Escolar Documentos
Profissional Documentos
Cultura Documentos
SEGURANÇA DE REDES
AUTORIA:
Gilberto Oliveira
1
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Módulo de: Segurança de Redes
Autoria: Gilberto Oliveira
Várias marcas registradas são citadas no conteúdo deste módulo. Mais do que simplesmente listar esses nomes
e informar quem possui seus direitos de exploração ou ainda imprimir logotipos, o autor declara estar utilizando
tais nomes apenas para fins editoriais acadêmicos.
Declara ainda, que sua utilização tem como objetivo, exclusivamente na aplicação didática, beneficiando e
divulgando a marca do detentor, sem a intenção de infringir as regras básicas de autenticidade de sua utilização
e direitos autorais.
E por fim, declara estar utilizando parte de alguns circuitos eletrônicos, os quais foram analisados em pesquisas
de laboratório e de literaturas já editadas, que se encontram expostas ao comércio livre editorial.
2
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
A presentação
O mundo atual é um sonho para muitos que se esforçaram para conseguirmos acessar
lugares distantes através de uma rede de computadores. Nem mesmo os inventores do TCP
/ IP, nem da Internet, poderiam imaginar a extensão e a extensão deste projeto, bem como
seu uso nos mais diversos segmentos mundiais, que causou em todo o mundo a propagação
de uma nova cultura digital.
Do ponto de vista técnico, alcançamos a era digital, sem termos acoplados os conceitos de
segurança para esta grande rede, pois o que seria apenas uma pequena rede militar, tornou-
se a grande rede mundial. Os protocolos não foram criados para serem utilizados em tão
larga escala em termos de segurança, pois apresentam diversas vulnerabilidades. Mas, é
complicado mudá-los, pois é um padrão mundial.
Esta matéria tem como objetivo fornecer conceitos importantes de segurança para serem
aplicados em paradigmas do mundo real, como soluções a serem implantadas nos mais
diversos níveis da Internet, para que de acordo com o valor dispensado a esta meta, seja
feito o melhor aproveitamento possível da verba, direcionando os esforços a uma maior
segurança das informações.
3
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Este esforço vem ao contrário dos objetivos da Internet, que é interligar todas as redes do
mundo, porém, sem este trabalho teríamos receio de acessar a Web e disponibilizar
informações pessoais ou comerciais. Este é um campo em ascensão e ainda, muito restrito,
porém promete grandes oportunidades para os que almejam atuar nesta área.
O bjetivo
E menta
4
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
S obre o Autor
Formação
Experiência
5
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
S UMÁRIO
UNIDADE 1 ................................................................................................................................................................... 9
CONCEITUAÇÃO DE SEGURANÇA e AMEAÇAS ORGANIZACIONAIS........... 9
UNIDADE 2 ................................................................................................................................................................ 18
OS ATACANTES .............................................................................................................................................. 18
UNIDADE 3 ................................................................................................................................................................ 25
SEGURANÇA CONTINUADA................................................................................................................ 25
UNIDADE 4 ................................................................................................................................................................ 30
TIPOS DE ATAQUES E CLASSIFICAÇÃO ................................................................................ 30
UNIDADE 5 ................................................................................................................................................................ 44
CONTINUAÇÃO ................................................................................................................................................ 44
UNIDADE 6 ................................................................................................................................................................ 53
CONTINUAÇÃO ................................................................................................................................................ 53
UNIDADE 7 ................................................................................................................................................................ 62
CONTINUAÇÃO ................................................................................................................................................ 62
Objetivo: Conhecer o universo de estudo, Conceituação de Segurança e
Ameças..................................................................................................................................................................... 62
UNIDADE 8 ................................................................................................................................................................ 72
CONTINUAÇÃO ................................................................................................................................................ 72
UNIDADE 9 ................................................................................................................................................................ 74
PLANO DE CONTINGÊNCIA ................................................................................................................. 74
UNIDADE 10 ............................................................................................................................................................. 79
CONTINUAÇÃO ................................................................................................................................................ 79
UNIDADE 11 ............................................................................................................................................................. 84
NBR ISO/IEC DE SEGURANÇA.......................................................................................................... 84
UNIDADE 12 ............................................................................................................................................................. 93
6
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
ÁREAS DE CONTROLE DO ISO 17799....................................................................................... 93
UNIDADE 13 .......................................................................................................................................................... 102
