm investir em segurana para transmitir confiana para seus cientes e parceiros (B2C, B2B, G2C e G2B). A percepo de falta de segurana nas transaes continua sendo o maior obstculo para o desenvolvimento de negcios digitais em escala global sendo que 66% dos usurios afirmaram que deixam de comprar pela Internet por causa da sensao de falta de segurana. Neste sentido existe uma forte tendncia de que as empresas adotem a ISO/IEC 17799 como padro de segurana para as organizaes e em alguns casos a norma seja tambm utilizada para certificao das empresas. Esta certificao vem sendo adotada em mais de 20 pases trazendo maior confiana nas relaes e, muitas vezes, sendo considerada tambm um importante diferencial competitivo. No mundo j existem 153 empresas certificadas pela BS7799 sendo que 2 destas no Brasil.

91

ANEXO B - Questionrio elaborado para subsidiar a monografia

1) Qual o sistema operacional predominante em sua rede? 2) Na sua rede vocs adotam alguma poltica de segurana? 3) Como definida a poltica de segurana na rede que voc administra? 4) Quais dos conceitos de segurana abaixo voc aplica na sua rede? 5) Como voc avalia seu ambiente no quesito segurana? 6) Na sua empresa tem algum plano de contingncia no caso de ataques? 7) Qual (is) sistema (s) de deteco de intrusos esto ativos em sua rede? 8 ) Vocs seguem o padro ISO de segurana? 9 ) Do ponto de vista da empresa na qual voc trabalha o acesso aos sistemas corporativos de informao ? 10) De quais formas a sua empresa utiliza os seguintes recursos de TI no desempenho de suas atividades?

92

ANEXO C - Centro de especializao em segurana

Boletim 021/06. Semana: 24/07/06 a 28/07/06. O nmero de notificaes caiu quase 10% no 2 trimestre segundo o (CERT). Fonte: http://wnews.Uol.Com.br/site/noticias/materia.php?Id_secao=48id_conteudo=5452 So Paulo, 21 de julho de 2006 - Nos meses de abril a junho de 2006 as notificaes associadas a fraudes mantiveram-se estveis, apresentando uma ligeira queda de 9,6% em relao trimestre anterior, passando de 12 mil para 10,9 mil. Entretanto em comparao ao mesmo perodo do ano anterior quando somava 7,9 mil, houve um aumento de 38% interrompendo a tendncia de forte crescimento que vinha sendo observada nos ltimos trimestres. Os dados so do CERT.Br (Centro de Estudos Resposta e Tratamento de Incidentes de Segurana no Brasil) mantido pelo Comit Gestor da Internet. As estatsticas trimestrais publicadas pelo comit sobre incidentes ocorridos na Internet so relatados espontaneamente por administradores de rede e usurios. No perodo chamou a ateno o aumento no nmero de tentativa de fraudes financeiras por meio de mensagens e recados enviados a comunidades e usurios de sites de relacionamento como, por exemplo, o orkut e via programas de troca instantnea de mensagensn como o MSN. Segundo o CERT.br a estabilidade se deve provavelmente ao recente esforo de sites de hospedagem gratuita de pginas web em remover de seus servidores programas maliciosos utilizados nestas fraudes. Do total de tentativas de fraudes reportadas cerca de 98% so relativas a fraudes financeiras e o restante referente a problemas de propriedade intelectual. No trimestre o nmero de notificaes referentes a worms (programas capazes de se propagar automaticamente enviando cpias de si mesmos de computador para computador) superou o total de fraudes reportadas representando 59% dos incidentes reportados. Para o CERT.br o crescimento se deve principalmente ao aumento do nmero de instituies reportando esse tipo de incidente. E os scans (varreduras) continuam em terceiro lugar com 18% do total de

