Servio Nacional de Aprendizagem Industrial Departamento

Regional de So Paulo

Escola SENAI Suo-Brasileira

U.F.P 1.15

Tcnico em Informtica Redes de Comunicao

Segurana em Redes

2007
Segurana em Redes

SENAI-SP, 2007

1a edio, 2007
Trabalho organizado a partir de seleo de textos tcnicos sobre Segurana em Redes extrado da Internet
pela Escola SENAI Suo-Brasileira para o curso Tcnico de Redes de Comunicao.

Equipe responsvel
Coordenao Alexssandro Augusto Reginato
Elaborao Jackson Klarosk
Capa Jackson Klarosk

Todos os nomes prprios de programas e sistemas operacionais mencionados nesta apostila so marcas
registradas de suas respectivas empresas ou organizaes.

2
Segurana em Redes

SENAI Servio Nacional de Aprendizagem Industrial

Departamento Regional de So Paulo
Av. Paulista, 1313 - Cerqueira Csar
So Paulo - SP
CEP 01311-923
Telefone (0XX11) 3146-7000
Telefax (0XX11) 3146-7230
SENAI on-line 0800-55-1000

E-mail senai@sp.senai.br
Home page http://www.sp.senai.br

3
Segurana em Redes

Sumrio

Fundamentos de Segurana em Redes ....................................................................... 12

Introduo ................................................................................................................ 12

Segurana................................................................................................................ 13

Garantias.................................................................................................................. 13

Confidencialidade ................................................................................................. 13

Autenticidade ........................................................................................................ 13

Integridade............................................................................................................ 13

Disponibilidade...................................................................................................... 13

Aceite (no repdio).............................................................................................. 14

Problemas ................................................................................................................ 14

Riscos................................................................................................................... 14

Falhas................................................................................................................... 14

Ameaas............................................................................................................... 14

Ataques................................................................................................................. 15

Aspecto Humano...................................................................................................... 15

Gesto de pessoas. .............................................................................................. 15

Hacker .................................................................................................................. 15

Cracker ................................................................................................................. 15

Defacer ................................................................................................................. 15

Phreaker ............................................................................................................... 15

Carders................................................................................................................. 16

Aspecto Lgico (Equipamento e Rede) .................................................................... 16

Senhas.................................................................................................................. 16

Criptografia. .......................................................................................................... 16

Permetro de Rede................................................................................................ 16

Bastion Host ......................................................................................................... 17

4
Segurana em Redes

Honeypot .............................................................................................................. 17

Firewall ................................................................................................................. 17

Zona Desmilitarizada (DMZ) ................................................................................. 17

VPN ...................................................................................................................... 18

HIDS / NIDS.......................................................................................................... 18

Aspecto Fsico (Ambiente)........................................................................................ 19

Controle de Ativos................................................................................................. 19

Controle de Acesso e Monitoramento ................................................................... 20

Normalizao ............................................................................................................... 22

Definio .................................................................................................................. 22

NBR ISO/IEC 17799................................................................................................. 22

NBR ISO/IEC 27000................................................................................................. 24

Sarbanes Oxley........................................................................................................ 27

Basilia II.................................................................................................................. 29

rgos de Informaes sobre Segurana ................................................................ 30

Sistema de Gesto de Segurana da Informao ........................................................ 31

Poltica de Segurana............................................................................................... 31

Elaborao da Poltica de Segurana ................................................................... 31

Classificao da Informao ................................................................................. 32

Elaborao de normas e procedimentos para tcnicos e usurios........................ 32

Definio de um plano de recuperao a desastres ou plano de contingncia...... 33

Definio de sanes ou penalidades pelo no cumprimento da poltica .............. 33

Elaborao de um Termo de Compromisso .......................................................... 33

Comunicado da diretoria / presidncia aos funcionrios ....................................... 33

Divulgao da Poltica........................................................................................... 33

Implantao .......................................................................................................... 34

Reviso da Poltica ............................................................................................... 34

Ciclo PDCA .............................................................................................................. 34

5
Segurana em Redes

Levantamento de Ativos ........................................................................................... 35

Anlise de Riscos ..................................................................................................... 35

Identificao dos recursos que os sistemas crticos dependem ............................ 35

Plano de Continuidade de Negcio (PCN)................................................................ 38

Plano de Contingncia.............................................................................................. 40

Plano de Recuperao de Desastres ....................................................................... 40

Backup ..................................................................................................................... 41

AUDITORIA DE SISTEMAS......................................................................................... 43

Equipe de Auditoria .................................................................................................. 43

Planejamento da auditoria..................................................................................... 44

Tipos de teste de auditoria.................................................................................... 44

Relatrio de Auditoria............................................................................................ 44

Tcnicas de auditoria de sistemas de informao .................................................... 45

Tcnicas comuns a outros tipos de auditoria ........................................................ 45

Test-deck .............................................................................................................. 45

Simulao paralela ............................................................................................... 46

Teste de recuperao ........................................................................................... 46

Teste de desempenho .......................................................................................... 46

Teste de estresse ................................................................................................. 46

Teste de segurana .............................................................................................. 46

Teste de caixa preta.............................................................................................. 46

Mapping, tracing e snapshot ................................................................................. 46

Teste de caixa branca........................................................................................... 47

ITF Integrated test facility ................................................................................... 47

Mdulos de automao de tarefas de auditoria..................................................... 47

Mtodo para Teste de Penetrao (Penetration Test).................................................. 48

Metodologia OSSTMM ............................................................................................. 48

Anlise de Vulnerabilidades x Pen-Test ................................................................... 52

6
Segurana em Redes

Aquisio de Alvos ................................................................................................... 53

Engenharia Social ................................................................................................. 53

Footprinting........................................................................................................... 54

Furto e Quebra de Senhas (Brute Force) .............................................................. 54

Varredura ................................................................................................................. 55

Enumerao ......................................................................................................... 55

Escaneamento de Portas (Port Scan) ................................................................... 56

Monitoramento Promscuo (Sniffing) ..................................................................... 60

Vulnerabilidades....................................................................................................... 60

Malwares .............................................................................................................. 60

Vrus ..................................................................................................................... 61

Worms .................................................................................................................. 65

Spywares .............................................................................................................. 65

Adwares................................................................................................................ 65

Hijackers ............................................................................................................... 66

Falhas em Sistemas (Rootkit, Exploits)................................................................. 66

Estouro de Buffer (Buffer Overflow). ..................................................................... 67

Negao de Servios DoS / DDoS (Distribuited Deny of Service). ..................... 68

Levantamento de Vulnerabilidades ....................................................................... 68

Acesso no Autorizado............................................................................................. 74

Backdoors............................................................................................................. 74

Cavalo de Tria..................................................................................................... 75

Spoofing................................................................................................................ 76

Sql Injection .......................................................................................................... 76

Cross-Site Scripting .............................................................................................. 77

Hardening .................................................................................................................... 79

Definio .................................................................................................................. 79

Instalando o SO........................................................................................................ 80

7
Segurana em Redes

Senhas.................................................................................................................. 80

Mdia de Instalao............................................................................................... 80

Particionamento .................................................................................................... 80

Atualizaes ......................................................................................................... 83

Gerenciando Usurios.............................................................................................. 87

Contas de Login.................................................................................................... 87

Permisses de acesso .......................................................................................... 87

Gerenciando Servios .............................................................................................. 91

Segurana por obscuridade (Banners).................................................................. 91

Controlando permisso de acesso a servios ....................................................... 92

Modo enjaulado (chroot) ....................................................................................... 99

Gerenciando Sistema ............................................................................................... 99

Gerenciando arquivos ........................................................................................... 99

Controlando processos ........................................................................................102

Monitoramento.....................................................................................................104

Rede Sem Fio .............................................................................................................112

Definio .................................................................................................................112

Tipos .......................................................................................................................112

AD Hoc ................................................................................................................113

Infraestruturada....................................................................................................113

Ameaas e Vulnerabilidades ...................................................................................114

Riscos Internos ....................................................................................................114

Riscos Externos ...................................................................................................114

Medidas de segurana ............................................................................................116

Bluetooth .................................................................................................................117

Dicas de Segurana.............................................................................................117

Firewall .......................................................................................................................118

Definio .................................................................................................................118

8
Segurana em Redes

Aplicao.................................................................................................................118

Tabelas ...................................................................................................................120

Filter.....................................................................................................................120

NAT .....................................................................................................................120

Mangle.................................................................................................................120

Regras.....................................................................................................................121

Um exemplo de firewall simples...........................................................................122

Proxy...........................................................................................................................126

Definio .................................................................................................................126

Aplicao.................................................................................................................126

Tipos .......................................................................................................................129

Autenticado..........................................................................................................129

Transparente .......................................................................................................130

Monitoramento ........................................................................................................130

Sistemas de Deteco de Intruso (IDS) ......................................................................133

Definio .................................................................................................................133

Caractersticas ........................................................................................................133

Aplicao.................................................................................................................134

Snort........................................................................................................................134

Redes Virtuais Privadas (VPN) ...................................................................................137

Definio .................................................................................................................137

Aplicao.................................................................................................................137

IPSEC..................................................................................................................137

Criptografia .................................................................................................................140

Definio .................................................................................................................140

Aplicao.................................................................................................................140

Algoritmos Criptogrficos .....................................................................................140

Tecnologias de Encriptao de dados .....................................................................141

9
Segurana em Redes

Criptografia Simtrica...........................................................................................141

Algoritmos de Chave Simtrica ............................................................................141

Criptografia Assimtrica .......................................................................................142

Algoritmos de Chave Assimtrica.........................................................................142

Certificao Digital ......................................................................................................144

Definio. ................................................................................................................144

Aplicao.................................................................................................................144

Infraestrutura de Chave Pblica (PKI)..................................................................144

Assinatura Digital.....................................................................................................145

Algoritmos para Gerao de Assinatura Digital....................................................145

Autenticao ...............................................................................................................147

Definio .................................................................................................................147

Aplicao.................................................................................................................147

Arquitetura Triple A (AAA); ......................................................................................147

Kerberos ..............................................................................................................148

RADIUS ...............................................................................................................149

TACACS ..............................................................................................................149

10
Segurana em Redes

11
Segurana em Redes

Fundamentos de Segurana
em Redes

Introduo

Cada vez mais pessoas e empresas esto se conectando a Internet, quer seja para
compartilhar informaes ou mesmo para disponibilizar servios.

O uso da Internet j considerado indispensvel para as pessoas civilizadas. Estar

conectado indica estar disponvel, estar atualizado, permite encurtar distncias e
ganhar tempo.

A Internet imps uma nova forma de existncia, VIRTUAL. Num mundo onde tudo
contitudo de informaes digitalizadas que esto disponveis de qualquer ponto de
acesso.

Devemos considerar que inicialmente a Internet foi desenvolvida sem levar em

considerao a segurana das informaes que transportava, pois a preocupao na
poca era somente com o compartilhamento das mesmas.

Alm da fragilidade tcnica da Internet, devemos considerar as vulnerabilidades dos

sistemas operacionais, alm ainda do despreparo e desconhecimento dos usurios.

Viver num mundo digital implica em se ter os mesmos cuidados do mundo REAL, e
neste ponto que muitas pessoas e empresas so prejudicadas.

Voc sabia?
Especialistas calculam que 50 novas vulnerabilidades so descobertas por
semana em programas de computador.
As senhas fceis de adivinhar so as principais culpadas pelas invases em
redes domsticas e corporativas.
H poucos anos, invasores estiveram perto de tomar o controle total dos
computadores da companhia de energia da Califrnia, o que lhes daria o
poder de interromper o fornecimento de eletricidade em toda a cidade. Eles
"pesquisaram" nos micros por pelo menos 17 dias sem que nenhum
funcionrio suspeitasse. A invaso de sites e servidores ainda no crime
no Brasil.

12
Segurana em Redes

Segurana

A segurana a condio de estar protegido de perigo ou perda.

Segurana de Informao est relacionada com mtodos de proteo aplicados sobre

um conjunto de dados no sentido de preservar o valor que possui para um indivduo ou
uma organizao.

So caractersticas bsicas da segurana da informao os aspectos de

confidencialidade, integridade e disponibilidade, no estando restritos somente a
sistemas computacionais, informaes eletrnicas ou sistemas de armazenamento.

O conceito se aplica a todos os aspectos de proteo de informaes e dados.

Garantias

Confidencialidade

a propriedade de que a informao no estar disponvel ou divulgada a indivduos,

entidades ou processos sem autorizao. Em outras palavras, confidencialidade a
garantia do resguardo das informaes dadas pessoalmente em confiana e proteo
contra a sua revelao no autorizada.

Autenticidade

Entende-se por autenticidade a certeza absoluta de que um objeto (em anlise) provm
das fontes anunciadas e que no foi alvo de mutaes ao longo de um processo. Na
telecomunicao, uma mensagem ser autntica se for, de fato, recebida na ntegra,
diretamente do emissor.

A autenticao de entidade prov a checagem da identidade afirmada em qualquer

perodo de tempo.

Integridade

Em segurana da informao integridade significa ter a disponibilidade de informaes

confiveis, ou seja, certifica-se que as mensagens so recebidas como enviadas.

Um servio de integridade orientado a conexo deve certificar que no existam

duplicatas, inseres, delees ou modificaes.

Um servio de integridade no orientado a conexo trata somente da mensagem

individual.

Disponibilidade

13
Segurana em Redes

Prover de maneira ininterrupta accesso a informaes e recursos.

Propriedade que garante que a informao esteja sempre disponvel para o uso
legtimo, por aqueles usurios autorizados pelo proprietrio da informao.

Aceite (no repdio)

Qualidade de determinada relao atravs da qual as partes so protegidas de uma

alegao de inexistncia, o que representa que a figura est presente para produzir
efeitos legais nos contratos feitos por meio do computador.

Problemas

Riscos

o resultado objetivo da combinao entre a probabilidade de ocorrncia de um

determinado evento e o impacto resultante.

Falhas

Vunerabilidade

A vulnerabilidade na computao significa ter brecha em um sistema computacional,

tambm conhecida como bug.

Vulnerabilidade definida como uma falha no projeto ou implementao de um

software ou sistema operacional, que quando explorada por um atacante resulta na
violao da segurana de um computador, existem casos onde um software ou sistema
operacional instalado em um computador pode conter uma vulnerabilidade que permite
sua explorao remota, ou seja, atravs da rede.

Vrus

Vrus um programa capaz de infectar outros programas e arquivos de um

computador.

Para realizar a infeco, o vrus embute uma cpia de si mesmo em um programa ou

arquivo, que quando executado tambm executa o vrus, dando continuidade ao
processo de infeco.

Normalmente o vrus tem controle total sobre o computador, podendo fazer de tudo, at
alterar ou destruir programas e arquivos do disco.

Para que um computador seja infectado por um vrus, preciso que de alguma maneira
um programa previamente infectado seja executado.

Ameaas

14
Segurana em Redes

Uma ameaa uma pessoa, coisa, evento ou idia que apresenta algum perigo para
um bem (em termos de confidencialidade, integridade, disponibilidade ou uso legtimo).

Ataques

Um ataque a concretizao de uma ameaa de segurana que pode comprometer a

segurana de um sistema de informao.

Aspecto Humano

Gesto de pessoas.

A gesto de pessoas um ponto fundamental na segurana da informao, geralmente

constituem o elo mais fraco da segurana da informao em ambiente corporativo.

No adianta nada ter uma equipe bem treinada tomando conta dos servidores, se o
resto dos funcionrios estiverem suscetveis a ataques como os de engenharia social,
que so comuns nestes casos.

Na gesto de pessoas deve se estabelecer todo um processo disciplinar e

conscientizao que deve atingir a empresa como um todo desde o dono da empresa
at o faxineiro, usando metodologias diferentes para lidar com cada nvel da hierarquia.

Hacker

A palavra surgiu nos anos 50 dentro do MIT e deriva do termo hack, usada para definir
atividades de alta tecnologia com os quais alguns estudantes se ocupavam. Algum
que, deliberadamente, ganha acesso a outros computadores, freqentemente sem
conhecimento ou permisso do usurio. Hackers maliciosos fazem isso para roubar
informao valiosa, atrapalhar servios ou causar outros danos.

Cracker

So os hackers mais radicais. Eles pirateiam programas e penetram em sistemas

"quebrando" tudo, a inteno sabotar ao mximo os grandes servidores.

Defacer

Pessoas mal intencionadas que passam o tempo tentando desfigurar a pgina inicial de
sites conhecidos.

Phreaker

o nome dado as pessoas ou crackers de Telefonia (Phone+Freak ou Phreak).

15
Segurana em Redes

Carders

So aqueles Hackers especialistas em roubos de nmero de cartes de crdito e,

obvio, o uso destes nmeros fazendo compras pela Internet.

Aspecto Lgico (Equipamento e Rede)

Senhas

Uma senha (password) na Internet, ou em qualquer sistema computacional, serve para

autenticar o usurio, ou seja, utilizada no processo de verificao da identidade do
usurio, assegurando que este realmente quem diz ser.

Se voc fornece sua senha para uma outra pessoa, esta poder utiliz-la para se
passar por voc.

Uma boa senha deve ter pelo menos oito caracteres (letras, nmeros e smbolos),
tambm no pode ser criada com informaes relacionadas dirtamente com seu
utilizador, ou com o sistema onde est sendo empregada.

Utilizar senhas diferentes, uma para cada local, extremamente importante, pois pode
atenuar os prejuzos causados, caso algum descubra uma de suas senhas.

Criptografia.

Criptografia a cincia e arte de escrever mensagens em forma cifrada ou em cdigo.

parte de um campo de estudos que trata das comunicaes secretas, usadas, dentre
outras finalidades, para:

autenticar a identidade de usurios;

autenticar e proteger o sigilo de comunicaes pessoais, de transaes
comerciais e bancrias;
proteger a integridade de transferncias eletrnicas de dados ou fundos.

Uma mensagem codificada por um mtodo de criptografia deve ser privada, ou seja,
somente aquele que enviou e aquele que recebeu devem ter acesso ao contedo da
mensagem.

A mensagem deve poder ser assinada, ou seja, a pessoa que a recebeu deve poder
verificar se o remetente mesmo a pessoa que diz ser e ter a capacidade de identificar
se uma mensagem pode ter sido modificada.

Permetro de Rede

O termo rede de permetro refere-se a um segmento de rede isolado no ponto em que

uma rede corporativa alcana a Internet.

16
Segurana em Redes

As redes de permetro destinam-se a criar um limite que permite a separao do trfego

entre redes internas e externas. Com este limite, possvel categorizar, redirecionar,
restringir e controlar o trfego da rede de uma empresa.

Bastion Host

o nome que se d a um servidor dedicado exposto simultaneamente a Internet e a

rede interna.

Por ser mais suscetvel a sofrer ataques, este servidor precisa ser configurado de forma
a diminuir ao mximo qualquer tipo de vulnerabilidade.

Nomalmente configrado para prover um nico servio, vizando limitar as brechas de

segurana.

Honeypot

Ferramenta de estudos de segurana, onde sua funo principal colher informaes

do atacante.

Em redes empresariais serve como elemento de distrao ou disperso, uma vez que
qualquer trafego suspeito redirecionado para ele. As configuraes deste
equipamento so as mais rgidas e os servios so muito limitados.

Firewall

o nome dado ao dispositivo de uma rede de computadores que tem por funo
regular o trfego de rede entre redes distintas e impedir a transmisso e/ou recepo
de dados nocivos ou no autorizados de uma rede a outra.

O termo ingls firewall faz aluso comparativa da funo que desempenha para evitar o
alastramento de dados nocivos dentro de uma rede de computadores parede corta-
fogo (firewall), que evita o alastramento de incndios pelos cmodos de uma edificao.

Zona Desmilitarizada (DMZ)

uma sigla para de DeMilitarized Zone ou "zona desmilitarizada", em portugus.

O termo possui uma origem militar, significando a rea existente entre dois inimigos em
uma guerra.

Tambm conhecida como Rede de Permetro, a DMZ uma pequena rede situada
entre uma rede confivel e uma no confivel.

A funo de uma DMZ de permetro manter todos os servios que possuem acesso
externo (HTTP, FTP, etc) separados da rede local limitando o dano em caso de
comprometimento de algum servio nela presente por algum invasor.

A configurao pode ser feita a partir da segmentao da rede interna, atravs da

aplicao de um Firewall com regras distintas para acesso externo a rede interna e a
DMZ.

17
Segurana em Redes

Por conter servidores de acesso pblico, o Firewall deve ser configurado com regras
menos restritivas para acesso a DMZ e com regras mais restritivas para acesso a rede
interna.

Esta tcnica pode ser empregada como uma DMZ interna com o intuito de controlar o
acesso aos servidores internos da empresa, neste caso as regras de Firewall so
aplicadas para inibir o acesso externo e restringir o acesso interno somente aos
servios necessrios.

VPN

Uma Rede Privada Virtual (Virtual Private Network - VPN) uma rede de comunicaes
privada normalmente utilizada por uma empresa ou um conjunto de empresas,
construda em cima de uma rede de comunicaes pblica (como por exemplo, a
Internet). O trfego de dados levado pela rede pblica utilizando protocolos padro,
no necessariamente seguros.

VPNs seguras usam protocolos de criptografia por tunelamento que fornecem a

confidencialidade, autenticao e integridade necessrias para garantir a privacidade
das comunicaes requeridas. Quando adequadamente implementados, estes
protocolos podem assegurar comunicaes seguras atravs de redes inseguras.

HIDS / NIDS

Sistema de deteco de intrusos ou simplesmente IDS (Intrusion detection system)

refere-se a meios tcnicos de descobrir quando um sistema est sendo violado ou
acessado de forma no autorizada, podedo indicar a ao hacker ou at mesmo
funcionrios mal intencionados.

Network-based Intrusion Detection System (NIDS)

So instalados em servidores ou appliances que monitoram o trfego do segmento de

rede.

Estes equipamentos so responsveis por analisar possveis ataques contra qualquer

equipamento localizado neste segmento de rede.

A anlise pode ser de dois tipos: realizada atravs de assinaturas de ataques

conhecidos, onde o contedo dos pacotes comparado com uma base de dados, que
deve ser constantemente atualizada, ou baseada na decodificao e verificao de
protocolos de rede.

Host-based Instrusion Detection System (HIDS)

Este tipo de IDS instalado em um host que ser alertado sobre ataques ocorridos
contra a prpria mquina.

O HIDS ir avaliar a segurana deste host como base em arquivos de logs de Sistema
Operacional, logs de acesso e logs de aplicao.

O uso desta tcnica muito importnte, pois fornece segurana a tipos de ataques que
o firewall e um IDS network-based no detectam.

18
Segurana em Redes

Aspecto Fsico (Ambiente)

muito comum a seguinte viso dos executivos em relao segurana das

informaes em sua empresa: "Segurana significa corrigir as falhas no meu ambiente
de tecnologia. Precisamos estar com o antivrus atualizado...".

A associao da segurana com a tecnologia bastante utilizada pelo simples fato de

que, realmente, a rea de TI da empresa a responsvel por todo o suporte e a
manuteno dos processos de negcio existentes. Vrias aplicaes e transaes so
executadas atravs de plataformas que so mantidas e suportadas pela rea de TI.

Mas a segurana no envolve somente o ambiente de tecnologia. Existe uma outra

preocupao, que normalmente tratada com uma certa indiferena, que a
segurana fsica da empresa.

As ameaas internas podem ser consideradas como o risco nmero um segurana

dos recursos computacionais. Um bom programa de segurana fsica o passo inicial
para a defesa da corporao no sentido de proteger as suas informaes contra
acessos indevidos.

Uma lista das ameaas de segurana fsica poderia conter os seguintes itens:

Incndio (fogo e fumaa);

gua (vazamentos, corroso, enchentes);
Tremores e abalos ssmicos;
Tempestades, furaces;
Terrorismo;
Sabotagem e vandalismo;
Exploses;
Roubos, furtos;
Desmoronamento de construes;
Materiais txicos;
Interrupo de energia (bombas de presso, ar-condicionado, elevadores);
Interrupo de comunicao (links, voz, dados);
Falhas em equipamentos;
Outros.

Controle de Ativos

Segurana de um sistema deve prever a sua integridade fsica, alocando os

equipamentos em locais apropriados, de acesso restrito e controlados.

Os cuidados no controle de ativos devem considerar no mnimo os seguintes itens:

Adequao do equipamento ao uso,

19
Segurana em Redes

Reposio imediata de equipamentos e peas,

Condies do ambiente que onde se concentram os equipamentos,
Manuteno preventiva e peridica,
Adoo de uma poltica de backup eficiente e eficaz,
Sistema de abastecimento eltrico alternativo,
Sistema de refrigerao eficiente.

Controle de Acesso e Monitoramento

O acesso ao CPD deve ser restrito ao pessoal autorizado, para tanto as portas devem
permanecer trancadas, e devem ser implementados controles de acesso, que registrem
quem entrou no CPD, horrio e permanncia.

Algumas opes de controle de acesso, so: crachas eletrnicos, dispositivos

biomtricos, trancas manuais usadas em conjunto com outros controles, como por
exemplo lista de permanncia.

O acesso de prestadores de servios, ou de qualquer pessoa que no esteja autorizada

a acessar e permanecer no CPD, deve ser controlado e registrado, essas pessoas
sempre devem estar acompanhadas de um funcionrio do CPD.

O uso de cmeras de monitoramento importante para se monitorar o que acontece

dentro e fora, prximo s entradas do CPD.

Biometria

A biometria o estudo das caractersticas mensurveis do ser humano que possibilitam

o reconhecimento de um indivduo. A impresso digital, ris, retina, geometria da mo,
voz, face e velocidade de digitao so caractersticas que permitem a identificao de
usurios. Esta abordagem confirma a unicidade e estabilidade destas caractersticas, o
que permite o reconhecimento ao longo da vida.

A identificao biomtrica procura trabalhar como a mente humana. O reconhecimento

das pessoas realizado por meio da comparao das caractersticas biomtricas, cujo
ndice de similaridade vai determinar o sucesso da identificao, ou seja, se as
caractersticas biomtricas apresentadas so muito parecidas com as armazenadas,
neste caso o sistema confirma a identidade do usurio.

Este mecanismo est sujeito ocorrncia de trs situaes: identificao com sucesso,
o falso-positivo e o falso-negativo.

Exemplificando, quando se atende o telefone h grandes chances de se identificar o

interlocutor pela voz e em algumas vezes errar no reconhecimento. Quando ocorre o
acerto, este advm do fato da voz do interlocutor possuir muitas caractersticas em
comum com a correspondente j memorizada, neste caso temos uma identificao com
sucesso.

Quando ocorre uma troca na identificao do interlocutor estamos diante de um fato

denominado falso-positivo. Por fim, quando o interlocutor j conhecido mas no
prontamente identificado estamos diante de um fato denominado falso-negativo.

20
Segurana em Redes

Na observao de uma carteira de identidade possvel identificar rapidamente seu

proprietrio pela foto mas no pela impresso digital que requer um complexo processo
de anlise comparativa que a mente humana no est acostumada a fazer. No entanto,
um processo automatizado de reconhecimento biomtrico dos traos digitais pode ser
altamente confivel, rpido e economicamente vivel.

Cada tecnologia de identificao possui seu prprio mecanismo de captura de dados.

Um scanner de impresso digital um dispositivo de dimenses reduzidas com as
mesmas funcionalidades de scanner de mesa, porm, especializado na captura de
digitais humanas.

O mesmo acontece com a captura da imagem do olho para o reconhecimento da ris

que realizado por uma cmera de vdeo especialmente projetada para trabalhar com
maior sensibilidade capaz de registrar todos os detalhes de um olho.

Existem atualmente dois mtodos de reconhecimento: reconhecimento 1:1 e

reconhecimento 1:N. O primeiro aplica-se s senhas, onde o usurio se identifica por
meio de um cdigo alfanumrico e apresenta sua identificao biomtrica, restando ao
sistema comparar as caractersticas desta com aquelas j armazenadas.

O mtodo de reconhecimento 1:N, pouco utilizado devido a sua alta complexidade

pois o usurio dever ser identificado apenas por suas caractersticas biomtricas
(impresso digital, ris, voz, etc,) a partir de inmeras comparaes que resultam na
escolha de um conjunto j armazenado e que mais se aproxima daquele capturado.

A identificao biomtrica leva em conta caractersticas dos seres na presena de vida.

Desta forma, a extrao de partes do corpo humano para forjar uma presena
inexistente no obter xito numa possvel fraude, portanto esta tecnologia pode ser
aplicada para permitir ou negar acesso fsico a ambientes protegidos alm de controlar
acessos lgicos a sites de servios eletrnicos.

21
Segurana em Redes

Normalizao

Definio

Ao longo da histria, desde a mais remota antigidade, o ser humano vem buscando
controlar as informaes que julga importantes.

Tradicionalmente, as organizaes dedicam grande ateno para com seus ativos

tangveis fsicos e financeiros, mas relativamente pouca ateno aos ativos de
informao que possuem.

Em anos recentes, contudo, a informao assumiu importncia vital para manuteno

dos negcios, marcados pela dinamicidade da economia globalizada e
permanentemente on-line, de tal forma que, atualmente, no h organizao humana
que no dependente da tecnologia de informaes, em maior ou menor grau, de forma
que o comprometimento do sistema de informaes por problemas de segurana pode
causar grandes prejuzos ou mesmo levar a organizao a falncia.

Visando minimizar esses riscos, a ISO (International Standartization Organization),

publicou uma norma internacional para garantir a segurana das informaes nas
empresas.

A ABNT (Associao Brasileira de Normas Tcnicas), operando em sintonia com a ISO

e atenta as necessidades nacionais quanto a segurana da informao, disponibilizou o
projeto na verso brasileira da norma ISO para consulta pblica e posterior votao e
publicao.

As normas ISO e ABNT so o resultado de um esforo internacional que consumiu

anos de pesquisa e desenvolvimento para se obter um modelo de segurana eficiente e
universal.

NBR ISO/IEC 17799

O esforo no qual resultaram a ISO17799 e a Norma ABNT remontam a 1987 quando o

departamento de comrcio e indstria do Reino Unido (DTI) criou um centro de
segurana de informaes, o CCSC (Commercial Computer Security Centre) que
dentre suas atribuies tinha a tarefa de criar uma norma de segurana das
informaes para companhias britnicas que comercializavam produtos para segurana

22
Segurana em Redes

de TI (Tecnologia da Informao) atravs da criao de critrios para avaliao da

segurana.

Outro objetivo do CCSC era a criao de um cdigo de segurana para os usurios das
informaes. Com base nesse segundo objetivo, em 1989 foi publicada a primeira
verso do cdigo se segurana, denominado PD0003 - Cdigo para Gerenciamento da
Segurana da Informao. Em 1995, esse cdigo foi revisado e publicado como uma
norma britnica (BS), a BS7799:1995. Em 1996, essa norma foi proposta ao ISO para
homologao mas foi rejeitada.

Uma segunda parte desse documento foi criada posteriormente e publicada em

novembro de 1997 para consulta pblica e avaliao. Em 1998, esse documento foi
publicado como BS7799-2:1998 e, aps revisado, foi publicado junto com a primeira
parte em abril de 1999 como BS7799:1999. Em 1998, a lei britnica, denominada Ato
de Proteo de Dados, recomendou a aplicao da norma na Inglaterra, o que viria a
ser efetivado em 1o de maro de 2000.

Em outubro de 2000, na reunio do comit da ISO em Tquio, a norma foi votada e

aprovada pela maioria dos representantes. Os representantes dos pases do primeiro
mundo, excetuando a Inglaterra, foram contrrios homologao, mas, sob votao,
venceu a maioria, e a norma foi homologada como ISO/IEC 17799:2000 em 01 de
dezembro de 2000.

Com a homologao, diversos pases, incluindo o Brasil, esto criando suas prprias
normas nacionais de segurana de dados, baseados na norma ISO. Ao mesmo tempo,
est surgindo a Certificao de Segurana ISO 17799 que empresas e organizaes
podem obter ao aplicar a norma, assim como, aps a homologao da norma brasileira,
surgir a respectiva certificao para empresas nacionais.

Objetivos e Abrangncia

O objetivo fundamental da norma ISO e da norma brasileira, nela baseada, assegurar

a continuidade e minimizar o dano empresarial, prevenindo e minimizando o impacto de
incidentes de segurana. (ISO/IEC 17799:2000).

Segurana da Informao conforme definido pela ISO/IEC 17799:2000, a proteo

contra um grande nmero de ameaas s informaes, de forma a assegurar a
continuidade do negcio, minimizando danos comerciais e maximizando o retorno de
investimentos e oportunidades. A segurana da informao caracterizada pela
preservao dos seguintes atributos bsicos:

Confidencialidade: segurana de que a informao pode ser acessada

apenas por quem tem autorizao.
Integridade: certeza da preciso da informao.
Disponibilidade: garantia de que os usurios autorizados tenham acesso a
informao e aos recursos associados, quando necessrio.

A preservao desses atributos, constitui no paradigma bsico da Norma Internacional

para Gerenciamento da Segurana da Informao, a ISO17799 e de toda a cincia da
Segurana da Informao.

A ISO17799 bem abrangente, pretendendo contemplar todos os aspectos da

segurana da informao. Nesse sentido, divide-se em 12 captulos ou partes, cada
qual abordando um aspecto da segurana da informao.

23
Segurana em Redes

A norma brasileira segue a mesma estrutura de captulos, itens e controles. Os

Captulos que compem a norma so os seguintes:

Objetivo
Termos e definies
Poltica de segurana
Segurana organizacional
Classificao e controle dos ativos de informao
Segurana em pessoas
Segurana ambiental e fsica
8-Gerenciamento das operaes e comunicaes
Controle de acesso
Desenvolvimento de sistemas e manuteno
Gesto de continuidade do negcio
Conformidade

A ISO17799 cobre os mais diversos tpicos da rea de segurana, possuindo mais de

100 controles que devem ser atendidos para garantir a segurana das informaes de
uma empresa, de forma que a obteno da certificao pode ser um processo
demorado e muito trabalhoso, consistindo num desafio para as empresas.

NBR ISO/IEC 27000

A norma ISO 27001:2005 a evoluo natural da norma BS7799-2:2002 um padro

britnico que trata da definio de requisitos para um Sistema Gesto de Segurana da
Informao. O padro foi incorporado pela The International Organization for
Standardization (ISO), Instituio internacional com sede na Sua que cuida do
estabelecimento de padres internacionais de certificao em diversas reas.

O Reino Unido um grande provedor de regras e padres, pela tradio de precursor

das atividades de padronizao desde a Revoluo Industrial. Podemos citar como
exemplo de normas BS que foram incorporadas pela ISO: BS5750 que virou ISO 9000
(Qualidade) e BS7550 que virou ISO14000 (Meio Ambiente).