MEDIDAS, MONITORAMENTO E RISCOS NA SEGURANÇA .............................. 102
UNIDADE 14 .......................................................................................................................................................... 112
POLÍTICAS, REGRAS E ESTATÍSTICAS DE INVESTIMENTOS EM
CONTINGÊNCIA DE GRANDES EMPRESAS ..................................................................... 112
UNIDADE 15 .......................................................................................................................................................... 118
COMPONENTES DE SEGURANÇA: FIREWALL .............................................................. 118
UNIDADE 16 .......................................................................................................................................................... 128
FILTROS E GATEWAYS ........................................................................................................................ 128
UNIDADE 17 .......................................................................................................................................................... 136
CONTINUAÇÃO ............................................................................................................................................. 136
UNIDADE 18 .......................................................................................................................................................... 142
NAT, VPN E LIMITAÇÕES NO USO DE FIREWALL ...................................................... 142
UNIDADE 19 .......................................................................................................................................................... 148
ARQUITETURA E PROJETO DE FIREWALL....................................................................... 148
UNIDADE 20 .......................................................................................................................................................... 154
SISTEMAS DE DETECÇÃO DE INTRUSÃO ......................................................................... 154
UNIDADE 21 .......................................................................................................................................................... 163
NIDS E HIDS ..................................................................................................................................................... 163
UNIDADE 22 .......................................................................................................................................................... 170
HONEYPOT E METODOLOGIA ....................................................................................................... 170
UNIDADE 23 .......................................................................................................................................................... 175
IDS E PADRONIZAÇÃO.......................................................................................................................... 175
UNIDADE 24 .......................................................................................................................................................... 179
VPN E CARACTERÍSTICAS ................................................................................................................ 179
UNIDADE 25 .......................................................................................................................................................... 185
FUNDAMENTOS E APROFUNDAMENTO SOBRE VPN............................................ 185
7
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
UNIDADE 26 .......................................................................................................................................................... 193
CRIPTOGRAFIA ............................................................................................................................................ 193
UNIDADE 27 .......................................................................................................................................................... 199
CHAVES CRIPTOGRÁFICAS ............................................................................................................ 199
UNIDADE 28 .......................................................................................................................................................... 208
ATAQUES A SISTEMAS CRIPTOGRÁFICOS ..................................................................... 208
UNIDADE 29 .......................................................................................................................................................... 211
AUTORIDADE CERTIFICADORA E CERTIFICADOS................................................... 211
UNIDADE 30 .......................................................................................................................................................... 215
AUTENTICAÇÃO........................................................................................................................................... 215
GLOSSÁRIO.......................................................................................................................................................... 231
BIBLIOGRAFIA ................................................................................................................................................... 232
8
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 1
CONCEITUAÇÃO DE SEGURANÇA E AMEAÇAS ORGANIZACIONAIS
1. INTRODUÇÃO
Para muitos o mundo atual é um sonho para conseguir acessar lugares distantes através de
uma rede de computadores. Nem mesmo os inventores do TCP/IP e Internet poderiam
imaginar a extensão deste projeto, bem como seu uso nos mais diversos segmentos
mundiais, que causou em todo o mundo a propagação de uma nova cultura digital.
O objetivo desta matéria não é esgotar ao máximo o tema e, sim, fornecer conceitos
importantes de segurança para serem aplicados em paradigmas do mundo real, como
soluções a serem implantadas nos mais diversos níveis da Internet, para que de acordo com
9
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
o valor dispensado a esta meta, seja feito o melhor aproveitamento possível da verba,
direcionando os esforços a uma maior segurança das informações.
Este esforço vem contrário aos objetivos da Internet, que é interligar todas as redes do
mundo, porém, sem este trabalho teríamos receio de acessar a Web e disponibilizar
informações pessoais ou comerciais. Este é um campo em ascensão e ainda muito restrito,
porém promete grandes oportunidades para os que almejam atuar nesta área.
