ORNCIO COUTINHO JNIOR IGOR MIRANDA RICARDO ARRUDA

Avaliando Desempenho de Polticas de Fila DropTail e SFQ diante de um ataque Distributed Denial of Service

UNAMA Belm, Novembro de 2002.

UNIVERSIDADE DA AMAZNIA CENTRO DE CINCIAS EXATAS E NATURAIS CCET CURSO DE BACHARELADO EM CINCIA DA COMPUTAO

Avaliando Desempenho de Polticas de Fila DropTail e SFQ diante de um ataque Distributed Denial of Service
por IGOR MIRANDA ORNCIO COUTINHO JNIOR RICARDO ARRUDA

TCC apresentado como exigncia parcial para a obteno do ttulo de Bacharelado em Cincia da Computao na Universidade da Amaznia, elaborao sob orientao do Prof. Mauro Margalho Coutinho.

UNAMA Belm, Novembro de 2002.

______________________________________________________________ Prof. 1 Banca ______________________________________________________________ Prof.2 Banca ______________________________________________________________ Prof.3 Banca

Data____/____/_____

Resumo
Atualmente muito comum a prtica de ataques hackes, os quais tm como objetivo simplesmente causar caos em sistemas de grande porte. Um dos grandes BackBones do Brasil, a RNP, at hoje, no teve sua segurana posta em evidncia. O trabalho proposto tem por objetivo avaliar o desempenho de simulaes feitas com a ferramenta NS (Network Simulator). Utilizar-se- como cenrio o backbone da RNP onde sero executados ataques simulados. Sero avaliados algumas falhas de segurana e sugestes de procedimentos para minimizar tais falhas sero propostas. Os resultados sero avaliados com base em grficos obtidos a partir da evoluo do quadro de simulao.

Abstract
Currently it is very common the pratice of hackers attacks, which has as objective simply to cause chaos in Large Systems. One of the great backbones of Brazil, RNP, until today, has not been its security dispatches posted in invidence. The considered work has for objective to evaluate the performance of simulations made with tool NS ( Network Simulator). RNPs backbone will de used as a scenario where simulated attacks will be executed. Some security failures will be evaluated and procedure suggestions will be proposed to minimize such failures. The results will be evaluated based on graphics obtained from the evolution of simulation picture.

Sumrio
Captulo 1 O Estado da arte em segurana de sistemas .................. 9 1.1 Viso Geral sobre segurana em WANS...................... 10 1.1.1 Tcnicas de Ataque ............................................ 10 1.1.2 Vulnerabilidades ................................................ 19 1.1.3 Segurana na RNP ............................................ 23 1.1.4 Tipos de Ataques mais Freqentes ................... 25 Captulo 2 Contextualizao do Ambiente de Testes ....................... 26 2.1 Situao ...................................................................... 27 2.2 Cenrio ( Topologia ) ................................................... 27 2.3 Trfego ........................................................................ 28 2.4 Ferramentas Utitlizadas (NS Network Simulator) ...... 29 2.4.1 Especificaes Tcnicas do NS ........................... 30 Captulo 3 Avaliao de Desempenho ............................................... 33 3.1 3.2 3.3 3.4 3.5 3.6 Captulo 4 Grficos ........................................................................ 35 DropTail Com ataque .............................................. SFQ Com ataque ..................................................... DropTail Sem ataque .............................................. SFQ Sem ataque ..................................................... Anlise dos resultados ................................................ 35 43 44 54 64

Sugestes para Minimizar os problemas de Segurana . 65

Captulo 5 Captulo 6

Concluso .......................................................................... 67 Referncias Bibliogrficas ................................................ 69

Anexos - Cdigo Fonte da Simulao .................................................... 71

Lista de Figuras
Figura 1.1 - Construo de um Buffer Overflow em cdido de mquina ... 12 Figura 1.2 - Exemplo do comando ping .................................................... 16 Figura 1.3 - Rede de ataque Distributed Denial of Service ( DdoS ) .......... 17 Figura 1.4 - Ilustrao do backbone da Rede Nacional de Pesquisa) ........ 24 Figura 2.1 - Ilustrao do cenrio de ataque ............................................... 27 Figura 2.2 - Ilustrao do trfego da vdeo conferncia .............................. 28 Figura 2.3 - Ambiente do simulador NS ( Network Simulator ) .................... 30 Figura 3.2 Disposio da Simulao ........................................................ 35 Figura 3.3 Incio da Simulao ................................................................. 36 Figura 3.4 Incio do ataque de Manaus .................................................... 37 Figura 3.5 Incio do ataque de Cuiab e Campo grande ........................ 38 Figura 3.6 - Incio do ataque de Belm ....................................................... 39 Figura 3.7 Contaminao de pacotes da vdeo conferncia .................... 40 Figura 3.8 Criao de filas no roteador de Braslia .................................. 41 Figura 3.9 Descarte de pacotes, inviabilizando a vdeo conferncia ....... 42 Figura 3.10 Fila SFQ ................................................................................ 43

Lista de Grficos
Grfico 3.2.1 Comportamento de Braslia Manaus sem os ataques ..... 44 Grfico 3.2.2 Comportamento de Braslia Manaus com os ataques ..... 45 Grfico 3.2.3 Comportamento de Braslia Palmas sem os ataques ...... 46 Grfico 3.2.4 Comportamento de Braslia Palmas com os ataques ...... 47 Grfico 3.2.5 Comportamento de Braslia Porto Velho sem os ataques 48 Grfico 3.2.6 Comportamento de Braslia Porto Velho com os ataques 49 Grfico 3.2.7 Comportamento de Braslia Rio Branco sem os ataques 50 Grfico 3.2.8 Comportamento de Braslia Rio Branco com os ataques 51 Grfico 3.2.9 Grfico DroTail sem ataques ............................................... 52 Grfico 3.2.10 Grfico DroTail com ataques ............................................. 53 Grfico 3.3.1 Comportamento de Braslia Manaus sem os ataques ..... 54 Grfico 3.3.2 Comportamento de Braslia Manaus com os ataques ..... 55 Grfico 3.3.3 Comportamento de Braslia Palmas sem os ataques ...... 56 Grfico 3.3.4 Comportamento de Braslia Palmas com os ataques ...... 57 Grfico 3.3.5 Comportamento de Braslia Porto Velho sem os ataques 58 Grfico 3.3.6 Comportamento de Braslia Porto Velho com os ataques 59 Grfico 3.3.7 Comportamento de Braslia Rio Branco sem os ataques 60 Grfico 3.3.8 Comportamento de Braslia Rio Branco com os ataques 61 Grfico 3.3.9 Grfico SFQ sem ataques ................................................... 62 Grfico 3.3.10 Grfico SFQ com ataques ................................................. 63

Lista de Siglas
CAE Centro de Atendimento a Emergncias CAIS Centro de Atendimento a Incidentes de Segurana CBR Constant Bit Rate CRC Cyclic Redundancy check DoS Denial of Servie DdoS Distribued Denial of Servie FIFO First In First Out IEEE - Internet LAN Local Area Network IP Internet Protocol ISP Internet service Provider NS Network Simulator RNP Rede Nacional de Pesquisa SFQ Stocasthic Fair Queue TCP Protocol Control Transport UCP Unidade Central de Processamento UDP VINT Virtual Internetwork Testbed WAN Wide Area Network