93 notificaes de ataques. Continua-se observando uma grande concentrao na porta 22/TCP associada a tentativas de login via fora bruta utilizando ataques de dicionrios. Neste trimestre notou-se tambm um aumento no nmero total de notificaes de incidente de segurana no Pas que passou de 28,133 mil para 49,8 mil. Top10: Julho/2006 Fonte: http: //linhadefensiva.Uol.Com.br/2006/07/top-jul-06/ Bankers representaram mais de 31% das infeces em julho seguidos dos bots evariantes do Smitfraud. Pela primeira vez na lista o Wareout aparece em quarto luga. O ms foi agitado com mais de 800 casos analisados pelo Servio de Remoo de Malware da Linha Defensiva. 31,9%: Bankers So cavalos de tria brasileiros que roubam de senhas de banco, MSN, Orkut, Paypal e outros. O nmero de infeces da praga tem crescido de forma significativa nos ltimos meses, at que ela adquirisse o primeiro lugar. O nmero de infeces ainda cresce, apesar da desacelerao no crescimento de fraudes, pois os Bankers tambm esto utilizando Orkut e MSN para se espalhar. Remover os Bankers geralmente geralmente muito simples quando se conhece o nome dos arquivos utilizados. A Linha Defensiva disponibiliza uma ferramenta chamada Bankerfix para remover dezenas de variantes da praga digital. Nota: Worms de MSN brasileiros esto sendo contados junto com os Bankers. As variantes exatas so difceis de se diferenciar, portanto no possvel ter um percentual exato do nmero de infeces especficas de MSN ou Orkut. Todas as infeces so chamadas de Banker. 2. 11,2%: Bots Bots so pragas que permitem o controle remoto do computador infectado formando as botnets ou redes zumbi. Bots se espalham pela redeautomaticamente usando falhas do

94 Windows e redes de troca de arquivos, comokazaa, e Mule e Gnutella. O nmero de infeces dos Bots diminuiu, mas tem semostrado estvel nos ltimos meses. Eles ainda representam uma partesignificativa dos problemas enfrentados pelos usurios, principalmente porque so capazes de infectar mquinas desatualizadas pouco tempo depois que elas forem conectadas Internet. 3. 6,2%: Smitfraud Smitfraud o nome das diversas infeces que instalam anti-spywares falsos nosistema e tentam convencer o usurio a comprar esse anti-spyware picareta paralimpar a infeco. Os anti-spywares oferecidos (Spyfalcon, Spyaxe, Spysheriff, entre outros) no devem ser confiados. A variante mais comum do Smitfraudatualmente instala um anti-spyware falso chamado Bravesentry. Grande parte das infeces de Smitfraud ocorrem em PCs desatualizados, portanto muito importante manter o Windows e o Internet Explorer atualizados para evitar ser infectado com essa praga. A Linha Defensiva oferece tutoriais de remoo para diversas verses do Smitfraud: Spyaxe/Spyfalcon/Spyware Quake, Antivirus Gold e Spysheriff. Outra ferramenta que vale a pena tentar para remover a praga apenas em Windows 2000 e XP o Smitfraudfix. 4. 3,9%: Wareout Apesar de ser uma praga antiga o Wareout aparece pela primeira vez no top 10.Wareout o nome de um anti-spyware falso e infeces de Wareout so semelhantes ao Smitfraud, pois tentam convencer o usurio a instalar um antispyware ineficiente. Outra caracterstica do Wareout uma rede desconfigurada com os servidores de DNS trocados para endereos IP localizados na Ucrnia. Na maioria dos casos, o prprio anti-spyware cria entradas no registro que parecem ter sido criadas por um vrus para que ele possa detectar essas entradas e afirmar ao usurio que ele est infectado. A variante inicial do Wareout que instalava um anti-spyware falso de mesmo nome, j no est mais sendo distribuda. Entretanto os mesmos responsveis pelo Wareout desenvolveram