Porém, os maiores ataques que causam prejuízos às organizações não são os externos,
mas os internos que ocorrem a partir da própria rede. Para complicar este cenário, antes
queríamos que as pessoas externas a organizações não conseguissem enxergar as redes
corporativas. Atualmente, o grande desafio das organizações é a disponibilização de
serviços através das redes externas, Internet, como se os parceiros comerciais estivessem
dentro da empresa, e para isto ocorre o acesso à rede interna.
10
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
2.1. A Tecnologia da Informação (TI) no mercado globalizado
Informação: ao associarmos o nome a uma pessoa específica, com sua cor de olhos e
pele, data de nascimento, temos uma informação, pois os dados começam a ter
sentido.
Nas décadas 80-90, com a chegada das redes corporativas, a TI é utilizada para guardar não
mais dados, mas informações consistentes e processadas. A informática avança na
administração e é parte da estratégia da empresa para minimizar seus custos. O importante
é a integridade da informação.
A partir da década de 90, temos uma nova preocupação: disponibilidade. Temos as redes IP,
tornando-se essencial aos negócios e são armazenadas nos sistemas informatizados não
mais informações, mas conhecimentos – o objeto a ser protegido nos computadores.
11
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Atualmente, o mundo globalizado exige uma nova postura das empresas: alta
competitividade na disputa de novos mercados. Mas, como conseguir atingir o maior número
de mercado e ser mais eficiente do que o concorrente, oferecer um melhor produto, com
maior eficiência e manter um bom relacionamento? Através de sistemas interligados via
rede, que conseguem atingir clientes nos mais diversos pontos geográficos, com sistemas
que provêem esta nova visão mercadológica e globalizada.
Diante do exposto, para qualquer organização é necessário observar alguns requisitos, como
infra-estrutura em telecomunicações e sistemas informatizados capazes de prover as
necessidades do mundo atual, tornando a informática um acessório de auxílio na execução
de atividades de forma centralizada e mais rápida e, principalmente, parte do negócio da
organização que possibilita sua posição diante do cenário mundial.
Desta forma, surge a necessidade da criação dos chamados ambientes corporativos, que
nada mais é do que a interação de terceiros dentro da empresa, para que os parceiros de
negócios consigam atuar de forma mais rápida e eficiente, maximizando o tempo entre a
necessidade e o fechamento do negócio entre empresas, tornando-se, muitas vezes, peça
fundamental e seletiva entre empresas. Como exemplo, citamos as montadoras de
automóveis do Brasil.
Ao ser solicitado um carro, todas as peças são solicitadas on-line aos parceiros comerciais,
que as entregam dentro do prazo esquematizado, pois seguem um padrão de fabricação
dependendo da demanda, e faz com que na data prometida o carro solicitado seja entregue
ao cliente. Isto tudo oferece muitas vantagens às empresas, principalmente porque não é
mais necessário trabalhar com grandes estoques. A tecnologia oferece ainda a possibilidade
de dispor de acessos remotos a clientes externos e internos, usuários móveis e comunicação
entre filiais.
Agora iremos refletir como poderemos minimizar estes impactos negativos dentro da
organização, através de técnicas, metodologias e tecnologias de segurança.
3. AS AMEAÇAS ORGANIZACIONAIS
Ameaças físicas.
Ameaças lógicas.
14
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Ameaça ocupacional.
Ameaça à confidencialidade.
Ameaça ambiental.
São aquelas que os recursos materiais utilizados no ambiente de informação estão expostos,
colocando em risco a integridade operacional da organização. Infelizmente, em muitas
empresas, se gasta muito em segurança das informações e terminam se esquecendo de
proteger o patrimônio. Exemplos:
Falha de energia.
Temperatura do equipamento.
Ocorrem quando acontece uma modificação da capacidade funcional devido a dolo, acidente
ou erro de recursos:
15
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Hacker ou usuários que conseguem acesso e usam de forma ilegais sistemas
corporativos.
Pirataria de software.
Espaço físico.
Layout.
Temperatura.
Iluminação.
Revelação de informações.