1. O Estado da Arte em Segurana de Sistemas

______________________________________________________________ Inicialmente mostrar-se- um apanhado geral das expectativas mediante o desenvolvimento do trabalho referente aos problemas de segurana e confiabilidade encontrados em algumas WANS (Wide Area Network), explicitando sucintamente os tpicos que sero abordados no decorrer do trabalho, explanando algumas ferramentas e softwares que foram usadas para auxiliar na elaborao de simulaes e gerao de grficos. ______________________________________________________________

1.1 Viso geral sobre segurana em WANS

As redes de longa distncia, tambm chamadas de WANS (Wide Area Network) so redes geograficamente distribudas que surgiram da necessidade de se compartilhar recursos especializados. Por terem um custo bastante elevado, tais redes, em geral so pblicas. Geralmente cobrem uma grande rea geogrfica, no caso da RNP (Rede Nacional de Pesquisa) cobre um pas inteiro. As WANS so na realidade constitudas por mltiplas redes interligadas, por exemplo, redes locais e outras redes de longa distncia ou metropolitanas. O exemplo mais divulgado a Internet. Dada a sua dimenso e, uma vez que engloba diversas redes locais (LANS) e de longa distncia (WANS), as tecnologias usadas para a transmisso dos dados so as mais diversas. Contudo, para que a troca de informao se processe, necessrio um elo comum que assente sobre essa tecnologia heterognea. Esse elo comum o protocolo de rede. A interligao de redes de diferentes tecnologias assegurada por dispositivos conhecidos por "routers" (roteadores). Um roteador possui tipicamente ligao fsica a duas ou mais redes, recebendo dados de uma rede para os transmitir a outra. Um exemplo tpico a ligao de uma rede Ethernet (802.3 IEEE) a uma rede ponto-a-ponto. Por exemplo, quando um usurio particular estabelece uma ligao telefnica com um fornecedor de servios Internet (ISP Internet service Provider) podemos considerar que a parte da rede telefnica que usada passa a fazer parte da grande rede WAN, que a Internet.

1.1.1Tcnicas de Ataque
O aspecto segurana sempre tem sido colocado em evidncia quando se fala em redes. O trabalho proposto tem como finalidade analizar os resultados obtidos mediante uma simulao de uma falha de servio, gerada em uma video conferncia, utilizando-se da modelagem do backbone da RNP, oriunda de ataques externos. As simulaes foram geradas no NS (Network Simulator) e visualizadas no NAM (ferramenta de trabalho utilizada Network AniMator). Entre as diversas formas de ataque que se utiliza hoje em dia, uma das mais comuns o de negao de servio, chamado de DoS

10

(Denial Of Service) e os ataques de DdoS (Distributed Denial of Service) que atualmente esto incomodando administradores de redes WANS. BackDoors e Trojans - A definio de Trojans e Backdoors por vezes se confundem. Os Backdoors, tambm conhecidos como "Cavalos de Tria", so programas que quando executados, permitem a terceiros a execuo de "processos" remotos (invaso do sistema) no computador em questo (denominado com "vtima"). O termo Trojan mais empregado a programas cujo cdigo serve apenas para danificar arquivos no sistema portanto, deve-se pensar duas vezes quando se quiser testar um programa que esteja definido como Trojan. Os principais Backdoors disponveis na Internet, atualmente, so Backorifice, BO, SubSeven, NetBus e WinCrash Buffer Overflow O buffer overflow uma falha de programao que faz com que haja um transbordamento da rea de memria de uma determinada varivel sobre a rea reservada para outras variveis, ou sobre a rea de memria que contm cdigo executvel. Softwares podem ser derrubados ou serem forados a executar outras funes (cdigo arbitrrio), esta tcnica atinge todos os tipos de software, sistemas operacionais, Servios (ex: Web Servers) e aplicativos (scripts CGI). Os piratas de rede, popularmente conhecidos como hackers, desenvolvem programas para explorar um buffer overflow (exploits programas desenvolvidos por hackers para explorar vulnerabilidades) em um determinado software/verso. Estes programas so extremamente sofisticados, exigindo que se mescle em tempo de execuo dois cdigos de mquina. Uma vez desenvolvido este exploits e divulgados na Internet, qualquer hacker pode se utilizar dos mesmos para fazer um ataque contra um servidor que utilize o software com problema de buffer overflow. Este problema ocorre quando o programador esquece de validar se os dados de entrada, recebidos por uma varivel que esta dentro dos limites mximos de tamanho reservado para aquela varivel. Um hacker (pirata) pode utilizar uma falha de buffer overflow para paralisar um programa, forando-o a executar instrues ilegais, ou ento danificando a sua rea de dados a tal ponto que o estado do programa fique to inconsistente a ponto de causar um auto cancelamento. Desta forma, o buffer overflow pode ser utilizado para causar negao de servio, indisponibilizando o servio prestado por um programa que foi 11

paralisado. O buffer overflow tambm pode ser utilizado para fazer com que um programa passe a executar uma seqncia de cdigo determinada pelo hacker. Neste caso, os dados que sero enviados contm uma seqncia de instrues de mquina que iro substituir o cdigo de mquina original. Isto permite ao buffer overflow criar uma porta de entrada. Exemplo de um Cdigo que gera Buffer Overflow: [LV-02;LV01] #include <stdio.h> char s1[10]; char s2[10]; int main() { printf (\ns 2antes = %s , s2); printf(\ns2 depois = %s,s2); } Trata-se de um programa extremamente simples, que l um string de caracteres (s1), e em seguida exibe um outro string de caracteres (s2), o qual no recebeu nenhum valor. O resultado esperado do programa apresentado na figura 1.1 exibir s2 como um string vazio (nenhum caracter). Contudo, em nenhum instante este programa valida se quantidade de caracteres lido em s1 ultrapassa o tamanho da varivel. Isto abre condies para um buffer overflow.

Fig. 1.1 Cdigo de mquina de Buffer Overflow Na figura 1.1 podemos ver o mesmo programa com instrues em cdigo de mquina.