95 outro anti-spyware chamado de Unspypc e mais recentemente, o Kill And Clean ou Kill & Clean que foi o responsvel pelo aumento de infeces do Wareout e pela entrada da praga no top 10. O Fixwareout pode ser usado para remover o Wareout de uma mquina infectada, mas na maioria dos casos ainda ser necessrio remover um arquivo aleatrio e reconfigurar o endereo dos servidores de DNS para o utilizar os servidores do provedor de Internet. 5. 3,8%: Adware Genrico Representa diversos adwares genricos que exibem pop-ups e propagandas. So formados por adwares que no possuem uma marca ou so pouco conhecidos. A remoo deles geralmente bem simples, bastando remover uma ou duas entradas no Hijackthis e apagar o arquivo responsvel usando o Killbox. O mais comum desses adwares o trojan Adclicker que se instala com o arquivo vbsys2.dll e exibe, em sua maioria, anncios pornogrficos. 6. 3,2%: Coolwebsearch CoolWebSearch um conjunto de infeces que seqestram o navegador de Internet e exibem pginas que usurio no pediu, alm de travar a pgina inicial do navegador. Atualmente, as pginas iniciais so trocadas principalmente para sites de busca e falsos sites de segurana que sugerem ao usurio a instalao de programas antivrus e anti-spyware que no funcionam. As variantes mais comuns so a Findthewebsite. SearchCentrix e ProSearching. Verses mais antigas do Coolwebsearch (CWS) esto detalhadas no artigo Crnicas do Coolwebsearch. interessante notar que a variante CWS.Winres, de fevereiro de 2004, foi responsvel por alguns casos de Coolwebsearch vistos no ms. 7. 2,7%: C2.LOP O C2.LOP, ou Lop.com, o adware instalado pelo Messenger Plus. Ele exibe popups,barras de anncios e em algumas verses tambm troca a pgina inicial dousurio. Antigamente

96 C2.lop era conhecido por ser o nico hijacker que modificavatambm a pgina inicial do Netscape alm do Internet Explorer. A remoo do C2.Lop complicada, pois ele utiliza nomes aleatrios. possvel reinstalar o Messenger Plus! sem o patrocnio para que o C2.LOP no seja instalado junto e tambm possvel desinstalar apenas o patrocnio do Messenger Plus! (que o C2. LOP). O Warez P2P tambm instala o C2.LOP. No o tpico do frum sobre a praga voc encontra um link para uma ferramenta de remoo, mas ela nem sempre funciona. Nota: A maioria dos antivrus chama o C2.Lop de Swizzor. 8. 2,4%: Myway Tambm pela primeira vez no top 10, o MyWay uma barra de ferramentas do Internet Explorer criada pelo portal ask.com. Apesar de ser inofensivo na maioriadas vezes, o MyWay instalado em conjunto com softwares gratuitos distribudos pela marca Fun Web Products. Algumas pessoas tambm reclamam de lentido no computador e principalmente no navegador web quando o MyWay est instalado. possvel remover o MyWay e suas variantes (MyWebSearch, MySearchAssistant)atravs do Adicionar/Remover Programas, no Painel de Controle. 9. 2,2%: Hotbar O Hotbar uma barra que muda a pgina de busca do navegador para o site Results Master e instala outros programas na mquina, como o WeatherOnTray e Shopper Reports. O Hotbar tambm exibe anncios aos usurios, deixando a mquina lenta. O Hotbar sempre instalado pelo usurio, mas nem sempre o usurio sabe que o instalou, pois ele anunciado atravs de banners que oferecem novos emoticons sem mencionar a Hotbar at que o usurio se depare com um aviso de confirmao ActiveX (comumente utilizado como mtodo de distribuio de spywares). Grandes portais da Internet costumam servir os banners da Hotbar, pois eles esto presentes em muitas agncias de anncios. 10.2,0%: RxToolbar