A norma ISO 27001:2005 a norma BS7799-2:2002 revisada, com melhorias e

adaptaes, contemplando o ciclo PDCA de melhorias e a viso de processos que as
normas de sistemas de gesto j incorporaram. A reviso foi feita por um comit tcnico
de mbito internacional, formado pela ISO e pelo IEC (The International Eletrotechnical
Comission) o ISO/IEC JTC 1, sub-comit SC 27, que atravs de um trabalho conjunto
que ocorreu desde 2000 efetuou as alteraes que so a compilao de diversas
sugestes que os membros deste comit apresentaram ao longo do trabalho, cujas
reunies de discusso e apresentao dos resultados ocorreram em diversos pases
at o primeiro semestre de 2005.

24
Segurana em Redes

Acompanhando o processo de evoluo histrica, pode-se observar que a norma

ISO/IEC 17799, que a evoluo da BS7799-1, incorporada pela ISO em 2000,
tambm foi revisada, e ambas as normas, a ISO/IEC 27001 e a ISO/IEC 17799, j
esto alinhadas. O prximo passo ser a converso da ISO/EC 17799:2005 em
ISO/IEC 27002, previsto para 2007, formando assim a famlia ISO/IEC 27000 que
tratar aspectos mais amplos de Segurana da Informao.

As mudanas mais relevantes na migrao para norma ISO/IEC 27001 ocorreram na

estrutura do SGSI (sistema de gesto de segurana da informao), quando so
destacados aspectos de auditoria interna e indicadores de desempenho do sistema de
gesto de segurana e no Anexo A que passou a ter na ISO/IEC 27001 11 sees, pois
foi includa a seo Gesto de Incidentes de Segurana da Informao:

Poltica de Segurana da Informao

Organizando a Segurana da Informao
Gesto de Ativos
Segurana em Recursos Humanos
Segurana Fsica e do Ambiente
Gerenciamento das Operaes e Comunicaes
Controle de Acessos
Aquisio, Desenvolvimento e Manuteno de Sistemas de Informao
Gesto de Incidentes de Segurana da Informao
Gesto da Continuidade do Negcio
Conformidade

Como forma de dar suporte implantao da ISO/IEC 27001:2005, o Comit que trata
da segurana da informao decidiu pela criao de uma famlia de normas sobre
gesto da segurana da informao. Esta famlia foi batizada pela srie 27000.

Na ltima reunio do Comit da ISO IEC, realizada em novembro passado em Kuala

Lumpur, Malsia, foram aprovadas as seguintes normas e projetos de norma da nova
famlia, com os estgios de desenvolvimento de uma norma ISO IEC como
apresentados a seguir:

NMERO: ISO IEC NWIP 27000

TTULO: Information Security Management Systems - Fundamentals and Vocabulary.

APLICAO: Este projeto de norma tem como objetivo apresentar os principais

conceitos e modelos relacionados com segurana da informao.

SITUAO: Este projeto de norma encontra-se ainda nos primeiros estgios de

desenvolvimento, denominado de NWIP-New Work Item Proposal. A previso para
publicao como norma internacional 2008-2009.

25
Segurana em Redes

NMERO: ISO IEC 27001:2005

TTULO: Information Security Management Systems- Requirements

APLICAO: Esta norma aplicvel a qualquer organizao, independente do seu

ramo de atuao, e define requisitos para estabelecer, implementar, operar, monitorar,
revisar, manter e melhorar um Sistema de Gesto de Segurana da Informao. A ISO
IEC 27001 a norma usada para fins de certificao e substitui a norma Britnica BS
7799-2:2002. Portanto, uma organizao que deseje implantar um SGSI deve adotar
como base a ISO IEC 27001.

SITUAO: Norma aprovada e publicada pela ISO em Genebra, em 15.10.2005. No

Brasil, a ABNT publicar como Norma Brasileira NBR ISO IEC 27001 no primeiro
trimestre de 2006.

NMERO: ISO IEC 27002:2005

TTULO: Information Technology - Code of practice for information Security

Management

APLICAO: Esta norma um guia prtico que estabelece diretrizes e princpios gerais
para iniciar, implementar, manter e melhorar a gesto de segurana da informao em
uma organizao. Os objetivos de controle e os controles definidos nesta norma tm
como finalidade atender aos requisitos identificados na anlise/avaliao de riscos.

SITUAO: Norma aprovada e publicada pela ISO em Genebra, em 15.06.2005. No

Brasil, a ABNT publicou como Norma Brasileira NBR ISO IEC 17799 no dia 24 de
agosto de 2005.

NMERO: ISO IEC 1 st WD 27003

TTULO: Information Security Management Systems-Implementation Guidance.

APLICAO: Este projeto de norma tem como objetivo fornecer um guia prtico para
implementao de um Sistema de Gesto da Segurana da Informao, baseado na
ISO IEC 27001.

SITUAO: Este projeto de norma encontra-se em um estgio de desenvolvimento,

denominado de WD-Working Draft. A previso para publicao como norma
internacional 2008-2009.

NMERO: ISO IEC 2nd WD 27004

TTULO: Information Security Management-Measurements.

APLICAO: Este projeto de norma fornece diretrizes com relao a tcnicas e

procedimentos de medio para avaliar a eficcia dos controles de segurana da
informao implementados, dos processos de segurana da informao e do Sistema
de Gesto da Segurana da Informao.

SITUAO: Este projeto de norma encontra-se em um estgio onde vrios comentrios

j foram discutidos e incorporados ao projeto. A previso para publicao como norma
internacional 2008-2009.

NMERO: ISO IEC 2nd CD 27005

26
Segurana em Redes

TTULO: Information Security Management Systems- Information Security Risk

Management.

APLICAO: Este projeto de norma fornece diretrizes para o gerenciamento de riscos

de segurana da informao.

SITUAO: Este projeto de norma j se encontra em um estgio mais avanado, pois

vem sendo discutido h mais de dois anos. A previso para publicao como norma
internacional 2007.

Sarbanes Oxley

Vem de longe a tradio norte-americana em ressaltar a figura do acionista minoritrio

do mercado de capitais. Esta tradio foi fortemente abalada com os problemas
contbeis e financeiros recentes verificados em empresas como Enron, Worldcom,
Tyco e Arthur Andersen, consideradas modelos de administrao e da fora do
capitalismo.

O escopo da legislao federal "The U.S. Public Company Accounting Reform and
Investor Protection Act of 2002", mais conhecida como Sarbanes-Oxley Act of 2002, se
insere no mbito da governana corporativa. Rgidos parmetros legais foram impostos
s companhias de capital aberto e suas subsidirias cujas aes so negociadas em
Bolsas (NYSE e Nasdaq), o que inclui algumas corporaes estrangeiras que negociam
ADRs1 naquele pas, alados fora de lei.

A partir da promulgao da Sarbanes-Oxley, o que era recomendvel passa a ser

obrigao legal: a boa governana e a tica nos negcios de companhias com
presena no mercado mobilirio.

Em suas 1.107 sees, a Sarbanes-Oxley imputa responsabilidades jamais vistas

perante os diretores de corporaes, que vo desde o pagamento de multas (que
podem chegar a U$ 5 milhes) ao cumprimento de longas penas de recluso, sanes
estendidas aos auditores que atestarem balanos com nmeros fraudulentos.

Ao regular a atividade de contabilidade e auditoria das empresas de capital aberto, a

Sarbanes-Oxley reflete diretamente seus dispositivos nos sistemas de tecnologia da
informao. Impossvel separar-se processos de negcios e tecnologia no panorama
corporativo atual.

A Seo 404 da lei o principal foco de ateno das empresas neste particular, por
trazer os mandamentos sobre os controles de processos internos e sistemas contbeis.
Esta Seo determina uma avaliao anual dos controles e processos internos para a

1 American Depositary Receipts, recibos de depsito americano de aes de empresas

estrangeiras, no negociveis no pas de origem.

27
Segurana em Redes

realizao de relatrios financeiros, com a obrigao de emisso de relatrio, a ser

encaminhado SEC2 que ateste estes parmetros.

Este relatrio deve conter:

Atestado de responsabilidade dos administradores da empresa e

manuteno da estrutura dos controles internos e demais procedimentos;
Avaliao e relatrio de cumprimento de metas, ao final de cada ano fiscal,
da eficcia dos procedimentos internos adotados para emisso de relatrios
financeiros;
Declarao que o auditor independente da companhia atestou a avaliao
dos procedimentos elaborada pela administrao.

Os tais "processos" e "controles" internos se aplicam em sentido amplo, vale dizer, todo
e qualquer procedimento administrativo que resulte em nmeros passveis de auditoria
(a lei descreve quais so os procedimentos no auditveis).

Assim temos, por fora da Sarbanes-Oxley, a obrigatoriedade da observncia de

prticas de segurana de redes e critrios rgidos para uso de aplicaes terceirizadas
por companhias que se encontram ao alcance da presente lei.

Invases em sistemas, ataques, vrus, roubo de dados, fraudes de senhas e demais

ameaas segurana das informaes da companhia podem, se no houver prova
suficiente de adoo de medidas preventivas coordenadas com os parmetros da
Seo 404, implicar em responsabilidade direta dos administradores, surgindo da
possibilidades concretas de sanes civis e penais.

Verificamos dois pontos de preocupao imediata no que toca o uso da tecnologia da

informao inserido no mbito da Sarbanes-Oxley:

Segurana de sistemas de informao - a adequao do contedo da

Sarbanes-Oxley deve se dar entre toda a cadeia de comunicao da
empresa, principalmente nos recursos concernentes a informaes
financeiras.
Sistemas de ERP3, aplicativos contbeis, sistemas de CRM4, Supply Chain
Management5, em conjunto com as demais aplicaes de comunicao,
banco de dados e armazenamento de informaes precisam estar em
sintonia com as regras adotadas na legislao.

Em contnuo, a ateno do administrador deve se estender utilizao de todo e

qualquer recurso tecnolgico da empresa por parte dos funcionrios, e as Polticas de
Segurana da Informao adotadas devem ser adaptadas ao teor da Sarbanes-Oxley.

2 Security Exchange Comission, rgo regulador das empresas de capital aberto dos
EUA.

3 Enterprise Resource Planning, sistemas de gesto.

4 Customer Relationship Management, sistemas de relacionamento com clientes.

5 Sistemas de gerenciamento de cadeia de suprimentos.

28
Segurana em Redes

Especial ateno tambm deve ser conferida ao outsourcing6. Nos Estados Unidos, a
chamada cybersecurity liability7 comea a ter evidncia entre os executivos financeiros.

Controle de registros - um repositrio de registros de procedimentos adequado

fundamental para o sono tranqilo dos diretores e presidentes do conselho de
administrao das corporaes. Estes registros devem ser tanto tangveis (papel) ou
intangveis (arquivos e demais mdias), e a redundncia em sistemas de backup
altamente recomendada.

No bojo da lei encontram-se disposies que penalizam severamente a falsificao,

destruio e perda de documentos e registros, bem como prevem a observao de
prazos para seu armazenamento aps o fechamento de cada exerccio fiscal.

A reviso de processos, reestruturao de conselhos e adoo de polticas que

disseminem o conceito de governana corporativa buscado pelo legislador no caso de
companhias sob as asas da lei batizada de Sarbanes-Oxley so medidas obrigatrias e
urgentes.

Os fornecedores de solues de tecnologia da informao ganham novas

possibilidades para desenvolvimento de ferramentas que auxiliem os administradores
neste particular, uma vez que todos os processos empresariais internos, hoje,
dependem intrinsecamente de recursos tecnolgicos.

Basilia II

O acordo de capitais Basilia II exige dos bancos um sofisticado esforo gerencial e

tecnolgico para conhecer, mensurar e cobrir riscos operacionais, de crdito e de
mercado, criando um novo paradigma para as melhores prticas de administrao na
indstria bancria.

Quando forem publicados os novos parmetros para gesto do risco bancrio - pelo
Banco de Compensaes Internacionais (BIS) e pelo Banco Central do Brasil - ser
configurada a necessidade de um salto significativo na qualidade e no refinamento das
bases de informaes para gesto de riscos, o que implicar mudanas em vrios
nveis da infra-estrutura de TI dos bancos.

As instituies que no se adequarem arcaro com o nus de ter de provisonar cada

vez mais capital prprio para fazer face a esses riscos.

O maior desafio de Basilia II aos gestores de risco e aos CIOs dos bancos ser
modelar uma sofisticada base de dados incorporando todas as variveis associadas
aos riscos operacionais, de crdito e de mercado, com uma amplitude temporal superior
a cinco anos, com vistas tomada de decises baseada em informaes de alta
qualidade sobre as probabilidades de perdas futuras.

6 Terceirizao.

7 Responsabilidade sobre segurana da informao.

29
Segurana em Redes

rgos de Informaes sobre Segurana

Vrias organizaes aprendem como responder a incidentes de segurana somente

depois de sofrer ataques. Ento, muitas vezes os incidentes se tornam muito mais
dispendiosos do que o necessrio. A resposta apropriada a incidentes deve ser parte
integrante de sua diretiva geral de segurana e da estratgia de mitigao de riscos.

Existem claros benefcios diretos em responder a incidentes de segurana. Contudo,

tambm pode haver benefcios financeiros indiretos. Por exemplo, sua seguradora
poder oferecer descontos se voc demonstrar que sua organizao pode lidar com os
ataques com rapidez e economia. Ou, se voc for um provedor de servios, um plano
formal de resposta a incidentes poderia ajudar com os negcios, porque mostraria que
o processo de segurana da informao levado a srio.

Para responder a incidentes, voc precisa:

Minimizar o nmero e a gravidade dos incidentes de segurana.

Montar a equipe CSIRT (Computer Security Incident Response Team)
principal.
Definir um plano de resposta a incidentes.
Conter os danos e minimizar os riscos.

Depois que o incidente foi contido e os dados preservados para um possvel processo,
voc dever considerar se precisa notificar as entidades externas apropriadas.

Possveis agncias incluem os rgos de cumprimento de leis locais e nacionais,

agncias externas de segurana e especialistas em vrus.

As agncias externas podem fornecer assistncia tcnica, oferecer uma resoluo mais
rpida e fornecer informaes obtidas em incidentes semelhantes para ajud-lo a se
recuperar totalmente do incidente e evitar que ele ocorra novamente no futuro.

O CAIS Centro de Atendimento a Incidentes de Segurana atua na deteco,

resoluo e preveno de incidentes de segurana na rede acadmica brasileira, alm
de elaborar, promover e disseminar prticas de segurana em redes. Site:
http://www.rnp.br/cais/

O CERT.br o grupo de resposta a incidentes de segurana para a Internet brasileira,

mantido pelo NIC.br, do Comit Gestor da Internet no Brasil. O CERT.br responsvel
por receber, analisar e responder a incidentes de segurana envolvendo redes
conectadas Internet no Brasil. Site: http://www.cert.br/

30
Segurana em Redes

Sistema de Gesto de
Segurana da Informao

Poltica de Segurana

A Poltica de Segurana da Informao serve como base ao estabelecimento de

normas e procedimentos que garantem a segurana da informao, bem como
determina as responsabilidades relativas segurana dentro da empresa.

A elaborao de uma Poltica de Segurana da Informao deve ser o ponto de partida

para o gerenciamento dos riscos associados aos sistemas de informao.

Para atender as principais necessidades da empresa, uma Poltica de Segurana da

Informao deve ser:

Clara e concisa
De fcil compreenso
Coerente com as aes da empresa
Amplamente divulgada
Revisada periodicamente

Elaborao da Poltica de Segurana

A elaborao de uma poltica de segurana deve seguir algumas etapas, que veremos
a seguir:

Definio da equipe responsvel pela implantao e manuteno da

segurana

O primeiro passo para a elaborao de uma Poltica de Segurana a definio das

equipes responsveis pela elaborao, implantao e manuteno da poltica.

importante que sejam definidas claramente as responsabilidades de cada

colaborador, e tambm que sejam envolvidas pessoas da alta administrao da
organizao.

31
Segurana em Redes

Anlise das necessidades e procedimentos utilizados pela empresa

Nessa etapa devem ser levantados os procedimentos executados na organizao, que

tenham relevncia para a segurana das informaes. Devendo ser considerados todos
os processos informatizados ou no, que possam afetar direta ou indiretamente a
segurana.

Identificao dos processos crticos

Aps o levantamento dos procedimentos, devem ser identificados os processos

considerados crticos organizao, ou seja, aqueles que contm informaes
sensveis aos negcios da organizao. Esses processos devero ser tratados de
maneira diferenciada na poltica de segurana.

Classificao da Informao

Tem como objetivo assegurar que as informaes recebam um nvel apropriado de

proteo. As informaes devem ser classificadas para indicar a necessidade, as
prioridades e o grau de proteo.

A informao tem variado grau de sensibilidade e criticidade. Alguns itens podem

requerer um nvel adicional de proteo ou manipulao especial. Um sistema de
classificao de informao deve ser utilizado para definir um conjunto apropriado de
nveis de proteo, e comunicar a necessidade de medidas especiais de manipulao.

A seguir descrevemos um exemplo de tipos de classificao da informao:

Uso Confidencial - aplicada s informaes de grande valor a organizao,

se divulgadas indevidamente podem causar danos e prejuzos a organizao
ou a seus parceiros. Seu uso e disseminao devem ser restritos e
controlados.
Uso Interno - aplicada s informaes restritas aos funcionrios e a terceiros.
Uso Pblico - Informaes que podem ser divulgadas para o pblico em
geral, incluindo clientes, fornecedores, imprensa, etc.

Tambm importante definirmos um conjunto de procedimentos para a manipulao

das informaes de acordo com o esquema de classificao adotado pela organizao.
Estes procedimentos precisam levar em considerao a informao na forma fsica e
eletrnica.

Para cada classificao, procedimentos de manipulao devem ser definidos para

cobrir os seguintes tipos de atividades no processamento da informao: cpia;
armazenamento; transmisso por correio, fax e correio eletrnico; transmisso por voz,
incluindo telefones celulares, correio de voz, secretrias eletrnicas; destruio.

Elaborao de normas e procedimentos para tcnicos e usurios

Nesta fase sero definidas, de acordo com as informaes levantadas nas fases
anteriores, as normas e procedimentos que devem ser seguidos pelos funcionrios,
estagirios, tcnicos e colaboradores da organizao.

32
Segurana em Redes

Relacionamos os principais tpicos, que devem ser abordados na definio das normas
e procedimentos: acessos externos; acessos internos; uso da Intranet; uso da Internet;
uso de correio eletrnico; poltica de uso e instalao de softwares; poltica de senhas;
poltica de backup; uso e atualizao de antivrus; acesso fsico; acesso lgico; trilhas
de auditoria; padres de configurao de rede (nome de mquinas, etc.).

Definio de um plano de recuperao a desastres ou plano de

contingncia

Plano de contingncia ou plano de recuperao um plano que contm as diretrizes

que a empresa deve seguir em caso de parada no processamento, decorrente de
desastre.

Tem como objetivo auxiliar na recuperao imediata do processamento das

informaes, levando em considerao a criticidade, de modo que minimize eventuais
prejuzos organizao.

Definio de sanes ou penalidades pelo no cumprimento da poltica

Nesta etapa so definidos. Devem ser definidas punies de acordo com a cultura da
organizao, algumas empresas optam por criar nveis de punies relacionados aos
itens da poltica, sendo a punio mxima a demisso ou desligamento do funcionrio
ou colaborador, pode-se tambm definir uma punio generalista que geralmente a
demisso ou desligamento aplicado a casos extremos.

O principal objetivo de se estabelecer punies ao no cumprimento da poltica de

segurana, incentivar os usurios a aderirem a poltica, e tambm dar respaldo
jurdico a organizao.

Elaborao de um Termo de Compromisso

O termo de compromisso utilizado para que os funcionrios, estagirios e

colaboradores se comprometam formalmente em seguir a poltica de segurana,
tomando cincia das sanes e punies impostas ao seu no cumprimento.

No termo de compromisso podem ser reforados os principais pontos da poltica de

segurana, deve ser assinado por todos os funcionrios e estagirios, e deve ser
renovado anualmente.

O termo de compromisso deve ser implantado como um aditivo ao contrato de trabalho,

para tanto deve ser envolvida a rea jurdica da organizao na sua reviso.

Comunicado da diretoria / presidncia aos funcionrios

Para reforar o aval da alta administrao da organizao, e reafirmar a importncia da

segurana, importante que antes da implantao da Poltica de Segurana seja feito
um comunicado da diretoria ou presidncia, aos funcionrios e colaboradores,
comunicando a implantao da Poltica de Segurana na organizao.

Divulgao da Poltica

33
Segurana em Redes

Um dos maiores desafios de uma Poltica de Segurana conseguir grande aderncia

dos funcionrios, isso acontece muitas vezes devido a cultura da organizao e a falta
de envolvimento da alta administrao.

Para resolver esse problema utilizamos a divulgao como instrumento de

conscientizao dos funcionrios e colaboradores, da importncia da segurana das
informaes e da importncia da adoo de uma poltica.

A Poltica de Segurana deve ser de conhecimento de todos os funcionrios,

estagirios e colaboradores da organizao, portanto deve ser amplamente divulgada,
inclusive e principalmente para novos funcionrios e novos colaboradores.

Os mtodos de divulgao da Poltica de Segurana variam de acordo com a empresa,

abaixo listamos alguns dos mtodos de divulgao mais utilizados: campanhas internas
de conscientizao; palestras de conscientizao para os funcionrios e colaboradores;
destaque em jornal e folhetos internos; destaque na Intranet da organizao; criao de
manual em formato compacto e com linguagem acessvel aos usurios; disponibilizar
na Intranet ou na rede, em local comum a todos, a poltica na ntegra para consultas.
Independente do mtodo de divulgao utilizado, uma caracterstica fundamental a
linguagem utilizada, que deve ser de fcil entendimento, e a leitura deve ser estimulante
aos usurios.

Implantao

A implantao a etapa final da poltica de segurana. Consiste na aplicao formal

das regras descritas na poltica da organizao, e a assinatura do termo de
compromisso. Deve ser realizada de forma gradativa e obrigatoriamente aps o
programa de divulgao e conscientizao dos funcionrios.

Reviso da Poltica

A poltica de segurana deve ser revisada periodicamente, para mant-la atualizada

frente s novas tendncias e acontecimentos do mundo da segurana da informao.

O intervalo mdio utilizado para a reviso de uma poltica de segurana de um ano,

porm deve ser realizada uma reviso sempre que forem identificados fatos novos no
previstos na poltica de segurana vigente, que possam impactar na segurana das
informaes da organizao.

Ciclo PDCA

Um Sistema de Gesto de Segurana da Informao um sistema de gesto anlogo a

um Sistema da Qualidade e como tal passvel de certificao. Esta certificao se d
a partir das evidncias (documentos e prticas) do conjunto de controles implantados e
que devem ser continuamente executados e devidamente registrados.

Este modelo de gesto est baseado no ciclo com melhoria contnua PDCA (Plan-Do-
Check-Act).

34
Segurana em Redes

O Ciclo PDCA foi criado em 1920 e ainda hoje, o principal mtodo da Administrao
pela Qualidade Total, sendo indicado na BS7799-2 como meio de facilitar o
gerenciamento do projeto de Segurana da Informao. O modelo comea com a
execuo das atividades na fase Plan, passando para as fases Do, Check e Act,
sucessivamente. A idia que este processo seja executado continuamente e que a
cada novo ciclo, o sistema seja melhorado.

Levantamento de Ativos

Levantamento de informaes dos ativos (servidores, estaes e equipamentos de

conectividade): nesta etapa realizado um levantamento dos ativos existentes na rede,
servios disponibilizados, sistemas operacionais e demais informaes sobre estaes
e usurios. O objetivo identificar a relao com aplicativos e servios, como
autenticao utilizada, alm de se conhecer o legado instalado na corporao.

Identificao dos sistemas crticos

Sistemas crticos so os sistemas vitais para o desenvolvimento do negcio da

empresa. Se o funcionamento desses sistemas for interrompido a organizao pode
sofrer algum tipo de prejuzo ou dano. A identificao dos sistemas crticos o ponto de
partida para a criao de um plano de contingncia, pois a partir dela ser definido as
estratgias que a organizao dever adotar para dar continuidade ao negcio da
empresa.

Anlise de impacto nos negcios

Depois de identificados os sistemas crticos, necessrio avaliar o impacto que a

paralisao desses sistemas causaria organizao, determinando quanto tempo seria
possvel "sobreviver" com esses sistemas operando nos padres mnimos, ou seja, em
estado de contingncia. Essa anlise deve ser feita em conjunto com os responsveis
pelas reas que utilizam os sistemas.

Anlise de Riscos

Devem ser analisados os riscos que os negcios da organizao sofrero com a

paralisao total ou parcial dos sistemas crticos.

Identificao dos recursos que os sistemas crticos dependem

A identificao dos recursos pelos quais os sistemas crticos dependem, dar as

informaes necessrias para a definio da estrutura mnima que dever ser utilizada
durante a ativao do plano de contingncia. O levantamento de todos os recursos dos
quais esses sistemas dependem, diretos ou indiretamente, devem incluir software,
hardware, infra-estrutura e recursos humanos.

35
Segurana em Redes

Recursos de Software: Devem ser identificados todos os softwares que alimentem os

sistemas crticos, descrevendo a sua configurao, verso, atualizaes e
fornecedores.

Recursos de Hardware: Devem ser identificados todos os recursos de hardware

necessrios para o funcionamento dos sistemas crticos e dos sistemas que o
alimentam, sendo considerados a configurao, espao em disco necessrio, memria,
fornecedores.

Infra-estrutura: Para o funcionamento adequado dos sistemas, necessrio que seja

levantada a infra-estrutura necessria para manter os nveis mnimos de funcionamento
dos sistemas. Devem ser considerados itens como: roteadores, switchs, hubs, bridges,
rede, no-breaks, PABX, etc.

Recursos Humanos: Deve ser, levantado quantas pessoas so necessrias para operar
os sistemas e o grau de especializao necessrio, quantas pessoas sero necessrias
para operar, administrar e dar suporte para os recursos de hardware e infra-estrutura.

De acordo com o Risk Management Guide do NIST (Junho/2001) podem-se classificar

as probabilidades de ocorrncia de ameaas em 3 categorias:

Alta: a fonte da ameaa altamente motivada e suficientemente capaz e as

contramedidas para evitar que as vulnerabilidades se concretizem so
ineficazes.
Mdia: a fonte da ameaa motivada e suficientemente capaz mas as
contramedidas j esto implementadas para impedir que as vulnerabilidades
sejam concretizadas com sucesso; ou a fonte da ameaa no motivada
para concretizar estas vulnerabilidades ou apenas parcialmente capaz de
faz-lo
Baixa: a fonte da ameaa no possui motivao ou capacidade ou ento, os
controles para prevenir ou ao menos impedir que as vulnerabilidades se
concretizem foram implementados com sucesso.

Na tabela apresentada a seguir relacionamos as ameaas s quais as empresas esto

expostas, a probabilidade de ocorrncias e os possveis impactos:

36
Segurana em Redes

37
Segurana em Redes

Plano de Continuidade de Negcio (PCN)

Um Plano de Continuidade de Negcios (PCN ou BCP - Business Continuity Plan)

enxerga o funcionamento de uma empresa atravs de duas variveis: os componentes
e os processos.

Componentes so todas as variveis utilizadas para realizao dos processos: energia,

telecom, informtica, infra-estrutura, pessoas...Todas elas, passveis de substituio ou
restaurao, de acordo com suas caractersticas.

O DRI (Disaster Recovery Institute) denomina como "Plano de Recuperao de

Desastres" aos planos focados na formalizao da seqncia necessria para
restaurao ou substituio destes componentes, independente da ameaa (incidente)
que os afete.

Aos processos, que passam a ser conduzidos de forma diferente quela que
normalmente so realizados, designam-se os "Planos de Contingncia Operacional",
focados na manuteno das atividades realizadas para operar os negcios da empresa.

Com a ativao de ambos os tipos de planos, chegamos ao Plano de Continuidade de

Negcios.

Conforme a ISO/IEC 17799:2005, item 11.1, a Gesto da Continuidade do Negcio tem

por objetivo no permitir, ou minimizar, a interrupo das atividades do negcio e
proteger os processos crticos contra efeitos de falha ou desastres significativos.

O Plano de Continuidade de Negcios deve implementar um processo de gesto para

reduzir, a um nvel aceitvel, a interrupo causada por falhas de segurana ou
desastres, atravs de planos de ao de preveno e recuperao.

Os planos devem ser implementados e testados periodicamente para garantir que os

processos de negcio possam ser recuperados dentro do prazo estipulado, gerando o
menor impacto possvel para o negcio.

A Gesto da Continuidade do Negcio um dos controles imprescindveis, segundo a

ISO/IEC 17799:2005, para que uma empresa utilize as melhores prticas de Segurana
da Informao.

Definio das equipes de PCN, suas tarefas e responsabilidades

Os processos de negcio realizados pelas empresas e que merecem a preocupao de

estarem protegidos de uma interrupo, so executados por PESSOAS.

E pessoas precisam de orientao; especfica, pontual e planejada. Sem isto, no se

pode garantir que uma empresa continue a funcionar, apenas por possuir o melhor
sistema de back-up ou armazenagem do mercado.

Para a definio e elaborao de um PCN, alguns itens devem ser considerados

obrigatrios, so eles:

Definir equipes que estaro envolvidas no plano muito importante, pois assim
possvel dividir as tarefas, delegando responsabilidades e cobrando resultados.

38
Segurana em Redes

A criao das equipes varia de acordo com a metodologia aplicada pela organizao.
As equipes devem ser formadas pelo pessoal de TI, executivos e usurios, em alguns
casos a definio das equipes s ser possvel aps anlises posteriores, como por
exemplo a equipe que far a operao dos sistemas, abaixo descrevemos alguns
exemplos de equipes que podem ser formadas e suas responsabilidades:

Equipe executiva - deve ser formada por executivos da organizao. Este

grupo ser responsvel pela homologao das informaes sobre os sistemas
crticos, ativao e desativao do plano, em suma ser responsvel pela
tomada de decises que gerem algum tipo de impacto para a organizao.

Equipe de coordenao - Podemos dividir as tarefas da equipe de

coordenao entre tarefas pr-desastre, durante o desastre e ps-desastre.

Tarefas pr-desastre - as tarefas pr-desastre se resumem na anlise

das informaes, identificao dos recursos necessrios para
implementar o plano, definio das diretrizes, formalizao do plano e
coordenao das outras equipes.

Tarefas durante o desastre - as tarefas executadas durante o desastre

podem ser resumidas na avaliao da situao e posicionamento dos
executivos para a ativao do plano, coordenao da ativao do plano
e das demais equipes, estabelecimento de diretrizes para situaes no
previstas, emisso de relatrios sobre a situao atual, coordenao da
recuperao do ambiente operacional.

Tarefas ps-desastre - aps a ativao do plano e controlado o

desastre, necessrio restabelecer as condies normais de trabalho, a
tarefa desta equipe coordenar essas atividades.

Equipe de reviso e atualizao do plano - esta equipe ser responsvel pela

reviso e atualizao do plano.

Equipe de testes e simulaes - esta equipe ser responsvel pela realizao

de testes e pela simulao do plano, no processo de testes devem ser
envolvidas as pessoas que faro a operao dos sistemas.

Equipe de software e hardware - equipe que auxiliar a equipe de

coordenao, na anlise dos softwares e hardwares necessrios para o
funcionamento do plano, durante o desastre dar o suporte necessrio de
hardware e software para as demais equipes at a desativao do plano e o
restabelecimento normal das atividades.

Equipe de operao dos sistemas - esta equipe composta pelas pessoas

que vo operar os sistemas crticos enquanto o plano permanecer ativo.
Geralmente composta por um grupo de usurios que j utilizam os sistemas
no dia a dia, e que receberam treinamento especfico para situaes de ativao
do plano.

Equipe de logstica - equipe que dar o apoio administrativo e de instalao

fsica. Sua tarefa antes do desastre ser de assegurar a pronta disponibilidade
dos recursos necessrios para a ativao do plano. Durante o desastre esta
equipe auxiliar as demais equipes, disponibilizando os recursos necessrios
podendo ser eles administrativos, de transporte, de comunicao e infra-

39
Segurana em Redes

estrutura necessria para a execuo dos trabalhos, at a desativao do plano

e restabelecimento normal das atividades.

importante que a composio das equipes de trabalho, seja documentada

discriminando os nomes, telefones de contato, e a descrio das responsabilidades de
cada integrante, de modo que facilite o contato e a distribuio das tarefas durante a
ativao do plano.

Plano de Contingncia

A expresso "Planos de Contingncia" para Tecnologia de Informao (TI) foi herdada

dos procedimentos de restaurao ou recuperao de componentes do ambiente de
Mainframes (computadores de grande porte), cujos componentes de alto custo no
podiam sofrer interrupo de funcionalidade, face as elevadas despesas inerentes
sua manuteno.

Naquela poca, estes Planos visavam formalizar as seqncias de restaurao ou

substituio dos componentes envolvidos na operao dos componentes de TI, focando
a reduo do seu tempo de parada.

Hoje, com o atual conceito de que informtica uma ferramenta de negcio voltada
para a manuteno dos processos da empresa, a noo de "Contingncia" comeou a
tomar outro rumo.

De acordo com a metodologia do DRI (Disaster Recovery Institute), o Plano de

Contingncia Operacional o conjunto de atividades alternativas, previamente
planejadas, focadas na manuteno das atividades de negcio que sofram o risco de
serem interrompidas.

Continuidade torna-se a principal conseqncia de um conjunto de Planos de

Contingncia.

Apesar de realmente fazerem parte fundamental dos planos de Recuperao de

Desastres e Continuidade, a contingncia de componentes no garante Continuidade.
Apenas garante que encontraremos os meios necessrios para planej-la, de acordo
com nossas necessidades e limitaes.

Desta forma, a preocupao com a continuidade dos negcios envolve a percepo de

que cada tem utilizado para realizar os processos necessrios sejam isoladamente
contingenciados e tenham alternativas viveis de funcionamento, em caso de parada.

Plano de Recuperao de Desastres

Plano de Recuperao de Desastres um nome que apesar de confuso, representa

umas das mais importantes premissas nas operaes do Departamento de Informtica
(TI).

40
Segurana em Redes

No se trata de recuperar-se de um desastre. De fato, justamente o contrrio. Trata-

se de prevenir-se dos desastres que podem prejudicar as informaes de seu negcio.

Sua empresa deve continuamente planejar e gerenciar o processo de recuperao,

como qualquer atividade importante cotidiana.

Isto envolve tecnologia atualizada e melhor treinamento para os membros da

Informtica (Interna ou Terceirizada) para o implemento de diversas fases de um plano
de recuperao (Contingenciamento).