12

IP-Spoofing - Cada mquina que est se comunicando na Internet tem um identificador nico: o endereo IP (Internet Protocol) que similar ao nmero da placa de um carro. Contudo, este endereo pode ser forjado, permitindo que uma mquina utilize o endereo de uma outra mquina. Esta tcnica denominda IP spoofing. Utilizando o IP Spoofing o atacante pode esconder a sua verdadeira identidade (IP de origem). O IP spoofing faz com que os roteadores/servidores fiquem sobrecarregados ao ter de responder mensagens com endereos IPs falsos. Se isto for aplicado em grande escala, possibilita ataques de negao de servio (DoS). Para construir um programa com IP spoofing, o hacker ignora a camada de protocolo IP do sistema operacional e gera os seus prprios pacotes. Esta tcnica d ao hacker um controle total sobre os pacotes IP. Quando este programa com IP Spoofing for executado, permitir a escolha dos endereos IP de origem. O programa pode permitir ao usurio especificar um endereo IP, um grupo de endereos IP, ou ainda solicitar ao programa que gere endereos IP aleatoriamente. Quando um servidor/roteador tenta responder a um pacote com endereo falso (endereo spoofado), poder acontecer duas coisas: Se existir uma mquina ativa com o endereo IP indicado, esta mquina responder que no est interessada em receber dados deste servidor, uma vez que ela no solicitou nenhuma comunicao com este host. Se no existir nenhuma mquina com o endereo IP indicado, o servidor/roteador acabar recebendo da rede uma mensagem de "Host Unreacheable" (rede inalcanvel). Tanto um caso quanto o outro fazem com que haja um consumo de UCP (Unidade Central de Processamento) e de banda neste servidor. Este um dos artifcios empregados nos ataques de denial of service. Neste ataques o servidor recebe milhares de pacotes com IP Spoofing e o resultado do tratamento a estes pacotes gera uma sobrecarga no host, ocasionando uma negao de servio.

13

Sniffer - Computadores em uma rede local (Ethernet) compartilham um meio fsico. Normalmente, uma placa de rede com os pacotes destinados a ela, e descartam os demais. Um programa Sniffer coloca a placa de rede em modo promscuo, possibilitando que um computador receba todos os pacotes que circulam no segmento de rede (dominio de coliso) a que pertence. Isto possibilita ao hacker obter informaes privilegiadas (ex: senhas que circulam sem criptografia) que facilitem um ataque. ICMP Flood - Muitas pessoas acreditam que o ICMP (Internet Control Message Protocol Protocolo de Controle de Mensagens) seja apenas um protocolo similar ao Ping. Porm, ele bem mais srio do que parece. Tanto o TCP (Transmission Control Protocol) como o UDP (User Datagram Protocol) so pacotes gerados por programas do tipo FTP (File Transfer Protocol), Telnet e os outros. Porm, o ICMP gerado diretamente pelo Kernel (Ncleo do sistema) e tem a funo de nomear erros e controlar o fluxo de informaes entre dois hosts diferentes. Assim como no Ping comum, o ICMP Flood pode ser usado para derrubar estaes e servidores. Est tcnica conhecida como Flood, que consiste em enviar um grupo de dados para portas que so pouco usadas pelo computador. Ou seja, o ICMP Flood o ato de enviar o mximo de pacotes no menor espao de tempo possvel a fim de tornar a conexo de um usurio to lenta a ponto de desconect-lo da rede. O ataque ICMP Flood pode ser dividido em duas categorias: usurios de modem e usurios de rede. Um usurio que esteja conectado via modem a 14.400 bps, dificilmente conseguir atacar algum com um ICMP Flood, j que no h velocidade suficiente para o envio de pacotes. Se voc pensar bem, o ICMP Flood funciona mais ou menos como um cabo de guerra. Quem tem a maior fora, que no caso a largura de banda, acaba derrubando a outra conexo. Seguindo essa lgica, um usurio em uma conexo do tipo T3 (Conexes de banda larga que atingem 55Mbps), derruba uma do tipo T1 (Conexes de banda larga que atingem 1.544Mbps), que derruba um modem de 56 Kbps, que derruba um de 28,8 Kbps e assim sucessivamente. [LV-02]

14

DoS e DDoS Presenciamos atualmente um crescimento muito grande de ataques do tipo DoS (Denial of Service), isto , negao de servio que por sua vez um ataque geralmente usado por script kiddies (so receitas de bolo deixadas na Internet para que adolescentes curiosos as executem, dando incio a um procedimento de invaso) ou at mesmo por crackers (denominao da aos piratas, hackers, que fazem algazarras em sistemas) que no querem ter muito trabalho ou no tm habilidade suficiente para realizar um ataque mais elaborado para "derrubar" um alvo. O DoS consiste em enviar uma quantidade de mensagens, para um determinado alvo, maior do que a quantidade que ele pode suportar. Este tipo de ataque ficou ainda mais conhecido quando alguns hackers usaram o mtodo para derrubar sites de grande porte como o do Yahoo e do eBay, em fevereiro 1999. Na prtica, o programa mais usado para realizar este servio o "ping", que vem em todas as distribuies do Unix, do Linux e nas verses mais modernas do Windows. As mensagens so enviadas pela Internet por meio de pacotes (de bits), o que o ping faz simplesmente enviar constantemente uma quantidade alta de pacotes para que possa sobrecarregar o seu alvo e assim parar os seus servios por falta de recurso. Em essncia, o comando ping seria usado para verificar se um determinado computador "est vivo", ou seja, est com uma conexo ativa na rede. O ping envia uma baixa quantidade de bytes (pacotes de 32 bytes em windows e 64 bytes em unix) para se comunicar com outro computador. Se este estiver ativo, retornar uma mensagem dizendo que os pacotes foram recebidos com sucesso. O que os hackers fazem especificar o tamanho dos pacotes que sero enviados e adicionar uma instruo para que ele mande estes pacotes continuamente. Conforme mostrado na figura 1.2

15

Fig. 1.2 Exemplo do comando ping Certamente, realizando-se este procedimento sozinho, percebe-se que nada de grave acontecer com o "alvo" atacado. agora que falaremos do DDoS (Distributed Denial of Service). Ataques distribudos, semelhantes aos conceitos de sistemas distribudos, so ataques que podem ser efetuados a partir de diversos computadores de forma bastante simples. Neste tipo de ataque feita uma sobrecarga ou inundao de pacotes, formando uma quantidade de dados global maior que uma rede ou um host pode suportar. Isto, por conseqncia, pode demonstrar a quantidade de trfego que um host qualquer pode suportar utilizando esta metodologia como uma ferramenta para teste de desempenho, ou ento tornar instvel a rede e prejudicar os servios oferecidos por ela. Basicamente o ataque caracteriza-se por explorar vulnerabilidades e atravs disto obter acesso privilegiado a mquinas que preferencialmente operem em redes de banda larga. Os sistemas operacionais preferidos para utilizao so o Solaris e Linux devido existncia de rootkits e sniffers, que so programas geralmente criados pelos prprios hackers para facilitar a entrada em sistemas. Aps a invaso criada uma lista dos IPs das mquinas exploradas para formar a rede de ataque. Neste ponto, cada uma das mquinas listadas j possui instalado software necessrio para efetuar o ataque propriamente dito. Em um prximo passo so escolhidas as mquinas que sero mestres (mquinas que recebem os comandos de ataque e

16

comandam os agentes) e as que sero agentes (mquinas que efetivamente concretizam o ataque). Nos agentes instalado e executado o software necessrio e estes passam a anunciar ao mestre a sua presena. Assim, para efetuar o ataque basta que o mestre fornea o IP a ser atacado e o tempo de ataque e todos os agentes que entraro em atividade. Como conseqncia, pode-se saturar o link ou paralisar os servios oferecidos pela vtima. Veja na figura 1.3 a ilustrao de uma rede de ataque: [LV-02]