97 O RxToolbar uma barra de ferramentas instalada com programas gratuitos. Ela sublinha palavras-chave nos textos de websites e torna essas palavras em links para anunciantes, dessa forma injentando de forma pouco tica anncios em websites. Sistemas Operacionais A tabela abaixo baseada apenas nos logs que possuam pelo menos uma infeco. A ordem dos sistemas mais infectados continua estvel. Nota importante: O nmero no representa quais os sistemas que so mais vulnerveis. Instalar o Windows 98 no lhe tornar mais seguro do que o Windows XP SP2. A lista diretamente afetada pelo nmero de usurios que utilizam o sistema em questo o que significa que o Windows XP geralmente estar com a maioria das infeces. Windows XP SP2 66,5% Windows XP SP1 13,1% Windows XP Gold (Sem SP) 8,6% Windows 98/98SE 5,9% Windows 2000 SP3/SP4 3,5% Windows ME 1,7% Windows 2000 Gold(sem SP)/SP1/SP2 0,7% Cavalo-de-tria se apresenta como extenso para Firefox Fonte: http://pcworld.uol.com.br/noticias/2006/07/26/idgnoticia.2006-07 6.8877878964/IDG Noticia_view

98 Praga detectada pela McAfee baixada por cavalo-de-tria instalado no PC edivulga para hackers dados pessoais digitados no browser A empresa de segurana McAfee detectou um novo cdigo malicioso que finge seruma extenso para o navegador Firefox segundo anncio divulgado nesta quarta-feira (26/07). Chamado de Formspy o cavalo-de-tria baixado para o computador j infectado por outra praga, chamada Download-AXM que segundo a McAfee circulou em mensagens indesejadas nas ltimas semanas. O Downloader-AXM entra em contato com servidores para baixar outros programas maliciosos para o computador sem a permisso do usurio segundo a empresa. Uma vez baixado o Formspy se instala como uma extenso do Firefox. A praga consta sob o nome de "Numberedlinks 0.9" na lista de atualizaes do navegador de cdigo livre, quando a extenso original na verdade permitiria que o usurio navegasse por links usando o teclado ao invs do mouse. Aps a infeco o Formspy pode transmitir informaes dentro do navegador para sites online forjados por hackers o que poderia incluir nmeros de carto de crdito, senhas e cdigos bancrios, de acordo com a McAfee. O FormSpy pode roubar tambm senhas de servios de e-mail, mensageiros instantneos e contas FTP. Para evitar a praga, usurios precisam ter cuidado ao abrir arquivos anexados em mensagens no solicitadas para que o cavalo-de-tria Downloader-AXM no seja instalado e baixe o novo cdigo malicioso. Fundao Mozilla corrige sete vulnerabilidades crticas no Firefox Fonte: http://idgnow.Uol.Com.br/seguranca/2006/07/27/idgnoticia. 2006-07-853005148/

Idgnoticia_view So Paulo - Organizao divulga nova verso do navegador com doze correes de segurana, na atualizao mais impactante do Firefox 1.5.

99 A Fundao Mozilla divulgou nesta quinta-feira (27/07) a verso 1.5.0.5 do seu navegador Firefox com correes para um total de 12 falhas no aplicativo. Entre as brechas encontradas sete foram classificadas pela Fundao Mozilla como "crticas", pois permitem que hackers executem cdigos remotamente no micro do usurio. Duas outras falhas foram classificadas como de "alto risco", enquanto as trs restantes foram consideradas como "moderadas" pelo anncio da segurana da Fundao. Trs das vulnerabilidades consideradas "crticas" pela organizao permitem que ataques sejam feitos pelo uso da linguagem Javascript integrada ao navegador de cdigo aberto. Esta pode ser considerada a atualizao de segurana mais crtica j divulgada para o Firefox 1.5 pela Fundao Mozilla. O nmero de brechas foi igual ao da ltima correo publicada, que tinha apenas cinco vulnerabilidades com a classificao mxima da organizao. A Fundao Mozilla adverte usurios do navegador de cdigo aberto a baixarem o Firefox 1.5.0.5, com as doze brechas de segurana corrigidas, disponvel no site do grupo. Caso a Fundao Mozilla cumpra o cronograma prometido, esta dever ser uma das ltimas atualizaes de segurana do Firefox 1.5 antes do lanamento da verso final do Firefox 2.0, programada para agosto. O lanamento dever acontecer simultaneamente com a chegada do rival Internet Explorer 7 prometido pela Microsoft para chegar oficialmente aos PCs em setembro. Alm da distribuio gratuita no site da empresa, a Microsoft afirmou nesta quartafeira que usar seu sistema de atualizao de segurana para oferecer o software a seus usurios. Centro de Especializao em Segurana Boletim 021/06. Semana: 31/07/2006 a 04/08/2006 Bombardeio de Israel ao Lbano desencadeia ataques online Fonte: http: //idgnow.Uol.Com.br/seguranca/2006/07/31/idgnoticia. 2006-07-31.4428196215/ Idgnoticia_view