Veja abaixo o bsico para um bom plano:

Ter o conhecimento do que ser mantido pelo plano

A analise dever cobrir os efeitos das perdas de dados e o corte da comunicao com
os funcionrios, fornecedores e clientes.

Por antecipao temos exemplos dos possveis desastres, isto , fogo, enchentes,
invases etc.., e voc pode iniciar priorizando as causas mais provveis, os riscos e os
impactos associados.

Fazer um Plano de Recuperao de Desastres

Os elementos chaves incluem: estabelecimento de um grupo de planejamento;

levantamento dos riscos e auditorias; checagem das prioridades para sua rede local e
aplicaes; preparao de um inventrio atualizado e da documentao do plano.

Estimar a tolerancia s falhas e ter uma duplicao dos servios essenciais

A definio de tolerncia de rede a habilidade da Rede em recuperar-se de

quaisquer falhas, sejam estas relacionada a um desastre, problema no link, algum
componente fsico ou servios de rede.

Contar tambm com um Servio de Suporte de Terceiros

Ter um suporte de seus fornecedores de servio, prontamente disponvel, adiciona um

peso considervel ao seu plano de recuperao de desastres, principalmente Internet,
Voz e Dados.

E por tratarem vrios clientes diferentes, mais provavel que os fornecedores

disponham de equipamentos sobressalentes.

Backup

Sistema que possibilita a reproduo e a posterior restaurao de informaes a partir

de meios magnticos, pticos e outros.

Backup dos dados essenciais do negcio e de arquivos de programa deve, ser feito
regularmente.

41
Segurana em Redes

Recursos e instalaes alternativos devem ser disponibilizados de forma a garantir que

todos os dados e sistemas aplicativos essenciais ao negcio possam ser recuperados
aps um desastre ou problemas em mdias.

Procedimentos alternativos para sistemas independentes devem ser regularmente

testados para a garantia de que eles satisfaam os requisitos dos planos de
continuidade de negcios. Os seguintes controles devem ser considerados:

Um nvel mnimo de cpias de segurana, juntamente com o registro

completo e atualizado destas cpias e com a documentao dos
procedimentos de recuperao, devem ser mantidos em local remoto a uma
distncia suficiente para livr-los de qualquer dano que possa ocorrer na
instalao principal;
Os backups devem ser objeto de proteo fsica e ambiental compatveis
com os padres utilizados no ambiente principal. Os controles adotados para
as mdias e para o ambiente principal devem ser estendidos para o ambiente
alternativo;
As mdias utilizadas para backup devem ser periodicamente testadas,
sempre que possvel, de modo a garantir a sua confiabilidade de uso quando
for necessrio em caso de emergncia; e
Os procedimentos de recuperao devem ser verificados e testados
periodicamente para garantia de sua efetividade e de que podem ser
completados dentro do prazo determinado nos procedimentos operacionais
para recuperao.

Fazer backup dos dados e programas de uma rede uma das ferramentas de
segurana mais fceis e baratas de serem implementadas em uma organizao,
contudo pode ser facilmente negligenciado quando tudo parece estar funcionando bem.

Infelizmente, vrias empresas s descobrem a importncia da implementao de um

bom plano de backup quando perdem seus dados por um acidente na sala do servidor,
ou por um descuido de algum usurio apagando todos os seus arquivos.

42
Segurana em Redes

AUDITORIA DE SISTEMAS
Uma auditoria pode ser definida como sendo o "exame das operaes, atividades e
sistemas, com vista a verificar se so executados ou funcionam em conformidade com
determinados objetivos, oramentos, regras e normas".

Uma auditoria tpica, voltada para a avaliao da situao financeira de uma

organizao, apresenta a seguinte estrutura:

O PROCESSO DE AUDITORIA

PLANEJAMENTO

AVALIAO DOS
CONTROLES INTERNOS

Sim : Executar testes de

conformidade dos No: nenhuma confiana
controles nos controles

Teste substantivo

Reviso e avaliao

Relatrio

Processo de auditoria tpico

Equipe de Auditoria

A equipe de auditoria normalmente composta por um coordenador e um ou mais

integrantes. Dependendo do tipo ou escopo da auditoria, pode ser necessria a
presena de um ou mais especialistas em determinada tecnologia de banco de dados,
sistema operacional etc. Esses especialistas no precisam obrigatoriamente ter
formao em auditoria, podendo atuar apenas como peritos que iro desempenhar
determinadas funes ou tarefas tcnicas a pedido dos auditores.

A atividade de auditoria, aplicada s organizaes, visa a proteo de seu patrimnio e

a consecuo de sua misso, objetivos e metas. Dessa forma, qualquer empresa pode
constituir auditoria para atuar de forma permanente ou temporria, por equipe
constituda de empregados da prpria empresa ou de terceiros, ou ainda pela
contratao de auditoria independente.

43
Segurana em Redes

O treinamento dos auditores deve abranger tpicos como tica profissional,

responsabilidade legal, procedimentos e tcnicas de auditoria, normas legais e
elaborao de relatrios e pareceres.

Planejamento da auditoria

Planejamento o primeiro estgio no ciclo de vida da auditoria. Se executado

corretamente, ele deve garantir a eficincia e eficcia dos estgios posteriores da
auditoria.

Existem diversas fases de planejamento a serem realizadas pelo auditor:

conhecimento da entidade auditada;

determinao da natureza e extenso dos procedimentos de auditoria;
determinao das necessidades de recursos, pessoal, prazo;
preparao de um relatrio de planejamento de auditoria.

Tipos de teste de auditoria

Auditores podem executar dois tipos de teste para atingir os objetivos de auditoria:

Testes de conformidade

Testes de conformidade so executados para determinar-se que grau de confiana

pode ser atribudo aos controles internos da organizao. Em uma auditoria de
sistemas, o auditor pode por exemplo testar controles de validao da entrada para
garantir que as transaes somente possam ser inseridas se contiverem todos os
dados necessrios e sem erros (controle de entrada de dados), verificando assim se
esses controles so realmente confiveis.

Teste substantivo

O teste substantivo implica o exame de itens especficos (transaes, registros) para se

chegar a concluses a respeito da confiabilidade e integridade de informaes que
podem afetar os balanos financeiros da organizao. Por exemplo, um auditor pode
usar um teste substantivo para determinar se os registros de estoque esto corretos
verificando 100% dos itens em estoque ou usando uma amostra desses itens capaz de
permitir que se chegue a concluses a respeito da integridade dos registros disponveis
no sistema.

Relatrio de Auditoria

A elaborao do relatrio constitui a fase final do processo de auditoria. Esta fase inclui
a discusso dos achados entre os membros da equipe e entre esses e a gerncia da
unidade tcnica responsvel pela auditoria, bem como a definio do enfoque a ser
adotado na apresentao do relatrio.

O relatrio visa a promover o convencimento em torno dos fatos apurados. Dessa

forma, cabe ao auditor observar princpios bsicos tais como objetividade, clareza,
imparcialidade, habilidade, correo, coerncia, ordenamento lgico e exatido, entre
outros.

44
Segurana em Redes

O auditor deve observar as seguintes recomendaes quanto elaborao do relatrio:

explicitar os objetivos da auditoria;

evitar exposies ou comentrios desnecessrios ou inoportunos;
no conter expresses que ensejem dvidas ou terminologia tcnica em
excesso;
evitar justificar erros ou acertos detectados;
evitar o uso de expresses duras ou comentrios depreciativos;
ordenar a apresentao do assunto por importncia da matria a ser
relatada;
no utilizar frases indefinidas ou referncias genricas, sem substncia;
registrar apenas informaes devidamente fundamentadas em evidncias
registradas em papis de trabalho;
identificar e explicitar problemas e questes que exijam exames mais
aprofundados, os quais a equipe julgue devam ser levados considerao
superior;
declarar se foi omitida alguma informao significativa, considerada
confidencial ou restrita a certas pessoas (descrever a natureza dessa
informao, assim como a lei ou qualquer outro critrio em que ela se
baseia);
recolher documentos (ou cpias) para anexar ao relatrio, observando as
normas estabelecidas para elaborao de papis de trabalho.

Tcnicas de auditoria de sistemas de informao

Existem inmeras tcnicas de auditoria aplicveis a sistemas de informao.

Durante a fase de planejamento da auditoria, dependendo dos objetivos, do escopo e

das limitaes inerentes ao trabalho, a equipe de auditoria deve selecionar as tcnicas
de auditoria mais adequadas para se chegar s concluses esperadas do trabalho.

Tcnicas comuns a outros tipos de auditoria

Algumas tcnicas usadas em auditorias de sistemas so comuns a outros tipos de

auditoria, como entrevista (reunio realizada com os envolvidos com o ponto auditado,
que deve ser documentada); questionrio (conjunto de perguntas que podem ser
aplicadas a muitas pessoas simultaneamente, sem a presena do auditor), verificao
in loco (observao direta de instalaes, atividades ou produtos auditados).

Tcnicas especficas para a avaliao de operaes, transaes, rotinas e sistemas em

operao ou desenvolvimento

Test-deck

45
Segurana em Redes

Mtodo que consiste na aplicao do conceito de massa de teste para sistemas em

operao, envolvendo testes normais e corretos, com campos invlidos, com valores
incompatveis, com dados incompletos, etc.

Simulao paralela

Mtodo que consiste na elaborao de programas de computador para simular as

funes da rotina do sistema em operao que est sendo auditada. Utiliza-se os
mesmos dados de input, da rotina em produo, como input do programa de simulao.

Teste de recuperao

Avaliao de um sistema em operao quanto aos procedimentos, manuais e/ou

automticos, de recuperao e retomada do processamento, em situaes de falhas.

Teste de desempenho

Verificao de um sistema em operao quanto ao consumo de recursos

computacionais e ao tempo de resposta de suas operaes (exige instrumentos de
monitorao para hardware e software).

Teste de estresse

Avaliao do comportamento de um sistema em operao quando submetido a

condies de funcionamento envolvendo quantidades, volumes e freqncias acima do
normal.

Teste de segurana

Avaliao dos mecanismos de segurana preventivos, detectivos e corretivos presentes

no sistema.

Teste de caixa preta

Mtodo que se concentra nos requisitos funcionais dos programas em operao. Os

casos de testes, normalmente derivados de diferentes condies de entrada, avaliam
funes, interfaces, acessos a bancos de dados, inicializao e trmino do
processamento. INICIALIZAO E

Mapping, tracing e snapshot

Mtodos que prevem a a insero de rotinas especiais nos programas em operao,

usadas para depur-los (debug) aps serem executados.

Mapping: lista as instrues no utilizadas e determina a freqncia daquelas

executadas.

46
Segurana em Redes

Tracing: possibilita seguir o caminho de processamento dentro de um programa, isto ,

visualizar quais instrues de uma transao foram executadas e em que ordem.

Snapshot: fornece o contedo de determinadas variveis do programa, durante sua

execuo, de acordo com condies pr-estabelecidas.

Teste de caixa branca

Mtodo que se concentra nas estruturas internas de programas em desenvolvimento.

Os casos de teste avaliam decises lgicas, loops, estruturas internas de dados e
caminhos dentro dos mdulos.

ITF Integrated test facility

Mtodo que consiste na implementao de rotinas especficas de auditoria dentro dos

programas de um sistema em implantao, que podero ser acionadas com dados de
teste, em paralelo com os dados reais de produo, sem comprometer os dados de
sada.

Mdulos de automao de tarefas de auditoria

Muitos sistemas corporativos, como os ERP (enterprise resource planning, ou software

de gesto integrada), oferecem mdulos de auditoria que permitem automatizar
diversos processos antes realizados manualmente pelos auditores. Essa evoluo
permite que o auditor seja liberado de atividades operacionais para concentrar-se nas
questes gerenciais e estratgicas da auditoria, garantindo assim maior eficincia nos
trabalhos.

47
Segurana em Redes

Mtodo para Teste de

Penetrao (Penetration Test)

Metodologia OSSTMM

Tem por objetivo definir uma metodologia clara para execuo de um pen-test e boas
prticas para realizaes de processos como elaborao de relatrios.

A OSSTMM (Open Source Security Testing Methodology Manual) e OSSTMM Wireless

desenvolvido inicialmente por Peter Herzog da ISECOM, hoje conta com vrios
especialistas em segurana.

Ela foi criada com intuito de apenas citar normas e metodologias para a comunidade de
segurana, mas, como obteve um grande sucesso, hoje ela j conta com duas
certificaes vlidas: OSSTMP e OSSTMA, e seu reconhecimento atravs do mundo
todo.

Padres do ISECOM
Baseado em anlises, e no em marcas comerciais
Consistente e repetido
Exaustivo
Vlido alm do momento do teste
Concordante com as leis locais

EQUIVALNCIAS
IT Information Libary
Germany: IT Baseline Protection Manual
German IT Systems
ISO 17799-2000
GAO/FISCAM
SET
NIST
MTRE

48
Segurana em Redes

MAPA DA SEGURANA

A figura abaixo ilustra de forma clara, todo o processo de analise da segurana no

modelo OSSTMM.

Segurana da Informao
Avaliao de Postura
Integridade da Informao
Exame de Inteligencia
Reviso da Inteligencia Competitiva
Recursos Humanos
Politicas de Controle
Controles de Informao

49
Segurana em Redes

Processo de Segurana
Reviso de Posturas
Analisando Requisio
Analisando Sugestes
Analisando Pessoas Confiveis

Segurana na Internet
Logstica e controle
Reviso de polticas
Reviso de detectores de intruso
Levantamento da Rede
Identificao dos Servios do Sistema
Busca de Informaes Competitivas
Reviso da privacidade
Coleta de dados
Teste de aplicaes para internet
Busca e verificao de vulnerabilidades
Roteamento
Teste de sistemas seguros
Teste de controle de acesso
Quebra de senhas
Medidas de contingncia
Teste de negao de servio (Dos)
Reviso das polticas de segurana
Reviso de alertas e logs

Segurana da Comunicao
Reviso de posturas
Teste de PBX
Teste de correios de voz
Reviso dos FAX
Teste dos modems

Segurana Wireless
Reviso de posturas
Verificao de radiao eletromagntica
Teste de redes Wireless 802.11
Verificao de redes Bluetooth

50
Segurana em Redes

Verificao dos dispositivos de entrada Wireless

Verificao de Handheld Wireless
Verificao das comunicaes sem cabo
Teste dos dispositivos de segurana sem fio
Dispositivos de transao sem fio
Verificao da RFID
Teste de sistema infravermelho
Reviso de privacidade

Segurana Fisica
Verificao de controles de acesso
Reviso do permetro
Reviso de monitoramento
Verificao das respostas dos alarmes
Reviso do local
Reviso do entorno

Segurana perfeita

Servios e acesso a internet

No usar acesso remoto sem criptografia
No usar acesso remoto sem autenticao
Restringir tudo liberar apenas o especifico
Monitorar e logar tudo
Descentralizar
Limitar a confiana entre sistemas
Colocar em quarentena as entradas e valida-las
Instalar somente aplicaes/servios necessrios
Dividir a segurana em camadas
Seja invisvel mostra somente o necessrio
A simplicidade previne erros de configurao

Computao mvel
Colocar em quarentena todas as entradas de rede e todo o trafego da rede.
No usar acessos remotos descriptografados
No usar acessos remotos sem autenticao
Criptografia de acordo com as necessidades
Instalar somente aplicaes/ servios necessrios
E melhor ser invisvel sem servios rodando

51
Segurana em Redes

Exigir senhas de BIOS

Treinamento de segurana

Aplicaes
O uso de caractersticas de segurana deve ser obrigatrio
Ajustar as regras de negocio para entradas e sadas da aplicao
Validar todas as entradas
Limitar as confianas (Sistemas e Usurios)
Criptografar dados
Criptografar todos os componentes
Todas as aes ocorrem do lado do servidor
Definir camadas de segurana
Seja invisvel, mostre somente o seu servio.
Acionar alarmes

Pessoas

Autoridade descentralizada
Responsabilidade pessoal
Segurana pessoal e controles de privacidade
Treinamento e definio de leis e ticas para poltica de segurana
Acesso a informaes e infra-estrutura limitadas

Anlise de Vulnerabilidades x Pen-Test

Uma Anlise de Vulnerabilidades diferente de Pen-Test, pois permite varrer as

vulnerabilidades e aplicar filtros dos falsos postivos e falsos negativos, a partir de
Scanners, que tem como objetivo identificar e no com o objetivo invadir.

Pen-Test - parte fundamental da segurana da informao, que permite identificar o

estado da rede, verificar sistemas operacionais e servios ativos, quantificar o risco do
servidor ficar fora do ar e ainda analisar vulnerabilidades.

A realizao de PEN-TEST torna-se um mecanismo importante para avaliar de forma

qualitativa e at mesmo quantitativa os problemas de segurana que possam existir.

Existem 2 tipos de Pen-Test, o Intrusivo, e o no Intrusivo.

Pen-Test no Intrusivo
Levantamento de Dados
Varredura de portas ativas

52
Segurana em Redes

Analise de Vulnerabilidades
Identificao de possveis vulnerabilidades.
Correlao de exploit com bases conhecidas de vulnerabilidades.
No realizado teste de Negao de Servio (DOS)
No utilizado a tcnica de Brute Force.

Pen-Test Intrusivo
Levantamento de Dados
Varredura de portas ativas
Analise de Vulnerabilidades
Identificao de possveis vulnerabilidades.
Correlao de exploit com bases conhecidas de vulnerabilidades.
Identificao de possibilidades de Negao de
Servio (DOS)
Utilizao de tcnicas de brute force

Aquisio de Alvos

Engenharia Social

Podemos considerar a engenharia social como a arte de enganar pessoas para

conseguir informaes, as quais, no devamos ter acesso.

Muitas vezes empregados de uma empresa deixam escapar informaes sigilosas

atravs de um contato via telefone ou mesmo conversando em locais pblicos como:
corredores, elevadores e bares.

Uma empresa pode ter os melhores produtos de segurana que o dinheiro pode
proporcionar. Porm fator humano , em geral, o ponto mais fraco da segurana.

A certificao Ethical Hacker, baseada no livro The Science and Practice of Persuasion
- Robert Cialdini, considera a existncia de 6 tipos de ataque baseados em engenharia
social:

Reciprocidade: Essa maneira de persuadir pessoas se baseia em um

conceito simples: Se algum lhe der um presente, voc se sentir na
obrigao de lhe dar algo em troca!
Validao social: Essa tcnica se baseia na seguinte idia: Se uma pessoa
pode fazer algo, outras tambm podem!
Consistncia: Se aproveita do fato de que as pessoas querem ser
consistentes. Mostrarem que conhecem algum assunto, e que podem
responder algo.

53
Segurana em Redes

Autoridade: Esse ataque se baseia no fato do atacante possuir mais poder

em uma corporao do que a vtima em questo.
Amizade: Essa tcnica se baseia no principio de que: Uma pessoa tende a
fazer mais coisas por uma pessoa que gosta, do que para uma que no
gosta!
Escassez: Uma tcnica muito utilizada por vendedores a de usar a
escassez como motivo para venda. Compre agora! So as ultimas
unidades.

Importncia do lixo

Todos os dias so jogados no lixo de empresas vrios documentos por terem perdido
sua utilidade. Porm para um atacante esses documentos so informaes teis para
entender o funcionamento, a histria e a maneira de operao da empresa.

Engenharia social reversa

A engenharia social contm trs pontos chaves: Sabotagem, Anncio e Ajuda.

Imaginem a situao: O atacante causa um problema em seu computador. Deixa um

folheto de propaganda, de uma prestadora de suporte tcnico, com a recepcionista de
sua empresa. Voc liga e pede ajuda ao atacante, e enquanto ele te ajuda pega todas
informaes que necessita do seu computador.

Escapando do ataque
Formule uma poltica para procedimentos internos e externos;
Verifique se a pessoa que solicita a informao realmente pode ter acesso
aquela informao;
Possua uma poltica especifica para acesso remoto;
Criei uma boa barreira contra cdigos maliciosos;
Use o correio eletrnico de modo seguro;
Treine seus funcionrios!

Footprinting

Nada mais do que a busca detalhada da maior quantidade de informaes possveis

do alvo da invaso, tentando burlar, se possvel, ferramentas IDSs ou Firewalls.

A partir do resultado obtido pelo Footprint traado o plano/estratgia de invaso. H

casos em que essa busca de informaes chega a durar meses.

Uma das ferramentas para se levantar informaes o Google Hacking, que consiste
na atividade de usar os recursos de busca do site, visando atacar ou melhor proteger as
informaes de uma empresa.

Informaes soltas no tm valor nenhum, o trabalho de um atacante juntar as

informaes que conseguiu e mont-las como em um quebra-cabea.

Furto e Quebra de Senhas (Brute Force)

54
Segurana em Redes

O ataque por brute force consiste em tentativas de descoberta de senhas/logins atravs

de processos manuais ou automatizados. Os principais alvos so servidores de e-mails,
servidores com Telnet ativo, FTP, HTTP com autenticao etc.

Ningum em s conscincia tentaria manualmente um ataque desses, isso demoraria

muito e seria extremamente ineficaz. Abaixo segue as tcnicas implementadas para se
otimizar um brute force:

Word List Com essa opo ser necessrio especificar um arquivo .txt com senhas
possveis, esse mtodo rpido, porm pouco eficaz.

Combo List Aqui teremos que informar um arquivo .txt com logins e senhas possveis
separados por : ou <tab>. S recomendado se voc j desconfia de possveis
senhas/logins. Pouco eficaz.

Brute Force Com essa opo sero feitas diversas combinaes com os caracteres
especificados, esse mtodo apesar de poder demorar muito, muito eficaz.

Programas como o Brutus so comuns na Internet, por isso sempre adequado usar
senhas com no mnimo 6 caracteres e usar caracteres alfanumricos e numricos.
Ainda assim essas prticas no nos tornam imunes a esse tipo de ataque.

Varredura

Enumerao

Tcnica de extrair informaes do ambiente alvo, como contas de usurios, recursos

compartilhados mal protegidos e principais servios disponveis.

Antes de testar o nosso ambiente alvo, precisamos saber quais servios testar, que
tipos de ferramentas utilizarem, so informaes como:

Sistemas operacionais dos servidores da rede alvo;

Servios de redes, verses e possveis vulnerabilidades;
Possibilidades de ataques de Bruteforce;
Dados de usurios enumerados como senhas e id;
Possibilidades de Denial of Services;
Possibilidades de acesso remoto arbitrrios;
Qualificando cada problema identificado a partir de referncia de grau de
risco;
Sugerir correes para as vulnerabilidades identificadas.

Deve ser utilizando dentro de um planejamento de segurana bem definido e com

metodologia concisa.

Vamos testar nosso sistema na prtica, usando ferramentas especificas para verificar
as vulnerabilidades.

55
Segurana em Redes

Escaneamento de Portas (Port Scan)

Para realizar a varredura da rede, caractersticas especficas do seu protocolo devem

ser exploradas. Como o protocolo de rede utilizado na especificao do modelo o
TCP/IP, as tcnicas de varredura aqui descritas so aquelas que se baseiam nas
caractersticas desta pilha de protocolo.

Sobre a pilha do TCP/IP existem trs tipos bsicos de varreduras: uma baseada no seu
protocolo de controle (ICMP), outra no protocolo TCP e a terceira no protocolo UDP.
Dentre as varreduras, a mais utilizada a TCP, isto se deve ao elevado nvel de
exatido que esta coleta de dados propicia.

Uma das tcnicas mais simples de varredura a Varredura via ICMP. O protocolo
ICMP normalmente utilizado para o envio e recebimento de informaes sobre o
funcionamento dos ns, como por exemplo, data e hora.

Um exemplo de varredura via ICMP a utilizao do comando "ping", que um

aplicativo padro TCP/IP que est presente em vrias arquiteturas permite o envio de
pacotes do tipo ICMP ECHO para verificar se um n est ativo. Porm, esta forma de
verificao no indicada para redes com mais do que poucas dezenas de ns. O ping
sempre espera a resposta de um n ao pacote enviado, ou at que ocorra o time-out,
antes de enviar um outro pacote.

Uma alternativa ao ping o aplicativo fping, que utilitrio de rede disponvel para as
plataformas Unix-Like e que funciona de forma anloga ao ping, mas com o envio de
pacotes de forma paralela que utiliza mesma tcnica, entretanto realiza o envio dos
pacotes ICMP de forma simultnea para vrios endereos, acelerando o processo de
varredura da rede. Outra funcionalidade deste aplicativo a possibilidade de se
configurar o "time-out" da conexo.

Mas atualmente os administradores de rede filtram pacotes ICMP, uma alternativa a

este problema o aplicativo hping2, vamos aprender a conseguir informaes com esta
ferramenta.

Hping2

O Hping2 um software que envia requisies de pacotes utilizando diferentes tipos de

payloads e headers, uma ferramenta extremamente til para spoof de pacotes e packet
injection em redes. Ele utiliza libpcap para operar e consegue jogar pacotes por trs de
filtros, tornando-se assim extremamente interessante e verstil!

A primeira vista ele nos retorna respostas normais como um ping faria. Mas ele nos
retorna algumas informaes preciosas: flags.

Como dito de payload anteriormente, tambm devemos acrescentar que no TCP/IP,

quando estamos realizando o ThreeWay-Handshake, as portas do sistemas retornam
flags junto ao payload indicando se esto disponveis ou no pra conexo:

flag=SA significa disponvel

flag=RA significa indisponvel.

round-trip min/avg/max = 0.0/0.0/0.0 ms /* Foi bloqueado */

Varredura de Portas

56
Segurana em Redes

Vrios gateways de segurana impedem o envio e o recebimento de pacotes ICMP

entre redes distintas, para inibir a varredura ICMP.

Quando as varreduras baseadas no protocolo ICMP no podem ser utilizadas, a

Varredura de Portas uma alternativa eficiente, uma vez que sempre existem portas
atravs do qual um gateway permite o trfego de entrada e sada, como o caso das
portas: 21 (FTP), 22 (Telnet), 23 (SSH), 25 (SMTP), 80 (HTTP), 110 (POP) e 443
(HTTPS).

A varredura de portas TCP feita pelo envio de pacotes porta alvo e aguardando-se
pelas respostas. Quando a porta alvo responde, os pacotes recebidos tero alguns de
seus campos analisados e, com base nesta anlise, ser possvel determinar se a porta
est aberta e o n ativo.

Atualmente, existem vrios tipos de varredura TCP, algumas das quais so descritas a
seguir.

Varredura de Conexo TCP: Nesta varredura, a mquina de origem tenta estabelecer

uma conexo vlida com a porta alvo, durante a qual deve ocorrer o "3 way handshake"
do protocolo TCP, este processo consiste no envio de um pacote "SYN" porta alvo, no
recebimento de um pacote "SYN/ACK" \ e finalmente no envio do pacote "ACK" porta
alvo. Caso a conexo seja completada com sucesso, possvel afirmar que a porta
est aberta e o n ativo.

Por realizar uma conexo completa, esta varredura pode ser facilmente percebida por
ferramentas de deteco de intruso e por essa razo raramente utilizada com
finalidade furtiva.

Varredura TCP SYN: esta varredura tambm conhecida como varredura semi-aberta,
pois ao receber o pacote "SYN/ACK" vindo da porta alvo, o n, que originou a primeiro
pacote, no responde com o pacote "ACK" . Ao receber o pacote com os bits
"SYN/ACK" setados, o n pode-se afirmar que a porta est aberta. Contudo, se for
recebido um pacote com os bits "RST/ACK", a porta provavelmente no est no estado
de escuta.

Varredura TCP FIN: este tcnica muito utilizada contra sistemas baseados em UNIX,
pois quando estes recebem um pacote "FIN" destinado porta fechada, eles enviam de
volta um pacote "RST", contudo o mesmo no acontece com sistemas Windows que
ignoram o pacote. Este padro documentado na RFC793 .

Varredura TCP Xmas Tree: neste caso ocorre o envio de um pacote com os bits "FIN"
, "URG" e "PUSH" ligados porta alvo e segundo a RFC793, toda porta fechada deve
responder com um pacote "RST"

Varredura TCP NULL: Quando uma porta alvo recebe um pacote com todos os flags
desligados (setados como 0), ela deve responder com um pacote "RST" caso esteja
fechada.

Varredura TCP ACK: Esta tcnica usada para mapear regras de um determinado
firewall, permitindo determinar se o firewall apenas um filtro de pacote ou um firewall
de estados.

Varredura TCP Windows: Esta tcnica analisa o tamanho do campo Window do

protocolo TCP e permite determinar se a porta est aberta , filtrada ou no filtrada .

57
Segurana em Redes

Esta anlise possvel, pois alguns gateways de segurana alteram o valor deste
campo quando filtram determinadas portas.

Varredura TCP RPC: Esta tcnica permite identificar qual a verso dos aplicativos
RPC \footnote {O servio RPC (Remote Procedure Call) especifico do sistema
operacional UNIX. que esto ativos em um n Unix Like. Alguns dos servios que
fazem uso do RPC so o NFS (Network File System) e o NIS (Network Information
Service).

Varredura de portas UDP

Apesar de existirem vrios tipos de varreduras TCP, existe somente uma baseada no
protocolo UDP. Esta nica varredura consiste no envio de "datagramas" com zero (0)
bytes de dados porta alvo. A resposta pode ser uma mensagem "ICMP port
unreachable" indicando que a porta est fechada, caso no ocorra nenhuma resposta, a
porta pode estar aberta ou sendo filtrada.

Quando datagramas so enviados a vrias portas de uma mquina e um grande

nmero delas no os responde, estas provavelmente esto em estado de escuta. Por
outro lado, se nenhuma porta responde isto pode indicar que ou o n est fora do ar ou
o mesmo est sendo filtrado.

Ferramentas

Existe uma grande quantidade de ferramentas disponveis para se realizar a varredura

de redes de computadores, no entanto, apenas algumas se destacam pelas suas
funcionalidades, dentre elas:

Varredura de ICMP: Ping, Fping, Hping, Nmap, Icmpenum e Icmpquery.

Varredura de Portas: Nmap, Strobe, Udp_scan e Netcat.

Nmap

O Nmap fornece, de uma maneira geral, a relao de computadores e servios ativos.

Existem diversas formas e parmetros a serem informados durante uma varredura.

Este aplicativo possui os seguintes mtodos de varredura:

-sP ou Ping scan: Algumas vezes necessrio saber se um determinado host ou rede
est no ar. Nmap pode enviar pacotes ICMP echo request para verificar se
determinado host ou rede est ativa. Hoje em dia, existem muitos filtros que rejeitam os
pacotes ICMP echo request, ento envia um pacote TCP ACK para a porta 80
(default) e caso receba RST o alvo est ativo. A terceira tcnica envia um pacote SYN e
espera um RST ou SYN-ACK.

-sR ou RCP scan: Este mtodo trabalha em conjunto com vrias tcnicas do Nmap.
Ele considera todas as portas TCP e UDP abertas e envia comandos NULL SunRPC,
para determinar se realmente so portas RPC. como se o comando rpcinfo -p
estivesse sendo utilizado, mesmo atravs de um firewall ( ou protegido por TCP
wrappers ).

58
Segurana em Redes

-sS ou TCP SYN scan: Tcnica tambm conhecida como half-open, pois no abre
uma conexo TCP completa. enviado um pacote SYN, como se ele fosse uma
conexo real e aguarda uma resposta. Caso um pacote SYN-ACK seja recebido, a
porta est aberta, enquanto um como resposta indica que a porta est fechada. A
vantagem dessa abordagem que poucos iro detectar esse scanning de portas.

-sT ou TCP connect() scan: a tcnica mais bsica de TCP scanning. utilizada a
chamada de sistema (system call) connect() que envia um sinal as portas ativas. Caso
a porta esteja aberta recebe como resposta connect(). um dos mais rpidos, porm
fcil de ser detectado.

-sU ou UDP scan: Este mtodo utilizado para determinar qual porta UDP est aberta
em um host. A tcnica consiste em enviar um pacote UDP de 0 byte para cada porta do
host. Se for recebido uma mensagem ICMP port unreachable ento a porta est
fechada, seno a porta pode estar aberta. Para variar um pouco, a Microsoft ignorou a
sugesto da RFC e com isso a varredura de mquinas Windows muito rpida.

-sV ou Version detection: Aps as portas TCP e/ou UDP serem descobertas por
algum dos mtodos, o nmap ir determinar qual o servio est rodando atualmente. O
arquivo nmap-service-probes utilizado para determinar tipos de protocolos, nome da
aplicao, nmero da verso e outros detalhes.

-sF, -sX, -sN ou Stealth FIN, Xmas Tree ou Null: Alguns firewalls e filtros de pacotes
detectam pacotes SYN's em portas restritas, ento necessrio utilizar mtodos
avanados para atravessar esses softwares.

FIN: Portas fechadas enviam um pacote RST como resposta a pacotes FIN, enquanto
portas abertas ignoram esses pacotes. (Esse mtodo no funciona com a plataforma
Windows, uma vez que a Microsoft no seguiu RFC 973)

Xmas Tree: Portas fechadas enviam um pacote RST como resposta a pacotes FIN,
enquanto portas abertas ignoram esses pacotes. As flags FIN, URG e PUSH so
utilizados no pacotes FIN que enviado ao alvo. (Esse mtodo no funciona com a
plataforma Windows, uma vez que a Microsoft no seguiu RFC 973)

Null: Portas fechadas enviam um pacote RST como resposta a pacotes FIN, enquanto
portas abertas ignoram esses pacotes. Nenhuma flag ligada no pacote FIN. (Esse
mtodo no funciona com a plataforma Windows, uma vez que a Microsoft no seguiu
RFC 973).

IP-SCAN - Host Discovery

O Angry IP Scanner, uma ferramenta grfica para windows bem interessante, vamos
analisar o seu funcionamento.

Faca o Download do Angry IP Scanner em : http://www.angryziber.com/ipscan/

Faremos um teste com a rede 64.152.0.0 64.159.255.255.

Este range pertence a Claria, uma companhia que recentemente se fundiu com a Gator,
a famosa Spyware Company.

59
Segurana em Redes

Monitoramento Promscuo (Sniffing)

Sniffing, em rede de computadores, o procedimento realizado por uma ferramenta

conhecida como Sniffer (tambm conhecido como Packet Sniffer, Analisador de Rede,
Analisador de Protocolo, Ethernet Sniffer em redes do padro Ethernet ou ainda
Wireless Sniffer em redes wireless).

Esta ferramenta, constituda de um software ou hardware, capaz de interceptar e

registrar o trfego de dados em uma rede de computadores. Conforme o fluxo de dados
trafega na rede, o sniffer captura cada pacote e eventualmente decodifica e analisa o
seu contedo de acordo com o protocolo definido em um RFC ou uma outra
especificao.