Interrupção de Serviços.
As ameaças podem ser acidentais, ou intencionais, podendo ser ambas ativas ou passivas:
17
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 2
OS ATACANTES
4. CONHECENDO OS ATACANTES
Hacker significa pessoas que utilizam seus conhecimentos para invadir sistemas de
computadores, com intuito de desafiar suas habilidades. Esta definição possui denotação
diferente daquela que muitas vezes empregamos: hacker é aquele que invade sistemas
computacionais visando causar transtornos às vitimas. Podemos dizer que a maioria dos
hackers são pessoas que colocam o conhecimento em informática como algo de destaque
em suas vidas, uma forma de poder. Em geral, são excelentes programadores de linguagens
de alto nível, como C, juntamente com assembler (que apesar de ser de baixo nível
apresenta compatibilidade e versatilidade) e, conhecem muito bem redes de computadores.
Antigamente, somente existiam hacker e cracker – aqueles que causavam danos a sistemas
e roubavam informações – e, como curiosidade, os hackers não gostavam, pois acabavam
sendo incorporados a eles esta característica. Atualmente, esta classificação foi alterada e
18
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
de acordo com estudos realizados, temos diversas outras classificações para os diversos
tipos e níveis de hacker. Os mais conhecidos:
Hackers. Phreakers.
Cyberpunks. Cyberterrorista.
Carders.
Com técnicas estudadas e algumas próprias, eles procuram brechas e possíveis falhas no
sistema, e relatam o que foi achado e se existe uma forma para consertar. Infelizmente este
conceito de hacker mudou depois de Kevin Mitinick, que utilizava estas técnicas para roubar
informações vitais principalmente do governo americano. Depois que Mitnick foi preso, a
mídia mundial o chamou de hacker, e o termo ficou assim conhecido por todos como sendo a
pessoa que invade e rouba informações de sistemas.
Com a nova economia gerada pelos computadores e pela Internet, é comum que as
empresas guardem suas informações em formato digital, e também é comum a contratação
de hackers por outras empresas, para espionagem industrial. Um hacker não age somente
na Internet. Para descobrir informações que possam levá-lo a conseguir completo controle
sobre o sistema, faz um verdadeiro trabalho de detetive.
19
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Um livro que ilustra muito bem esta situação é “A Arte de Enganar”, do Kevin Mitnick. Hoje,
ele é proibido de acessar qualquer computador e presta consultoria de segurança para
diversas organizações mundiais, conforme a liberação do governo americano. No livro, ele
narra vários episódios de acesso a informações sigilosas. Ele não diz que foi ele quem
obteve o acesso, mas muita gente acredita que sim. Pelo sim ou pelo não, é válido ler para
verificar como podemos ser enganados facilmente.
4.1.2. Full Fledged ou Crackers: utiliza suas habilidades para invadir sistemas e roubar
informações secretas das empresas, sendo os verdadeiros terroristas da Internet, com intuito
de roubar e destruir dados. Não medem conseqüências, contanto que consigam o que
querem. Não são de confiança e costumam ser desprezados pelos próprios hackers.
Em geral, são pessoas inexperientes, que possuem conhecimento médio sobre como
navegar na Internet, e utilizam pequenos programas para tentar invadir computadores
(normalmente de usuários domésticos) disponíveis na Internet. Eles não entendem o que
estão fazendo, nem o que significa o programa. São freqüentadores de salas de chat, onde
procuram trocar informações com pessoas mais experientes. São perigosos para as
organizações que não possuem uma política de segurança adequada, por isso apresentam
algumas vulnerabilidades, como atualização de patch em servidor, sistemas operacionais e
banco de dados. Porém, foi devido a este tipo de hacker que as organizações começaram a
20
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
perceber o valor da segurança e realizarem procedimentos que minimizem os efeitos deste
tipo de ataque, pois uma imensa maioria na Internet e também é o que mais causa incidente.
Um fator interessante é que pelos conhecimentos dos scripts kiddies serem limitados, muitas
vezes servidores Windows sofre ataques com comandos Unix.