100 So Paulo - Ataques contra grupo terrorista Hizbollah motivam pichaes pedindo paz em sites da NASA e da Universidade de Berkeley. A srie de bombardeios promovida por Israel contra o Lbano motivou diversos ataques contra sites veiculados aos Governos dos Estados Unidos e de Israel. De acordo com o site de rastreamento de ataques Zone-h.org, 51 endereos online foram alvos de ataques do tipo defacer em que um grupo hacker altera sua pgina inicial como forma de protesto ou denial of service em que uma rede zumbi tira o site do ar. O exrcito de Israel invadiu o Lbano, em 12 de julho, aps o grupo terrorista Hizbollah ter anunciado a captura de dois soldados israelenses. Desde o incio do conflito, agncias internacionais contabilizam cerca de 561 libaneses mortos pelo conflito. Na ltima sexta-feira (28/07), dois sites veiculados Agncia Espacial Norte-Americana (do ingls, NASA) foram atacados pelo grupo chileno "byond crew", que "pichou" o endereo com a foto de uma criana mutilada acompanhada por pedidos de paz. No total foram seis os sites da NASA atacados desde o sbado da semana passada (22/07). A maioria das mensagens de acordo com o Zone-h. Org alega que a busca de Israel por supostos terroristas apenas um pretexto pela guerra no sul do Lbano. O site da Universidade de Berkeley na Califrnia foi alvo de mais da metade dos ataques computados pela Zone-H. Org, com 32 de seus domnios "pixados" por trs grupos de hackers distintos com simples frases identificando a "pichao" ou pedidos de paz contra o conflito. Tambm foram atacados o site da revista GQ dentro do MSN italiano e a pgina do Fundo de Reserva Mdica dos Policiais Norte-Americanos. McAfee divulga correo para falha que atinge software de segurana Fonte: http: //idgnow.Uol.Com.br/seguranca/2006/08/01/idgnoticia. 2006-08-586697086/ Idgnoticia_view.

101 Londres - Empresa vai lanar na quarta-feira (02/08) correo para falha queatinge o a ferramenta de gerenciamento de segurana SecurityCenter. A McAfee vai divulgar nesta quarta-feira (02/08) uma correo para a sua aplicao Securitycenter e uma ferramenta de gerenciamento de segurana. A vulnerabilidade classificada com mdia pela McAfee pode permitir que um usurio no autorizado rode cdigo remoto na mquina. A falha afeta das verses 4.3 ata 6.022 do Securitycenter. A McAfee foi avisada da falha pela empresa de segurana eeye Digital que classificou a vulnerabilidade como crtica. A empresa informou que est testando o pacote de correo e que alguns usurios vo receber a correo por meio do sistema automtica de atualizao. Outros tero de fazer as atualizaes manualmente. 80% dos vrus escapam da deteco de antivrus populares Http: //linhadefensiva.Uol.Com.br/blog/2006/08/antivirus-popular-nao-funcional. O Auscert Centro de Respostas a incidentes de segurana da Austrlia afirmou que os antivrus mais populares no conseguem detectar 80% das novas pragas. Eles no citaram nomes, mas atualmente os trs antivrus mais vendidos so o Norton, o Virusscan e o PCCillin. Isso no tem nenhuma relao com a qualidade desses produtos; o problema que os programadores de vrus sabem que eles so os mais utilizados e fazem questo de testar suas pragas e verificar que os antivrus no so capazes de detect-las. A maioria dos vrus variantes de pragas mais antigas, o que significa que se no houvesse esse teste muitas pragas seriam detectadas sem a necessidade de atualizar o software. muito importante no interpretar incorretamente a afirmao do Auscert. O problema no o antivrus somente, mas sim o jogo de gato e rato que existe na indstria antivrus que hoje depende principalmente nas assinaturas de deteco. Se voc acha que um antivrus melhor do que esses trs,. Alm disso a afirmao s vale para pragas novas, isso a deteco das pragas logo quando elas esto circulando na Internet antes da atualizao do antivrus.