O sniffing pode ser utilizado com propsitos maliciosos por invasores que tentam
capturar o trfego da rede com diversos objetivos, dentre os quais podem ser citados,
obter cpias de arquivos importantes durante sua transmisso, e obter senhas que
permitam estender o seu raio de penetrao em um ambiente invadido.

Vulnerabilidades

Malwares

A expresso Malware nasceu da justaposio das palavras Malicious Software

(programas maliciosos) e utilizada quando se pretende fazer referncias genricas a
pragas virtuais.

Basta abrir o noticirio de tecnologia e pronto, ficamos por dentro da nova peste
eletrnica da moda, a causar milhes em prejuzos. Foi assim com os vrus Ninda,

60
Segurana em Redes

Chernobyl, Iloveyou, melissa, etc. Na informtica, vrus e variantes tornam-se to

comuns, que se convencionou um nome para esses cdigos que tiram o sono de
usurios de PC: so os malwares, uma categoria que engloba toda sorte de pragas
digitais, incluindo os vrus, cavalos de tria, snifers, spyware, adware e por a vai.

Mais do que conhecer estes agentes nocivos, o usurio tem de ter nas mos
ferramentas e tcnicas que permitam a ele identificar e eliminar estas pragas, na
maioria das vezes disseminadas por pseudohackers em busca de uma glria vazia e
uma auto-afirmao infantil.

As ameaas virtuais que esto na internet no se restringem a apenas uma infeco

virtica. Existem diversos tipos de pragas, que so divididas em classes e
subcategorias conforme suas caractersticas, propsitos e maneiras de atuar em
relao ao sistema alvo.

Vrus

Vrus de computador so programas capazes de se reproduzir. O ato de se reproduzir,

no caso destes Vrus, a capacidade do mesmo de se copiar de um computador a
outro se utilizando de diversos meios: atravs dos disquetes, embutindo-se em
documentos de texto ou planilhas de clculo e, atualmente, distribuindo-se por e-mail.

Ao contrrio do que se costuma imaginar, o vrus digital no uma novidade e to

pouco surgiu com a internet. Alguns programas j eram capazes de se auto-replicar
desde a primeira metade do sculo passado (bem antes, portanto, do boom da
computao pessoal), embora o termo somente tenha entrado para o lxico da
informtica em 1983, quando Fred Cohen (um pesquisador da universidade da
Califrnia) respaldou sua tese de doutorado em Engenharia nos estudos de pragas
eletrnicas criadas experimentalmente. Logo depois surgiu o primeiro vrus capaz de
infectar o sistema operacional da Apple (que disseminava via cpias piratas de
disquetes, geralmente de jogos) e, em 1986 nascia, no Paquisto, o vrus Brain (que
se instalava no setor de boot dos disquetes e discos rgidos, mas no causavam
maiores estragos).

Esses programas do mal acompanharam com louvor a evoluo da informtica.

Aparies mais recentes so compostas por milhares de linhas de cdigos e ou utilizam
tcnicas hacker para se propagarem por meio da rede razo de milhes de sistemas
infectados em questo de dias.

Conceito de Vrus

O conceito de vrus simples, os vrus nada mais so do que programas (ou

fragmentos de programas) que integram instrues maliciosas ou danosas aos
sistemas onde so executados, sem o conhecimento e sem o consentimento do
usurio. Um programa destrutivo, em si, no necessariamente um vrus. Para ser
considerado como tal, o programa infectante precisa ter a inteno de se reproduzir.

Todos esses programas so potencialmente perigosos, ainda que nem sempre

destrutivos. No caso especfico dos vrus, os danos causados ao sistema podem ser
incidentais, at porque seu criador talvez no tenha previsto determinados efeitos
colaterais. Alguns vrus apenas ocupam recursos do sistema, exibem mensagens
engraadas ou malcriadas no monitor ou enviam-nas para a impressora. Outros
apagam arquivos essenciais, excluem documentos, programas e so capazes at de
aniquilar o registro de inicializao do sistema no HD, sobrescrever a BIOS e levar o

61
Segurana em Redes

computador contaminado ao colapso total. Portanto bom deixar claro que estamos
falando apenas de tecnologia, um programa, qualquer que seja ele, atende aos
desgnios do programador, e tanto poder ser direcionado a interagir com o operador
do sistema, como a executar automaticamente as mais variadas tarefas.

Tipos de Vrus

Vrus de arquivos

Esse tipo de vrus agrega-se a arquivos executveis (normalmente com extenso COM
e EXE), embora possam tambm infectar arquivos que sejam requisitados para a
execuo de alguns programas, como os arquivos de extenso: SYS, DLL, PRG.OVL,
BIN, DRV (esta ltima a extenso dos arquivos que controlam o funcionamento do
mouse , CD- ROM, da impressora, do scanner,etc).

Arquivos de extenso SCR, que a extenso dos screensaver (protetores de tela),

tambm podem ser infectados, pois esses arquivos so na verdade executveis
comuns, salvos com outra extenso. Isto feito para que o Windows possa reconhecer
automaticamente esse tipo de arquivo. Neste tipo de virose, programas limpos
normalmente se infectam quando so executados com o vrus na memria em um
computador corrompido. Os vrus de arquivos dividem-se em duas classes: os de ao
direta e os residentes.

Vrus de ao direta

Essa classe de vrus seleciona um ou mais programas para infectar cada vez que o
programa que o contm executado. Ou seja, toda vez que o arquivo infectado for
executado, novos programas so contaminados, mesmo no sendo usados.

Como isso acontece?

Uma vez contaminado um arquivo, o programa (vrus) faz uma procura no winchester
(ou o hard disk) por arquivos executveis. Cada arquivo encontrado colocado em uma
lista, depois, na nova execuo do arquivo contaminado o vrus seleciona
aleatoriamente um ou mais arquivos, e esses tambm sero contaminados.

Vrus Residentes

Essa classe esconde-se em algum lugar na memria na primeira vez que o programa
infectado. Da memria do computador, passa a infectar os demais programas que
forem executados, ampliando progressivamente as frentes de contaminao.

Um vrus tambm pode ser ativado a partir de eventos ou condies pr-determinadas

pelo criador, como data (como a sexta feira 13, por exemplo), nmero de vezes que um
programa rodado, um comando especfico, etc.

Vrus de sistema ou vrus de boot

Infectam cdigos executveis localizados nas reas de sistema do disco. Todo drive
fsico, seja disco rgido, disquete ou CD-ROM, contm um setor de boot. Esses setores
de boot contm informaes relacionadas formatao do disco, dos diretrios e dos
arquivos armazenados nele. Alm disso, pode conter um pequeno programa chamado
de programa de boot (responsvel pela inicializao do sistema), que executa a carga
dos arquivos do sistema operacional (o Windows XP, por exemplo). Contudo, como

62
Segurana em Redes

todos os discos possuem rea de boot, o vrus pode esconder-se em qualquer disco ou
disquete, mesmo que ele no seja de inicializao ou de sistema (de boot).

Um comportamento comum entre os vrus de boot que empregam tcnicas mais

avanadas de invisibilidade exibir os arquivos de boot originais sempre que for feita
uma solicitao de leitura do sector 1 da track 0. Enquanto o vrus estiver residente na
memria, ele redireciona todas as solicitaes de leitura desse setor para o local onde
esse contedo original est armazenado. Essa tcnica engana as verses mais antigas
de alguns anti-vrus. Alguns vrus, ainda mais avanados, chegam a marcar o setor
onde os arquivos de boot foram colocados, como, sendo um setor ilegvel, para que os
usurios no possam descobrir o setor de boot em um lugar considerado incomum.

Vrus mltiplos

So aqueles que infectam tanto os arquivos de programa comuns como os setores de

boot e ou MBR, ou seja, correspondem combinao dos dois tipos descritos
anteriormente. Tais vrus so relativamente raros, mas o nmero de casos aumentam
constantemente. Esse tipo de vrus extremamente perigoso, pois pode agir tanto no
setor de boot, infectando arquivos assim que eles forem usados, como pode agir como
um vrus de ao direta, infectando arquivos sem que eles sejam executados.

Vrus de macro

Antigamente os vrus se propagavam de disquetes, a partir de arquivos SYS, COM e

EXE, entretanto, os vrus mais atuais geralmente atingem arquivos de dados, como os
arquivos do Word (com extenses .doc) e Excel (com extenses .xls). E so
espalhados pela internet.

So os chamados macrovrus ou vrus de macro, outra capacidade indita destes tipos

de vrus e a sua disseminao multiplataforma, infectando mais de um tipo de sistema
com o mesmo cdigo (Windows e MAC, por exemplo).

a categoria de vrus mais recente, ocorreu pela primeira vez em 1995, quando
aconteceu o ataque do vrus Concept, que se esconde em macros do processador de
textos Microsoft Word. Esse tipo de vrus se dissemina e age de forma diferente das
citadas. Sua propagao foi rpida especialmente em funo da popularidade do editor
de textos Word (embora tambm encontremos o vrus na planilha eletrnica Excel, da
prpria Microsoft).

Eles contaminam planilhas e documentos (extenses xls e doc ). So feitos com a

prpria linguagem de programao do Word. Entretanto, a tendncia de que eles
sejam cada vez mais eficazes, devido ao fato da possibilidade do uso da linguagem
Visual Basic, da prpria Microsoft, para programar macros do Word. O vrus de macro
adquirido quando se abre um arquivo contaminado. Ele se autocopia para o modelo
global do aplicativo, e a partir da, propaga-se para todos os documentos que forem
abertos.

Vrus stealth ou furtivo

Por volta de 1990, surgiu o primeiro vrus furtivo (ou stealth, inspirado no caa Stealth,
invisvel a radares). Esse tipo de vrus utiliza tcnicas de dissimulao para que sua
presena no seja detectada nem pelos antivrus, nem pelos usurios. Por exemplo, se
o vrus detectar a presena de um antivrus na memria, ele no ficara na atividade,
interferira em comandos como dir e o chkdsk, apresentando os tamanhos originais dos
arquivos infectados, fazendo com que tudo parea normal.

63
Segurana em Redes

Tambm efetuam a desinfeco automtica de arquivos no momento em que eles

forem executados, caso haja um antivrus em ao; com esta atitude, no haver
deteco e conseqente alarme.

Vrus criptografados

Um dos mais recentes vrus. Os encriptados, so vrus que por estarem codificados,
dificultam a ao de qualquer antivrus. Felizmente, esses arquivos no so fceis de
criar e nem muito populares.

Vrus mutantes ou polimrficos

Tem a capacidade de gerar rplicas de si mesmo utilizando-se de chaves de

encriptao diversas, fazendo com que as cpias finais possuam formas diferentes. A
polimorfia visa a dificultar a deteco de utilitrios antivrus, j que as cpias no podem
ser detectadas a partir de uma nica referncia do vrus. Tal referncia normalmente
um pedao do cdigo virtico, que no caso dos vrus polimrficos varia de cpia para
cpia.

Vrus de script

Infectam sistemas capazes de rodar scripts (programas escritos em linguagem no

compilada, ou seja, que no transformam o cdigo fonte num arquivo executvel), como
os navegadores da internet. Dentro dessa categoria, o i love you comumente
lembrado devido aos estragos e prejuzos representativos que causou em 2000.

Essa peste chegava via e-mail com a frase i love you (eu te amo) no campo do assunto,
visando explorar a afetividade das vtimas para apagar arquivos de imagem e mp3,
alm de encaminhar ao seu criador, nas Filipinas, todas as senhas que encontrasse
nos computadores contaminados.

Vrus de rede

Na realidade so os worms, como o Nimda, o Code Red e o Sql Slammer, que

exploram vulnerabilidades do sistema operacional e ou aplicativos para se propagar.
So os que tm causado mais estragos e prejuzos nos ltimos anos (o Slammer foi
cerca de duzentos e cinqenta vezes mais veloz que o Cd Red, infectando setenta e
cinco mil servidores em apenas dez minutos).

Vrus em Java

Contaminam classes de programas em Java (linguagem de programao), mas devido

ao fato da Mquina Virtual Java ser um ambiente razoavelmente protegido, esses
vrus no apresentam grandes ameaas.

O Strangebrew, criado em 1998, foi o primeiro e ainda o mais conhecido deles.

Vrus de telefone

Pragas que, na verdade, agem no computador. Uma das mais conhecidas a

Timofonica, worm que surgiu em 2000 e tenta enviar mensagens SMS para telefones
mveis da Espanha.

Vrus peer-to-peer

64
Segurana em Redes

Ainda que no tenham provocado grandes epidemias, esses cdigos maliciosos se

propagam em redes de troca de arquivos peer-to-peer (programas como o KAZAA, que
permitem aos usurios acessar arquivos instalados nos discos rgidos de outros que
utilize o mesmo servio).

Worms

O worm no um vrus, mas tem a capacidade de se propagar automaticamente

atravs de redes e enviar cpias suas de uma mquina a outra.

Apenas para citar alguns exemplos, os worms (vermes), ainda que parentes prximos
dos vrus, no se encaixam na sua definio tradicional, porque no necessitam de
um hospedeiro, embora tenham capacidade de se auto-replicar.

Um worm um tipo especfico que se propaga em vrios computadores, normalmente

criando cpias dele mesmo na memria do micro.

Dizer que os worms no so vrus d-se pelo fato de se auto-propagarem, enquanto os

vrus infectam arquivos e s so ativados quando um arquivo infectado executado
propagar. Sua propagao se d atravs da explorao de vulnerabilidades existentes
ou falhas na configurao de softwares instalados em computadores. Os worms so os
mais perigosos e difceis de remover.

O worm consome muitos recursos, comprometendo o desempenho de redes e lotando

o disco rgido do computador, isso porque ele costuma propagar grande quantidade de
cpias de si mesmo.

Spywares

So softwares que monitoram o uso do computador, podendo ser usado legitimamente

ou maliciosamente. Na maioria das vezes so utilizados para roubar informaes como
a lista de endereos de e-mail, por exemplo, enviando-as a spammers.

Ele pode ser usado de modo legtimo nas empresas, monitorando os hbitos de seus
funcionrios, desde que esteja previsto em contrato ou na poltica de segurana da
empresa. Maliciosamente ele pode ser instalado por um cavalo de tria para que
quando o usurio acessar determinados sites de bancos ou de comrcio eletrnico, o
keylogger ou screenlogger (instalado tambm pelo cavalo de tria) ativado para a
captura de senhas bancrias ou nmeros de cartes de crdito;

Adwares

Adware (Advertising software) um software projetado para apresentar propagandas,

atravs de um browser ou de outro programa instalado no computador. H alguns
adwares que so considerados um tipo de spyware pois monitoram seu uso da internet,
podendo roubar informaes relativas navegao (como por exemplo, sites visitados),
para direcionar propagandas.

65
Segurana em Redes

Hijackers

Programas que alteram o comportamento do seu navegador, fazendo com que ele
acesse pginas e sites especficos sem que voc o tenha configurado para isso.

Keyloggers

O Keylogger um programa que captura e armazena as teclas digitadas pelo usurio

no teclado de um computador.

A ativao do keylogger condicionada a uma ao prvia do usurio, como por

exemplo, aps o acesso a um site especfico de comrcio eletrnico ou Internet
Banking.

Normalmente, o keylogger contm mecanismos que permitem o envio automtico das

informaes capturadas para terceiros (por exemplo, atravs de e-mails).

As instituies financeiras desenvolveram os teclados virtuais para evitar que os

keyloggers pudessem capturar informaes sensveis de usurios. Ento, foram
desenvolvidas formas mais avanadas de keyloggers, tambm conhecidas como
screenloggers, capazes de armazenar a posio do cursor no monitor, nos momentos
em que o mouse clicado, ou armazenar a regio que circunda a posio onde o
mouse clicado.

Normalmente os keyloggers fazem parte de um spyware ou de um cavalo de tria.

Falhas em Sistemas (Rootkit, Exploits)

RootKits

O termo root kit vem designar uma srie de ferramentas utilizadas por um invasor para
modificar ou ocultar a sua presena em um sistema invadido.

A idia inicial a de que uma srie de programas disfarados em arquivos do sistema

pudesse realizar tarefas de roubo de informaes, possibilidade de acesso no
autorizado a qualquer momento e, em caso de necessidade, desativao da mquina
hospedeira.

Exploits

Em um processo de intruso, o exploit a ferramenta que ir explorar as possveis

vulnerabilidades associadas a um servio ou ao sistema.

Embora os exploits sejam diferentes tem um mesmo objetivo: ganhar acesso

privilegiado ao sistema.

Todo hacker possui diversas exploits para realizar testes de intruso em um sistema.

Alguns exploits so chamados de 0day, pois so exploits que no so publicadas e as

falhas que elas exploram em geral no tem correo.

Identificao de vulnerabilidades

66
Segurana em Redes

Para serem criados, os exploits se baseiam em uma falha descoberta em uma

aplicao. Os atacantes procuram as falhas nos cdigos dos programas ou em sites de
segurana que divulgam falhas atravs de boletins.

Alguns boletins de segurana so bem conhecidos, como os BIDs do site

securityfocus.com, os CAN/CVE do site cve.mitre.org (governo americano), entre
outros, como os DSA (Debian) e MS-BULLETIN (Microsoft)

Assim sendo o exploit construdo para explorar uma falha e provar o conceito, ou
seja, provar que a falha existe na prtica. Porm muitas vezes isso usado de forma
no-tica, como bem sabemos.

Forma de atuao dos exploits

Geralmente os cdigos dos exploits so escritos em linguagem C, por permitir a

manipulao de bits, bytes e endereos elementos bsicos com os quais o
computador funciona. Esses cdigos exploram diversas falhas, porm a mais explorada
sem dvida, o buffer overflow.

Esse conceito faz com que sejam exploradas reas de memria para redirecionar
retornos de funes, variveis, etc, para onde est executando o cdigo malicioso.
Com isso, o atacante ganha poderes de execuo idnticos aos do usurio que roda
aquela funo, muitas vezes o usurio o root.

Tipos de exploits

Dentre os principais tipos de exploits, os mais importantes so exploits locais e

exploits remotos:

Exploits remotos exploram vulnerabilidades em servios de rede que esto

rodando na mquina alvo.
Exploits locais exploram vulnerabilidades locais atribudas ao kernel do
sistema operacional ou a um software que necessite do usurio root para
funcionar. Com isso, o atacante far a elevao de privilegio, onde um
usurio normal conseguir se tornar o super usurio root.

Estouro de Buffer (Buffer Overflow).

Buffer overflow, estouro de pilha ou transbordamento de dados, na informtica,

acontece quando o tamanho de um Buffer ultrapassa sua capacidade mxima de
armazenamento.

Se o programa no foi adequadamente escrito, este excesso de dados pode acabar

sendo armazenado em reas de memria prximas, corrompendo dados ou travando o
programa, ou mesmo ser executado, que a possibilidade mais perigosa. Por exemplo,
se um programa qualquer possuir uma vulnerabilidade no sistema de login por exemplo,
pode-se criar um outro programa que fornece caracteres de texto at completar o buffer
e que depois envie um executvel, que acabaria rodando graas vulnerabilidade.

Um caso famoso foi descoberto em 2000 no Outlook Express. Graas uma

vulnerabilidade, era possvel fazer com que um e-mail executasse arquivos apenas por
ser aberto. Bastava anexar um arquivo com um certo nmero de caracteres no nome,

67
Segurana em Redes

que ele seria executado ao ser aberta a mensagem. Naturalmente, a Microsoft se

apressou em lanar uma correo e alertar os usurios para o problema.

Semanalmente so descobertas vulnerabilidades de buffer overflow em vrios

programas. Algumas so quase inofensivas, enquanto outras podem causar problemas
srios.

Negao de Servios DoS / DDoS (Distribuited Deny of Service).

DoS

Um ataque de negao de servio (tambm conhecido como DoS, um acrnimo em

ingls para Denial of Service), uma tentativa em tornar os recursos de um sistema
indisponveis para seus utilizadores. Alvos tpicos so servidores web, e o ataque tenta
tornar as pginas hospedadas indisponveis na WWW. No trata-se de uma invaso de
sistema e sim sua invalidao por sobrecarga.

Os ataques de negao de servio so feitos geralmente de duas formas:

Forar o sistema vtima a reinicializar ou consumir todos os seus recursos

(como memria ou processamento por exemplo) de forma que ele no pode
mais fornecer seu servio.
Obstruir a mdia de comunicao entre os utilizadores e o sistema vtima de
forma a no comunicarem-se adequadamente.

DDoS

Um ataque distribudo de negao de servio (tambm conhecido como DDoS, um

acrnimo em ingls para Distributed Denial of Service). Um computador mestre pode ter
sob sua responsabilidade at milhares de computadores. Repare que nestes casos, as
tarefas de ataque de negao de servio so distribudas a um "exrcito" de mquinas
escravizadas. Por isso denomina-se um ataque distribudo de negao de servio.

Vrus conhecidos criados para a distribuio de rotinas de ataque de negao de

servio incluem "Codered", "Slammer", etc

Levantamento de Vulnerabilidades

Nessus

Nessus uma ferramenta para auditoria de segurana. Com ele possvel verificar
varias vulnerabilidades em sua rede. O nessus permite que se faa isso de uma forma
segura, no permitindo que usurios no autorizados possam scanear sua rede com
ele. Ele composto por duas partes, sendo um cliente e um servidor.

O nessus possui uma GUI muito flexvel onde voc configura vrios detalhes de
varredura na sua rede. Nela pode-se configurar quais plugins( ataques ) usar e os
hosts(targets) que sero scanneados. Primeiramente rode o nessus cliente, bastando
para isso digitar nessus na linha de comando. Ele pedir, ento, a senha que voc
configurou inicialmente. Vamos abordar agora quais so as opes de configurao do
cliente nessus.

68
Segurana em Redes

Nessus host : nesta aba de configurao voc deve especificar o endereo ip do

daemon nessus e tambm a porta tcp em que ele est rodando (geralmente 1241).
Nesta tela tambm possvel optar pelo algoritmo de criptografia que ser usado.
Tambm preciso especificar o nome do usurio para logar no daemon.

Plugins : Aqui reside todo o poder do nessus, nesta aba se encontram as exploraes
(exploits) das vulnerabilidades conhecidas em forma de plugins. O nessus se vale
destes plugins para avaliar as vulnerabilidades do sistema scanneado.

Prefs. : So especificados valores como usurios e senhas de servios como ftp, pop,
imap e smb. De porte desses dados o nessus pode fazer verificaes muito mais
eficitentes nos seus hosts, j que alguns exploits pressupem que o "explorador" possui
uma conta vlida de algum desses servios. Tambm possvel configurar o tipo de
scan que ser usado pelo nmap ( caso possua ).

Scan Option -> Aqui pode-se especificar as portas que sero scaneadas pelo nessus,
use virgula para portas individuais e hfen para intervalos(80,110,443-1024). No caso de
utilizar o nessus para scanear servidores web bastante interessante especificar o
path, ou caminho, dos CGI's no seu servidor. Por exemplo s se voc especificar o path
/cgi-bin/ para o nessus procurar por CGI's "exploitveis em http://host/cgi-bin/.

Para instalar o Nessus voc precisa ter instalado o pacote nmap tambm, e alm no
pacote nessus, precisamos instalar os pacotes nessus-plugins, nessusd e nessus-dev

Depois de instalar, voc precisa criar um login de usurio para utilizar o Nessus. Este
login vlido apenas para o Nessus, no um login de sistema.

Para criar o login, chame o programa nessus-adduser. Ele pedir o login e senha, o tipo
de autenticao (escolha sempre cipher) e permitir que voc adicione regras para o
usurio. Se voc quiser apenas criar o usurio usando as regras default basta
pressionar Ctrl + D. Ele pedir uma ltima confirmao, basta responder "y":

Criamos o usurio senai com a senha senai123

O Nessus utiliza um sistema cliente-servidor, onde uma vez iniciado o mdulo servidor
passa a ser possvel rodar o cliente em qualquer mquina da rede (para isso criado o
login de usurio). O certificado oferece uma segurana maior ao acessar o servidor
Nessus, pois garante que ele no foi substitudo por outra mquina comprometida.
Aps estar com o servidor do Nessus funcionando, podemos iniciar o scan. H dois
modos de fazer isto: com a GUI, interface grfica do Nessus (caso voc a tenha
instalado ) ou pelo modo console, padro na maioria das instalaes. Primeiramente,
vou falar sobre como usar o modo grfico (GTK).

Modo Grfico

$ nessus

O primeiro passo logar-se no servidor Nessus, fornecendo seu login e senha. Nas
configuraes do programa voc tem acesso a vrias opes, entre elas a faixa de
portas TCP e UDP que devem ser escaneadas:

69
Segurana em Redes

Se voc quiser um teste completo, use a faixa 1-65536. Este teste ideal para PCs da
rede local, mas pode demorar bastante caso seja feito via Internet.

Basicamente, ele envia um pacote TCP e outro pacote UDP para cada porta e para
cada PC a ser testado. Se voc quiser testar uma faixa inteira de endereos IP, com
seus 255 PCs teremos nada menos que 33.423.360 pacotes, que correspondem a mais
de 750 MB de dados.

Alguns testes do Nessus podem travar alguns PCs vulnerveis, como por exemplo
estaes Windows 95 vulnerveis ao "ping da morte". A opo "Safe checks" desativa
testes potencialmente perigoso, evitando prejuzos aos usurios. De qualquer forma, o
ideal fazer o teste noite, ou em algum horrio em que os PCs no estejam sendo
utilizados.

Na seo "Target Selection" voc define o alvo, fornecendo seu IP. Se voc quiser
testar as vulnerabilidades da prpria mquina local, o endereo o "localhost". Se voc
quiser testar de uma vez toda a sua rede local, basta fornecer o endereo da rede,
como em "192.168.0.0" ou "10.0.0.0".

Concludo o teste, ele exibe uma lista com as vulnerabilidades encontradas em cada
PC. Existem trs nveis de alerta, o primeiro e mais grave tem o smbolo de uma luz
vermelha e indica uma brecha de segurana em um servidor ativo na mquina. O
screenshot abaixo por exemplo temos uma mquina Linux rodando uma verso antiga
do Samba, que permite que clientes no autorizados loguem-se no servidor. Alm de

70
Segurana em Redes

apontar o problema, o Nessus oferece uma descrio detalhada da vulnerabilidade e

aponta uma soluo. No caso a soluo simplesmente atualizar o Samba para uma
verso mais recente:

O segundo nvel um alerta de que um servio potencialmente inseguro est ativa

numa determinada porta do sistema, como por exemplo, um servidor Telnet ou XDMCP
(para obter a tela de login do servidor, como vimos no captulo 7). Neste caso no foi
encontrada nenhuma vulnerabilidade especfica, mas o fato o servio ser
fundamentalmente inseguro j representa uma brecha de segurana.

Tanto o Telnet quanto o XDMCP transmitem dados de forma no encriptada, o que

permite que algum mal intecionado possa sniffar a rede, capturando os dados
transmitidos, incluindo as senhas dos usurios.

71
Segurana em Redes

O terceiro nvel de alerta tem o smbolo de uma luz. Estes so apenas lembretes de
que existe um servidor ativo na porta indicada, mas sem que fosse detectada qualquer
brecha de segurana:

Modo Console

Para realizar um scan em modo console, utilizamos o seguinte comando :

# nessus [servidor] [porta] usuario senha [arquivo_de_hosts] [arquivo_de_resultado]

Ou seja:

nessus: nessus o programa nessus, que ir executar alguma coisa de acordo com os
argumentos que voc passar na linha de comando.

servidor: servidor onde o nessusd est rodando. Caso voc tenha colocado no
nessusd rodando na sua mquina local, ele ser 127.0.0.1, ou seja, a interface lo
(loopback). No caso de outro ip, por exemplo, 192.168.1.1, o servidor seria este ip.

porta: o nessus por padro estar na porta 1241, mas voc pode mudar isto. Com o
argumento no nessusd -p ou --p , voc pode colocar o nmero de porta que voc
quiser. Veja s um exemplo, o nessus ser colocado para escutar o loopback e, rodar
na porta 3001 : nessusd --listen=127.0.0.1 --port=3001 . Voc pode executar muitos
mais operaes de configurao do nessus somente lendo o man do programa : man
nessusd.

usurio: lembra do usurio que voc criou mais acima neste tutorial ? bom, com ele
que agora voc vai fazer o scan, nesta argumento voc colocar o nome de usurio
que voc criou para acessar o nessusd.

senha: voc pode omitir este argumento, mas voc ter que us-lo de um jeito ou
outro. Quando voc omite, ele abre um prompt de leitura de senha, para que voc entre

72
Segurana em Redes

a senha. No caso, para eliminar mais um passo, a colocao da senha como

argumento, mais interessante. A senha, a, a mesma que voc colocou acima para
o usurio que voc est usando.

arquivo_de_hosts: o arquivo de hosts, o arquivo de alvos que voc ir escanear.

Exemplo: quero escanear o foo.com e o foo.com.br. O arquivo de alvos ficaria do
seguinte modo: foo.com foo.com.br

Ou seja, cada host deve ser colocado em um linha especfica. Isto quantos hosts voc
quiser escanear. Mas lembre-se, caso voc tenha uma conexo discada, bom lembrar
que quanto mais hosts sendo escaneados, mais tempo isto vai levar. Talvez seja mais
interessante voc dividir em vrios arquivos de hosts.

arquivo_de_resultados: o arquivo onde vai ser gravado o resultado do seu scan. Por
padro (nesta apostila), ele seria arquivo_de_resultados.txt.

Vejamos agora o resultado do nosso scan no host 192.168.1.3, que um WindowsXP

SP2, no arquivo resultado.txt

Ele encontrou vrios problemas de segurana nos servios que esto rodando nesta
mquina.

Podemos ento comear a pensar em que tipo de falha iremos explorar neste host para
realizarmos um teste de invaso.

Nikto

Nikot uma ferramenta Open Source para anlise de vulnerabilidades em web servers,
incluindo 3200 arquivos/cgi potencialmente perigosos e 230 verses de problemas
especficos.

Ele pode ser usado para procurar problemas em arquivos perigosos, ele pequeno e
pode automatizar a auditoria dos servidores web, analisando as pastas e arquivos que
seriam interessantes ao atacante.

Para atualizar o nikto para a ultima verso com o comando

$nikto.pl update

IntelliTamper

O IntelliTamper trabalha quase igual ao nikto, mas ele no procura vulnerabilidades

propriamente ditas, ele lista toda a estrutura o website, para que possamos verificar
algum arquivo com bug no webserver.

Sua utilizao muito simples, podemos mapear toda a estrutura do site alvo, mas
antes, vamos verificar algumas opes:

File -> Options

73
Segurana em Redes

Podemos customizar o processo de varredura, mudando por exemplo o numero do

maximo de conexes permitidas usado pelo IntelliTamper.

Acesso no Autorizado

Backdoors

Existe uma confuso entre o que um Backdoor e um Cavalo de Tria, principalmente

porque o estrago provocado por ambos semelhante. Para deixar claro, um Cavalo de
Tria um programa que cria deliberadamente um Backdoor em seu computador.
Programas que usam a Internet e que so de uso corriqueiro, como Browsers,
programas de e-mail, ICQ ou IRC podem possuir Backdoors. Os Backdoors so abertos
devido a defeitos de fabricao ou falhas no projeto dos programas, isto pode acontecer
tanto acidentalmente ou ser introduzido ao programa propositalmente. Como exemplo:

74
Segurana em Redes

verses antigas do ICQ possuem defeito que abre um Backdoor que permite ao hacker
derrubar a conexo do programa com o servidor, fazendo que ele pare de funcionar.

Cavalo de Tria

Conta a mitologia grega, que h muito tempo atrs, houve uma guerra entre as cidades
de Atenas e de Tria. Como Tria era extremamente fortificada, os militares gregos a
consideravam inexpugnvel.

Para domin-la os gregos construram uma enorme esttua de madeira na forma de um

cavalo e deram de presente para os troianos que a aceitaram de bom grado. O
problema que o cavalo foi recheado com centenas de soldados que, durante a noite,
abriram os portes da cidade possibilitando a entrada dos soldados gregos e a
dominao de Tria.

Da surgiram os termos Presente de Grego e Cavalo de Tria. Em tempos modernos o

cavalo virou um programa e a cidade o seu computador.

Conhecidos como Cavalos de Tria ou Trojan Horses estes programas so construdos

de tal maneira que, uma vez instalados nos computadores, abrem portas em seus
micros, tornando possvel o roubo de informaes (arquivos, senhas, etc.).

Os Trojans no so vrus, pois no tem a capacidade de se replicar, mas se instalam

nos computadores sem permisso do usurio e trazem uma srie de transtornos.

Eles so recebidos normalmente como um presente (um software gratuito como Kazaa,
Morpheus, jogo, protetor de tela, etc) que esconde uma ameaa fatal preparada para
atacar os computadores de dentro para fora e, muitas vezes, deix-los vulnerveis a
ameaas externas, como vrus e ataques de hackers.

Abaixo h alguns males provocados pelos cavalos de tria:

Instalao de keyloggers;
Furto de senhas e nmeros de cartes de crdito;
Incluso de backdoor (Programa que permite a um invasor retornar a um
computador comprometido. Normalmente este programa colocado de
forma a no ser notado), para permitir que um atacante tenha total controle
sobre o computador e;
Alteraco ou destruio de arquivos.

Os sites de pirataria e de troca de programas so outro perigo, quase sempre eles tm

programas que procuram falhas no Internet Explorer para instalar trojans e spywares,
para capturas de dados como endereos de e-mail, senhas digitadas para posterior
transmisso via modem para o fabricante do programa.

Os Cavalos de Tria levam a mquina infectada a atuar como um servidor (fazendo

com que o mandante do trojan possa manipular e usar seu computador para ataques
em massa chamados de denial of service), facultando acesso remoto ao invasor que
disponha do mdulo cliente do programa.

O cavalo de tria instalar programas, sem que o usurio perceba, para facilitar ao
invasor acesso aos arquivos do usurio, com possibilidade at de formatar o disco
rgido do usurio.

75
Segurana em Redes

Spoofing

Ato de usar uma mquina para personificar e invadir outra. Isso feito forjando o
endereo de origem de um ou mais micros. Para realizar uma sesso bem-sucedida,
crakers temporariamente "silenciam" o computador que eles esto personificando.

No contexto de redes de computadores, IP spoofing uma tcnica de subverso de

sistemas informticos que consiste em mascarar (spoof) pacotes IP com endereos
remetentes falsificados.

Devido s caractersticas do protocolo IP, o reencaminhamento de pacotes feito com

base numa premissa muito simples: o pacote dever ir para o destinatrio (endereo-
destino); no h verificao do remetente o router anterior pode ser outro, e ao nvel do
IP, o pacote no tem qualquer ligao com outro pacote do mesmo remetente. Assim,
torna-se trivial falsificar o endereo de origem, podem existir vrios computadores a
enviar pacotes fazendo-se passar pelo mesmo endereo de origem, o que representa
uma srie ameaa para os velhos protocolos baseados em autenticao pelo endereo
IP.