4.1.4. Lammers: são script kiddies que estão começando a entender como o programa de
invasão funciona, e descobrem locais onde podem trocar informações e aprender alguma
técnica de hackerismo.
Gostam de falar em salas de chat que conseguem invadir sistemas, querendo se apresentar
a Internet. Às vezes, em chat fazem "flood" (ou inundação de informações). Felizmente, para
cada grupo de Lammers que aparecem hoje na Internet, somente uns poucos conseguem
chegar a se tornar hackers propriamente ditos.
4.1.5. Wannabe: são lammers que conseguiram invadir computadores com o uso de um
programa ou parar os sistemas de um provedor pequeno ou empresa utilizando alguma
técnica. O nome "Wannabe" surgiu devido ao número crescente de lammers, que "querem
ser" hackers, e possuem algum conhecimento para isto.
São aprendizes e se bem orientados, podem se tornar bons hackers. É comum escutar
notícias de sites na Internet pichados pelos wannabe.
4.1.6. Cyberpunks: são hackers que se dedicam à invasão por divertimento e desafio.
Possuem profundos conhecimentos e preservam sua privacidade, utilizando criptografia em
suas comunicações.
21
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Eles acreditam que o governo tenta captar as informações das pessoas na Internet,
tornando-se um grande inimigo. São os mais extremistas que acreditam e divulgam as
teorias de conspiração que, muitas vezes, encontramos na Web.
4.1.7. Carders: são especialistas em roubar números de cartões de crédito e utilizar estes
números para comprar via Internet. Como os crackers, os carders são hackers que, ou
conseguiram invadir um sistema de uma operadora de cartões de crédito, ou trabalhavam no
setor de Informática de uma operadora. Este tipo de hacker costuma causar grandes
prejuízos as operadoras e empresas, obrigando estas a revisar a segurança constantemente.
4.1.9. Insiders: são os responsáveis pela maioria dos incidentes graves nas organizações.
Este tipo de ataque é originário da própria organização, podendo ser realizado a partir da
engenharia social ou até mesmo relação de funcionário com o chefe, através da espionagem
industrial e suborno.
Uma nova modalidade do crime organizado é a espionagem industrial, atribuída aos insiders.
E a demanda para estes hackers é grande, pois vivemos numa sociedade baseada no
22
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
conhecimento e informação. Muitas pessoas nas organizações não sabem do valor que
possuem em suas mãos.
O valor do prejuízo por roubo destas informações correspondeu a 151 milhões de dólares e o
segundo colocado – a fraude financeira – a 93 milhões de dólares. Os funcionários são as
maiores ameaças para a empresa por possuírem fácil acesso a informações, por conhecer
pessoas de outros setores, ou seja, a fonte de informações importantes e ter acesso a
diversas informações da empresa.
Insiders geralmente são funcionários insatisfeitos com a empresa ou chefe, pois são mais
fáceis de ser manipulados por concorrentes, que sabem como persuadir as pessoas que se
encontram neste tipo de situação.
Outro controle importante é das pessoas da limpeza e manutenção predial, pois possuem
acessos a diversas áreas restritas. A engenharia social pode ser utilizada nestas pessoas
para a obtenção de diversas informações importantes.
4.1.10. Coders: são os hackers que compartilham seus conhecimentos escrevendo livros,
ministrando palestras e seminários sobre sua experiência. É uma atividade lucrativa para os
coders. Kevin Mitnick, mais uma vez, é um exemplo.
23
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
4.1.11. White hat: “hackers do bem”, “hackers éticos”, samurais ou sneakers, são os que
utilizam seus conhecimentos para descobrir vulnerabilidades nos sites, aplicando as
correções necessárias. Trabalham de forma legal dentro da organização, exercendo a
função de assegurar a segurança organizacional.
Em suas atividades estão os testes de invasões, para que se possa mensurar o nível de
segurança da rede, porém deve-se limitar este processo, para que dados sigilosos a
empresa não sejam expostos.
O serviço de um white hat é importante, mas deve-se tomar cuidado para que o mesmo não
queira cobrar a mais do que o combinado a fim de aplicar a correção à vulnerabilidade.