102 Como j foi dito vrias vezes aqui na Linha Defensiva, um ambiente online diversificado tanto em sistemas como softwares o que traz segurana e isso no menos verdade para os antivrus. Monoplios so ruins por facilitar a criao de pragas capazes de causar grandes danos sem maiores esforos. por este motivo que nossa pgina de downloads no recomenda apenas um software especfico: no existe um melhor antivrus para todos. O correto cada um testar os programas e verificar o que gosta mais, pois s assim teremos a diversidade necessria para uma rede mais segura. Prottipo de worm para Windows ataca linguagem Powershell Fonte: http://idgnow.Uol.Com.br/seguranca/2006/08/02/idgnoticia. 2006-08-92273594/

Idgnoticia_view. So Francisco: Praga detectada pela McAfee atinge tecnologia no lanada pela MS e usa o software de compartilhamento Kazaa para se infestar. A Microsoft no divulgou sua tecnologia de scripting Powershell em produtos comerciais ainda, mas um grupo de hackers j escreveu um prottipo de vrus para a ferramenta. De acordo com a empresa de segurana McAfee o MSH/Cibyz!p2p um worm ainda sem correo escrito pelo script Windows PowerShell que tenta se infestar pela aplicao de P2P Kazaa deixando uma cpia prpria na pasta de arquivoscompartilhados O Windows Powershell uma linha de comando de e scripting de tecnologia baseado em tarefas que oferecem controle e automao de tarefas de administrao de sistema, de acordo com informaes da pgina da Microsoft. A linguagem ainda inclui uma linguagem de scripting que permite a automao de funes administrativas do Windows Futuros produtos da linha Exchange Server 2007 e System Center Operations Manager 2007 sero construdas sobre o Windows Powershell disse a Microsoft. O prottipo MSH/Cibyz!P2p infecta o Powershell deixando uma cpia prpria na pasta de documentos do Kazaa e acessa o cominho padro para que downloads sejam feitos na aplicao no Registro do sistema operacional. Para enganar usurios para o download e a

103 execuo de arquivos o worm usa nomes de populares aplicaes em sua cpia falsa de acordo com a McAfee. A McAfee considerou tanto o risco corporativo como o domstico provocado pelo worm como "baixo". Mais informaes sobre o prottipo de worm pode ser encontrado no site da McAfee. Pesquisadores de segurana demonstram invaso a MacBook via rede sem fio Fonte: http://idgnow.Uol.Com.br/seguranca/2006/08/03/idgnoticia. 2006-08-118269023/