Falsificao de um pacote: A cada pacote enviado estar geralmente associada uma

resposta (do protocolo da camada superior) e essa ser enviada para a vtima, pelo o
atacante no pode ter conhecimento do resultado exato das suas aes apenas uma
previso.

Esta tcnica, utilizada com outras de mais alto nvel, aproveita-se, sobretudo, da noo
de confiabilidade que existe dentro das organizaes: supostamente no se deveria
temer uma mquina de dentro da empresa, se ela da empresa. Mas isto no bem
assim, como indica o pargrafo anterior. Por outro lado, um utilizador torna-se tambm
confivel quando se sabe de antemo que estabeleceu uma ligao com determinado
servio. Esse utilizador torna-se interessante, do ponto de vista do atacante, se ele
possuir (e estiver a usar) direitos priveligiados no momento do ataque.

Bom, mas resta a interao com as aplicaes, alm de que as caractersticas do

protocolo IP permitem falsificar um remetente, mas no lhe permitem receber as
respostas essas iro para o endereo falsificado. Assim, o ataque pode ser considerado
cego.

Por outro lado, ao nvel das aplicaes, este protocolo frequentemente acoplado ao
TCP, formando o TCP/IP. Isto quer dizer que existe encapsulamento do TCP dentro do
IP (e os dados dentro do TCP), o que remete ao atacante a necessidade de saber que
dados TCP incluir no pacote falsificado. Essa tcnica conhecida por desvio de sesso
TCP, ou TCP session hijacking em ingls.

Existem mtodos para evitar estes ataques, como a aplicao de filtros de pacotes,
filtro ingress nos gateways; faz sentido bloquear pacotes provindos da rede externa
com endereos da rede local. Idealmente, embora muito negligenciado, usar um filtro
egress que iria descartar pacotes provindos da rede interna com endereo de origem
no-local que fossem destinados rede externa pode prevenir que utilizadores de uma
rede local iniciem ataques de IP contra mquinas externas.

Sql Injection

76
Segurana em Redes

O SQL Injection uma falha de programao comumente cometida entre

desenvolvedores que esto comeando a desenvolver sistemas e no tm uma noo
muito boa sobre segurana.

Essa falha permite que o atacante faa login como administrador sem nem saber o
nome do usurio ou sua senha, permite que se insiram dados nas tabelas utilizadas
pelo site ou at que se delete completamente uma tabela ou banco de dados de um site
sem nem mesmo precisar fazer o login.

Como se pode ver, uma falha extremamente sria e bem conhecida pelos atacantes.
Por isso, sempre testar os seus sistemas web para verificar a existncia de tais falhas
o mnimo antes de disponibilizar o servio na Internet.

O site Security Hacks publicou uma lista mostrando as principais ferramentas utilizadas
para automatizar os testes de SQL Injection em seus sistemas. Devido criticidade
desse tipo de falha, sempre bom contar com ferramentas que automatizem e alertem
sobre tais falhas para voc no ter mais problemas futuros.

Cross-Site Scripting

As vulnerabilidades Cross-site scripting (por vezes chamado de XSS) ocorrem quando

um invasor usa uma aplicao web para enviar cdigo malicioso, geralmente na forma
de um script, para um outro usurio final. Estas vulnerabilidades esto muito difundidas
e ocorrem sempre que uma aplicao web utiliza a entrada do usurio na sada que
aplicao gera sem valid-la.

Um invasor pode usar o cross site scriting para enviar scripts malicioso para um usurio
inocente. O navegador web do usurio final no tem como saber se aquele script deve
ser ou no confivel e executar o script. Devido ao navegador supor que o script vem
de uma fonte confiavel, o script malicioso pode ter acesso a qualquer cookie, tokens de
sesso ou outra informao sensvel retida em seu navegador web e usada naquele
site. Estes scripts podem at mesmo rescrever o contedo da pgina HTML.

Ataques XSS podem geralmente ser classificados em duas categorias: armazenamento

e reflexo.

Ataques de armazenamento so aqueles onde o cdigo injetado fica

permanentemente armazenado nos servidores alvo, como em um banco de
dados, em mensagem de frum, log de visitantes, campos de comentrio,
etc. A vtima ento recupera o script malicioso do servidor quando requisita a
informao armazenada.
Ataques de reflexo so aqueles onde o cdigo injetado refletido pelo
servidor web, por meio de uma mensagem de erro, resultado de procura ou
qualquer outra resposta que inclua alguma ou toda entrada enviada para o
servidor como parte da requisio. Ataques de reflexo so enviados para as
vtimas atravs de outra rota, com por meio de mensagem de correio
eletrnico ou algum outro servidor web. Quando um usurio ludibriado a
clicar em um link malicioso ou submeter um formulrio especialmente
manipulado, o cdigo injetado viaja para o servidor web vulnervel, que
reflete o ataque de volta para o usurio do navegador. O navegador ento
executa o cdigo pois ele vem de um servidor confivel.

77
Segurana em Redes

Os invasores frequentemente usam uma variedade de mtodos para codificar a parte

maliciosa de uma tag, como usar Unicode, com isso, a requisio menos suspeita ao
olhar do usurio. Existem centenas de variantes para estes ataques, incluindo verses
que no requisitam qualquer smbolo "<" e ">". Por esta razo, tentativas para filtrar
estes scripts normalmente no so bem sucedidas. Ao invs disso, ns recomendamos
validar a entrada contra uma rigorosa identificao positiva do que esperado. Ataques
XSS normalmente vem em forma de javascript. Contudo, qualquer contedo ativo
embutido uma fonte potencial de perigo, incluindo: ActiveX (OLE), VBscript,
Shockwave, Flash e outros.

78
Segurana em Redes

Hardening

Definio

A traduo para o termo Hardening Endurecimento, porm o conceito pode ser

entendido de vrias formas como segue:

Blindagem do Sistema;
Fortalecimento do Sistema;
Ajuste Fino;
Procedimentos de segurana PsInstalao;
Tcnicas de segurana PsInstalao.

Quando se trabalha com tcnicas de Hardening, preciso levar em considerao 3

fatores importantes:

Segurana
Risco
Flexibilidade

As duas ultimas variveis tendem a se compartar de forma previsvel conforme a

prioridade que se d a ao item segurana, como segue:

79
Segurana em Redes

Instalando o SO

Senhas

Escolha uma senha para a BIOS

Antes de instalar qualquer sistema operacional em seu computador, configure uma

senha para a BIOS. Aps a instalao (uma vez que voc tenha habilitado o boot a
partir do HD) voc deve voltar a BIOS e alterar a sequncia de boot desabilitando o
boot a partir do disquete, cdrom e outros dispositivos. Se voc no fizer assim, um
cracker s precisar de acesso fsico e um disco de boot para acessar o sistema inteiro.

Observao: muitas BIOS vem de fbrica com senhas padro bem conhecidas e
existem programas que recuperam estas senhas, ou seja, alteram a senha atual para a
senha original, para o caso de uma perda da senha pelo administrador. Assim, no
dependa desta medida para proteger o acesso ao sistema.

Mdia de Instalao

Observe que alguns servios podem ter vulnerabilidades de segurana no corrigidas

nos pacotes que voc estiver usando para a instalao. Isto normalmente ser verdade
se voc estiver instalando a partir de mdia antiga (como CD-ROMs). Neste caso, o
sistema poderia estar comprometido antes de terminar a instalao!

Uma vez que a instalao e atualizaes do sistema podem ser feitas pela internet voc
pode pensar que uma boa idia usar este recurso na instalao. Se o sistema est
diretamente conectado (e no est protegido por um firewall ou NAT), melhor instalar
sem conexo com a grande rede usando um mirror local com os pacotes e as
atualizaes de segurana.

Voc pode configurar mirrors de pacotes usando outro sistema conectado com
ferramentas especficas do sistema como apt-move ou apt-proxy, ou outras, para
fornecer os arquivos para o sistema instalado. Se no puder fazer isto, voc pode
configurar regras de firewall para limitar o acesso ao sistema enquanto estiver
atualizando.

Particionamento

Esquema de partio inteligente

Um esquema de partio inteligente depende de como a mquina ser usada. Uma boa
regra ser razoavelmente generoso com suas parties e prestar ateno aos
seguintes fatores:

Qualquer diretrio que um usurio tenha permisses de escrita, como o

/home, /tmp e o /var/tmp/, devem estar separados em uma partio. Isto
reduz o risco de um usurio malicioso utilizar o DoS (Denial of Service) para
encher seu diretrio raiz ( / ) e tornar o sistema inutilizvel (Observao: isto
no totalmente verdade uma vez que sempre existe algum espao
reservado para o usurio root que o usurio normal no pode preencher), e
tambm previne ataques tipo hardlink.

80
Segurana em Redes

Qualquer partio com dados variveis, isto , /var (especialmente /var/log)

tambm deve estar numa partio separada. Em um sistema Debian voc
deve criar /var um pouco maior que em outros sistemas porque o download
de pacotes (cache do apt) armazenado em /var/cache/apt/archives.
Qualquer partio onde voc queira instalar software que no padro da
distribuio deve estar separada. De acordo com a Hierarquia Padro do
Sistema de Arquivos, estas so /opt ou /usr/local. Se estas parties esto
separadas, elas no sero apagadas se voc (tiver que) reinstalar o Debian.

Do ponto de vista da segurana, sensato tentar mover os dados estticos para sua
prpria partio e ento montar esta partio somente para leitura. Melhor ainda ser
colocar os dados numa mdia somenta para leitura. Veja abaixo para mais detalhes.

No caso de um servidor de email importante ter uma partio separada para o spool
de email. Usurios remotos (conhecidos ou no) podem encher o spool de email
(/var/mail e/ou /var/spool/mail). Se o spool est em uma partio separada, esta
situao no tornar o sistema inutilizvel. Porm (se o diretrio de spool est na
mesma partio que /var) o sistema pode ter srios problemas: log no sero criados,
pacotes podem no ser instalados e alguns programas podem ter problemas ao iniciar
(se eles usam /var/run).

Opes especiais de montagem

Ns podemos fazer com que o sistema trate certos arquivos de forma diferente com
algumas opes, o que mais interessante do ponto de vista de segurana.

Podemos verificar as opes de montagem com o comando mount ou diretamente no

arquivo /etc/fstab:

mount /dev/hda7 t reiserfs o nosuid,nodev /tmp

No fstab ficaria:

/dev/hda7 /tmp reiserfs nosuid,nodev 0 0

A tabela abaixo ilustra algumas opes existentes para sistemas de arquivos de tipo
ext3 e RaiserFS, que foram o sistema de arquivo que escolhemos para criar as
parties da instalao anterior.

Opo Efeito
Dispositivos especiais de bloco ou caractere do sistema de arquivos no
nodev(*)
sero interpretados se nodev estiver especificado.
Bits SUID e SGID no tero efeito. Se um usurio comum executar um
nosuid(*) programa SUID ou SGID que force a troca para outro usurio, receber o
erro de permisso negada.
No permite a execuo de binrios. Note que scripts ainda podero ser
noexec(*)
executados usando, por exemplo, bash foo.sh em vez de ./foo.sh.
A partio ser montada somente para leitura (read-only) ou para leitura e
ro, rw
escrita (read-write), respectivamente.
user, A partio pode (user) ou no (nouser) ser montada por usurios que no
nouser(*) sejam root.
usrquota Ativa a quota de disco por usurio.

81
Segurana em Redes

Opo Efeito
grpquota Ativa a quota de disco por grupo.
Toda a operao de entrada e sada nesta partio ser sncrona. Isto
[a] tornar a escrita nesta partio mais lenta, mas tambm menos suscetvel a
sync(*)
problemas caso, por exemplo, falte energia eltrica logo aps a operao
de escrita.
[a]
Esta opo no mais to til, devido ao uso de sistemas de arquivos com
journalling, como ext3.

As opes abaixo so muito interessantes e se aplicam a diversas parties do nosso

servidor que acabamos de instalar. A seguir sero mostrados alguns exemplos de uso
dessas opes em nossas parties.

/usr: nodev,ro

Nesta partio se encontram normalmente os programas do sistema. De forma alguma

devem existir arquivos de dispositivo aqui, por isso foi colocada a opo nodev.
Tambm no deve ser necessrio escrever nesta partio, salvo instalao ou remoo
de algum programa. Nestes casos, ela deve ser remontada com a opo rw e depois
novamente remontada com a opo read-only. Note que os direitos dos diretrios por si
s j no permitem a qualquer usurio realizar operaes de escrita ali, mas o read-
only uma medida adicional, pois nem o usurio root poder alterar algo ali antes de
remontar a partio como read-write.

/var: noexec,nosuid,nodev

O diretrio /var usado para guardar e-mails, arquivos de log, dados de programas
(banco de dados RPM,MYSQL, por exemplo) e outras coisas. Mas /var/tmp pode ser
utilizado pelo processo de compilao de um pacote RPM para guardar os scripts que
sero usados. Se noexec for usado, esses scripts no funcionaro. Portanto, use
noexec com cuidado, pois alguma aplicao pode ter o funcionamento comprometido.
Uma outra opo colocar /var/tmp em uma outra partio, e permitir a execuo
nesta.

Outra exceo: caso existam pacotes que usem o /var, como ambiente de chroot, e
necessitem de arquivos de dispositivos, como o BIND, a opo nodev deve ser
removida.

/boot: noexec,nosuid,nodev,ro

Esta partio possui bem pouca atividade no sistema. Na verdade, aps o boot (que
nem sabe o sistema de arquivos que roda ali, quanto menos opes de montagem da
partio), ela s usada quando se faz uma atualizao do kernel ou da imagem de
disco inicial (initrd). Nada deve ser executado ali, arquivos de dispositivos no so bem-
vindos e ela deve ser montada read-only. Quando se fizer uma atualizao do kernel,
basta remont-la com a opo read-write.

/home: nosuid,nodev,noexec

Aqui depende do administrador da mquina quais das opes acima sero usadas.
Recomenda-se pelo menos usar nosuid e nodev. Pode-se ainda usar a opo noexec,
mas o usurio sempre poder executar binrios, bastando, por exemplo, copi-los para
o /tmp

82
Segurana em Redes

/tmp: nosuid,nodev,noexec

O diretrio /tmp pode ser usado por qualquer usurio e para qualquer fim basicamente.
Arquivos e scripts temporrios so colocados ali pelo processo de compilao de um
pacote RPM, por exemplo. Ele um diretrio com permisses de escrita para qualquer
usurio, ento basicamente vamos proibir a execuo de binrios SUID/SGID atravs
da opo nosuid. Utilizaremos e opo nodev por que no existe motivo para se usar
dispositivos nesta partio. No podemos esquecer tambm de negar a execuo de
binrios com a opo noexec, mas tome cuidado com esta opo pois alguns pacotes
necessitam que o /tmp possua permisses de execuo.

IMPORTANTE: Atualmente, a maioria das falhas de scripts, como por exemplo, php e
apache, o invasor quando ganhar acesso na mquina, ele no ter privilgios de
usurio root no sistema, sendo assim ele precisar de um lugar onde qualquer usurio
possa executar binrios para poder rodar o seu exploit local e conseguir root no
sistema.

Este diretrio ser o /tmp, mas se ns usarmos as opes acima no ponto de

montagem na partio, a ao do invasor ser minimizada, e ele no ter aonde
executar este tipo de arquivo.

No conecte-se a internet at estar pronto

O sistema no deve ser imediatamente conectado a internet durante a instalao. Isto

pode parecer estpido mas intalao via internet um mtodo comum. Uma vez que o
sistema instalar e ativar servios imediatamente, se o sistema estiver conectado a
internet e os servios no estiverem adequadamente configurados, voc estar abrindo
brechas para ataques.

Configure a senha do root

Configurar uma boa senha para o root o requerimento mais bsico para ter um
sistema seguro. Voc tambm pode usar um programa gerador de senhas para fazer
isto para voc.

Muita informao sobre a escolha de boas senhas pode ser encontrada na internet;
dois locais que fornecem um sumrio decente e racional so How to: Pick a Safe
Password do Eric Wolfram e Unix Password Security do Walter Belgers.

Atualizaes

Assim que novos bugs so descobertos nos pacotes, os mantenedores do sistema e

autores de software geralmente aplicam patches dentro de dias ou at mesmo horas.
Aps uma falha ser corrigida, um novo pacote disponibilizado em
http://security.debian.org.

Se estiver instalando um lanamento do Debian, voc dever ter em mente que desde
que o lanamento foi feito devem existir atualizaes de segurana que podem
determinar um pacote como vulnervel. Tambm existem lanamentos menores (foram
sete no lanamento da 2.2 potato) que incluem estas atualizaes de pacotes.

Voc precisa anotar a data em que a mdia removvel foi feita (se estiver usando uma) e
verificar o site de segurana para ter certeza que existem atualizaes de segurana.
Se existem atualizaes e voc no puder baixar os pacotes de um site

83
Segurana em Redes

security.debian.org em outro sistema (voc no est conectado na Internet ainda?

est?) antes de se conectar a rede voc dever considerar (se no estiver protegido por
um firewall, por exemplo) adicionar regras de firewall assim seu sistema somente
poder se conectar a security.debian.org e ento executar a atualizao.

Para atualizar manualmente o sistema, insira a seguinte linha em seu sources.list e

voc obter as atualizaes de segurana automaticamente, sempre que atualizar seu
sistema.

deb http://security.debian.org/ stable/updates main contrib non-free

Assim que instalar isto, voc poder usar ou o apt atualizar:

Se quiser usar o apt simplesmente execute (como root):

# apt-get update
# apt-get upgrade

Rode o mnimo de servios necessrios

Servios so programas como servidores. Uma vez que eles tem que estar escutando
por conexes que requisitem o servio, computadores externos podem conectar-se a
eles. Servios algumas vezes so vulnerveis (i.e. podem estar comprometidos sobre
um certo ataque) e oferecem risco a segurana.

Voc no deve instalar servios que no so necessrios em sua mquina. Todo

servio instalado pode introduzir novos, talvez no bvios ou conhecidos, buracos de
segurana em seu computador.

Como voc j deve saber, quando voc instala um servio o padro ele ser ativado.
Em uma instalao Debian padro, sem nenhum servio a mais instalado, o footprint de
servios rodando baixo mesmo quando falamos de servios oferecidos para a rede.

Quando voc instala um novo servio de rede (daemon) em seu sistema Debian
GNU/Linux ele pode ser habilitado de duas maneiras: atravs do superdaemon inetd
(uma linha ser adicionada ao /etc/inetd.conf) ou atravs de um programa que serve de
interface. Estes programas so controlados pelos arquivos /etc/init.d, que so
chamados no momento da inicializao atravs do mecanismo SysV (ou outro
alternativo) pelo uso de symlinks em /etc/rc?.d/*.

Se voc quer manter algum servio, mas que ser usado raramente, use os comandos
update, isto , update-inetd e update-rc.d para remov-los do processo de inicializao.

Desabilitando daemons de servio

Desabilitar um daemon de servio simples. Existem vrios mtodos:

Remover ou renomear os links de /etc/rc${runlevel}.d/ de modo que eles no

iniciem com a letra 'S'.
Mover ou renomear o script /etc/init.d/_service_name_ pra outro nome, por
exemplo /etc/init.d/OFF._service_name_.
Remover a permisso de execuo do arquivo /etc/init.d/_service_name_.
Editar o script /etc/init.d/_service_name_ para parar o servio imediatamente.

84
Segurana em Redes

Desabilitando o inetd ou seus servios

Voc deve checar se realmente precisa do daemon inetd. Inetd sempre foi uma maneira
de compensar deficincias do kernel, mas estas deficincias foram corrigidas. Existe
possibilidade de ataques DoS (Denial of Service) contra o inetd, ento prefervel usar
daemons individuais do que rodar um servio do inetd. Se voc ainda quer rodar algum
servio do inetd, ento no mnimo alterne para um daemon mais configurvel como
xinetd, rlinetd ou openbsd-inetd.

Voc deve parar todos os servios Inetd desnecessrios, como echo, chargen, discard,
daytime, time, talk, ntalk e r-services (rsh, rlogin e rcp) os quais so considerados
ALTAMENTE inseguros (use ssh no lugar destes).

Voc pode desabilitar os servios editando o arquivo /etc/inetd.conf diretamente, mas o

Debian fornece uma alternativa melhor: update-inetd (o qual comenta os servios de
modo que eles possam facilmente ser reativados). Voc pode remover o daemon telnet
para alterar o arquivo de configurao e reiniciar o daemon (neste caso o servio telnet
desabilitado):

/usr/sbin/update-inetd --disable telnet

Instale o mnimo de software necessrio

O Debian vem com uma grande quantidade de software, por exemplo o Debian 4.0 Etch
possui 3 DVDs de software e milhares de pacotes. Apesar da grande quantidade de
software, a instalao do sistema base utiliza poucos pacotes.

Sabendo o que seu sistema realmente precisa, voc deve instalar apenas o que for
realmente necessrio para seu trabalho. Qualquer ferramenta desnecessria pode ser
usada por um usurio malicioso para comprometer o sistema ou por um invasor externo
que tenha acesso ao shell (ou cdigo remoto atravs de servios explorveis).

A presena, por exemplo, de utilitrios de desenvolvimento (um compilador C) ou

linguagens interpretadas (como perl, python, tcl...) pode ajudar um atacante a
comprometer o sistema da seguinte maneira:

Permitir a ele fazer escalao de privilgios. Isto facilita, por exemplo, rodar
exploits locais no sistema se existe um depurador e compilador prontos para
compilar e testar.
Fornecer ferramentas que poderiam ajudar um atacante a usar o sistema
comprometido como base de ataque contra outros sistemas.

claro que um invasor com acesso ao shell local pode baixar suas prprias
ferramentas e execut-las, alm disso o prprio shell pode ser usado para fazer
complexos programas. Remover software desnecessrio no impedir o problema mas
dificultar a ao de um possvel atacante. Ento, se voc deixar disponveis
ferramentas em um sistema de produo, estas podem ser usadas remotamente para
um ataque.

Configurar a senha do LILO ou GRUB

85
Segurana em Redes

Qualquer um pode facilmente obter uma linha de comando de root e alterar sua senha
entrando com o parmetro <name-of-your-bootimage> init=/bin/sh no aviso de boot.
Aps alterar a senha e reiniciar o sistema, a pessoa ter acesso ilimitado como usurio
root e poder fazer qualquer coisa que quiser no sistema. Aps este processo, voc
no ter acesso root ao seu sistema, j que no saber mais sua senha.

Para se assegurar que isto no ocorra, voc dever definir uma senha para o
gerenciador de partida. Escolha entre uma senha global ou uma senha para
determinada imagem.

Para o LILO, voc precisar editar o arquivo de configurao /etc/lilo.conf e adicionar

uma linha password e restricted como no exemplo abaixo.

image=/boot/2.2.14-vmlinuz

label=Linux

read-only

password=mude-me

restricted

Quando terminar, re-execute o lilo. Caso omita restricted o lilo sempre perguntar por
uma senha, no importando se foram passados parmetros de inicializao. As
permisses padres do /etc/lilo.conf garantem permisses de leitura e gravao para o
root e permite o acesso somente leitura para o grupo do lilo.conf, geralmente root.

Caso utilize o GRUB ao invs do LILO, edite o /boot/grub/menu.lst e adicione as

seguintes duas linhas no topo do arquivo (substituindo, claro mude-me pela senha
designada). Isto evita que usurios editem os itens de inicializao. A opo timeout 3
especifica uma espera de 3 segundos antes do grub inicializar usando o item padro.

timeout 3

password mude-me

Para fortalecer futuramente a integridade da senha, voc poder armazenar a senha

em um formato criptografado. O utilitrio grub-md5-crypt gera um hash de senha que
compatvel com o algoritmo de senha encriptada pelo grub (md5). Para especificar no
grub que uma senha no formato md5 ser usada, use a seguinte diretiva:

timeout 3

password --md5 $1$bw0ez$tljnxxKLfMzmnDVaQWgjP0

O parmetro --md5 foi adicionado para instruir o grub a fazer o processo de

autenticao md5. A senha fornecida uma verso encriptada md5 do mude-me. O uso
do mtodo de senhas md5 preferido em contrapartida da seleo de sua verso texto
plano.

86
Segurana em Redes

Gerenciando Usurios

Contas de Login

Algumas polticas de segurana podem forar os administradores a entrar no sistema

atravs do console com seus usurios/senhas e ento se tornar o superusurio (com o
su ou sudo). Esta poltica implementada no Debian editando-se o arquivo
/etc/login.defs ou /etc/securetty quando utilizar PAM. Em:

login.defs, editando a varivel CONSOLE que define um arquivo ou lista de

terminais nos quais o login do root permitido
Securetty [6] adicionando/removendo os terminais nos quais o root tem
permisso de acesso. Se voc deseja permitir somente acesso a console
local ento voc precisa por console, ttyX [7] e vc/X (se estiver usando
dispositivos devfs), voc pode querer adicionar tambm ttySX [8] se estiver
usando um console serial para acesso local (onde X um inteiro, voc pode
querer ter mltiplas instncias [9] dependendo do nvel de consoles virtuais
que tem ativado no /etc/inittab [10]). Para mais informaes sobre
dispositivos de terminais, leia o Text-Terminal-HOWTO

Quando utilizar PAM, outras alteraes no processo de login, que podem incluir
restries a usurios e grupos em determinadas horas, podem ser configurados no
/etc/pam.d/login. Uma caracterstica interessante que pode ser desativada a
possibilidade de fazer login sem senhas. Esta caracterstica pode ser limitada
removendo-se nullok da seguinte linha:

auth required pam_unix.so nullok

Permisses de acesso

Mdulos se Segurana do PAM

PAM a parte principal da autenticao em um sistema Linux. PAM significa Pluggable

Authentication Modules ou Mdulos de Autenticao Plugveis/Modulares.

Originalmente, a autenticao no Linux era apenas via senhas criptografadas

armazenadas em um arquivo local chamado /etc/passwd. Um programa como o login
pedia o nome do usurio e a senha, criptografava a senha e comparava o resultado
com o armazenado naquele arquivo. Se fossem iguais, garantia o acesso mquina.

Caso contrrio, retornava erro de autenticao. Isto at funciona muito bem para o
programa login, mas, suponha que agora deseja-se usar isso tambm para
autenticao remota, ou seja, a base de usurios no est mais na mesma mquina,
mas sim em alguma outra mquina da rede, o chamado servidor de autenticao. Ser
preciso mudar o programa login para que ele tambm suporte esse tipo de autenticao
remota.

Suponha tambm que surgiu um novo algoritmo de criptografia, muito mais avanado,
mais rpido, com criptografa melhor, etc., sendo que o desejo usar esse novo
algoritmo. Deve-se, ento, mudar novamente o programa login para que ele suporte
este novo algoritmo tambm. No Linux, muitos programas utilizam algum tipo de

87
Segurana em Redes

autenticao de usurios. Imagine se todos eles tivessem que ser reescritos cada vez
que se mudasse algum dos critrios de autenticao.

Para resolver este tipo de problema, a Sun criou o PAM h alguns anos e liberou as
especificaes em forma de RFC. O Linux derivou sua implementao do PAM a partir
deste documento. Com PAM, o aplicativo login deste exemplo teria que ser reescrito
apenas uma vez, justamente para suportar PAM. A partir de ento, o aplicativo delega a
responsabilidade da autenticao para o PAM e no se envolve mais com isso.

Voltando ao exemplo anterior, no caso de se querer utilizar um outro algoritmo de

criptografia para as senhas, basta que o mdulo PAM seja modificado para que todos
os aplicativos automaticamente e de forma transparente passem a usufruir desta nova
forma de autenticao. PAM possui uma outra vantagem: possvel configurar a
autenticao de forma individual para cada aplicativo. Com isto possvel fazer com
que, por exemplo, um usurio comum possa usar os dispositivos de udio do
computador desde que tenha se logado na mquina atravs do console. Se o login no
tiver sido feito no console (por exemplo, um login remoto via SSH), este tipo de
acesso ao hardware ser negado.

Praticamente todos os aplicativos do Linux que requerem algum tipo de autenticao

suportam PAM. Na verdade, no funcionam sem PAM. Toda a configurao est
localizada no diretrio /etc/pam.d. Quando um aplicativo suporta PAM, ele necessita de
um arquivo de configurao neste diretrio. A Figura ilustra como funciona a
autenticao com PAM usando o programa login como exemplo:

pam_nologin

O mdulo pam_nologin bastante simples, e muito til. uma forma rpida de

desabilitar o login de qualquer usurio que no seja o root. Para isto, basta criar o
arquivo /etc/nologin. Existindo este arquivo, o mdulo pam_nologin vai sempre retornar
ERRO para usurios diferentes de root e exibir o contedo de /etc/nologin (onde se
deve colocar o motivo da proibio), ou seja, s o usurio root consegue se logar na

88
Segurana em Redes

mquina. Quando o arquivo for removido, a operao voltar ao normal, com usurios
comuns podendo se logar novamente.

Isto pode ser til quando se quer fazer alguma manuteno no sistema, por exemplo,
situao em que logins de usurios so indesejveis. Alguns aplicativos do prprio
Linux tambm podem criar este arquivo e depois remov-lo quando alguma operao
crtica for concluda.

Note que os usurios que j estiverem logados na mquina no so afetados pela

criao ou remoo do arquivo /etc/nologin.

Vamos fazer um teste, criamos o arquivo /etc/nologin

cd /etc

touch nologin

Agora vamos adicionar um aviso dentro deste arquivo

echo MANUTENCAO! > /etc/nologin

Ento vamos tentar logar no sistema com qualquer usurio que no seja root:

O usurio admin tentou logar no sistema e recebeu o aviso de MANUTENCAO.

Para remover esta proteo, delete o arquivo /etc/nologin, e os usurios voltaro a logar
normalmente.

pam_cracklib

Este mdulo especialmente importante para a segurana pr-ativa. Colocado apenas

na classe password, o mdulo vai verificar a senha do usurio antes que ela seja
trocada. Se for uma senha considerada fraca, ela ser rejeitada e o usurio no
conseguir trocar a senha. As verificaes que o mdulo faz atualmente so:

palndromo: a nova senha um palndromo (frase que tem o mesmo sentido da

esquerda para a direita ou ao contrrio)?

caixa: a senha nova a antiga com apenas mudanas de

maisculas/minsculas?

similar: a nova senha muito similar antiga? Esta verificao pode ser
controlada por um parmetro que indica o nmero mnimo de caracteres
diferentes que a senha nova deve ter em relao senha antiga. O valor padro
10 ou metade do tamanho da senha atual, o que for menor.

Senha repetida: se existir o arquivo /etc/security/opasswd com as senhas

anteriores do usurio, o mdulo pam_cracklib vai tambm verificar se a senha
nova j no foi usada anteriormente. Esse arquivo de senhas antigas
atualmente gerado apenas pelo mdulo pam_unix, embora exista uma
discusso para se criar um mdulo especfico para esta tarefa (algo como
pam_saveoldpass) e remover esta funcionalidade do mdulo pam_unix.

Os parmetros normalmente utilizados com o mdulo cracklib so:

retry=N

89
Segurana em Redes

"N" o nmero de tentativas que o usurio poder fazer para fornecer uma
senha considerada boa.

difok=N

"N" o nmero de letras diferentes que a senha nova deve ter em relao
senha antiga. Este parmetro controla o comportamento da verificao do tipo
similar, visto h pouco. O valor padro 10 (e este o valor alterado por "N" ou
metade do tamanho da senha atual), aquele que for o menor.

minlen=N

Tamanho mnimo da nova senha mais um. Alm de contar a quantidade de

caracteres da senha nova, crditos tambm podem ser fornecidos com base na
quantidade de algarismos, caracteres maisculo-minsculos e smbolos. Ou
seja, se o valor de minlen for 10, o usurio pode usar uma senha com menos do
que 10 caracteres, desde que, somando a quantidade de caracteres mais os
crditos, o valor final ultrapasse 10. Por exemplo:

password required /lib/security/pam_cracklib.so retry=3 minlen=10

Ele no vem instalador por padro na mquina, ento precisaremos instalar o programa

apt-get install libpam-cracklib

Agora adicionamos

Vamos utilizar este modulo na pratica, tentando mudar a senha do usurio admin para
123.

90
Segurana em Redes

Analisando a imagem, podemos verificar que para o modulo funcionar, retiramos o

comentrio da linha password required pam_cracklib.so no arquivo
/etc/pam.d/common-password, salvamos o arquivo, e tentamos mudar a senha do
usurio admin.

Podemos verificar que o parmetro passado para o arquivo common-password na linha

do cracklib esta minlen=6 isto significa que a senha precisa ter no mnimo 6 digitos.

Isto evita que senhas fracas sejam quebradas por programas de bruteforce.

Gerenciando Servios

Segurana por obscuridade (Banners)

Mudando o nmero da porta

Mudar o nmero da porta do ssh uma tima opo, pois poderamos escapar de
scanners que varrem a internet buscando verses de ssh vulnerveis, mas felizmente,
a maioria deles somente procura na porta padro 22 do ssh, ento vamos enganar
estas tentativas, mudando a porta do ssh de 22 para 33000.

91
Segurana em Redes

Vamos ento modificar a linha Port 22 para Port 33000 no arquivo

/etc/ssh/sshd_config como mostra a figura abaixo.

No esquea de liberar a porta 33000 no firewall quando ativar esta opo, pois se ela
estiver bloqueada o nenhuma usurio ir conseguir conectar via ssh.

Quando ativar esta opo, coloque a opo P 33000 no comando ssh para ele
reconhecer que precisa conectar na porta 33000 e no na porta padro 22.

Controlando permisso de acesso a servios

SSH mais seguro

O ssh um pacote de programas cujo objetivo aumentar a segurana de um sistema

de redes. Ele, basicamente fornece um substituto mais seguro para os programas
"remotos" - rsh, rlogin, rcp. Alem de ser uma boa alternativa para o telnet.

Vamos aprender como deix-lo mais seguro ainda, com alguns ajustes, para evitar
ataques de bruteforce ou de scanners.

Desabilitar login remoto de root

O ssh vem instalado por padro, ento vamos analisar o seu arquivo de configurao
/etc/ssh/sshd_config para evitar que o ssh aceite conexo root por padro, ou seja,

92
Segurana em Redes

para conectar na mquina, precisaremos entrar com um usurio normal, e depois virar
super usurio.

Vamos modificar a linha PermitRootLogin yes para PermitRootLogin no

Com isto, evitamos caso, se o invasor tentar atacar o nosso ssh com bruteforce de
senha, ela consiga entrar no sistema diretamente como root.