Fig. 1.3 Rede de ataque DDoS Algumas anomalias podem sinalizar a ocorrncia deste tipo de ataque. Abaixo, algumas delas sero abordadas:

Excesso de trfego: A banda utilizada excede ultrapassando o nmero de acessos esperados.

mximo,

Pacotes UDP e ICMP de tamanho acima do normal: Geralmente as sesses UDP utilizam pacotes pequenos de dados dificilmente maiores que 10 bytes (payload). As mensagens ICMP no excedem a faixa entre 64 e 128 bytes. Pacotes cujo tamanho seja superior a esses nmeros so considerados suspeitos de conterem mensagens de controle, destinadas a cada um dos agentes que est participando do ataque. Apesar do contedo dos pacotes estar cifrado, o endereo do destino verdadeiro, desta forma pode-se localizar um dos agentes que esto realizando o ataque baseado no seu fluxo de mensagens. 17

Pacotes TCP e UDP no fazem parte de uma conexo: Alguns tipos de DDoS utilizam aleatoriamente vrios protocolos (incluindo protocolos orientados a conexo) para enviar dados sobre canais no orientados a conexo. Isto pode ser detectado utilizando-se firewalls que mantenham o estado das conexes (statefull-firewalls). Outro ponto importante que estes pacotes costumam destinar-se a portas acima de 1024.

Os tipos de pacotes devem ser analisados: Quando os dados de pacotes recebidos estiverem estritamente em formato binrio e seu destino for diferente do das portas de ftp ou http, estes devem ser descartados. Os ataques DoS atuam nas fraquezas dos protocolos TCP/IP,

sendo possvel de ser implemetado em qualquer dispositivo que utilize este protocolo, como servidores, clientes e roteadores. Um exemplo comum de ataque DoS TCP SYN. De forma simplificada, toda vez que um cliente deseja iniciar uma conexo com um servidor, envia um pedido, utilizando o bit de SYN (sincronizao) do pacote TCP. O servidor recebe o pacote e devolve um ACK para iniciar a conexo. A cada pedido gerado pelo cliente, o servidor aloca recursos internos, como memria, para poder atender a solicitao. Se um nmero muito grande de solicitaes foram feitas, o servidor pode simplesmente parar ou ficar to sobrecarregado que recuse novas conexes. Geralmente, o endereo de origem do cliente que solicita a conexo forjado (spoofed) para tornar o ataque ainda mais efetivo e encobrir o seu autor. Alm do TCP SYN Attack, existem vrios outros ataques conhecidos do tipo DoS, como UDF Flood Attack (excesso de requisies UDP em um curto intervalo de tempo), Smurfing (Tcnica de Multiplicao de pacotes que utiliza BroadCast como fonte). Existe uma srie de utilitrios disponveis na Internet que facilitam estes ataques, tornado-os bastante simples de serem implementados, inclusive por amadores. Um ataque Distributed DoS nada mais que um ataque DoS em larga escala, utilizando uma dezena, centena ou milhares de sistemas ao mesmo tempo no ataque de um ou mais alvos. Este tipo de ataque considerado como sendo de alto risco e de difcil defesa. Durante o ano de 1999, foram encontradas 18

algumas ferramentas que automatizam os ataques DDoS, como TFN (Tribe Flood Network), Trinoo, stacheldraht (arame farpado em alemo) e o TFN2000 (TFN2K). Em agosto de 1999, as ferramentas TFN e Trinoo foram infiltradas em 27 mquinas da Universidade de Washington e utilizada em um ataque de trs dias a Universidade de Minnesota, juntamente com mais outras 200 mquinas infectadas. Enquanto o Trinoo foi utilizado para mltiplos ataques DoS do tipo UDP Flood, o TFN gerava diferentes tipos de ataques DoS, inclusive com endereos forjados (IP spoofing). [LV-04] Recentemente foram encontradas verses de ferramentas DDoS para ambientes Windows, tornando qualquer usurio da Internet um potencial cliente. Geralmente os clientes invadidos so escolhidos em funo de sua capacidade de comunicao. Quanto maior a conexo de rede, maior ser o volume de pacotes gerados na vtima. Isto faz com que os grandes provedores de acesso sejam um alvo preferencial para servir de cliente. Como os sistemas comprometidos esto sob controle externo, existe uma grande dificuldade do administrador do site atacado responder ao DDoS. Estamos assistindo apenas ao comeo de uma srie de ataques que devem crescer em nmero e poder de ao. Cabe aos responsveis pela segurana, estarem atualizados sobre as novas modalidades de ataques e como responder a eles.

1.1.2 Vulnerabilidades
A conexo de computadores em redes criou inmeras portas de acesso aos sistemas computacionais. Desta forma torna-se realmente fcil encontrar um acesso que esteja desprotegido. Quanto mais se aumenta a complexidade das redes, quanto mais recursos so disponibilizados aos usurios, quanto mais informao requerida por este usurio, mais difcil se torna garantir a segurana dos sistemas de informao. Este problema agravado cada vez mais pela pouca relevncia dada ao assunto em relao a avassaladora necessidade de novidades despejada nos usurios individuais que transportam as condies de insegurana vividas na computao pessoal para a computao corporativa, quando na realidade o caminho inverso que deveria ser percorrido, com os usurios de computao 19

domstica levando consigo todos os procedimentos de segurana adotados nas corporaes. Como casos, as o organizaes, tempo sejam elas pblicas ou privadas, e perceberam que se tornaram vulnerveis, tem-se procurado, em alguns recuperar perdido implementando metodologias ferramentas de segurana, sendo que o grande dilema desta questo a criao de um ambiente controlado e confivel, mas que no tire do usurio a agilidade proporcionada pela micro informtica nos ltimos anos. A tendncia de esquecimento dos procedimentos de segurana, at que ocorra algum problema grave, muito comum nos ambientes denominados cliente-servidor. Para tanto deve-se adotar polticas de segurana que determinem quais itens devem merecer ateno e com quais custos, sendo que de qualquer maneira vale a premissa: Um ambiente totalmente seguro depende da aplicao de recursos ilimitados. Um diagnstico simples para o problema pode ser feito observando as ocorrncias de vrus. Se os computadores e as redes da organizao sofrem de infeces virais, com certeza as informaes presentes nesta rede, sejam pblicas ou confidenciais esto sujeitas e vulnerveis a vazamentos, alteraes indevidas e perdas. Da mesma forma a no existncia de vrus garante que estas mesmas informaes esto bem protegidas e invulnerveis. Em geral, sistemas inseguros existem por trs motivos: por desconhecimento (na maioria das vezes extremamente conveniente), por negligncia ou por uma deciso dos nveis estratgicos das organizaes em no adotar a segurana. preciso conhecer os riscos, saber quais as consequncias da falta de segurana, identificar os pontos vulnerveis e determinar uma soluo adequada para a organizao. O primeiro passo para isso avaliar o valor do bem e/ou recurso a ser protegido e sua importncia para a organizao, o que ajuda a definir quanto vale a pena gastar com proteo. A anlise do problema deve abordar trs aspectos fundamentais: confidencialidade, integridade e disponibilidade, sendo que ningum melhor que o proprietrio da informao para determinar esta relevncia.