Idgnoticia_view So Francisco: Durante a Black Hat pesquisadores mostram o quo fcil invadir o Mac OS X via Wi-Fi. Windows e Linux tambm tm falhas. Dois pesquisadores incomodados com as alegaes da Apple sobre a segurana do sistema operacional Mac OS X fizeram do Mac Book alvo de um teste que demonstrou quo fcil invadir o sistema utilizando uma falha no cdigo dos dispositivos de conexo rede sem fio. David Maynor e Jon Ellch fizeram a demonstrao por meio de um vdeo exibido durante a Black Hat, conferncia de hackers nos Estados Unidos. Maynor mostrou como usar ferramentas sofisticadas de hackers para acrescentar e remover arquivos de um MacBook com Wi-Fi manipulando o sistema a partir de um notebook prximo. Os dispositivos wireless so freqentemente usados para rastrear novas redes e isso pode levar a problemas de segurana especialmente se o software ligado a eles tem falhas. Isso acontece com freqncia quando os fornecedores se apressam em implementar padres wireless complexos disse Ellch, estudante da escola Naval de psgraduao nos Estados Unidos. Muitos fabricantes tm que entregar os produtos com rapidez, disse ele. Uma das coisas sacrificadas no processo a segurana. A Aple no o nico fornecedor com problemas em seus sistemas wireless, segundo Maynor pesquisador da Secureworks. Ao explorar falhas em quatro cartes wireless os pesquisadores conseguiram controlar laptops rodando Windows e Linux tambm.

104 No entanto Maynor disse que sabia que se demonstrassem a falha no Mac OS X considerada a plataforma mais segura os participantes do evento levariam suas descobertas a srio. A idia de questionar uma propaganda atual da Apple que diz que o seu sistema operacional mais seguro que o Windows tambm parece ser um fator de influncia. Os pesquisadores agora esto trabalhando com a Apple para resolver os problemas que podem envolver tanto correes para o sistema operacional quanto para o software para conexo wireless segundo Maynor. A Apple no quis comentar o assunto. A demonstrao na Black Hat foi feita poucos dias aps a Intel liberar correes para drivers wireless que poderiam levar a problemas similares aos demonstrados pelos pesquisadores. Maynor e Ellch no souberam informar se as correes endeream as falhas que eles descobriram, mas disseram no ter trabalhado com a fornecedora nasatualizaes. Apesar disso aplaudiram a iniciativa da Intel. Petrobrs implanta 140 mil certificados digitais Fonte: http: //computerworld.Uol.Com.br/seguranca/2006/08/02/idgnoticia. 2006-08-029/ Idgnoticia_view. Projeto conduzido pela companhia busca garantir mais segurana de funcionrios e fornecedores aos dados corporativos A Petrobrs est implantando a utilizao de 140 mil certificados digitais, como forma de garantir mais segurana de funcionrios e fornecedores aos dados corporativos. Segundo a empresa a companhia mantm hoje uma imensa base de 40 mil documentos digitalizados com arquivos autenticados em cartrio. Pela estratgia a Petrobrs obrigar seus fornecedores a assinar documentos baseados no padro brasileiro de chaves-pblicas de acordo com o regulamento da Infra-estrutura de Chaves Pblicas Brasileiras (ICP-Brasil). Conforme antecipou o Computerworld a Petrobrs tambm ser credenciada pela ICP-Brasil a operar como uma autoridade certificadora responsvel pela emisso de certificados para os usurios finais.

105 Atualmente a companhia integra tambm um comit formado por 19 empresas que j utilizam a certificao na emisso de Nota Fiscal eletrnica (e-NF) em um projeto piloto. A inteno futura da Petrobrs usar a certificao nas transaes entre seus distribuidores e fornecedores. O projeto da Petrobras ser apresentado na prxima semana durante o Certforum, evento conduzido pelo Instituto Nacional de Tecnologia da Informao (ITI). Em menos de uma semana Fundao Mozilla corrige nova falha do Firefox Fonte: http: //idgnow.Uol.Com.br/seguranca/2006/08/03/idgnoticia. 2006-08-483990317/ Idgnoticia_view. So Paulo: O Firefox 1.5.0.6 corrige uma falha do Windows Media Player, introduzida pela atualizao anterior. Atualizao automtica. Uma semana depois de lanar uma atualizao que corrigia 12 falhas do Firefox, sete delas crticas a Fundao Mozilla soltou uma nova verso do navegador de internet de cdigo aberto. A verso 1.5.0.6 que j est disponvel e automtica para os usurios do browser corrige uma falha do Windows Media Player introduzida pela verso anterior do softawre. De acordo com a Fundao Mozilla a falha bloqueava o protocolo Microsoft Media Services (MMS) usado pelo Windows Media. Na segunda-feira (31/07) o site de promoes do navegador, o Spreadfirefox, anunciou que o browser chegou a marca de 200 milhes de donwloads. Microsoft prepara 12 boletins para corrigir falhas do Windows e do Office Fonte: http://idgnow.Uol.Com.br/seguranca/2006/08/03/idgnoticia. 2006-08-514477649/