Desabilitar a chave interativa de logins

Vamos o comando keygen para gerao, manuteno e converso de chave aleatria

para o protocolo ssh. ssh-keygen pode criar chaves RSA para o protocolo verso 1
(SSH1) e DSA ou RSA para a verso 2 (SSH2).

Tanto o administrador quanto os usurios podem gerar suas chaves.

As chaves do usurio ficam guardadas nos arquivos:

~/.ssh/identity, para protocolo 1 ou;

~/.ssh/id_dsa e ~/.ssh/id_rsa, para protocolo 2.

E as chaves do administrador ficam guardadas em /etc/ssh.

93
Segurana em Redes

Para as chaves privadas criadas, criada uma chave pblica de mesmo nome mais
sufixo .pub, que fica guardada na mesma pasta da chave privada.

Criamos ento uma chave RSA para o usurio admin, com a senha senai123

No windows, podemos usar o PuTTygen, que esta disponvel no site do putty.

Clique no boto Generate, e fique movendo o mouse ao redor do programa para ele
gerar uma estrutura randmica.

94
Segurana em Redes

Quando terminar, o programa ir mostrar a chave publica/privada que ele acabou de

gerar

Escolha uma senha, vamos usar a senha senai123 , e clique em Save Public Key,
normalmente o nome ser id_rsa.pub, agora faa o mesmo com a Private key, clique no
boto SAVE Private Key,e salve com o nome de id_rsa.ppk

95
Segurana em Redes

Agora envie a chave publica, para o servidor Linux, atravs do winscp e jogue a chave
para o diretrio /home/admin/.ssh/

Precisamos mudar as opes para o host remoto no putty tambem para no aceitar a
opo keyboard-interactive e para ele utilizar a nossa chame privada que acabamos
de criar.

Aps ter gerado as chaves, copiar a chave para o /home/admin via scp e mudar para
que o Putty utilize esta chave para conectar no servidor, vamos adicionar a chave
publica que geramos no windows, e que enviamos via winscp, no arquivo
.ssh/authorized_keys do servidor ssh do Linux.

Blacklist com o denyhost

O DenyHosts funciona atravs dos logs do SSH. Ele processa esses logs gerados e
verifica todas as tentativas de accesso, sendo ela as com usurios existentes mas com
senha errada ou usurios inexistentes.

Quando ele verifica um nmero X configurvel de tentativas de login, esse IP que

tentou o acesso adicionado ao arquivo /etc/hosts.deny , fazendo com que no consiga
acessar o servidor ssh (ou todos os servios) novamente.

O programa verifica tambm a quantidade de tentativas de acesso atravs do root, e

aps um nmero de tentativas erradas o host tambm "banido".

Por exemplo, se alguem tenta logar o usurio senai@servidor por mais de 5 vezes
erroneamente, o DenyHosts bloquear seu IP e voc no conseguir mais acessar.
(Voc pode configurar esse nmero de tentativas para quando o login existe e quando
no existe em /etc/passwd)

96
Segurana em Redes

Alm disso o DenyHosts arquiva os acessos que excederam o nmero de tentativas

padro. Por exemplo, voc configurou o nmero de tentativas aceitveis como 2 e o
mximo como 5. O usurio senai@servidor errou 2 vezes a senha e acertou na terceira,
mas o limite era 5, ele ir arquivar esse login como que somente acertou a senha na
terceira tentativa.

Primeiramente vamos instalar o python2.4 e o python2.4-dev

Voc pode encontrar a ltima verso disponvel em http://denyhosts.sourceforge.net ,

pois ele no existe no repositrio Debian.

Para nosso exemplo utilizaremos o DenyHosts-2.6.tar.gz

# tar xvzf DenyHosts-2.6.tar.gz

# cd DenyHosts-2.6

# python setup.py install

Temos agora que criar nosso arquivo de configurao. Vamos utilizar o exemplo
contido na instalao:

# cd /usr/share/denyhosts/

# cp denyhosts.cfg-dist /etc/denyhosts.cfg

Agora configure o /etc/denyhosts.cfg da forma que preferir. Segue abaixo o meu arquivo
de configurao:

97
Segurana em Redes

SECURE_LOG = /var/log/auth.log
HOSTS_DENY = /etc/hosts.deny
PURGE_DENY = 4d
PURGE_THRESHOLD = 2
BLOCK_SERVICE = sshd
DENY_THRESHOLD_INVALID = 3
DENY_THRESHOLD_VALID = 6
DENY_THRESHOLD_ROOT = 1
DENY_THRESHOLD_RESTRICTED = 1
WORK_DIR = /usr/share/denyhosts/data
SUSPICIOUS_LOGIN_REPORT_ALLOWED_HOSTS=YES
HOSTNAME_LOOKUP=YES
LOCK_FILE = /var/run/denyhosts.pid
ADMIN_EMAIL = linuxar@linuxar.com.br
SMTP_HOST = localhost
SMTP_PORT = 25
SMTP_FROM = DenyHosts <nobody@localhost>
SMTP_SUBJECT = DenyHosts Report
SYSLOG_REPORT=YES
AGE_RESET_VALID=5d
AGE_RESET_ROOT=30d
AGE_RESET_RESTRICTED=30d
AGE_RESET_INVALID=12d
DAEMON_LOG = /var/log/denyhosts
DAEMON_SLEEP = 30s
DAEMON_PURGE = 1h

O exemplo de configurao muito auto-explicativo caso voc deseje saber

informaes adicionais.

Agora o que precisamos rodar o daemon do DenyHosts. Vamos usar tambm o

exemplo.

# cd /usr/share/denyhosts/

# cp daemon-control-dist /etc/init.d/denyhosts

(a pasta init.d varia de distribuies, mas no obrigatrio ficar nessa pasta, desde q
voc saiba o caminho)

Edite-o com seu editor de texto preferido. Segue abaixo o meu exemplo ( somente o
cabealho de configurao, no esquea do resto do script que fica abaixo ):

#!/usr/bin/env python

DENYHOSTS_BIN = "/usr/bin/denyhosts.py"
DENYHOSTS_LOCK = "/var/run/denyhosts.pid"
DENYHOSTS_CFG = "/etc/denyhosts.cfg"
PYTHON_BIN = "/usr/bin/env python"

Vamos agora dar atributo de execuo a esse arquivo e que o usurio root seja dono:

# chown root:root /etc/init.d/denyhosts

# chmod +x /etc/init.d/denyhosts

98
Segurana em Redes

S que falta agora configurarmos para que ele inicie automaticamente com o sistema.
Isso varia de distribuio para distribuio.

Debian Based: update-rc.d denyhosts defaults

Modo enjaulado (chroot)

O root um usurio que possui muito poder e esse poder muitas vezes pode levar ao
comprometimento do sistema, como por exemplo, em uma invaso bem sucedida.

O que iremos mostrar aqui, um utilitrio chamado Jail, ele pode ser entendido como
uma priso, pois um ambiente criado cm chroot que restringe processos a aquele
ambiente.

Por exemplo, um processo que esta rodando dentro do jail no pode afetar outros
processos que esto fora do jail.

Um ambiente chroot restringe algumas coisas. Se um usurio est dentro do jail, ele
no conseguir killar processos de fora do ambiente, no poder tambm montar
sistemas de arquivos ou deletar parties com o fdisk.

Alm disto, tambm no podem fazer as famosas chamadas de sistema (system calls)
para tentar sair do jail.

Por exemplo, se algum invadir a mquina, rode um exploit local e consiga previlgios
de root, e execute um rm rf /, ele somente ir apagar o ambiente criado pelo jail, e no
todo o sistema Linux do seu servidor.

Jail um timo modelo de segurana, extremamente eficiente quando se tem um

servidor compartilhado, e que rodam diversos aplicativos que constantemente
apresentam vulnerabilidades como o Bind, apache, sendmail entre outros.

Gerenciando Sistema

Gerenciando arquivos

Arquivos com permisso de Suid bit

Mesmo no permitindo que arquivos com permisso de Suid bit ativados no sejam
aceitos nas parties, fica a seguinte pergunta:

Ser que todos os arquivos que tem permisso de Suid bit por padro so necessrios
no meu servidor?

O que deve ser feito?

Fazer um levantamento de todos os arquivos do sistema que tem permisso

de suid bit e deixar isso registrado em uma lista.
Tirar todas as permisses de suid bit dos arquivos no sistema.

99
Segurana em Redes

Colocar permisso de suid bit somente nos arquivos que realmente so

necessrios em seu servidor.

chattr e lsattr
O comando chattr modifica atributos de arquivos e diretrios. Os atributos definem
caractersticas especiais para os arquivos para o sistema de arquivos ext2.

No confunda atributos de arquivo com permisses de acesso, os atributos so

diferentes e definem outras caractersticas especiais para os arquivos/diretrios
especificados.

chattr [opes] [atributos] [arquivos/diretrios]

Onde:

Arquivos/diretrios que tero os atributos modificados. Podem ser usados coringas.

Opes:

-R - Modifica atributos em subdiretrios;

-V - Mostra detalhes sobre a modificao de atributos.

Os atributos de arquivos/diretrios podem ser especificados da seguinte maneira:

+ - Adiciona o atributo
- - Remove o atributo
= - Define o atributo exatamente como especificado

Os atributos so os seguintes:

A - No modifica hora de acesso de arquivos. Poder aumentar

consideravelmente o desempenho em Notebooks devido diminuio de I/O
no disco rgido. Quando especificada em diretrios, faz com que todos os
arquivos e subdiretrios residentes nele no tenham a hora de acesso
modificada.
a - Append-Only - Arquivos com este atributo podem somente ser gravados
em modo incrementais (o contedo poder somente ser adicionado ao final
do arquivo). Eles no podero ser removidos, renomeados e novos links no
podero ser criados para estes arquivos. Em diretrios faz com que os
arquivos sejam apenas adicionados. Somente o root pode especificar ou
retirar este atributo.
c - Permite compactao nos arquivos especificados de forma transparente
para o usurio. Durante a leitura, o kernel retorna dados descompactados e
durante a gravao os dados so compactados e gravados no disco.
d - Este atributo no usado pelo kernel, mas faz com que o programa
dump evitar backup dos arquivos marcados com este atributo.
i - Imutvel - Arquivos imutveis no podem ser modificados, os dados
tambm no podem ser gravados para estes arquivos, no podem ser
removidos, renomeados. At mesmo o usurio root no poder modificar
estes arquivos. Em diretrios, faz com que arquivos no possam ser

100
Segurana em Redes

adicionados ou apagados. Somente o usurio root pode especificar ou retirar

este atributo.
s - O arquivo especificado marcado como "apagamento seguro"; quando o
arquivo apagado, seus blocos so zerados e gravados de volta no disco
(eliminando qualquer possibilidade de recuperao).
S - Faz a gravao imediatamente para o arquivo especificado. como
especificar a opo "sync" na montagem do sistema de arquivos ext2, mas
afeta somente os arquivos especificados. No tem efeito em diretrios.
u - O arquivo especificado marcado como recupervel. Quando o arquivo
apagado, seu contedo salvo para permitir futura recuperao.

Os atributos de arquivos/diretrios so visualizados atravs do utilitrio lsattr.

Exemplos:

chattr +AacdiSsu teste.txt - Adiciona todos os atributos

chattr =ASs teste.txt - Define os atributos para "ASs"
chattr +i -A teste.txt - Retira o atributo "A" e adiciona "i"
chattr = teste.txt - Retira todos os atributos

Para o nosso exemplo utilizamos o Debian 3.1 sob o kernel 2.6.8-2, que vem por
padro na instalao, mas voc pode utilizar qualquer Kernel da srie 2.6.

O problema que o chattr funciona por padro somente em ext2 e ext3, para funcionar
em RaiserFS como o nosso caso, precisaremos recompilar o kernel.

Para os usurio da srie 2.4 ser necessrio aplicar um patch para que possamos
habilitar o suporte no kernel, embora eu julgue melhor utilizar a srie 2.6, pois
aparentemente os patches esto desatualizados. Mas caso queira tentar, basta
acessar:

http://acl.bestbits.at

O lsattr lista atributos de um arquivo/diretrio. Os atributos podem ser modificados

atravs do comando chattr.

lsattr [opes] [arquivos/diretrios]

Onde:

Arquivos/diretrios que deseja listar os atributos. Podem ser usados coringas.

Opes:

-a - Lista todos os arquivos, incluindo ocultos (iniciando com um ".").

-d - Lista os atributos de diretrios ao invs de listar os arquivos que ele
contm.
-R - Faz a listagem em diretrios e subdiretrios.
-v - Mostra verses dos arquivos.

101
Segurana em Redes

Caso seja especificado sem parmetros, o lsattr listar os atributos de todos os

arquivos e diretrios do diretrio atual. O lsattr mostrar mensagens de erro caso seja
usado em um diretrio de pontos de montagem ou arquivos que no sejam ext2.

No caso de uma invaso, muitos binrios sero afetados, com o comando lsattr
podemos verificar quais binrios sofreram modificaes.

Por exemplo, suponhamos que o arquivo /sbin/teste foi modificado por alguma rootkit,
poderamos descobrir facilmente como abaixo:

Quando verificamos o diretrio /bin, verificamos que o binrio teste, possui atributos que
no so padro, sendo assim, se uma invaso bem sucedia acontecesse,
provavelmente muitos binrios teriam os seus atributos modificados como aconteceu
com o binrio em nosso exemplo.

Controlando processos

Levantamento de Processos

Quando um sistema comprometido, na maioria das vezes, o invasor ir instalar uma

rootkit para facilitar a entrada dele novamente no futuro.

Esta rootkit ir modificar os binrios, ps , netstat , ls etc. Tudo para que quando o
Administrador verificar quem esta na mquina, e executar por exemplo um who ou um
ps, ele no ir saber que tem algum no autorizado conectado na mquina, pois os

102
Segurana em Redes

binrios foram modificados pela rootkit especialmente para no mostrar que o invasor
esta l.

Existem outros softwares que podem ajudar nesta tarefa, ferramentas como o losf,
lsattr,rkhunter, trojan-scan etc.

Vamos mostrar as melhores e mais eficientes para cada tipo de problema enfrentado
em uma invaso.

LSOF List Open Files

O comando lsof utilizado para mostrar os arquivos que esto abertos no sistema. Um
arquivo aberto pode ser um arquivo comum, um diretrio, uma biblioteca, um stream, ou
um soquete de rede.

Quando o invasor entrar em um servidor, quase certo que o binrio netstat ser
infectado e modificado para tornar a ao do hacker invisvel. ai que entra o lsof, pois
ele nos ajudar a identificar estes problemas.

O LSOF um excelente utilitrio para gerenciamento de conexes de rede em seu

sistema UNIX. De qualquer forma vrios utilitrios podem desempenhar funes
similares, mas nenhum to robusto como LSOF. Com LSOF voc pode listar portas
abertas, identificar conexes que foram feitas no seu sistema, e determinar que
recursos um processo est usando. No somente isto, mas voc tambm pode
determinar que processos um usurio em particular tem e encontrar informaes
detalhadas sobre o uso de arquivos e diretrios.

Rodando o LSOF sem opes ir exibir todos os arquivos abertos pertencentes a todos
os processos ativos na mquina. Isto geralmente exibe uma quantidade enorme de
dados, ento sugiro que voc filtre sua busca usando as opes disponveis.

Algumas opes disponveis

$ lsof -u usurio

Mostra os arquivos abertos identificado pelo nome de usurio, representado aqui pelo
identificador usurio.

$ lsof -g n

Mostra os arquivos abertos por um determinado grupo, identificado aqui numericamente

pela varivel n.

$ lsof -p n

Mostra os arquivos abertos por um determinado nmero de processo (PID),

representado aqui pela varivel n.

As opes tambm podem ser combinadas:

$ ls -u usurio -g n

lsof i [protocolo][@nomehost|endereohost][:servio|porta]

Por padro, esta opo lista informaes detalhadas sobre cada conexo, como o
comando ou programa envolvido, o PID, o usurio que est rodando o comando, o FD

103
Segurana em Redes

(File Descriptor), o tipo de conexo, o nmero do dispositivo, o protocolo da Internet e o

nome do arquivo ou endereo da Internet. A opo "-i" pode ser til quando voc est
querendo manter a segurana de sua mquina. Voc pode determinar quais portas
esto abertas e escutando para conexes externas. LSOF poder tambm associar
elas com um nome de programa. Com isso voc pode identificar servios
desnecessrios, que so um risco de segurana e desativ-los

Vamos listar todas as informaes da conexo do host 192.168.1.3 que esta conectado
via ssh na porta 22 do nosso servidor.

Observando a figura, percebemos que todas as conexes originadas do ip 192.168.1.3

so observadas e listadas.

O LSOF possui uma sintaxe que mostra todas as conexes ativas, e no somente o de
um determinado host, como pode analisar na figura abaixo.

Monitoramento

Organizando os Logs

Sistemas Unix-like j possuem por padro um sistema excelente para registro de logs,
comumente representado pelo syslogd e klogd, que so os daemons responsveis por
oferecer este suporte, registrando mensagens de diferentes aplicativos e servios, alm
do kernel em diferentes locais de acordo com suas configuraes.

Apesar de ser um sistema excelente, geralmente os logs gerados e registrados por

padro no so suficientes ou completos o bastante para a verificao real de um dado
servidor, alm de no proporcionarem uma maneira prtica e menos montona de
acompanhamento e leitura, por isso recorremos a ferramentas livres disponveis.

Syslog-ng

O syslog-ng um execelente programa desenvolvido por Balzs e colaboradores da

comunidade, sendo uma alternativa ao bom e velho syslog, encontrado como padro na
maioria dos sistemas unix conhecidos hoje.

A principal vantagem do syslog-ng que ele possue fcil e flexvel configurao,

possibilidade de filtragem de contedo atravs de regex (expresses regulares).
Possue uma melhor performance para logging remoto e integridade de dados.

Configurao

Com o software instalado, vamos localizar o arquivo de configurao padro do syslog-

ng, que ser o /etc/syslog-ng/syslog-ng.conf.

Antes de customizar o syslog-ng vamos entender como ele funciona, primeiramente

deveremos ter uma fonte de registro (chamada source), de onde o syslog-ng ir obter
as mensagens. Ento teremos os filtros que sero aplicados s mensagens obtidas
dessa fonte (lembre-se que essa uma das qualidades mais importantes do syslog-
ng) e, finalmente, um destino para o registro das mensagens, mais comumente
representado por um arquivo.

Deve se considerar que o responsvel por organizar e conectar fonte (source), filtros
(filter) e destino (destination) a diretiva log.

104
Segurana em Redes

Vamos entender melhor cada uma delas:

Source: indica a fonte ou as fontes de onde o syslog-ng poder obter as mensagens do

sistema para processamento e registro.

Sintaxe: source <identificador> { driver(parmetros); driver(parmetros);...};

Filters: Responsveis por rotear as mensagens dentro do syslog-ng de acordo

expresses e funes (host(), match(), level(), program(), facility()).

Sintaxe: filter <identificador> {expresso; };

Destination: Aps passar pela fase de filtragem e, de acordo com a regra

correspondente a uma dada mensagem, o destination ser pura e simplesmente o
indicador do destino de registro dessa mensagem, podendo ser no apenas um arquivo
como tambm um banco de dados ou um host remoto.

Sintaxe: destination <identificador> {driver-destino(parmetros); driver-

destino(parmetros); ...};

Iremos ento dar um exemplo prtico de arquivo syslog-ng.conf genrico para Linux
explicativo para entendermos da melhor forma possvel como criar nosso prprio
arquivo de configuraes:

# Opes para o funcionamento do syslog-ng

options { sync (0); time_reopen (10); use_dns (no); use_fqdn (no); create_dirs (yes);

# Fonte de obteno das mensagens

source src { unix-stream(/dev/log); unix-stream(/var/lib/named/dev/log

maxconnections(10)); internal(); };

# Configurao de destinos

destination authlog {file(/var/log/messages.auth);};

destination syslog {file(/var/log/messages.syslog);};
destination cron {file(/var/log/crontab);};
destination daemon {file(/var/log/messages.daemon); };
destination kern { file(/var/log/messages.kern); };
destination lpr {file(/var/log/messages.lpr); };
destination maillog { file(/var/log/maillog); };
destination mail {file(/var/log/maillog); };
destination user {file(/var/log/maillog); };
destination uucp { file(/var/log/messages.uucp); };
destination messages {file(/var/log/messages); };
destination console { usertty(root); };
destination console_all { file(/dev/tty8); };
destination debug { file(/var/log/debug); };
destination hostremoto {tcp(127.0.0.1 port(6666));};

# Configurao de filtros

filter f_authpriv {facility(auth, authpriv);};

filter f_syslog {not facility(auth, authpriv) and not facility(mail);};

105
Segurana em Redes

filter f_cron {facility(cron);};

filter f_daemon {facility(daemon);};
filter f_kern {facility(kern);};
filter f_lpr {facility(lpr);};
filter f_mail {facility(mail);};
filter f_user {facility(user);};
filter f_uucp {facility(cron);};
filter f_news {facility(news);};
filter f_debug {not facility(auth, authpriv, news, mail);};
fillter f_emergency {level(emerg);};
filter f_info {level(info);};
filter f_notice {level(notice);};
filter f_warn {level(warn);};
filter f_crit {level(crit);};
filter f_err {level(err);};
filter f_cother {level(debug, info, notice, warn) or facility(daemon, mail);};

# Diretivas Log

log { source(src); filter(f_authpriv); destination(authlog); };

log { source(src); filter(f_syslog); destination(syslog); };
log { source(src); filter(f_cron); destination(cron); };
log { source(src); filter(f_daemon); destination(daemon); };
log { source(src); filter(f_kern); destination(kern); };
log { source(src); filter(f_lpr); destination(lpr); };
log { source(src); filter(f_mail); destination(mail); };
log { source(src); filter(f_user); destination(user); };
log { source(src); filter(f_uucp); destination(uucp); };
log { source(src); filter(f_mail); destination(maillog); };
log { source(src); filter(f_debug); destination(debug); };
log { source(src); filter(f_messages); destination(messages); };
log { source(src); filter(f_emergency); destination(console); };
log { source(src); destination(hostremoto); };

Comeamos configurando as opes de funcionamento do syslog-ng. A lista de opes

possveis bem mais vasta do que as que utilizamos, incluindo possibilidades de
controle de permisses (perm) e ownership (owner, group) de arquivos, porm utilizei
apenas algumas mais usuais:

sync : Indica o nmero de linhas a serem inseridas no buffer antes de serem

registradas. No nosso caso nenhuma.

time_reopen: tempo em segundos que nosso daemon deve aguardar antes que uma
conexo perdida seja restabelecida.

use_dns: Permite a utilizao ou no do resolvedor de nomes locais para o registro em

logs. Nesse caso selecionei 'no' para evitar possveis ataques Denial of Service (DoS)
gerados pelo alto trfego do servidor.

use_fqdn: Possibilita adicionar o nome completo de uma mquina ao invs de apenas

seu hostname. Essa opo pode ser til no caso de registro remoto de diversos
servidores de redes diferentes.

create_dirs: Permite que diretrios dos arquivos de destino dos registros possam ser
criados caso nao existam.

106
Segurana em Redes

Logo aps configurarmos as opes de funcionamento de nosso syslog-ng, partimos

para a indicao da fonte (source) de onde ele ir obter as mensagens a serem
registradas.

No caso de nosso exemplo para Linux, indicamos ao syslog-ng que obtenha as

mensagens do sistema atravs do dispositivo /dev/log e /var/lib/named/dev/log. O
primeiro para mensagens de servios de nossa mquina e o segundo especfico para
mensagens de um servidor DNS chrooted, sendo que nesse segundo caso tambm
utilizei a opo maxconnections(), que s pode ser utilizado com unix-stream e limita o
nmero de conexes simultneas abertas afim de evitarmos DoS.

Poderamos tambm utilizar um outro identificador para a fonte chrooted caso queira
aplicar outras opes, por exemplo:

source chrooted_jail { unix stream("/var/lib/named/dev/log"maxconnections(10));

Aps escolhermos as fontes de onde o syslog-ng obter as mensagens a serem

registradas, partimos para a configurao dos destinos e filtros.

Primeiramente identificamos cada um dos destinos (a identificao ser importante

posteriormente na utilizao da diretiva log) e, nesse exemplo, utilizamos o driver file,
um dos mais importantes do syslog-ng (e mais utilizados), que nos permite registrar as
mensagens em um arquivo do sistema e tambm o usertty, que permite que as
mensagens sejam enviadas ao terminal em que determinado usurio esteja logado (no
nosso caso o root). claro que no sero todas as mensagens enviadas ao console do
usurio root, iremos utilizar as funcionalidades de filtragem do syslog-ng para que
apenas as crticas sejam.

Utilizamos nesse arquivo tambm o destination com a opo para enviarmos logs para
um ou mais servidores remotos

destination hostremoto {tcp("127.0.0.1" port(6666));};

Indicamos o protocolo, o host e a porta. O syslog-ng possibilita a utilizao de tcp ou

udp, por isso devo lembrar que o leitor deve verificar se a porta utilizada para escuta j
no est sendo utilizada (nesse nosso caso, 6666 corresponde porta reservada para
servios IRC, desabilitados nesse servidor). Em nosso exemplo e atravs dessa opo,
podemos fazer com que o nosso syslog-ng envie mensagens a um host remoto de
forma criptografada atravs de um forwarding ssh ou stunnel por exemplo, por isso da
utilizao de 127.0.0.1 como host destino. Por isso a verificao local da porta em uso
ou no

Antes de iniciarmos a utilizao do syslog-ng aps sua configurao, devemos

desabilitar em nosso sistema os servios syslogd e klogd para evitarmos quaisquer
conflitos, podemos realizar esta tarefa com o rcconf. Logo aps, basta executarmos o
binrio do syslolg-ng:

rkhunter

O rkhunter uma ferramenta muito til para verificar se o sistema esta infectado com
Trojans,rootkits e outros problemas de segurana Instale a ferramenta pelo mirror da
rootkit.nl

wget http://downloads.rootkit.nl/rkhunter-1.2.9.tar.gz

107
Segurana em Redes

Agora vamos rodar e verificar os tipos de rootkits ou falhas de segurana que ele
encontrar.

Ele comea a fazer uma checagem completa de todo o estado do sistema

108
Segurana em Redes

Verificam as portas usadas pelos rootkits mais famosos

Verifica se o sistema possui alguma aplicao antiga que precisa ser atualizada

109
Segurana em Redes

E finalmente o relatrio.

Em nosso caso, ele somente apresentou 1 aplicao que pode estar vulnervel, que a
GnuPG, que possui uma verso mais nova, ento por este motivo, ele avisou como
aplicao vulnervel.

Vamos fazer mais um teste, adicionamos mais um usurio ao sistema, e verificar se o

rkhunter percebe esta mudana

110
Segurana em Redes

O rkhunter percebeu a modificao, e avisou o administrador, isto muito importante

pois qualquer arquivo que sofrer modificao, seja ela ocasionada por uma invaso ou
no, o administrador fica sabendo.

111
Segurana em Redes

Rede Sem Fio

Definio

A rede sem fios (wifi / Wireless network) uma tecnologia que permite dois ou mais
computadores comunicarem entre si usando protocolos de rede standard sem o recurso
dos cabos.

WLAN

As redes locais sem fio (WLANs) constituem-se como uma alternativa, ou mesmo
extenso, s redes convencionais com fio, fornecendo as mesmas funcionalidades,
mas de forma flexvel devido diferena do meio de transmisso, conforme mostrado
na figura abaixo.

Tipos

Abaixo os tipos mais comuns de rede sem fio.

112
Segurana em Redes

AD Hoc

Um tipo importante de rede mvel a rede ad hoc, tambm conhecida como MANET
(Mobile Ad hoc NETwork), ou tambm IBSS, onde os dispositivos so capazes de
trocar informaes diretamente entre si.

Uma topologia ad-hoc aquela em que uma LAN criada apenas pelos prprios
dispositivos sem fio, sem controlador central ou ponto de acesso. Ao contrrio do que
ocorre em redes convencionais, no h pontos de acesso, ou seja, no existem
epontos de concentrao e os ns dependem uns dos outros para manter a rede
conectada, como demonstra a figura abaixo

Infraestruturada

Uma topologia infra-estruturada aquela que estende uma LAN cabeada existente a
dispositivos sem fio por meio de um ponto de acesso.

O ponto de acesso liga a LAN sem fio e a cabeada, e atua como um controlador central
para a LAN sem fio. O ponto de acesso coordena transmisso e recepo de vrios
dispositivos sem fio em um intervalo especfico; o intervalo e nmero de dispositivos
depende do padro mvel usado e do produto do fornecedor.

No modo infraestruturado, pode haver um ponto de acesso (BSS) para uma rea
pequena, como uma nica casa ou um edifcio pequeno ou, vrios pontos de acesso
(ESS) para cobrir uma rea grande, conforme mostrado na figura abaixo.

113
Segurana em Redes

Ameaas e Vulnerabilidades

Riscos Internos

Por padro, alguns equipamentos possuem configuraes j propcias para eventuais

ataques, ocasionando os chamados riscos internos, estes, so gerados por m
configurao ou instalao de dispositivos ou associao acidental, tais como:

WLANs grampeveis (Rogue WLANs): Ocorre devido m instalao, em

duas formas. O endereo MAC duplicado, desta forma o intruso tem
acesso rede cabeada (em redes infraestruturadas) atravs do AP ou ainda
possuir acesso a uma rede sem fio (em redes ad-hoc). Outra forma um AP
no utilizar criptografia e no levar em conta a rea de cobertura do local
fazendo com que este envie seu SSID em broadcast, expondo assim a rede.
Configuraes inseguras: A simples instalao de uma VPN no garante
uma segurana satisfatria, entretanto, vrias empresas simplesmente
instalam e no configuram adequadamente. Todas as brechas existentes
grandes ou pequenas podem ser exploradas. Configuraes padres,
como a do SSID, aonde o broadcast vem ativado, fraca ou nenhuma
codificao, senhas padres, ausncia de autenticao podem transformar
um AP em um gateway para uma rede.
Associaes acidentais: Causado quando a fora do sinal muito grande e
auxiliado por plataformas como o Windows XP, onde associa e se conecta
automaticamente a uma rede quando esta passvel de uma conexo
(atualmente, j necessria uma interveno do usurio). Outro fator
importante que mesmo sabendo da existncia do dispositivo estas pessoas
no sabem ao certo como configurar, manipular e gerenci-lo. Assim sendo,
existe uma grande possibilidade deste dispositivo se associar a outro
dispositivo, sem o consentimento ou mesmo conhecimento do usurio. Uma
forma de minimizar este tipo de risco que as redes sem fio esto expostos
seria atravs da configurao manual do dispositivo ou ao menos no
permitir que o dispositivo atue em modo ad hoc.
Vulnerabilidades no WEP: Inerente ao WEP h falhas tanto nos no algoritmo
como no protocolo IEEE 802.11.

Riscos Externos

Os riscos externos, diferentemente dos internos, so ocasionados devido interao

direta do invasor que se aproveita das vulnerabilidades de uma WLAN. Muitos ataques
inerentes a redes sem fio, so devidos aos riscos que sero apresentados:

Espionagem: devido ao meio de transmisso, invasores podem facilmente

ter acesso s mensagens sem mtodos de codificao. Mesmo mensagens
codificadas por algoritmos como o WEP, podem ser decodificadas, como j
descrito anteriormente. Este risco semelhante ao uso de sniffers em redes
cabeadas, quando um usurio j conectado a um domnio deseja monitorar o
trfego. Contudo, em redes sem fios, o fato do invasor no precisar estar
fisicamente conectado ao meio, torna esse risco mais complicado,
introduzindo assim uma falha ainda no relatada, a impossibilidade de banir
um usurio no autenticado. No h meios de preveno sobre a inteno

114
Segurana em Redes

de um usurio. Formas de tentar diminuir este risco o uso de VPNs e IDS,

que sero ainda comentados.
Wardriving - O termo wardriving foi escolhido por Peter Shipley
(http://www.dis.org/shipley/) para batizar a atividade de dirigir um automvel
procura de redes sem fio abertas, passveis de invaso. Para efetuar a
prtica do wardriving, so necessrios um automvel, um computador, uma
placa Ethernet configurada no modo "promscuo" (o dispositivo efetua a
interceptao e leitura dos pacotes de comunicao de maneira completa ),
e um tipo de antena, que pode ser posicionada dentro ou fora do veculo
(uma lata de famosa marca de batatas fritas norte-americana costuma ser
utilizada para a construo de antenas) . Tal atividade no danosa em si,
pois alguns se contentam em encontrar a rede wireless desprotegida,
enquanto outros efetuam login e uso destas redes, o que j ultrapassa o
escopo da atividade. Tivemos notcia, no ano passado, da verificao de
desproteo de uma rede wireless pertencente a um banco internacional na
zona Sul de So Paulo mediante wardriving, entre outros casos
semelhantes. Os aficionados em wardriving consideram a atividade
totalmente legtima.

Warchalking - Inspirado em prtica surgida na Grande Depresso norte-

americana, quando andarilhos desempregados (conhecidos como "hobos")
criaram uma linguagem de marcas de giz ou carvo em cercas, caladas e
paredes, indicando assim uns aos outros o que esperar de determinados
lugares, casas ou instituies onde poderiam conseguir comida e abrigo
temporrio, o warchalking a prtica de escrever smbolos indicando a
existncia de redes wireless e informando sobre suas configuraes. As

115
Segurana em Redes

marcas usualmente feitas em giz em caladas indicam a posio de redes

sem fio, facilitando a localizao para uso de conexes alheias pelos
simpatizantes da idia.

Medidas de segurana

Access Control List, esta uma prtica herdada das redes cabeadas e dos
administradores de redes que gostam de manter controle sobre que equipamentos
acessam sua rede.

O controle consiste em uma lista de endereos MAC dos adaptadores de rede que se
deseja permitir a entrada na rede sem fio. Seu uso bem simples e apesar de tcnicas
de MAC Spoofing serem hoje bastante conhecidas uma prtica de segurana
razovel e pode ser usado em conjunto com qualquer outro padro, como WEP, WPA
etc.

A lista pode ficar no ponto de acesso ou em um PC ou equipamento de rede cabeada, e

a cada novo cliente que tenta se conectar seu endereo MAC validado e comparado
aos valores da lista. Caso ele exista nesta lista, o acesso liberado.

Esta prtica, embora no provenha muita segurana, usada para dificultar o uso de
endereos MAC repetidos que ocorre em ataques como o MAC Spoofing e o ARP
Poisoning.