Infelizmente, é preciso constantemente realizar esta atividade, pois a cada nova implantação
podemos estar disponibilizando novas brechas de segurança.
4.1.12. Gray hat: são os black hats que fazem papel de white hats, exercendo função na
área de segurança, tendo conhecimento em hacking.
Empregar um gray hat é perigoso para a organização, pois muitas vezes provocam
incidentes para ajudar na resolução – e receber por isto. Existem casos de gray hats que
foram contratados para encontrar e corrigir vulnerabilidades, porém o serviço não foi feito.
4.1.13. Cyberterrorista: são aqueles que realizam ataques a um alvo direcionado, escolhido
cuidadosamente por questões religiosas, políticas ou comerciais, derrubando a comunicação
entre a Internet e a empresa, principalmente com ataques DoS (Denial of Service). Podemos
citar o ataque no site da SCO e Microsoft no ano de 2003, que devido a ataque coordenado
ficou indisponível e obteve na mídia grande destaque.
24
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 3
SEGURANÇA CONTINUADA
Esse mesmo comportamento pode ser observado no mundo da informação, de modo que
também se deve ter em mente que a segurança deve ser contínua e evolutiva. Isso ocorre
porque o arsenal de defesa usado pela organização pode funcionar contra determinados
tipos de ataques; porém, pode ser falho contra novas técnicas desenvolvidas para driblar
esse arsenal de defesa.
25
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Veja alguns fatores que devem ser considerados para a preocupação com a segurança
contínua:
c. Novas formas de ataques são criadas: a própria história mostra uma evolução constante
das técnicas usadas para ataques, que estão cada vez mais sofisticadas. A mistura de
diferentes técnicas, o uso de tecnologia para cobrir vestígios a cooperação entre atacantes e
a criatividade são fatores que tornam a defesa mais difícil do que o habitual;
26
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
e. Existência tanto de ataques direcionados quanto de ataques oportunísticos: apesar
de a maioria dos ataques registrados ser oportunística, os ataques direcionados também
existem em grande número. Esses ataques direcionados podem ser considerados mais
perigosos, pois, existindo a intenção de atacar, a estratégia pode ser cuidadosamente
pensada e estudada, e executada de modo a explorar o elo mais fraco da organização.
Esses são, geralmente, os ataques que resultam em maiores prejuízos, pois não são feitos
de maneira aleatória, como ocorre com os ataques oportunísticos. Isso pode ser observado
também pelo nível de agressividade dos ataques. Quanto mais agressivo é o ataque, maior é
o nível de esforço dispensado em um ataque a um alvo específico. É interessante notar
também que a agressividade de um ataque está relacionada com a severidade, ou seja,
maiores perdas;
f. A defesa é mais complexa do que o ataque: para o hacker, basta que ele consiga
explorar apenas um ponto de falha da organização. Caso uma determinada técnica não
funcione, ele pode tentar explorar outras, até que seus objetivos sejam atingidos. Já para as
organizações, a defesa é muito mais complexa, pois exige que todos os pontos sejam
defendidos. O esquecimento de um único ponto faz com que os esforços dispensados na
segurança dos outros pontos sejam em vão. Isso acaba se relacionando com uma das
principais falácias do mundo corporativo: a falsa sensação de segurança. É interessante
notar que, quando o profissional não conhece os riscos, ele tende a achar que tudo está
seguro com o ambiente. Com isso, a organização passa, na realidade, a correr riscos ainda
maiores, que é o resultado da negligência. Isso acontece com os firewalls ou com os
antivírus, por exemplo, que não podem proteger a organização contra determinados tipos de
ataques.
27
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
g. Aumento dos crimes digitais: o que não pode ser subestimado são os indícios de que
os crimes digitais estão se tornando cada vez mais organizados. As comunidades criminosas
contam, atualmente, com o respaldo da própria Internet, que permite que limites geográficos
sejam transpostos, oferecendo possibilidades de novos tipos de ataques. Além disso, a
legislação para crimes digitais ainda está na fase da infância em muitos países, o que acaba
dificultando uma ação mais severa para a inibição dos crimes.