20

Os conceitos de confidencialidade, integridade e disponibilidade dizem respeito, respectivamente, a quanto da informao deve ser limitada ou restringida, a correo e certeza que a informao realmente a verdadeira e possibilidade de utilizao da informao no tempo e local requerido pelos usurios. Alguns conceitos bsicos devem ser internalizados para o desenvolvimento de todo um projeto. Um exemplo que ilustra a importncia desta conceituao relatado a seguir: Um advogado de uma grande organizao afirma que: Minha informao no precisa de segurana, pois ela pblica. A rea responsvel pela segurana das informaes tem o seguinte argumento: pblica, mas no pode ser alterada indevidamente. Este dilogo faz com que o usurio perceba que a confidencialidade apenas um dos aspectos da proteo de dados. Com uma viso mais ampla do problema, usurios que imaginam no ter responsabilidades no quesito segurana das informaes passam a ter uma conscincia diferente em relao ao tema. Um projeto de segurana sempre depende das caractersticas de cada organizao, como seu ramo de negcios, o grau de importncia das informaes, o grau de dependncia da empresa em relao aos seus computadores, dentre outras. As aes prticas podem ir desde a instalao de um sistema simples, que solicita senha para utilizar o microcomputador, at o uso de equipamentos onde apenas algumas aplicaes so executadas e todas as operaes so monitoradas. Atualmente os ataques chamados de DoS (Denial Of Service) e os ataques de DDoS (Distributed Denial of Service) esto incomodando administradores de grandes redes WANS. A segurana possui muitas fases e uma das mais importantes a capacidade de controlar o fluxo de pacotes em uma rede, com o objetivo de protege-las de falhas, degradao dos servios, roubo ou comprometimento dos dados resultantes de uma ao intencional ou de um erro provocado por usurios. Mas uma soluo efetiva de segurana no deve ser baseada somente em recursos tcnicos, deve-se elaborar uma poltica de segurana de forma a definir-se as diretrizes de segurana da instituio. Para tanto,

21

existem prticas de segurana, que podem auxiliar no processo de elaborao da poltica de defesa. Antes de prosseguir este trabalho falaremos um pouco sobre roteamento, j que nossas simulaes de ataques iro visar justamente congestionar o fluxo de dados nos roteadores envolvidos na suposta vdeo conferncia proposta. O controle de acesso a forma pela qual pode-se controlar quem tem acesso aos servidores da rede e a quais servios pode-se utilizar uma vez possuindo acesso aos mesmos: - Autenticar - A autenticao o mtodo de identificao dos usurios que podem utilizar os recursos da rede; - Autorizar - A autorizao o mtodo de controle de acesso remoto; - Auditar - A auditoria o mtodo de coletar as informaes sobre os acessos, utilizao dos recursos, tentativas de acesso falhos, horrio de incio de trmino de determinadas transaes, nmero de pacotes enviados por protocolo entre outras; Neste tpico iremos dar nfase a AUTORIZAO de dados. Para tanto, iremos tratar dos recursos de controle de acesso que podem ser implementados em roteadores , embora os conceitos possam ser aplicados a outros elementos de controle de acesso. Deve-se ter em mente que um sistema efetivo de segurana no deve ser baseado somente em regras nos roteadores, deve-se utilizar outros elementos como: Firewall, ferramentas de controle de acesso (ssh por exemplo), segurana dos hosts, preservao da analise dos logs e polticas de segurana utilizadas. Uma vez que o roteador sabe qual ou quais so os tipos de interfaces (Ethernet, Token Ring, FDDI, X.25, Frame Relay...), o mesmo pode verificar o formato dos frames que chegam e montar os frames de sada. Alm disso, o roteador pode verificar a integridade dos dados que chegam, pois, como o mesmo conhece o tipo de interface, pode calcular o cyclic redundancy check (CRC); da mesma forma, o roteador pode calcular o CRC dos frames de sada. Caso as tabelas de roteamento possuam apenas rotas estticas, estas tabelas no sero trocadas com outros roteadores. O cache ARP representa uma rea da memria onde so armazenadas as relaes entre o endereo IP e seu endereo fsico (o endereo MAC da camada 2). [LV-04] 22

Os dados que so recebidos ou preparados para transmisso podem entrar em filas de prioridades, onde o trfego de baixa prioridade atrasado em favor do processamento do trfego de alta prioridade. Se o modelo do roteador suportar priorizao de trfego, certos parmetros de configurao podem ser informados ao roteador para indicar como realizar esta priorizao. As informaes sobre o fluxo dos dados como localizao e status dos pacotes so armazenadas na Fila de espera. As entradas das tabelas de roteamento informam a interface de destino para o qual determinados pacotes devem ser roteados. Se o destino for uma LAN e for necessria a resoluo de endereo, o roteador procura o endereo MAC inicialmente no cache ARP. Caso o endereo no seja encontrado no cache ARP, o roteador monta um pacote ARP para descobrir o endereo MAC. Uma vez que o endereo de destino e o mtodo de encapsulamento esto determinados, os pacotes so enviados para a porta da interface. Dependendo do volume de trfego, novamente o pacote pode entrar em uma fila de prioridade, at que possa ser enviado. Umas das formas mais freqentes de se tirar de servio um roteador, justamente congestionar suas filas de modo que ele no consiga suprir a quantidade de requisies.[LV-04]

1.1.3 Segurana na RNP

A Rede Nacional de Pesquisa (RNP) est constituda nos 27 estados brasileiros, conectando milhares de computadores em mais de 800 instituies em todo o pas. Com o crescimento da Internet e o conseqente crescimento de problemas de segurana na rede, foi criado, em maio de 1997, o CAE - Centro de Atendimento a Emergncias, que mais tarde mudaria o nome para CAIS (Centro de Atendimento a Incidentes de Seguranca). "Este grupo tem como misso registrar e acompanhar incidentes de segurana que envolvem redes conectadas ao backbone da RNP, incluindo o auxlio identificao de invases e reparo de danos causados por invasores. Alm do seu trabalho de resposta a incidentes de segurana, o CAIS tem tambm por objetivo desempenhar um papel preventivo, disseminando informaes, alertas e recomendaes na rea de segurana

23

em sistemas e redes", diz a Gerente do CAIS, Liliana Velasquez Solha. A equipe do CAIS conta, atualmente, com quatro analistas de segurana de forma integral e exclusiva. Para se ter uma idia da importncia do trabalho realizado por estes profissionais, so reportados mensalmente cerca de 850 incidentes de segurana, no entanto, no ltimo ms de maio foram notificados em torno de 1.400 incidentes. Este aumento deveu-se basicamente propagao do worm Spike. SQL, Como verificamos na figura 1.4, podemos observar que a RNP possui velocidades considerveis de links, o que a torna visvel para os hackers, pois estes podem vir a usar estes links, atravs de invases, para proporcionar outros ataques de negao de servio, por exemplo .[ST-01]

Fig. 1.4 Backbone da RNP[ST-01]