116
Segurana em Redes

Bluetooth

O nome Bluetooth foi escolhido em homenagem ao rei da Dinamarca Harald Blatand,

que era conhecido como Harald Bluetooth. Esse apelido lhe foi dado por ele possuir
uma colorao azulada em seus dentes. O apelido foi usado para esta tecnologia pelo
fato de Harald Bluetooth ter ficado conhecido como unificador da Dinamarca, logo o
significado de Bluetooth unificao.

usado para comunicao entre pequenos dispositivos de uso pessoal, como PDAs,
telefones celulares (telemveis) de nova gerao, computadores portteis, mas tambm
utilizado para a comunicao de perifricos, como impressoras, scanners, e qualquer
dispositivo dotado de um chip Bluetooth.

Um dos problemas de segurana do Bluetooth o Bluesnarfing, consiste em surrupiar

informaes dos aparelhos alheios. Basta que o seu celular esteja com o bluetooth
ligado e em modo discoverable para que uma pessoa mal-intencionada nas
proximidades possa invadi-lo e roubar o contedo de sua agenda e catlogo de
endereos, por exemplo. O pior que a expresso nas proximidades no
exatamente verdadeira. Embora o alcance tpico de um celular bluetooth seja de 10 m e
de um laptop chegue a 100 m, isso no obstculo para a criatividade humana.

Dicas de Segurana

Desativar o Bluetooth logo apos a compra de um novo aparelho pois alguns

telefones j saem de fbrica habilitados;
S habilitar o Bluetooth na hora de fazer a transferncia de dados;
Mudar o cdigo PIN usado para a conexo Bluetooth;
Usar o modo Stealth (invisvel) pois o aparelho fica com a conexo Bluetooth
ativa, mas sem ser visto por outros;

117
Segurana em Redes

Firewall

Definio

O Firewall um programa que como objetivo proteger a mquina contra acessos

indesejados, trfego indesejado, proteger servios que estejam rodando na mquina e
bloquear a passagem de coisas que voc no deseja receber (como conexes vindas
da Internet para sua segura rede local, evitando acesso aos dados corporativos de uma
empresa ou a seus dados pessoais).

Aplicao

O iptables um firewall a nvel de pacotes e funciona baseado no endereo/porta de

origem/destino do pacote, prioridade, etc. Ele funciona atravs da comparao de
regras para saber se um pacote tem ou no permisso para passar. Em firewalls mais
restritivos, o pacote bloqueado e registrado para que o administrador do sistema
tenha conhecimento sobre o que est acontecendo em seu sistema.

Ele tambm pode ser usado para modificar e monitorar o trfego da rede, fazer NAT
(masquerading, source nat, destination nat), redirecionamento de pacotes, marcao de
pacotes, modificar a prioridade de pacotes que chegam/saem do seu sistema,
contagem de bytes, dividir trfego entre mquinas, criar protees anti-spoofing, contra
syn flood, DoS, etc. O trfego vindo de mquinas desconhecidas da rede pode tambm
ser bloqueado/registrado atravs do uso de simples regras.

As possibilidades oferecidas pelos recursos de filtragem iptables como todas as

ferramentas UNIX maduras dependem de sua imaginao, pois ele garante uma grande
flexibilidade na manipulao das regras de acesso ao sistema, precisando apenas
conhecer quais interfaces o sistema possui, o que deseja bloquear, o que tem acesso
garantido, quais servios devem estar acessveis para cada rede, e iniciar a construo
de seu firewall.

Caractersticas do firewall iptables

Especificao de portas/endereo de origem/destino
Suporte a protocolos TCP/UDP/ICMP (incluindo tipos de mensagens icmp)
Suporte a interfaces de origem/destino de pacotes
Manipula servios de proxy na rede

118
Segurana em Redes

Tratamento de trfego dividido em chains (para melhor controle do trfego

que entra/sai da mquina e trfego redirecionado.
Permite um nmero ilimitado de regras por chain
Muito rpido, estvel e seguro
Possui mecanismos internos para rejeitar automaticamente pacotes
duvidosos ou mal formados.
Suporte a mdulos externos para expanso das funcionalidades padres
oferecidas pelo cdigo de firewall
Suporte completo a roteamento de pacotes, tratadas em uma rea diferente
de trfegos padres.
Suporte a especificao de tipo de servio para priorizar o trfego de
determinados tipos de pacotes.
Permite especificar excees para as regras ou parte das regras
Suporte a deteco de fragmentos
Permite enviar alertas personalizados ao syslog sobre o trfego
aceito/bloqueado.
Redirecionamento de portas
Masquerading
Suporte a SNAT (modificao do endereo de origem das mquinas para um
nico IP ou faixa de IP's).
Suporte a DNAT (modificao do endereo de destino das mquinas para
um nico IP ou fixa de IP's)
Contagem de pacotes que atravessaram uma interface/regra
Limitao de passagem de pacotes/conferncia de regra (muito til para criar
protees contra, syn flood, ping flood, DoS, etc).

Tipos de firewalls

Existem basicamente dois tipos de firewalls:

Nvel de aplicao - Este tipo de firewall analisam o contedo do pacote para

tomar suas decises de filtragem. Firewalls deste tipo so mais intrusivos
(pois analisam o contedo de tudo que passa por ele) e permitem um
controle relacionado com o contedo do trfego. Alguns firewalls a nvel de
aplicao combinam recursos bsicos existentes em firewalls a nvel de
pacotes combinando as funcionalidade de controle de trfego/controle de
acesso em uma s ferramenta. Servidores proxy, como o squid, so um
exemplo deste tipo de firewall.
Nvel de pacotes - Este tipo de firewall toma as decises baseadas nos
parmetros do pacote, como porta/endereo de origem/destino, estado da
conexo, e outros parmetros do pacote. O firewall ento pode negar o
pacote (DROP) ou deixar o pacote passar (ACCEPT). O iptables um
excelente firewall que se encaixa nesta categoria.

Os dois tipos de firewalls podem ser usados em conjunto para fornecer uma camada
dupla de segurana no acesso as suas mquinas/mquinas clientes.

119
Segurana em Redes

Tabelas

Tabelas so os locais usados para armazenar os chains e existem 3 tabelas disponveis

no iptables:

Filter
NAT
Mangle

Filter

Esta a tabela padro, contm 3 chains padres:

INPUT entrada.
OUTPUT - sada.
FORWARD - repasse.

NAT

Usada para concentrar o fluxo de varias conexes, saindo para uma nica. Possui 3
chains padres:

PREROUTING - Consultado quando os pacotes precisam ser modificados

logo que chegam. o chain ideal para realizao de DNAT e
redirecionamento de portas.
OUTPUT - Consultado quando os pacotes gerados localmente precisam ser
modificados antes de serem roteados. Este chain somente consultado para
conexes que se originam de IPs de interfaces locais.
POSTROUTING - Consultado quando os pacotes precisam ser modificados
aps o tratamento de roteamento. o chain ideal para realizao de SNAT e
IP Masquerading.

Mangle

Utilizada para alteraes especiais de pacotes (como modificar o tipo de servio (TOS)
ou outros detalhes que sero explicados no decorrer do captulo. Possui 2 chains
padres:

INPUT entrada.
FORWARD - repasse.
PREROUTING - Consultado quando os pacotes precisam ser modificados
logo que chegam.
OUTPUT - Consultado quando pacotes gerados localmente precisam ser
modificados antes de serem roteados.

120
Segurana em Redes

POSTROUTING - Consultado quando os pacotes precisam ser modificados

aps o tratamento de roteamento. o chain ideal para realizao de SNAT e
IP Masquerading.

Regras

Parmetros paras CHAINS

-L List (Listar as Regras)
-A Add (Adicionar Regras)
-I Insert (Inserir Regras)
-R Replace (Substituir Regras)
-D Delete (Apagar Regras)
-P Policy (Policiamento Padro: INPUT, OUTPUT e FORWARD)
-N New (Criar nova Chain)
-E rEname (Renomeia a Chain Criada por -N)
-F Flush (Limpar Tabela)
-X eXtract (Limpar Chain Criada por -N)
-Z Zero (Zerar o Contador das Tabelas)

Parmetros para o complemento das regras

-o Output (Endereos de Sada)
-i Input (Endereos de Entrada)
-s Source (Endereos de Origen)
-d Destination (Endereos de Destino)
-j Join (Aplicar a Regra)
-p Protocol (Protocolo: todos-0, icmp=1, tcp=6,udp=17)
-f Fragment (Fragmentos pacotes fragmentados)
-n Numeric (IPs soexibidos de forma numrica)
+ (Adicionado ao nome da interface indica todas)

Especificando um alvo
ACCEPT (Aceita o pacote processado pela CHAIN)
DROP (Barra o pacote processado pela CHAIN)
REJECT (Rejeita, com a mensagem "icmp-port-unreachable")
REDIRECT (Redireciona o pacote processado pela CHAIN)
MASQUERADE (Mascaramento do ip de origem do pacote)
LOG (Registra a atividade de um pacote).

Estado da conexo
NEW (Confere pacotes que criam novas conexes)
ESTABLISHED (Confere pacotes de conexes j estabelecidas)
RELATED (Confere pacotes relacionados indiretamente a uma
conexo)
INVALID (Confere pacotes que no puderam ser identificados)

121
Segurana em Redes

Um exemplo de firewall simples

Esta seo possui um exemplo mais elaborado de firewall que servir para mquinas
conectadas via ppp com uma rede interna conectada via Masquerading. Este exemplo
no to complexo e cobre as expectativas mais comuns de pessoas que gostam de
explorar os potenciais de rede no Linux ou satisfazer sua curiosidade. Ele poder ser
facilmente adaptado para atender outro tipo de necessidade. A configurao assumida
a seguinte:

1. Mquina do firewall com 2 interfaces de rede, uma eth0 com o IP 192.168.1.1

que serve de ligao a sua rede Interna, a outra ppp0 que a interface Internet.

2. Qualquer acesso externo a mquinas da rede interna bloqueado.

3. Os usurios da rede local tem acesso livre ao servidor Linux.

4. Qualquer acesso externo a mquina do firewall bloqueado, exceto conexes

para o servio Apache (httpd). Outras tentativas de conexes devem ser
explicitamente registradas nos logs do sistema para conhecimento do administrador.

5. Todos os usurios possuem acesso livre a Internet via Masquerading, exceto

que o acesso para o servio www deve ser obrigatoriamente feito via squid, e o
servidor smtp a ser usado dever ser o do firewall Linux.

6. Prioridades sero estabelecidas para os servios de telnet, IRC,talk e DNS.

#!/bin/sh
# Modelo de configurao de firewall
# assumido um sistema usando kmod para carga automtica dos mdulos
usados por esta configurao do firewall:
# ipt_filter
# ipt_nat
# ipt_conntrack
# ipt_mangle
# ipt_TOS
# ipt_MASQUERADE
# ipt_LOG
# Se voc tem um kernel modularizado que no utiliza o kmod, ser necessrio
# carregar estes mdulos via modprobe, insmod ou iptables --modprobe=modulo

##### Definio de Policiamento #####

# Tabela filter
iptables -t filter -P INPUT DROP
iptables -t filter -P OUTPUT ACCEPT
iptables -t filter -P FORWARD DROP
# Tabela nat
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
iptables -t nat -P POSTROUTING DROP
# Tabela mangle
iptables -t mangle -P PREROUTING ACCEPT
iptables -t mangle -P OUTPUT ACCEPT

##### Proteo contra IP Spoofing #####

122
Segurana em Redes

for i in /proc/sys/net/ipv4/conf/*/rp_filter; do
echo 1 >$i
done

##### Ativamos o redirecionamento de pacotes (requerido para NAT) #####

echo "1" >/proc/sys/net/ipv4/ip_forward

# O iptables define automaticamente o nmero mximo de conexes simultneas

# com base na memria do sistema. Para 32MB = 2048, 64MB = 4096, 128MB =
8192,
# sendo que so usados 350 bytes de memria residente para controlar
# cada conexo.
# Quando este limite excedido a seguinte mensagem mostrada:
# "ip_conntrack: maximum limit of XXX entries exceed"
#
# Como temos uma rede simples, vamos abaixar este limite. Por outro lado isto
# criar uma certa limitao de trfego para evitar a sobrecarga do servidor.
echo "2048" > /proc/sys/net/ipv4/ip_conntrack_max

###############################################################
# Tabela filter #
###############################################################

##### Chain INPUT #####

# Criamos um chain que ser usado para tratar o trfego vindo da Internet e
iptables -N ppp-input

# Aceita todo o trfego vindo do loopback e indo pro loopback

iptables -A INPUT -i lo -j ACCEPT
# Todo trfego vindo da rede interna tambm aceito
iptables -A INPUT -s 192.168.1.0/24 -i eth0 -j ACCEPT

# Conexes vindas da interface ppp0 so tratadas pelo chain ppp-input

iptables -A INPUT -i ppp+ -j ppp-input

# Qualquer outra conexo desconhecida imediatamente registrada e derrubada

iptables -A INPUT -j LOG --log-prefix "FIREWALL: INPUT "
iptables -A INPUT -j DROP

##### Chain FORWARD ####

# Permite redirecionamento de conexes entre as interfaces locais
# especificadas abaixo. Qualquer trfego vindo/indo para outras
# interfaces ser bloqueado neste passo
iptables -A FORWARD -d 192.168.1.0/24 -i ppp+ -o eth0 -j ACCEPT
iptables -A FORWARD -s 192.168.1.0/24 -i eth0 -o ppp+ -j ACCEPT
iptables -A FORWARD -j LOG --log-prefix "FIREWALL: FORWARD "
iptables -A FORWARD -j DROP

##### Chain ppp-input ####

# Aceitamos todas as mensagens icmp vindas de ppp0 com certa limitao
iptables -A ppp-input -p icmp -m limit --limit 2/s -j ACCEPT

123
Segurana em Redes

# Primeiro aceitamos o trfego vindo da Internet para o servio www (porta 80)
iptables -A ppp-input -p tcp --dport 80 -j ACCEPT

# A tentativa de acesso externo a estes servios sero registrados no syslog

# do sistema e sero bloqueados pela ltima regra abaixo.
iptables -A ppp-input -p tcp --dport 21 -j LOG --log-prefix "FIREWALL: ftp "
iptables -A ppp-input -p tcp --dport 25 -j LOG --log-prefix "FIREWALL: smtp "
iptables -A ppp-input -p udp --dport 53 -j LOG --log-prefix "FIREWALL: dns "
iptables -A ppp-input -p tcp --dport 110 -j LOG --log-prefix "FIREWALL: pop3 "
iptables -A ppp-input -p tcp --dport 113 -j LOG --log-prefix "FIREWALL: identd "
iptables -A ppp-input -p udp --dport 111 -j LOG --log-prefix "FIREWALL: rpc"
iptables -A ppp-input -p tcp --dport 111 -j LOG --log-prefix "FIREWALL: rpc"
iptables -A ppp-input -p tcp --dport 137:139 -j LOG --log-prefix "FIREWALL:
samba "
iptables -A ppp-input -p udp --dport 137:139 -j LOG --log-prefix "FIREWALL:
samba "
# Bloqueia qualquer tentativa de nova conexo de fora para esta mquina
iptables -A ppp-input -m state --state ! ESTABLISHED,RELATED -j LOG --log-
prefix "FIREWALL: ppp-in "
iptables -A ppp-input -m state --state ! ESTABLISHED,RELATED -j DROP
# Qualquer outro tipo de trfego aceito
iptables -A ppp-input -j ACCEPT

#######################################################
# Tabela nat #
#######################################################

##### Chain POSTROUTING #####

# Permite qualquer conexo vinda com destino a lo e rede local para eth0
iptables -t nat -A POSTROUTING -o lo -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j ACCEPT

# No queremos que usurios tenham acesso direto a www e smtp da rede

externa, o
# squid e smtpd do firewall devem ser obrigatoriamente usados. Tambm
registramos
# as tentativas para monitorarmos qual mquina est tentando conectar-se
diretamente.
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp+ -p tcp --dport 80 -j
LOG --log-prefix "FIREWALL: SNAT-www "
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp+ -p tcp --dport 25 -j
LOG --log-prefix "FIREWALL: SNAT-smtp "
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp+ -p tcp --dport 25 -j
DROP
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp+ -p tcp --dport 80 -j
DROP
# feito masquerading dos outros servios da rede interna indo para a interface
# ppp0
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o ppp+ -j MASQUERADE

# Qualquer outra origem de trfego desconhecida indo para eth0 (conexes

vindas
# de ppp+) so bloqueadas aqui

124
Segurana em Redes

iptables -t nat -A POSTROUTING -o eth0 -d 192.168.1.0/24 -j LOG --log-prefix

"FIREWALL: SNAT unknown"
iptables -t nat -A POSTROUTING -o eth0 -d 192.168.1.0/24 -j DROP
# Quando iniciamos uma conexo ppp, obtermos um endereo classe A
(10.x.x.x) e aps
# estabelecida a conexo real, este endereo modificado. O trfego indo para
# a interface ppp no dever ser bloqueado. Os bloqueios sero feitos no
# chain INPUT da tabela filter
iptables -t nat -A POSTROUTING -o ppp+ -j ACCEPT

# Registra e bloqueia qualquer outro tipo de trfego desconhecido

iptables -t nat -A POSTROUTING -j LOG --log-prefix "FIREWALL: SNAT "
iptables -t nat -A POSTROUTING -j DROP

###############################################
# Tabela mangle #
###############################################

##### Chain OUTPUT #####

# Define mnimo de espera para os servios ftp, telnet, irc e DNS, isto
# dar uma melhor sensao de conexo em tempo real e diminuir o tempo
# de espera para conexes que requerem resoluo de nomes.
iptables -t mangle -A OUTPUT -o ppp+ -p tcp --dport 21 -j TOS --set-tos 0x10
iptables -t mangle -A OUTPUT -o ppp+ -p tcp --dport 23 -j TOS --set-tos 0x10
iptables -t mangle -A OUTPUT -o ppp+ -p tcp --dport 6665:6668 -j TOS --set-tos
0x10
iptables -t mangle -A OUTPUT -o ppp+ -p udp --dport 53 -j TOS --set-tos 0x10

125
Segurana em Redes

Proxy

Definio

Proxy uma palavra em ingls que, segundo o Michaelis, significa: Proxy - procurao,
procurador, substituto, representante.

Portanto Servidor Proxy , em essncia, um equipamento que presta um servio de

procurador de um computador de uma rede em outra rede, evitando que o endereo IP
do computador seja conhecido na outra rede.

O Servio de Proxy age como representante de um usurio que precise acessar um

sistema do outro lado do Servidor Proxy.

O Proxy permite executar a conexo, ou no, a servios em uma rede de modo indireto.
Normalmente os proxies so utilizados como cahes de conexo para servios Web.

Aplicao

Primeiramente temos que escolher a maquina que o squid ira ficar. Uma maquina para
comportar o squid no precisa de um processador rapidssimo, o mais importante para
ele e a memria RAM, o squid adora memria, quanto mais puder dar a ele melhor. A
utilizao de discos SCSI para a partio que ficar o cache tambm e muito bem
vinda.

Partiremos do pressuposto que a maquina em que o squid ser instalado j tem a rede
TCP/IP funcionando, Se o squid for ser usado para conectar uma rede privada (IP's
invlidos na Internet como da classe 192.168.0.0/24) Internet, a maquina precisara de
2 placas de rede ou no mnimo 2 IP's. (melhor o primeiro caso para entrar numa
configurao de rede isolada) um kernel configurado com ipforward e masquerading e
muito bem vindo para a construo de um Proxy transparente.

Configurao:

A configurao do squid feita editando seu arquivo de configurao, o squid.conf. Na

instalao do RPM ele estar no/etc/squid/. Use seu editor preferido para configurar o
arquivo. O arquivo de configurao e muito bem explicado, as configuraes padro
vem comentadas facilitando o entendimento.

O squid trabalha "Escutando" uma porta TCP determinada, os clientes que querem
acessar uma pagina Web, ftp, ssl fazem requisies nesta porta informando o servidor
e o protocolo que querem utilizar e o squid faz a requisio na porta certa. A porta

126
Segurana em Redes

padro do squid e a porta 3128 isto pode ser alterado com uma diretiva do squid.conf
http_port, vamos usar a porta 8080 inserindo a seguinte linha no squid.conf:

http_port 8080

Temos que decidir tambm onde ser o diretrio de cache e o tamanho do mesmo. Por
padro o squid est configurado para o diretrio de cache ficar em /var/spool/squid, por
questes de performance, segurana e gerenciabilidade melhor que ele fique
instalado em uma partio separada. Montaremos ento a partio de cache no
diretrio /cache e configuraremos para que o cache fique l. Para mudar o diretrio do
cache procure a linha cache_dir no squid.conf, provavelmente ela estar assim:

#cache_dir ufs /var/spool/squid 100 16 256

Bem vamos entender os parmetros. O primeiro diz respeito ao formato do cache,

melhor no mudar isso, a outra opo e asyncufs que no esta compilada no RPM e
ainda instvel. A segunda opo informa o diretrio do cache, como resolvemos que o
cache ficar no diretrio /cache este valor deve ser mudado para /cache. O terceiro
parmetro e o tamanho do cache em Mega bytes, tendo um disco de 9GB, separados
uns 20% para um overhead do linux mais o squid podemos selecionar 7GB. Os outros
parmetros dizem respeito a configurao dos diretrios do squid, no e necessrio
muda-los. Ento nossa linha fica sendo:

cache_dir ufs /cache/ 7000 16 256(Note que no tem mais o # na frente)

E possvel inserir vrias entradas cache_dir no squid.conf, ele ira anexar a nova rea
sem perder o cache anterior.

Agora que j esta configurada a rea de cache, primeiro e preciso assegurar que o
squid ter direito de escrita no diretrio de cache, o squid no roda como o root, ele usa
um usurio definido no parmetro do squid.conf, cache_effective_user, a distribuio da
conectiva vem com o squid rodando com o usurio nobody, para fazer o squid rodar
com outro usurio (o usurio squid por exemplo), troque o valor do parmetro no
arquivo de configurao. lembre-se que o usurio ter de ter acesso de leitura e escrita
nos diretrios de cache e log.

As ACL permitem especificar endereos de origem ou destino, domnios, horrios,

usurios, portas ou mtodos de conexo ao Proxy, que serviro de base para permitir
ou negar o acesso baseando-se em conjuntos dessas ACL's. Isto permite uma grande
flexibilidade na configurao do SQUID: podemos, por exemplo, especificar quais
endereos podem ser acessados, quais no podem ser acessados, que certo endereo
somente pode ser acessado em determinado horrio, que um usurio somente pode
acessar a partir de uma maquina especifica, que um protocolo pode ou no ser
utilizado, ou qualquer combinao dessas permisses/restries.

acl minharede src 192.168.0.0/255.255.255.0| | | |_ > Domnio da ACL| |

| | | |_ _ _ _ _ > Tipo de ACL| | | |_ _ _ _ _ _ _ _
_ > Nome da ACL||_ _ _ _ _ _ _ _ _ _ _ _ _ > Comando de criao de ACL

Isto cria uma ACL de nome minharede do tipo src (IP de origem) sendo seu domnio
192.168.0.0/255.255.255.0 uma rede classe C.

127
Segurana em Redes

Agora temos que dar permisso a esta ACL a diretiva que faz isso e o http_access
Ento temos que inserir no squid.conf

http_access minharede allow| | |_> allow/deny (permite/nega)

|| |_ _ _ _ _> ACL ( ACL's a que se aplica a regra)| |_ _ _ _ _ _ _ _
_ _ _ _ _> Comando de permisso.

Mas isso no pode ser feito em qualquer lugar, o squid e meio chato com a ordem dos
parmetros. vamos ver como esta o arquivo padro e quais alteraes devem ser feitas
para entendermos melhor.

acl all src 0.0.0.0/0.0.0.0

acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 80 21 443 563 70 210 1025-65535
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multilink http
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny all

Como podemos ver existem vrios tipos de ACL, vamos nos ater a primeira, foi criada
uma ACL do tipo src, isto significa maquina de origem, com nome "all" que corresponde
a qualquer maquina existente. A ultima diretiva diz que a conexes correspondentes a
diretiva all esto proibidas de continuar. A diretiva ACL tem de ser criada antes de ser
conferido algum direito. Ento agora a ordem das linhas dever ser a seguinte:

acl all src 0.0.0.0/0.0.0.0

acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 80 21 443 563 70 210 1025-65535
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multilink http
acl CONNECT method CONNECT

#ACL's Do usurio

acl minharede src 192.168.0.0/255.255.255.0 #ACL correspondente a rede interna

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

#Regras do Usurio

128
Segurana em Redes

http_access allow minharede #permite conexes da rede interna

http_access deny all

Podemos ver que temos varias linhas para a ACL Safe_ports, isso merece duas
consideraes, primeiro e possvel especificar vrios parmetros para uma ACL, seja
dando um espao entre os parmetros ou colocando duas entradas para a mesma ACL
assim se tivssemos que permitir tambm a rede 192.168.1.0/255.255.255.0
poderamos criar a ACL de duas formas:

#Com espao:

acl minharede 192.168.0.1/255.255.255.0 192.168.1.0/255.255.255.0

#ou com duas linhas

acl minharede 192.168.0.0/255.255.255.0

acl minharede 192.168.1.0/255.255.255.0

A segunda considerao e que por padro as diretivas ACL so do tipo "OU", ou seja
uma conexo pertencera a uma ACL se qualquer um dos parmetros coincidir. No
nosso exemplo, a rede 192.168.0.0 OU rede 192.168.1.1 coincidiram com a ACL. A
ordem entre as diretivas ACL no e importante.

Para as diretivas http_access a coisa funciona diferente, como podemos ver a diretiva
de permisso da rede interna foi inserida antes do deny all. O squid l as diretivas de
CIMA para BAIXO, parando a comparao na primeira que coincidir. Alm disso as
diretivas http_access so do tipo "E", para que a diretiva entre em ao, a conexo tem
de estar coincidindo com TODAS as ACL's especificadas.

EX:

acl all src 0.0.0.0/0.0.0.0

acl minharede src 192.168.0.0/255.255.255.0
acl horacom time MTWTF 09:00-18:00
http_access allow minharede horacom
http_access deny all

No exemplo acima, s as maquinas da rede 192.168.0.0/255.255.225 de 09:00 as

18:00 podero acessar a Internet, as demais maquinas ou qualquer maquina fora deste
horrio no podero acessar.

Tipos

Autenticado

Descomentar a linha abaixo e adicionar os parmetros necessrios:

# auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/passwd

auth_param basic children 5
auth_param basic realm Digite o usurio e senha para navegao

129
Segurana em Redes

Definir as ACLs:

acl autenticacao proxy_auth REQUIRED

Definir ao sobre as ACLs:

http_access allow autenticacao

Cadastrar os usurios:

htpasswd -c /etc/squid/passwd usuario

Transparente

O proxy transparente uma unio de uma caracterstica do squid mais o ipforward do

Linux. Para que isso funcione o linux em questo tem de estar configurado para ser o
gateway das maquinas. Vamos interceptar as conexes Web e redirecion-las para o
Squid.

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

(ou a porta que esteja sendo utilizada pelo squid)
echo 1 > /proc/sys/net/ipv4/ip_forward

Isso vai redirecionar tudo o que vier para a porta 80 (http) para a porta local 8080 do
squid.

Bom, isso e s a primeira parte, agora temos de configurar o Squid.

Mais linhas adicionadas ao squid.conf:

httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on

O modo do httpd-accelerator permite ao squid responder como se fosse um servidor

Web real, e redirecionar a chamada para o servidor real.

Bom, os clientes no passam to liso assim de configurao, eles devem ver o squid
como seu gateway primrio, ou pelo menos o gateway primrio deles deve ver o squid
como o gateway para porta 80, essa configurao depende de cada rede.

Monitoramento

O Sarg um interpretador de logs para o Squid, assim como o Webalizer e o Apache.

Sempre que executado ele cria um conjunto de pginas, divididas por dia, com uma
lista de todas as mquinas que foram acessadas e a partir de cada mquina da rede
veio cada acesso. Ele tambm mostra os usurios, caso o Squid esteja configurado
para exigir autenticao.

130
Segurana em Redes

A partir da voc pode acompanhar as pginas que esto sendo acessadas, mesmo
que no exista nenhum filtro de contedo e tomar as medidas cabveis em casos de
abuso. Todos sabemos que os filtros de contedo nunca so completamente eficazes,
eles sempre bloqueiam algumas pginas teis e deixam passar muitas pginas
imprprias. Se voc tiver algum tempo para ir acompanhando os logs, a inspeo
manual sempre o mtodo mais eficiente.

Aqui est um exemplo do relatrio gerado pelo Sarg, mostrando os sites acessados
pelo host 192.168.0.3 da rede interna. Veja que ente os dados fornecidos esto a
quantidade de banda usada pelo usurio e o tempo que ele ficou em cada pgina:

O Sarg includo na maioria das distribuies atuais, em alguns casos instalado por
padro junto com o Squid.

No Debian e derivados ele pode ser instalado com um: "apt-get install sarg". Depois de
instalado, basta chamar o comando "sarg" (como root) para que os relatrios sejam
geradas automaticamente a partir do log do squid.

O Sarg no um daemon que fica residente, voc precisa apenas chama-lo quando
quiser atualizar os relatrio, se voc quiser automatizar esta tarefa, pode usar o cron
para que ele seja executado automaticamente todos os dias ou uma vez por hora por
exemplo.

Por padro os relatrios vo para a pasta /var/www/squid-reports/ (no Debian).

Esta padro, junto com outras configuraes podem ser alteradas no arquivo de
configurao do Sarg, que o /etc/sarg/sarg.conf (no Mandrake) ou /etc/squid/sarg.conf
(no Debian). O arquivo auto explicativo, nele voc pode alterar os diretrios padro,
alterar o layout da pgina de relatrios e ativar recursos como o envio de uma cpia do
relatrio por e-mail sempre que o sarg for executado.

131
Segurana em Redes

132
Segurana em Redes

Sistemas de Deteco de
Intruso (IDS)

Definio

James P. Anderson sugeriu melhorias nos sistemas de auditoria e de deteco de

aes no autorizadas, algumas possibilidades viveis em um trabalho em conjunto
com a Marinha Norte Americana, as primeiras tcnicas reais de Mecanismos de
deteces de Intruses, assim surgiu o primeiro IDS, Intrusion Detection System.

O IDS atua como um sniffer (Analisador de Rede), olhando todo o tipo de dados
trafegados em seu segmento, desta forma, ajuda a evitar quebras ou invases de
segurana na rede corporativa, fornecendo a execuo automtica de polticas e
resposta a incidentes para servidores, aplicativos e dados.

Caractersticas

O IDS possui duas estruturas conceituais de funcionamento: o mtodo preemptivo e

mtodo reacionrio.

O mtodo preemptivo conhecido por basicamente reconhecer, atravs de

uma base de dados, a assinatura (signatures) de ataques, ou seja,
seqncias de aes j conhecidas de ataques. O IDS, de forma autnoma,
observa a movimentao e o trfego de rede destinado ao seu host e ento
as compara com seus registros para identificar possvel tentativa de ataque a
este host. Podemos comparar ento o seu funcionamento com o de
programas antivrus, sistemas assim so capazes de identificar a maioria
dos ataques existentes .
No mtodo reacionrio o IDS, atravs da anlise dos logs do sistema, cria
um perfil de comportamento para os usurios do sistema. O IDS reacionrio
capaz de reagir a algum comportamento anormal de determinado log de
um usurio. Diante desta ao o IDS pode bloquear o acesso do usurio,
lanar um contra-ataque para descobrir o endereo IP que est sendo
utilizado por ele, assim como outras informaes e enviar um e-mail para o
administrador do sistema, tal qual como foi configurado. O mtodo
reacionrio o mais convencional em relao deteco de intruso,
contudo ambos mtodos possuem suas eficincias comprovadas.

133
Segurana em Redes

Aplicao

A deteco de intrusos uma tecnologia de segurana capaz de identificar e isolar

intruses contra um sistema de computao e iniciar procedimentos de alerta e contra-
ataque.

Diferentes IDSs tm diferentes classificaes de intruso. Um sistema tentando

detectar ataques contra servidores Web pode considerar apenas pedidos maliciosos
HTTP, enquanto que um sistema que se proponha a monitorar protocolos dinmicos de
roteamento pode considerar apenas RIP spoofing. Independente do tipo, os IDSs
compartilham uma definio geral de intruso, que o uso no autorizado ou
inadequado de um sistema de computao.

A deteco de intrusos um componente importante de um sistema de segurana e

complementa outras tecnologias. Ao fornecer informaes ao administrador do site, o
IDS permite no apenas a deteco de ataques explicitamente endereados por outros
componentes de segurana (tais como firewalls), como tambm tentativas de
notificao de novos ataques no previstos por outros componentes, Os IDSs tambm
fornecem informao que potencialmente permitem s organizaes descobrirem as
origens de um ataque. Desta forma, os IDSs tentam fazer com que os atacantes se
tornem responsveis por suas aes, e at certo ponto, servem para desestimular
futuros ataques.

Devido a sua importncia dentro de um sistema de segurana, crucial que o IDS

funcione conforme a expectativa da organizao que o est implementando. Para que o
IDS seja til, o administrador do site precisa poder confiar na informao fornecida pelo
sistema. Sistemas com falhas no s fornecem menos informaes, como tambm uma
perigosa falsa sensao de segurana.

Dadas s implicaes de falhas em um componente do IDS, correto presumir que os

IDSs em si so alvos bvios para ataques. Um intruso mais esperto que perceba que
um IDS foi implementando em uma rede que ele est atacando ir muito provavelmente
atacar primeiro o IDS tentando desabilit-lo ou forando-o a dar informaes falsas
(distraindo o pessoal de segurana do verdadeiro ataque).

Para que um componente de software possa resistir a ataques, ele precisa ser
projetado e implementado com um entendimento claro sobre os meios especficos
pelos quais ele pode ser atacado.

Snort

O snort realiza sozinho a tarefa de registros de possveis tentativas de ataque em

potencial, uma tima soluo e se torna melhor combinado com uma ferramenta para
tratar os logs, tornando ainda mais til para um administrador.

Para realizarmos essa configurao necessitamos de alguns pacotes:

Servidor MySQL,
Snort compilado com suporte a MySQL,

134
Segurana em Redes

Acidlab.