FÓRUM I
As Ameaças Organizacionais
28
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
O que é assinatura digital.
http://www.jf.jus.br/cjf/tecnologia-da-informacao/identidade-digital/o-que-e-assinatura-digital
29
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 4
TIPOS DE ATAQUES E CLASSIFICAÇÃO
30
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
sendo algo muito pesquisado e está aumentando oportunidades de se trabalhar nas
organizações nesta atividade.
O maior problema para as organizações é que os softwares adquiridos não estão sendo
desenvolvidos para atender o quesito segurança, mas por estratégia de marketing, que diz
que o produto realiza determinada tarefa e irá estar disponível no mercado em determinada
data, minimizando o tempo de desenvolvimento e teste. Construir sistemas seguros exige
maior disponibilidade de tempo e uma metodologia que propicie este comportamento.
Diversos testes devem ser realizados, mas a maior parte das organizações sequer testa
suas aplicações devidamente, sistemas operacionais e ferramentas para gerenciamento. É
fácil afirmar pela quantidade de atualizações que são necessárias no decorrer da vida útil
dos softwares que utilizamos.
Utilização de senhas de fácil dedução que podem ser obtidas através de capturas
(packet sniffing).
Uso impróprio de ferramentas para gerenciamento, como sniffing – que serve para
diagnosticar problemas na rede – e por scanning – identifica portas ativas do sistema,
e serviços por porta.
31
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
A maior parte dos hackers na Internet são os newbies ou script kiddies e seus ataques são
os mais simples (atacam vulnerabilidades do sistema operacional ou parecido, através de
programas disponíveis da Web). Ao menos, este tipo de ataque deve não comprometer a
continuidade dos negócios da empresa.
Os motivos que levam um hacker a invadir um site são diversos. Os script kiddies nem
sabem o que estão fazendo, mas querem realizar ataques. Os insiders ou black hats têm um
perfil diferente, realmente querem roubar informações sigilosas e invadir sistemas causando
prejuízos às vitimas, causando os maiores transtornos aos sites. Os cyberterroristas também
são perigosos para seus alvos, pois podem comprometer a infra-estrutura até mesmo de
uma nação. Se um hacker com a experiência deles decidem invadir algum sistema obtendo
primeiramente a maior quantidade de informações de seu alvo.
Monitoração de rede.
32
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
As conseqüências são diversas, pois depende da segurança implementada na rede atacada.
Exemplos:
Salienta-se o fato de que os hackers tentam esconder suas evidências de ataque, alterando
logs do sistema operacional, trocando arquivos de configuração, entre outros procedimentos.
Entretanto, existem formas de não permitir estes processos, através dos Sistemas de
Detecção de Intrusão.
33
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
5.3. Tipos de Ataques
Ataques físicos.
War Dialing.
No Brasil, esta técnica é muito utilizada pelos hackers, pois nossa cultura é menosprezar
o valor do lixo. Para amenizar este risco, é importante distribuir fragmentadoras de
papéis, pra evitar que o cruzamento das informações, que constam em papéis
descartados no lixo, sejam cruzadas e transformadas em acesso a informações de
clientes ou usuários. Esta prática deve ser incorporada à política da empresa.
34
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
b) Engenharia social: é a técnica que explora as fraquezas humanas e sociais, ao invés da
tecnologia, com objetivo de persuadir as pessoas, enganando e empregando falsas
identidades, a fim de obter informações como senhas, ou dados que sejam importantes
para invadir o sistema.
Muitas vezes, é utilizado termos da própria organização para obter êxito neste processo.
De forma clássica, o hacker se passa por alguém da alta hierarquia da empresa e
consegue as informações que precisam, ou usa novos funcionários contratados para
conseguirem dados que de outra forma não conseguiriam.
Exemplos:
1: Um desconhecido liga para a sua casa e diz ser do suporte técnico do seu provedor, e que
sua conexão com a Internet está apresentando algum problema e, então, pede sua senha
para corrigi-lo. Caso você entregue sua senha, este suposto técnico poderá realizar uma
infinidade de atividades maliciosas, utilizando a sua conta de acesso a Internet e, portanto,
relacionando tais atividades ao seu nome.