24

1.1.4 Tipos de Ataques mais Freqentes

Um tipo de ataque o "spoofing". Neste caso, pacotes exprios com informaes erradas sobre roteamento so enviados a um ou mais roteadores fazendo com que eles roteem errado. Este ataque difere do ataque por flood ataque somente no propsito do roteamento. No ataque por flood, o objetivo era deixar o roteador inutilizvel, um estado facilmente detectado pelos usurios da rede. No "spoofing" os pacotes so enviados a algum host onde eles podem ser monitorados e depois reenviados a seu destino correto, tendo seu contedo alterado ou no. A soluo para a maioria desses casos proteger os pacotes de atualizao de roteamento dos protocolos como RIP-2 e OSPF. Existem 3 nveis de proteo: senha textual, checksum criptografado e criptografia. Senhas textuais oferecem proteo mnima contra intrusos que no tm acesso rede fsica. Tambm protegem roteadores mal configurados (ou seja, roteadores ainda no configurados e que no deveriam rotear pacotes). A vantagem de senhas que elas tm um baixo overhead, tanto em tempo de transmisso como de CPU. Checksums protegem contra a injeo de pacotes daninhos, at mesmo se o intruso tem acesso rede fsica. Combinado com um nmero de seqncia, ou outro identificador nico, o checksum pode tambm detectar ataques de retransmisso, onde uma informao mais antiga est sendo retransmitida, seja por um intruso ou roteador mal configurado. O melhor prover criptografia completa, de atualizaes de roteamento seqenciados ou univocamente identificados. Isso impede um intruso de determinar a topologia da rede. A desvantagem da criptografia o overhead envolvido no processamento. Tanto RIP-2 (RFC 1723) como OSPF (RFC 1583) suportam senhas textuais nas suas especificaes bsicas de projeto. Existem extenses para cada protocolo suportar o algoritmo de criptografia MD5. Infelizmente no h proteo adequada a um ataque por "flooding" ou contra um host ou roteador que esteja inundando a rede, mas felizmente, esse ataque bvio quando ocorre e, geralmente, pode ser terminado de forma relativamente fcil. [LV-01]

25

2. Contextualizao do Ambiente de Testes

Neste captulo, detalharemos o cenrio onde se passar a vdeo conferncia, bem como as especificaes correntes usadas para efetuar as simulaes e obter os resultados.

26

2.1 Situao
Este trabalho pressupe a realizao de um vdeo conferncia entre importantes plos polticos de Manaus, Rio Branco, Palmas e Porto Velho. Um evento ocorrer utilizando-se da infra-estrutura da Internet e ser gerenciado por um refletor multicast da VCON (empresa mexicana de vdeo conferncia) localizado em Braslia. Nesse dia, um grupo de hackers lanar um ataque sincronizado, feito por um worm, dos seguintes pontos em direo a Braslia: Belm, Manaus, Campo Grande e Cuiab. Esse ataque, com conotao de protesto poltico, ter como finalidade tornar indisponvel a rede gerando um super congestionamento e provocando uma negao de servio (DoS). Considerar-se- que os hackers descobriram que as portas que aceitam trfego CBR (Constant Bit Rate) estaro abertas durante o evento e se valero delas e de outras para lanar o ataque. O objetivo do trabalho avaliar, via simulaes, o desempenho de polticas de fila durante o ataque e sugerir alternativas para minimizar seu impacto.

2.2 Cenrio
A figura 2.1 nos mostra como est disposto no mapa do Brasil o ataque que ser simulado com os ns de ataque e os que sero atacados.

Fig. 2.1 Cenrio de Ataque

27

2.2.1 Trfego
A figura 2.2 nos mostra os enlaces envolvidos na vdeo conferncia e seus respectivos parmetros:

Fig. 2.2 Trfego da vdeo conferncia Os testes utilizam atraso de 20ms em todos os links. Sero avaliadas ao e reao do roteador de Braslia (descartando pacotes) diante de duas polticas de fila FIFO (Droptail), e SFQ (Stocasthic Fair Queue). No momento 0 inicia-se a simulao, no momento 0.1 se inicia a vdeo conferncia, no momento 0.5 Manaus inicia o ataque a vdeo conferncia. Em seguida, no momento 1, Cuiab e Campo Grande iniciam simultaneamente seus ataques e, finalmente, no momento 2, Belm dispara seus ataques, o que sobrecarrega o roteador de Braslia e inviabiliza a vdeo conferncia.

28

2.4 Ferramentas Utilizadas ( NS Network Simulator )

O NS (Network Simulator) a implementao de uma mquina de simulao extensvel orientada a eventos discretos (Open Source) originado a partir do projeto VINT (Virtual Internetwork Testbed) que possui interligaes em ambientes multi-protocolos com o objetivo centrado em pesquisas em redes. Ele fornece um suporte substancial para simulaes de TCP, roteamento, e protocolos multicast. Seu desenvolvimento um trabalho de cooperao com o VINT project com a participao de allgumas entidades com o a AT&T Research, USC/ISI, Xerox, PARC e Eth Tik. O Simulador funciona baseado em scripts em TCL, porm seu ncleo foi desenvolvido em C++ e grande parcela dos mdulos de suporte a tecnologias mais especficas em Otcl Verso orientada a objetos da linguagem TCL. O seu ncleo pode ser modificado, ou personalizado, de acordo com as necessidades de cada usurio. O NS utiliza para gerar seus grficos e simulaes linguagem de programao TCL. Sua inicializao atravs do comando ns <tclscrilpt>, +- onde <tclscrilpt> o nome do script tcl que define o cenrio da simulao. possvel tambm iniciar o NS sem nenhum argumento e adicionar os comandos Tcl no shell Tcl. Tudo no NS depende de um script Tcl. O script pode criar alguma sada na shell, pode escrever um arquivo de rota ou pode inicializar o nam para visualizao da simulao. Basicamente, para se dar inicio a uma simulao como a que foi proposta neste trabalho, necessitamos analisar alguns fatores de configurao de entrada para o simulador: [ST-02] - Topologia de Rede; - Modelos de trfego; - Gerao de testes; - Avaliao dos resultados;

29

Utilizando o NS tivemos alguns atributos favorveis pois o mesmo nos proporciona mtodos de gerao de topologias.

Fig. 2.3 Network Simulator

2.4.1 Especificaes tcnicas - NS

O NS possui uma arquitetura de fina granularidade dos objetos definidos em uma estrutura de macro-objetos (Otcl) que permite ao projetista trabalhar no nvel mais alto de abstrao suportando a flexibilidade desejada, podendo trabalhar em alto nvel (simplesmente criando e configurando macro-objetos) em nvel mdio (modificando o comportamento de um macroobjeto em uma subclasse derivada) ou em baixo nvel (introduzindo outros macro-objetos ou objetos hbridos no cenrio do NS).

30

31

3. Avaliao de Desempenho

Neste captulo ser mostrado os grficos gerados a partir da simulao para que possamos, em cima destes, fazer as devidas anlises bem como sugerir propostas para minimizar os efeitos do ataque.