Instalando o MySQL:

# aptitude install mysql-server

Configurando o Banco de dados do SNORT

# mysql -u root -p
> CREATE DATABASE snort;
> GRANT insert, select, update ON snort.* TO snort@localhost IDENTIFIED BY
'senhasnort';
> GRANT insert, select, delete, update, create ON snort.* TO acid@localhost
IDENTIFIED BY 'senhaacid';
QUIT

Instalando o Apache2 com suporte a PHP4:

# aptitude install apache2 php4 libapache2-mod-php4 php4-mysql

Instalando o Snort e criar as suas estruturas da database:

Detalhes do debconf para a instalao do Snort

// Configurar a rede onde o Snort vai ouvir

// Definir o usurio root para receber e-mail de estatsticas dirias
// Definir o hostname para oservidor MySQL como: localhost
// Definir o nome da base de dados como: snort
// Definir o nome do usurio para acesso base como: root
// Definir a senha do db snort, ex.: snortids
# aptitude install snort-mysql
# cd /usr/share/doc/snort-mysql
# zcat create_mysql.gz | mysql -u root -p snort

Verificando a base snort

# mysql u root p
> show databases;
> use snort;
> show tables;
> status;
> quit;

Verificando as configuraes do snort-mysql

# cd /etc/snort
# vi snort.conf
// mudar:
// var HOME_NET p/ o ip da rede/24
// var EXTERNAL_NET p/ any

Validando configuraes do Snort

# snort vde c /etc/snort/snort.conf

135
Segurana em Redes

Instalando e configurando o ACIDLAB

# aptitude install acidlab-mysql

Vamos criar um arquivo para declarar o site para o ACIDLAB no APACHE2:

# cd /etc/apache2/sites-avaliable
# vi acidlab
// No vi, em modo comando (sem dar insert) digite ":r /etc/acidlab/apache.conf".

Publicamos o novo site.

# a2ensite acidlab

Restartamos o Apache:

# /etc/init.d/./apache2 restart

Agora vamos configurar o ACIDLAB:

# vi /etc/acidlab/acid_conf.php
// no VI, digite :32 voc vai direto para a linha 32 onde comeamos a alterar o
seguinte trecho:

// $alert_dbname = "snort ";

// $alert_host = "localhost";
// $alert_port = "";
// $alert_user = "acid";
// $alert_password = "senhaacid";

// $archive_dbname = "snort ";

// $archive_host = "localhost";
// $archive_port = "";
// $archive_user = "snort";
// $archive_password = "senhasnort";

Pronto, acesse http://localhost/acidlab utilizando algum browser (navegador). Vai

parecer um erro, mas normal na primeira vez a pgina que aparece, clique no link
setup page que se encontra no texto da pgina.Depois no boto Create_ACID_AG.

# /etc/init.d/./snort restart

136
Segurana em Redes

Redes Virtuais Privadas

(VPN)

Definio

Virtual Private Network (Rede Privada Virtual), uma rede privada construda sobre a
infra-estrutura de uma Intranet ou na Internet. Ou seja, ao invs de se utilizar links
dedicados ou redes de pacotes para conectar redes remotas, utilizam-se as mesmas,
com circuitos e memrias virtuais.

A idia do termo VPN engloba qualquer tecnologia que garanta comunicao segura
enquanto os dados esto trafegando por redes no confiveis.

Aplicao

Tneis virtuais habilitam o trfego de dados criptografados pela Internet e esses

dispositivos, so capazes de entender os dados criptografados formando uma rede
virtual segura sobre a rede Internet.

A forma como esses dados sero codificados, quais os algoritmos de codificao e

autenticao sero utilizados, depender do protocolo sobre o qual o VPN est se
baseando. Assim como em qualquer meio de transmisso de dados, os dispositivos
responsveis pelo gerenciamento da VPN devem ser capazes de garantir a
privacidade, integridade, autenticidade dos dados.

IPSEC

O IPSec a melhoria do prprio protocolo TCP/IP, ao reduzir suas vulnerabilidades, e

especificar servios como:

Controle de acesso;
Integridade de pacotes;
Autenticao de origem;
Privacidade de pacotes;
Privacidade do fluxo de pacotes;

137
Segurana em Redes

Proteo de replays;

Desenvolvido pelo IETF, o IPSec possui o intuito de assegurar o trfego dos dados sem
a necessidade de ferramentas feitas para a camada de aplicativos ou servios, isto ,
sem mudanas em softwares j utilizados.

Havendo apenas a mudana na camada de rede facilitando o suporte das plataformas,

como Windows, Unix e Linux.

De forma geral, para garantir a segurana, o IPSec criptografa o pacote IP. Os

procedimentos utilizados so os seguintes:

ESP (Encapsulating Security Payload) O ESP possibilita a construo de

tneis (tunelamento) criptografados, onde o header e o payload do
datagrama IP so encapsulados e criptografados (utilizando algoritmo
simtrico) no novo payload do IPSec, ento ele adiciona um novo header
contendo o IP destino do gateway VPN. Desta forma, o IPSec oferece a
vantagem de esconder da Internet os endereos IP originais, impedindo a
leitura por ataques de monitorao de trfego. Como parte final da operao,
o payload agora autenticado com algoritmos de hash (assinatura digital).
AH (Authentication Header) Depois de criado o novo header, este deve ser
autenticado. A autenticao do AH difere do ESP porque a autenticao do
AH no protege as informaes que esto no cabealho do pacote IPSec,
mesmo porque alguns campos so alterados medida em que atravessam a
rede em funo do roteamento. A autenticao deve suportar algoritmos de
hash especficos e que estejam dentro do padro IPSec.
O IKE (Internet Key Exchange) funciona basicamente em duas fases: a
primeira o estabelecimento de uma sesso segura (utilizando-se chaves
assimtricas) e a segunda a negociao da troca das chaves. Para as
parte envolvidas em uma transmisso de dados segura se comunicarem
preciso serem concludas trs etapas importantes:
Negociao entre as partes sobre protocolos, algoritmos de
criptografia e chaves a serem utilizadas na sesso;
Troca de chaves de um modo eficiente; e
Manter estes requisitos durante a conversao.

O IPsec pode ser usado para codificar diretamente o trfego entre dois hosts
(conhecido como Modo de transporte) ou ser agregado a uma VPN, o que permite
enviar dados independentemente da infra-estrutura utilizada (Modo de tnel).

A juno de uma VPN com IPSec prov integridade no controle, discrio e at

considervel imunidade o trfego, desta forma, essa combinao tem sido amplamente
utilizada na prtica como preveno a ataques como o Man-inthe-middle, assegurando
os dados. A figura abaixo abaixo ilustra o protocolo IEEE 802.11 com mecanismos de
segurana at aqui comentados.

138
Segurana em Redes

139
Segurana em Redes

Criptografia

1. Definio

A criptografia tem como objetivo, proteger a confidencialidade, autenticidade e

integridade das informaes. Tcnicas e sistemas criptogrficos devem ser usados para
a proteo das informaes que so consideradas de risco e para aquelas que os
outros controles no fornecem proteo adequada.

Baseado na anlise de risco, o nvel apropriado de proteo deve ser identificado

levando-se em conta o tipo e a qualidade do algoritmo criptogrfico usado e o tamanho
das chaves a serem utilizadas (ISO/IEC 17799:2000).

A criptografia to antiga quanto a prpria escrita. Os romanos utilizavam cdigos

secretos para comunicar planos de batalha. Contudo, somente depois da Segunda
Guerra Mundial, com a inveno do computador, o uso da criptografia tomou maior
impulso em seu desenvolvimento. O trabalho criptogrfico formou a base para a cincia
da computao moderna.

Aplicao

Algoritmos Criptogrficos

Existem dois tipos bsicos de algoritmos criptogrficos que podem ser utilizados tanto
sozinhos como em combinao. Estes algoritmos, chave nica e chave pblica e
privada, so usados para diferentes aplicaes e deve-se analisar qual o melhor para
cada caso.

Para que uma mensagem seja cifrada utilizam-se uma ou mais chaves (seqncia de
caracteres) que sero embaralhadas com a mensagem original. Estas chaves devem
ser mantidas em segredo, pois somente com o conhecimento delas que se poder
decifrar a mensagem.

O primeiro tipo de algoritmo que surgiu foi o de chave nica, tambm chamado de
algoritmo de chave simtrica. Neste, o sistema usa a mesma chave tanto para a
cifragem como para a decifragem dos dados, e esta deve ser mantida em segredo.

140
Segurana em Redes

Tecnologias de Encriptao de dados

Criptografia Simtrica

A Criptografia Simtrica consiste em transformar, utilizando-se uma chave K e uma

funo y=f(x), um texto legvel (informao aberta) x - em um texto ilegvel
(informao criptografada) y O texto y transmitido para o destino onde y
decriptografado pelo algoritmo inverso f 1 (y) obtendo-se o texto legvel x se e s
se o destinatrio conhece a chave K, a qual deve ser utilizada no algoritmo inverso f 1
(y). Para quem desconhece a chave K computacionalmente difcil obter-se y a partir
do conhecimento de x se o algoritmo for bem projetado, isto , se for seguro.

Algoritmos de Chave Simtrica

DES (Data Encryption Standard) - Uma cifra de bloco criada pela IBM e endossada pelo
governo dos Estados Unidos em 1977. O DES utiliza uma chave de 56 bits e opera em
blocos de 64 bits. Projetado para ser implementado em componentes de hardware, ele
relativamente rpido e usado com freqncia para criptografar grandes volumes de
dados de uma s vez. O DES usado em muitas aplicaes mais seguras da Internet,
incluindo a SSL (Secure Sockets Layer) e a maioria das alternativas mais seguras do
IP.

DES Triplo (Triple DES) - O DES triplo uma evoluo do DES, no qual um bloco de
dados criptografado trs vezes com diferentes chaves.

Vistos os anncios da possibilidade do clculo da chave secreta do DES por fora bruta
estarem sendo cada vez mais viveis economicamente em funo inclusive do tamanho
desta chave (56 bits), a NIST (National Institute of Standards in Technology antiga NBS
- National Bureau of Standards) lanou em 1997 uma competio aberta para o
sucessor do DES, chamado AES Advanced Encryption Standard. Nesta competio
foram apresentadas 18 propostas, sendo que das cinco finalistas foi escolhido, entre
duzentos, o algoritmo de criptografia Rijndael, produzido por dois Belgas.

Algumas das vantagens do AES so: poder usar chaves de 128, 192 e 256 bits ou
maiores e ser executado eficazmente em um grande nmero de ambientes, cartes
inteligentes, softwares de computador e browsers, enquanto o DES foi projetado
principalmente para hardware. Outro problema do DES foram as mudanas propostas
pela NSA nas S-Boxes do algoritmo original, visto que alguns observadores temiam que
essa mudana poderia introduzir uma armadilha e poderia permitir que um atacante
decifrasse mensagens criptografadas pelo DES sem testar todas possveis chaves.

Os S-boxes so tabelas no-lineares que determinam como o algoritmo de criptografia

substitui bytes por outros.

RC2 e RC4 - Ron Rivest da RSA DSI (Data Security Inc.) projetou essas cifras com
tamanho de chave varivel para proporcionar uma criptografia em alto volume que
fosse muito rpida. Pode ser usado como substituto do DES, pois ambos so cifras de
bloco. Em softwares, o RC2 aproximadamente 2 vezes mais rpido do que o DES, ao
passo que o RC4 10 vezes mais rpido que o DES.

O IDEA (International Data Encryption Algorithm) foi criado em 1991, sendo projetado
para ser facilmente calculado em softwares. bastante forte e resistente a vrias

141
Segurana em Redes

formas de criptoanlise. Opera com blocos de textos em claro no tamanho de 64 bits e

possui uma chave de 128 bits, sendo que o mesmo algoritmo usado para cifrar e
decifrar os textos.

Criptografia Assimtrica

O problema da criptografia simtrica que as partes na comunicao devem conhecer

a mesma chave, que deve ser divulgada entre as partes de forma sigilosa, pois se um
terceiro elemento no autorizado tiver acesso chave poder comprometer a
segurana atribuda pela criptografia.

Como soluo para tal situao temos o algoritmo de chaves assimtricas. Esta
soluo composta basicamente de um algoritmo de criptografia e de decriptografia (o
qual pode ser ou no de conhecimento pblico, mas deve ser conhecido pelas partes
de uma comunicao) e um par de chaves (conhecidas como chave privada e chave
pblica) e que tem, basicamente, as seguintes premissas:

A informao criptografada por uma chave s pode ser decriptografada pela

outra;
Uma chave no pode ser descoberta a partir da outra (mesmo conhecendo o
algoritmo de criptografia e de decriptografia e tendo a informao
criptografada); e
A chave pblica de uma entidade amplamente divulgada sendo que a
chave privada s de conhecimento da mesma.

Dessa forma a comunicao entre duas partes, como por exemplo A e B, feita como
se segue:

Tanto A quanto B possuem, cada um, um par de chaves (pblica e privada);

Se A deseja enviar a B, ele solicita a chave pblica de B;
De pose da chave pblica de B, A criptografa a informao com essa chave
e envia a B; e
A mensagem criptografada com a chave pblica de B s pode ser
decriptografada pela chave privada de B.

Algoritmos assimtricos (ou de chave pblica e privada) so muito complexos sendo

que as chaves utilizadas so nmeros primos entre si e de valores muito grandes, o
que torna muito lenta a cifragem e decifragem de uma grande quantidade de dados.

Por isso, geralmente, algoritmos assimtricos so utilizados apenas para estabelecer

sesso e a troca, de forma confivel, entre as partes envolvidas na comunicao, de
uma chave simtrica.

Um dos parmetros para se medir a resistncia de um algoritmo o tamanho de suas

chaves. Quanto maior o nmero de bits das chaves, maior o nmero de possveis
combinaes e, teoricamente, maior a resistncia do algoritmo contra ataques.

Algoritmos de Chave Assimtrica

Dentre os diversos algoritmos de chave assimtrica destacam-se:

142
Segurana em Redes

Diffie-Hellman Protocolo para troca de chaves, criado antes do RSA, e modificado

posteriormente, visto que pode ser quebrado por um intruso que capta toda a troca de
informaes.

RSA - um algoritmo criado e patenteado pela RSA Data Security Inc., porm com uso
liberado para quaisquer aplicaes. Baseado na dificuldade computacional de se fatorar
um nmero inteiro muito longo (por exemplo 512 bytes de tamanho) em dois nmeros
primos.

A segurana do RSA est baseada no problema de fatorar nmeros grandes.

Miller e Rabin Outro algoritmo de criptografia assimtrica muito usado. Similar ao RSA
mas um algoritmo probabilstico, no sentido de que se pode concluir falsamente que o
nmero inteiro primo mas com baixa probabilidade.

143
Segurana em Redes

Certificao Digital

Definio

A identificao digital de um usurio chamada de Certificado Digital, o qual possui o

nome, chave pblica (ver criptografia assimtrica) e outros dados de um usurio.

usado para validar uma assinatura digital que pode ser anexada a um e-mail ou
formatos eletrnicos.

O processo de certificao digital possibilita a identificao inequvoca da identidade,

procedncia e contedo das informaes, baseado na troca de chaves criptografadas.

As chaves privadas so armazenadas em um hard disk ou em um Token. Neste caso a

chave somente pode ser utilizada quando o token for inserido no computador (um
exemplo o smart card).

Aplicao.

Infraestrutura de Chave Pblica (PKI)

Uma PKI (Public Key Infrastructure) utilizada para prover a identificao de uma
entidade eletrnica (usurio, computador, etc.) na Internet.

Uma PKI composta dos seguintes componentes:

CA - (Certificate Authorities Autoridade Certificadora): Responsvel por

criar, distribuir e revogar certificados digitais.
RA - (Registration Authorities - Autoridade Registradora): Registra novos
usurios.

Podemos citar ainda outros conceitos utilizados em PKI:

Certificao: o processo de associao de uma chave pblica a um

usurio.
Validao: verificao se o certificado est ou no expirado e se as
informaes nele so verdadeiras.
Revogao: um certificado no pode ser apagado ou reutilizado. Quando o
mesmo no mais vlido marcado pela CA como revogado.

144
Segurana em Redes

Os usurios da PKI podem descobrir o status atual de um certificado digital utilizando o

processo Real-time Online Certificate Status Checking.

Funcionamento do Processo Real-time Online Certificate Status Checking

Outro modo, menos confivel, de checar o status de um certificado requer que os

usurios da PKI faam um download de uma lista de certificados revogados (CRL) pela
CA.

O maior problema das CRLs o fato de que muitos certificados so revogados por dia.
Uma empresa pode correr risco, pelo fato de possuir uma CRL desatualizada, de estar
confiando em um certificado que acabou de ser revogado.

Assinatura Digital

As assinaturas digitais fornecem os meios para proteo da autenticidade e integridade

de documentos eletrnicos (ISO/IEC 17799:2000).

Para criar uma assinatura digital para uma mensagem de e-mail, por exemplo, uma
cpia da mensagem criptografada (algoritmo Hash) usando a chave privada
(assinatura digital), a qual enviada, junto com a mensagem de e-mail e o certificado
digital do remetente para o destinatrio, que cria a assinatura digital utilizando a chave
pblica do remetente e compara com a assinatura recebida.

A assinatura digital somente pode ser decriptografada e verificada usando-se a chave

pblica embutida no certificado digital do remetente, garantindo assim que uma
mensagem no foi falsificada por terceiros.

Algoritmos para Gerao de Assinatura Digital.

145
Segurana em Redes

Consiste de algoritmos que utilizam chaves privada e pblica para, a partir de um texto
legvel de tamanho m, gerar uma informao criptografada de tamanho n onde n
muito menor que m.

Tal funo em um algoritmo assimtrico conhecida como funo de Hash ou de

Espalhamento.

Os algoritmos mais conhecidos so o MD5 (Message Digest 5), que um

aprimoramento do MD4, e o RSA, tambm usado para gerar assinaturas digitais de bits
para mensagens de qualquer tamanho.

O RSA um algoritmo que gera assinaturas digitais de 160 bits para mensagens de
qualquer tamanho. considerado mais seguro que o MD5, porm tem uma
performance em mdia 50% inferior, mas considerado um algoritmo bastante rpido
alm de seguro.

A segurana do RSA est baseada no problema de fatorar nmeros grandes.

Um dos fatores que determinam a popularidade do RSA o fato de ele tambm poder
ser usado para assinatura digital.

146
Segurana em Redes

Autenticao

Definio

Autenticao um processo que busca verificar a identidade digital do usurio de um

sistema, normalmente, no momento em que ele requisita um log in (acesso) em um
programa ou computador. A autenticao normalmente depende de um ou mais
"fatores de autenticao".

O termo "autorizao" muitas vezes confundido com o termo autenticao, mas

apesar de serem relacionados, o significado de ambos muito diferente. A autenticao
o processo que verifica a identidade de uma pessoa, por sua vez, a autorizao
verifica se esta pessoa possui permisso para executar determinadas operaes. Por
este motivo, a autenticao sempre precede a autorizao.

Aplicao

O controle de acesso um exemplo comum de adoo de mecanismos de

autenticao. Um sistema computacional, cujo acesso permitido apenas a usurios
autorizados, deve detectar e excluir os usurios no autorizados. O acesso controlado
por um procedimento que estabelece a identidade do usurio com algum grau de
confiana (autenticao), e s ento concede determinados privilgios (autorizao) de
acordo com esta identidade.

Arquitetura Triple A (AAA);

O termo protocolos AAA uma referncia aos protocolos relacionados com os

procedimentos de autenticao, autorizao e acompanhamento do uso de recursos
pelos usurios (accounting).

Autenticao

A autenticao uma referncia ao procedimento que confirma a validade do usurio

que realiza a requisio de um servio. Este procedimento baseado na apresentao
de uma identidade junto com uma ou mais credenciais. As senhas e os certificados
digitais so exemplos de credenciais.

147
Segurana em Redes

Autorizao

A autorizao a concesso de uso para determinados tipos de servio, dada a um

usurio previamente autenticado, com base na sua identidade, nos servios que
requisita e no estado atual do sistema. A autorizao pode ser baseada em restries,
que so definidas por um horrio de permisso de acesso ou localizao fsica do
usurio, por exemplo. A autorizao determina a natureza do servio cujo acesso
permitido a um usurio. Como exemplos de tipos de servios temos: filtragem de
endereo IP, atribuio de endereo, atribuio de rota, servios diferenciados por QoS,
controle de banda/gerenciamento de trfego, tunelamento compulsrio para
determinado endpoint e criptografia.

Accounting

O procedimento de accounting uma referncia coleta da informao relacionada

utilizao de recursos de rede pelos usurios. Esta informao pode ser utilizada para
gerenciamento, planejamento, cobrana e etc. A accounting em tempo real ocorre
quando as informaes relativas aos usurios so trafegadas no momento do consumo
dos recursos. Na accounting em batch as informaes so gravadas e enviadas
posteriormente. As informaes que so tipicamente relacionadas com este processo
so a identidade do usurio, a natureza do servio entregue, o momento em que o
servio se inicia e o momento do seu trmino.

Kerberos

Kerberos o nome de um Protocolo de transporte de rede, que permite comunicaes

individuais seguras e identificadas, em uma rede insegura. Para isso o Massachusetts
Institute of Technology (MIT) disponibiliza um pacote de aplicativos que implementam
esse protocolo. O protocolo Kerberos previne Eavesdropping e Replay attack, e ainda
garante a integridade dos dados. Seus projetores inicialmente o modelaram na
arquitetura cliente-servidor, e possvel a autenticao mutua entre o cliente e o
servidor, permitindo assim que ambos se autentiquem.

Kerberos utiliza Criptografia simtrica e necessita de um sistema de confiana tripla.

Kerberos um protocolo de autenticao do Projeto Athena. Tem esse nome em

aluso ao Co guarda de trs cabeas (Crbero) do deus Hades da Mitologia grega.
Diversas verses do protocolo j existiram, as verses 1 at a 3 foram utilizadas
somente dentro da MIT. Steve Miller e Clifford Neuman, foram os principais projetistas
da verso 4 do Kerberos, publicada nos anos 80, ainda com foco no Projeto Athena.

A verso 5 foi projetada por John Kohl e Clifford Neuman e publicada em 1993 no RFC
1510 (Ficou obsoleto ao RFC 4120 de 2005), e teve como inteno melhorar a
segurana e as limitaes relativas a verso 4.

A MIT disponibilizou uma implementao livre sob licena BSD.

Autoridades Norte-americanas/Estadundenses proibiram o uso do Kerberos, pois esse

utiliza um algoritmo de criptografia com uma chave de 56-bit, chamado DES. Eles
consideraram que o protocolo prejudica a segurana nacional, porque impede que
mensagens interceptadas sejam entendidas (Assim como qualquer aplicativo que utilize
criptografia com chave maior que 40-bit). Uma implementao no americana do
Kerberos, KTH-KRB foi desenvolvida pela Royal Institute of Technology na Sucia,
tornando assim o sistema disponvel fora dos EUA, at a mudana da regulamentao

148
Segurana em Redes

de exportao de criptografias. A implementao Sueca baseada em uma verso

chamada eBones. eBones baseado em um release da verso eBones da MIT
(Retirado a criptografia e as chamadas a mesma) que por sua vez foi baseado na
verso 4 do Kerberos atualizao 9. Esse Kerberos limitado chamado hoje como
eBones. Uma implementao chamada Heimdal, foi feita basicamente, pelo mesmo
grupo de pessoas e baseada na verso 5 do Kerberos.

Windows 2000, Windows XP e o Windows Server 2003 utilizam uma variante do

Kerberos, como seu mtodo de autenticao padro. As adies feitas no conjunto de
protocolos do Kerberos pela Microsoft so documentadas no RFC 3244 chamado
Microsoft Windows 2000 Kerberos change Password and Set Password Protocols. O
Mac OS X da Apple tambm usa o Kerberos, tanto o cliente como o servidor.

Em 2005, o grupo chamado IETF IETF Kerberos Workgroup atualizou as

especificaesKerberos. As atualizaes incluem:

"Encryption and Checksum Specifications" (RFC 3961),

"Advanced Encryption Standard (AES) Encryption for Kerberos 5" (RFC
3962),
Uma nova edio da especificao do Kerberos verso 5 "The Kerberos
Network Authentication Service (V5)" (RFC 4120). Essa verso substitui o
RFC 1510, tornando a especificao do protocolo mais transparente e o
explicando de modo mais detalhado e limpo.
Uma nova edio de especificao do GSS-API "The Kerberos Version 5
Generic Security Service Application Program Interface (GSS-API)
Mechanism: Version 2." (RFC 4121).

RADIUS

RADIUS (Remote Authentication Dial In User Service), definido em RFC 2865, um

protocolo proprietrio de codificao de 128 bits reais para gerenciamento centralizado
de autenticao de usurios remotos.

Utiliza o algoritmo MD5 para a segurana de senhas e o provedor do protocolo

802.11i. Diferente da TKIP, a chave para a comunicao entre um servidor RADIUS e
as STA permanece no servidor ao invs de se concatenar com os pacotes.

A centralizao de senhas tambm aumenta segurana do meio, porm, ao tomar o

servidor, um usurio mal intencionado detm o controle do meio inteiro.

Por ser um recurso disponvel apenas em alguns produtos e possuir uma camada extra
de codificao, torna o custo da instalao um pouco mais caro em relao aos outros.

TACACS

Terminal Access Controller Access-Control System (TACACS) um protocolo de

autenticao remota usado para comunicao com servidores de autenticao,
comumente em redes UNIX. TACACS permite que um servidor de acesso remoto se
comunique com um servidor de autenticao para verificar se o usurio tem acesso
rede.

149
Segurana em Redes

Um cliente coleta o nome de usurio e a senha e ento envia uma consulta a um

servidor de autenticao TACACS, as vezes chamado de TACACS daemon ou
simplesmente TACACSD. Baseado na resposta desta consulta, o acesso ao usurio e
liberado ou no.

Outra verso do TACACS lanada em 1990 foi batizada de XTACACS (extended

TACACS). Entretanto, estas duas verses vem sendo substitudas pelo TACACS+ e
pelo RADIUS em redes mais novas. Apesar do nome, TACACS+ um protocolo
completamente novo e no compatvel com TACACS ou XTACACS.

TACACS definido pela RFC 1492, usando tanto TCP como UDP e por padro a porta
49.

150
Segurana em Redes

Glossrio da Continuidade de Negcios

Termo Significado
ABCP so as iniciais de Associated Business Continuity
Professional, que vem a ser o mais elementar dos trs
ABCP nveis de reconhecimento de profissionais do DRI
(Disaster Recovery Institute International). Vide "CBCP" e
"MBCP".
Alerta a notcia da ocorrncia ou da iminncia de um desastre.
um fator externo que pode vir a atacar um ativo
Ameaa
causando um desastre ou perda significativa.
Anlise de impacto
Vide "Business impact analysis".
de desastres
Anlise de impacto
Vide "Business impact analysis".
nos negcios
Conjunto de procedimentos cuja finalidade a
Anlise de risco identificao dos potenciais desastres, as potenciais
ameaas e as respectivas consequncias.
So os conjuntos de dados e informaes necessrios
para a consecuo dos processos crticos de trabalho ou
Arquivos crticos
que devam ser submetidos a uma especial guarda em
funo de exigncias legais.
Diz-se da ativao dos procedimentos de contingncia de
Ativao forma a se restabelecer as funes crticas numa situao
excepcional.
Todo item que uma organizao possua e que tenha
Ativo
algum valor tangvel ou intangvel.
So as informaes na forma de documentos,
microformas, dados, arquivos, e bancos de dados, dentre
outras de uma organizao, bem como os recursos e
Ativos de informao
equipamentos, incluindo hardware e software, existentes
para garantir o acesso, guarda, transporte e proteo das
informaes.
Avaliao de danos Qualificao ou quantificao do impacto de um desastre.
Termo genrico para designar item substituto, reserva ou
"Back-up"
cpia.
Processo de gerao de cpias dos dados originais (vide
"Back-up" de dados
"processo de back -up").
BIA Vide "Business Impact Analysis".
Diz-se do mtodo de Anlise e Gesto de Risco desenvolvido
Bow Tie (Mtodo)
pela Shell, nos anos 90. (Bow tie = Gravata borboleta)
BS 7799 Norma britnica relativa a Segurana da Informao

151
Segurana em Redes

composta por trs partes. A parte 1 diz respeito s

melhores prticas para uma boa gesto da segurana da
informao (esta parte 1 tornou-se a ISO 17799). A parte
2 diz respeito ao processo de implementao e
certificao dos procedimentos relacionados na parte 1 e
a parte 3 diz respeito ao processo de anlise de risco.
Business impact E estimativa (qualitativa ou quantitativa) do impacto nos
analysis negcios decorrente de um desastre especfico.
CBCP so as iniciais de "Certified Business Continuity
Professional", que vem a ser um dos trs nveis de
CBCP reconhecimento de profissionais do DRI (Disaster
Recovery Institute International...). Vide "MBCP" e
"ABCP".
Contingncia Situao excepcional decorrente de um desastre.
A ISO 17799 (e a BS 7799) usa o termo genrico
Controle de
"controle" para designar todos os procedimentos,
segurana da
mecanismos e dispositivos aplicveis para a gesto e
informao
implementao da segurana da informao.
So as cpias feitas de um arquivo ou de um documento
que devero ser guardadas sob condies especiais para
Cpia de segurana
a preservao de sua integridade no que diz respeito tanto
a forma como contedo.
Situao excepcional que tenha potencial de colocar a
sobrevivncia de uma organizao em risco, ou que tenha
Crise
capacidade de gerar perdas tangveis ou intangveis
significativas.
um evento sbito e inesperado cujo impacto resulte em
Desastre
perdas significativas para a organizao.
Disaster Recovery
Vide DRI.
Institute International
O DRI o Disaster Recovery Institute International,
entidade sem fins lucrativos cuja misso promover o
DRI
conhecimento relacionado gesto da continuidade dos
negcios.
Emergncia o estado que se segue ocorrncia de um desastre.
Num espelhamento de discos (hard drive) o mesmo dado
Espelhamento de
gravado em dois discos diferentes simultaneamente (em
discos
termos prticos podemos considerar simultaneamente).
So as funes cuja indisponibilidade por um tempo
Funes crticas superior ao tolervel geram perdas significativas para a
organizao.
um processo de gesto cuja finalidade reduzir a
Gerncia de risco possibilidade de eventos indesejveis a um patamar
tolervel ou aceitvel.
um processo de gesto que, baseado na comunicao
Gesto de crise
institucional, objetiva mitigar os impactos de um desastre.
a medida do risco que um recurso ou um ativo est
exposto a um desastre. funo do valor do ativo, das
Grau de exposio
ameaas, das vulnerabilidades e dos dispositivos de
proteo e preveno existentes.
Um incidente um evento de pequeno impacto, mas que
Incidente
poderia ter causado um desastre.

152
Segurana em Redes

Incapacidade temporria que impea a utilizao de um

Indisponibilidade
recurso ou processo.
Os servios e instalaes que do suporte aos processos
Infra-estrutura crtica crticos da organizao so considerados como infra-
estrutura crtica.
Incapacidade de funcionamento temporria de um recurso
Inoperncia
ou processo da organizao.
Norma internacional publicada pela ISO onde esto
ISO 17799 relacionadas as melhores prticas para uma boa gesto
da segurana da informao. Vide "BS 7799".
Vem a ser o local onde dever ser operacionalizado o
Local alternativo regime de contingncia. Tambm conhecido como "back-
up site".
MBCP so as iniciais de Master Business Continuity
Professional, que vem a ser o mais graduado dos trs
MBCP nveis de reconhecimento de profissionais do DRI
(Disaster Recovery Institute International). Vide "CBCP" e
"ABCP".
Os sistemas aplicativos que do suporte s funes
Mission critical
crticas de uma organizao so reconhecidos como
application
"mission critical".
Conjunto de procedimentos, previamente planejados, a
Plano de
serem adotados aps a ocorrncia de um desastre com o
contingncia
objetivo de minimizar os impactos do mesmo.
Conjunto de planos e de procedimentos dedicados a
Plano de
garantir a continuidade das operaes vitais de uma
continuidade
organizao, ainda que sob o impacto de um desastre.
Conjunto de procedimentos alternativos, a serem
Plano de recuperao adotados aps um desastre, visando a reativao dos
de desastres processos operacionais que tenham sido paralisados, total
ou parcialmente, ainda que com alguma degradao.
Conjunto de procedimentos dedicados a minimizar os
Plano de resposta
impactos de um desastre iminente ou durante sua
emergencial
ocorrncia.
Conjunto de procedimentos dedicados a facilitar o retorno
da produo e operao s condies "normais" (depende
Plano de retorno
do que ser considerado como condio "normal")
existentes antes do desastre.
Documento onde deve ser explicitado o comprometimento
Poltica de segurana de uma organizao com a segurana da informao
da informao (diretrizes ) e os mecanismos pelos quais esta
organizao ir garantir tal compromisso.
Procedimentos de Aes adotadas de forma a mitigar o impacto de um
emergncia desastre. Vide "plano de resposta emergencial".
um processo de trabalho que uma vez paralisado por
Processo crtico tempo superior ao aceitvel ir afetar gravemente as
operaes e servios da organizao.
Processo de "back- Processo de gerao de cpias de arquivos ou base de
up" dados. Vide "back-up de dados".
todo recurso imprescindvel para a produo de um
Recurso crtico
processo crtico de trabalho da organizao.
Redundncia Diz-se de um segundo dispositivo que esteja

153
Segurana em Redes

imediatamente disponvel para uso quando de uma falha

de um dispositivo primrio de um sistema de computador.
Vide "tolerncia falha".
Replicao de base Processo de gerao de cpia de uma base de dados.
de dados Vide "espelhamento de discos".
Conjunto de aes adotadas de forma a mitigar o impacto
Resposta
de um desastre ainda durante sua ocorrncia. Vide "plano
emergencial
de resposta emergencial".
Diz-se da recuperao fsica da infra-estrutura que tenha
Restaurao
sido impactada por um desastre. Vide "plano de retorno".
a probabilidade da concretizao de um evento que
Risco de segurana possa causar perdas significativas por causar danos a um
ou mais aos ativos da organizao.
A gesto de risco reduz o risco a um patamar aceitvel. O
Risco residual risco que ainda venha a existir aps a adoo de medidas
preventivas e de controle denominado de risco residual.
"Recovery point objective" vem a ser a posio (no tempo)
na qual devero estar disponveis os dados das
aplicaes recuperadas por ocasioaps a ocorrncia de
RPO
um desastre. O RPO est diretamente relacionado com o
processo e freqncia de gerao de cpias de
segurana.
"Recovery time objective" vem a ser o tempo pr-definido
RTO no qual um processo dever estar disponvel aps a
decretao do no regime de contingncia.
Teste de mesa Vide "walk-through" (teste).
Diz-se da capacidade de um sistema de computador
Tolerncia falha superar falhas de um de seus componentes atravs do
uso de recursos redundantes. Vide "redundncia".
Unidade de gerao de energia eltrica autnoma,
usualmente tendo como fonte um conjunto de baterias.
Deve estar instalada de forma a no haver
UPS / "No-break" descontinuidade de fornecimento de energia eltrica para
os equipamentos crticos quando de uma falha de
suprimento da rede pblica (UPS = "uninterruptible power
supply").
Ponto fraco que venha a expor um ativo crtico a um
Vulnerabilidade
possvel ataque de uma ameaa.
"Walk-through" (teste) Tipo de prtica onde feita uma

154