Idgnoticia_view.

106 So Paulo: Na prxima tera-feira (08/08) MS vai divulgar 12 boletins para corrigir falhas do Windows e do Office. Pelo menos duas so crticas. A Microsoft anunciou que vai divulgar 12 boletins de segurana, dois deles pelo menos considerados crticos no sistema operacional Windows e no pacote de aplicativos Office na prxima tera-feira (08/08). Das falhas que vo ser corrigidas, 10 afetam o sistema operacional Windows. Pelo menos uma delas crtica. As duas restantes so do Office. Pelo menos uma crtica. Uma falha crtica a mais alta classificao da Microsoft para uma vulnerabilidade de software. Ela permite que uma pessoa mal-intencionada assuma o controle do computador do usurio. No ms passado, em seu ciclo mensal de correes, a Microsoft divulgou sete boletins, cinco deles considerados crticos que corrigiam 18 vulnerabilidades do Windows e do Office. O nmero de boletins que sero divulgados na prxima tera-feira (08/08) o mesmo do ms de junho quando a Microsoft corrigiu 21 vulnerabilidades de seus produtos. Este boletim foi considerado o maior da empresa desde fevereiro de 2005. Intel corrige falhas em wireless Fonte: http: //idgnow.Uol.Com.br/seguranca/2006/08/03/idgnoticia. 2006-08-015078552/ Idgnoticia_view. Londres: Falhas em drivers de hardware e software abrem portas para hackers invadirem laptops. A Intel liberou correes para trs vulnerabilidades em seus hardwares e softwares de conexo sem fio. Dois problemas afetam determinadas verses do Pro/Wireless Network Connection Hardware, parte da plataforma mvel Centrino disse a Intel. As vulnerabilidades esto emdrivers para a plataforma Microsoft segundo a empresa.

107 A falha pode permitir a hackers prximos estao sem fio rodar cdigos no autorizados na mquina de uma vtima ou at obter privilgios de acesso ao ncleo do sistema operacional. Uma terceira falha afeta o Proset/Wireless Software, da Intel e pode levar um hacker a obter credenciais de autenticao segundo a Intel. At o momento no foram registrados casos de tentativas de explorao das falhas disse a empresa. Segundo Graham Cluley consultor snior da empresa de segurana Sophos um criminoso virtual poderia usar as falhas no driver para criar um worm que se replica passando de um computador a outro por uma rede Wi-Fi. Os usurios podem verificar que verses do hardware esto rodando no site da Intel e os novos drivers tambm podem ser baixados pelo site. A Intel alertou, no entanto que os drivers atualizados so genricos e que os fornecedores OEM podem ter modificado o software causando possveis problemas de compatibilidade. Para a outra vulnerabilidade a Intel recomenda salvar o perfil do Proset/Wireless Software com o recurso exportar antes de fazer as mudanas. O SANS Institute Organizao de treinamento em segurana afirmou no acreditar que os drivers sero entregues pelos updates da Microsoft. A empresa no pode ser contatada para comentar o assunto. As correes tero que ser aplicadas manualmente, a no ser que os fornecedores dos equipamentos ofeream uma ferramenta automtica de atualizao disse a SANS.