33

3.1 Grficos
Seguem os grficos gerados, em Excel, em funo do tempo e pacoteamento em cima de trs diferentes polticas de fila de roteamento.

3.2 DropTail
O algoritmo DropTail um algoritmo simples de controle de congestionamento. O algoritmo armazena os pacotes na ordem em que eles chegam, e, assim que a rede permitir, envia-os nesta mesma ordem. Nenhuma deciso feita sobre a prioridade dos pacotes, a ordem de chegada o determinante do fluxo. No caso da fila atingir seu limite, isto , a rede congestionar, o algoritmo pode descartar os pacotes que chegarem a partir de ento (DropTail). O algoritmo no garante limites quanto vazo, atraso ou perda de pacotes. simplesmente o algoritmo padro de muitas implementaes. Na figura 3.2 observamos a disposio da simulao.

Figura 3.2 Disposio da Simulao 35

Na figura 3.3 observamos o incio da vdeo conferncia.

Fig. 3.3 Incio da Simulao 36

Na figura 3.4 observamos que no momento 0.5 da simulao que Manaus inicia o seu ataque (representado pelas clulas vermelhas) a vdeo conferncia .

Fig. 3.4 Incio do ataque de Manaus 37

Na figura 3.5 observamos que no momento 1 da simulao os ns Campo Grande e Cuiab tambm iniciam seus ataques espalhando ainda mais pacotes de ping-flood por toda a vdeo conferncia j acarretando algum delay na mesma.

Fig. 3.5 Cuiab e Campo Grande atacam 38

Nas figuras 3.6, 3.7 e 3.8 observamos que quando o n Belm inicia o ataque, a vdeo conferncia comea a sofrer graves conseqncias, pois comeamos a notar a formao de filas no roteador em Braslia at que, no momento 2.8 da simulao, observamos o descarte de pacotes (Fig. 3.7) inviabilizando a vdeo conferncia.

FIG. 3.6 Incio do ataque de Belm 39

Fig. 3.7 Contaminao de pacotes Ping-Flood na Vdeo Conferncia 40

Fig. 3.8 Criao de Filas no roteador de Braslia 41

Fig.. 3.9 Descarte de pacotes da Vdeo Conferncia, inviabilizando a mesma 42

3.3 SFQ
Proposta por McKenney em 1991. SFQ no determinstica, mas funciona bem (em mdia). Seus principais benefcios so que ela requer pouco uso da CPU e da memria. menos precisa que outras implementaes de Fair Queueing, mas requer menos clculos. SFQ usa hashing para mapear os pacotes que chegam no roteador para uma fila FIFO. Entretanto, ao invs de manter uma fila para cada fluxo possvel (o que seria intuitivo), o algoritmo utiliza menos filas do que o nmero de fluxos possveis. Todos os fluxos que so mapeados para o mesmo valor da tabela hash so tratados de maneira equivalente, o que simplifica a computao, mas implica que esses fluxos que "colidem" na tabela so tratados "injustamente." Se tamanho do ndice de hashing for suficientemente maior do que o nmero de fluxos ativos, a probabilidade de "injustia" fica muito reduzida. As filas so servidas seguindo um algoritmo de round robin, sem considerar os tamanhos dos pacotes. Na figura 3.10 observamos a diferena nas polticas de fila. Quando a poltica usada a SFQ, alm das filas formadas no roteador serem menores, os pacotes que so descartados so os pacotes de flood continuando, assim, a rotear os pacotes de vdeo conferncia, sem afet-la.

43

Fig. 3.10 Fila SFQ

3.4 DropTail
No grfico 3.2.1 temos o grfico mostrando o comportamento de Braslia e Manaus durante a simulao da vdeo conferncia, sem ataque, e, logo em seguida, no grfico 3.2.2, vemos o mesmo grfico porm com o ataque.

350 300 250 Rate (Kb) 200 150 100 50 0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us) Braslia-Manaus Manaus-Braslia

Graf. 3.2.1 Comportamento de Braslia Manaus sem os ataques 44

1800 1600 1400 1200 Rate (Kb) 1000 800 600 400 200 0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us) Braslia-Manaus Manaus-Braslia

Graf.3.2.2- Comportamento de Braslia Manaus com os ataques

45

No grfico 3.2.3 temos o comportamento de Braslia - Palmas durante a simulao da vdeo conferncia, sem ataque, e, logo em seguida, no grfico 3.2.4, vemos o mesmo grfico, porm com o ataque.

350

300 250

Rate (Kb)

200 Braslia-Palmas 150 Palmas-Braslia

100 50

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf. 3.2.3 - Comportamento de Braslia Palmas sem os ataques

46

1200

1000

800 Rate (Kb) Braslia-Palmas Palmas-Braslia

600

400

200

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf. 3.2.4 - Comportamento de Braslia Palmas com os ataques

47

No grfico 3.2.5 temos o comportamento de Braslia Porto Velho durante a simulao da vdeo conferncia, sem ataque, e, logo em seguida, no grfico 3.2.6, vemos o mesmo grfico agora, com o ataque.
350 300 250

Rate (Kb)

200 150 100 50

Porto Velho-Braslia Braslia-Porto Velho

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf.3.2.5 Comportamento Braslia-Porto Vellho sem os ataques

48

1200

1000

800 Rate (Kb) Braslia-Porto Velho Porto Vellho-Braslia

600

400

200

0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf.3.2.6 Comportamento Braslia-Porto Velho com os ataques

49

No grfico 3.2.7 temos o grfico mostrando o comportamento de Braslia Rio Branco durante a simulao da vdeo conferncia, sem ataque, e, logo em seguida, no grfico 3.2.8, vemos o mesmo grfico agora, com o ataque.
350

300 250

Rate (Kb)

200

Braslia-Rio Branco Rio Branco-Braslia

150

100 50

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf.3.2.7 Comportamento Braslia-Rio Branco sem os ataques

50

1200

1000

800 Rate (Kb) Braslia-Rio Branco Rio Branco-Braslia

600

400

200

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf. 3.2.8 Comportamento Braslia-Rio Branco com os ataques

51

Na figura 3.2.9 temos o grfico gerado com a vdeo conferncia utilizando-se da poltica de fila DropTail com todos os ns juntos e sem os ataques simulados, onde podemos observar que antes da vdeo conferncia as larguras de banda permanecem instveis, ocorrendo apenas um aumento de trfego com o incio da mesma.

Fig. 3.2.9 Grfico DropTail sem ataque 52

Na figura 3.2.2 observamos a disposio do grfico da vdeo conferncia com todos os ns utilizando-se da poltica de filas DropTail, porm com os ataques simulados, observando que, mesmo depois do ataque, o trfego na banda aumenta, porm permanece instvel de acordo com a largura de banda de cada n.

Fig. 3.2.10 Grfico DropTail com ataques

53

3.5 SFQ
No grfico 3.3.1 temos o comportamento de Braslia e Manaus durante a simulao da vdeo conferncia, sem ataque, e, logo em seguida, no grfico 3.3.2, vemos o mesmo grfico, agora, com o ataque.

350 300 250 Rate (Kb) 200 150 100 50 0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us) Braslia-Manaus Manaus-Braslia

Graf. 3.3.1 Comportamento de Braslia Manaus sem os ataques 54

1800 1600 1400 1200 Rate (Kb) 1000 800 600 400 200 0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us) Braslia-Manaus Manaus-Braslia

Graf.3.3.2- Comportamento de Braslia Manaus com os ataques

55

No grfico 3.3.3 temos o comportamento de Braslia - Palmas durante a simulao da vdeo conferncia, sem ataque, e, logo em seguida, no grfico 3.3.4, vemos o mesmo grfico, agora, com o ataque.

350

300 250

Rate (Kb)

200 Braslia-Palmas 150 Palmas-Braslia

100 50

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf. 3.3.3 - Comportamento de Braslia Palmas sem os ataques

56

1200

1000

800 Rate (Kb) Braslia-Palmas Palmas-Braslia

600

400

200

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf. 3.3.3 - Comportamento de Braslia Palmas com os ataques

57

No grfico 3.3.5 temos o comportamento de Braslia Porto Velho durante a simulao da vdeo conferncia, sem ataque, e, logo em seguida, no grfico 3.3.6, vemos o mesmo grfico, agora, com o ataque.
350

300 250

Rate (Kb)

200

Porto Velho-Braslia Braslia-Porto Velho

150

100 50

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf.3.3.5 Comportamento Braslia-Porto Velho sem os ataques

58

1200

1000

800 Rate (Kb) Braslia-Porto Velho Porto Vellho-Braslia

600

400

200

0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Te m po (us)

Graf.3.3.6 Comportamento Braslia-Porto Velho com os ataques

59

No grfico 3.3.7 temos o comportamento de Braslia Rio Branco durante a simulao da vdeo conferncia, sem ataque, e, logo em seguida, no grfico 3.2.8, vemos o mesmo grfico, agora, com o ataque.
350

300 250

Rate (Kb)

200

Braslia-Rio Branco Rio Branco-Braslia

150

100 50

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf.3.3.7 Comportamento Braslia-Rio Branco sem os ataques

60

1200

1000

800 Rate (Kb) Braslia-Rio Branco Rio Branco-Braslia

600

400

200

0 0 0.5 1 1.5 2 2.5 3 3.5 4 4.5 5 5.5 Tempo (us)

Graf. 3.3.8 Comportamento Braslia-Rio Branco com os ataques

61

Na figura 3.3.9 temos o grfico gerado com a vdeo conferncia com todos os ns utilizando-se da poltica de fila SFQ sem os ataques simulados. Observamos uma estabilidade na banda do grfico.

Fig. 3.3.9 Grfico com a poltica SFP sem ataques

62

Na figura 3.3.10 Observamos a disposio do grfico da vdeo conferncia com todos os ns utilizando-se da poltica de filas SFQ, agora sendo com os ataques simulados. Com esses ataques, percebemos claramente a oscilao da banda passante, como nos mostra o grfico.

Fig. 3.3.10 Grfico SFQ com ataques

63

3.6 Anlise dos Resultados Analisando os grficos oriundos das simulaes feitas utilizando as duas polticas de filas, DopTail e SFQ, observamos que a rede se comporta de forma semelhante em ambas situaes, sendo observadas diferenas na organizao e gerenciamento de filas do roteador principal em Braslia. Na poltica DropTail observamos que o roteador de Braslia, quando foi saturado de pacotes decorrentes do ataque, comeou a criar filas e a descartar pacotes de trfego da vdeo conferncia, prejudicando assim sua continuao pondo em questo o aspecto prioridade de pacotes . Na poltica SFQ observamos uma melhora considervel no que diz respeito a priorizao de pacotes, pois quando o roteador foi saturado de pacotes de ataques, as filas criadas foram bem menores e o roteador iniciou uma operao de descarte de pacotes do tipo ping-flood (pacotes do ataque), o que nos leva a indicar tal poltica para tal evento. Neste caso a vdeo conferncia teve sua continuao um pouco prejudicada no que diz respeito a delay, porm no se observou nenhum tipo de perda de dados, ao contrrio da poltica DropTail, os algortimos estocsticos usados na poltica SFQ priorizaram os pacotes da vdeo conferncia, descartando, assim, os demais.

64

4. Sugestes para minimizar os problemas de segurana

65

A seguir, sugerimos uma srie de mtodos que podem ser tomados para reduzir significativamente os problemas de segurana: Utilizar polticas de priorizao de pacotes. Utilizar filtros anti-flood. Utilizar sistemas operacionais seguros e sempre mant-los atualizados contra falhas de segurana. Gerenciar e analisar com prioridade mxima os logs do sistema. Manter uma equipe capaz de detectar e solucionar falhas de segurana. Utilizao de Firewall Adotar uma poltica de Segurana Utilizar computadores que sirvam como Firewalls para filtrar a entrada de dados de determinadas portas, como as que aceitam trfego CBR por exemplo Manter profissionais sempre atualizados em relao as novas falhas e correes das mesmas lanadas na internet Manter informaes como IPs, datas e horas de determinados eventos no mais total sigilo. Evitar que muitas pessoas tenham acesso s mquinas que foram tidas como servidores e firewall. Minimizar a quantidade de pessoas com acesso as senhas dos sistemas

66

5. Concluso

67

Com o avano da tecnologia e a diversificao dos meios de comunicao, comum que, a cada dia, que passe novas polticas de segurana sejam criadas e, junto com elas, normal que novas falhas sejam encontradas, pois os temidos piratas de rede, popularmente conhecidos como hackers, esto sempre procurando novas falhas para mostrar seus conhecimentos. No trabalho mostrado observamos o comparativo, atravs de simulaes, de duas das mais conhecidas polticas de filas usadas, a DropTail (FIFO) e a SFQ, reportando um cenrio fictcio de simulao, porm, utilizando-se de dados reais obtidos do mapa do BackBone da RNP, que foi a rede em cima da qual foi feita a simulao. No intuito de sempre procurar melhores solues indicamos tambm para estudos futuros simulaes similares s feitas neste trabalho, porm explorando outras polticas de fila como WFK, Blue e Red.

68

6. Referncias bibliogrficas

69

COMER, Douglas. Redes, Computadores, Internet. Bookman Companhia. [LV-05] KNIGHTMARE, Fiery. Secrets Of a Super Harker. Loopanics Unlimited. [LV-03] MENDES, Wayne Rocha. Submundo Harcker do Linux. Cincia Moderna. [LV-01] OLIVEIRA, Wilson Jos de. Harker Invaso e Proteo. Visual Books Editora. [LV-02] YOSVER, Elda Raquel. Networkin RedesLan/Wan. Brasport. [LV-04] [ST-01] RNP http://www.rnp.br [ST-02] NS http://www.isi.edu/nsnam/

70

Anexo I Cdigo Fonte da Simulao Drop tail sem ataques Anexo II Cdigo Fonte da Simulao Drop tail com ataques Anexo III Cdigo Fonte da Simulao SFQ sem ataques Anexo IV Cdigo Fonte da Simulao SFQ com ataques

71

72