2: Você recebe uma mensagem via e-mail, dizendo que seu computador está infectado por
um vírus. A mensagem sugere que você instale uma ferramenta disponível em um site da
Internet, para eliminar o vírus de seu computador. A real função desta ferramenta não é
eliminar um vírus, mas permitir que alguém tenha acesso ao seu computador e a todos os
dados nele armazenados.
3: Você recebe uma mensagem via e-mail, onde o remetente é o gerente ou o departamento de
suporte do seu banco. Na mensagem é mencionado que o serviço de Internet Banking está
apresentando algum problema e que tal problema pode ser corrigido se você executar o
aplicativo que está anexado a mensagem. A execução deste aplicativo apresenta uma tela
análoga àquela que você utiliza para ter acesso à conta bancária, aguardando que você digite
sua senha. Na verdade, este aplicativo está preparado para furtar sua senha de acesso
à conta bancária e enviá-la para o atacante.
35
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Os discursos apresentados nos exemplos mostram ataques típicos de engenharia social que
procuram induzir o usuário a realizar alguma tarefa e o sucesso do ataque depende única e
exclusivamente da decisão do usuário em fornecer informações sensíveis ou executar
programas. Citamos o exemplo ocorrido à AOL em outubro de 1998, que através da
engenharia social, um hacker conseguiu alterar o DNS e direcionar todo o tráfego para um
outro servidor, que não era do provedor.
Packet Scanning ou eavesdropping: consiste na captura de pacotes que trafegam pela rede.
Diversos softwares realizam esta tarefa, como snoop do Solaris, tcpdump do Linux, utilizados
para resolução de problemas de rede.
36
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
As informações obtidas pelos sniffers são referentes a pacotes que trafegam pelo segmento
que o software esta funcionando. Disponibilizam diversas ferramentas de filtros, que auxiliam
na detecção de problemas e identificação de transações. Fazer sniffer na rede é muito
importante para os administradores, porém em mãos de hackers é um grave problema para
a organização. Para minimizar este problema, é recomendável segmentar a rede, através de
switch ou roteadores, pois este procedimento dificulta o entendimento do tráfego.
Outros tipos de informação capturada através de sniffers são as senhas sem criptografia, ou
seja, que trafegam com FTP, Telnet ou Pop. Os e-mails também perdem sua
confidencialidade através dos sniffers. Como medida de segurança, é recomendável o uso
de criptografia, como SSH ou IPSec, ao invés do Telnet. É importante também, o uso de
criptografia nos e-mails.
Há técnicas diversas para descobrir se um sniffer está sendo executado. Um deles e mais
simples é verificar se existe, em cada equipamento da rede, seu processo em execução,
porém é comum que os hackers o inibam da lista, dificultando a percepção dos
administradores. O mesmo ocorre com a verificação de equipamentos em execução de
modo promíscuo.
. O DNS Detecction utiliza a característica de alguns sniffers de realizar o DNS Reverso onde
um tráfego com endereço falso é colocado na rede e, o sniffer captura o tráfego e tenta
resolver o nome através do DNS. O DNS consegue saber quantos sniffers estão na rede,
porém não consegue localizar os segmentos.
37
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
. O Load Detecction é a detecção a partir do comportamento de um equipamento quanto a
tempo de resposta, levando em consideração que o equipamento onde está sendo
executado sniffer possui um tempo de resposta maior do que o normal. Em geral, é enviado
um pacote teste para realizar a análise estatística. Entretanto, esta técnica não funciona com
eficiência em redes de muito tráfego e banda considerável, pois torna-se semelhante o
tempo de resposta com e sem sniffer.
Um caso prático: Como proteger sua senha contra Sniffers: se o usuário possui uma senha
adequada, a troca é realizada com certa regularidade e um dia é surpreendido por uma
invasão em sua conta, por exemplo. As evidências indicam que invasões a contas de
terceiros partiram de sua conta e você não tem a menor idéia do que está acontecendo. Isto
é, alguém pode ter feito uso de sua conta e realizou estes atos como sendo você. Como isso
pode ter acontecido? Uma forte possibilidade é que você tenha sido vítima de um ataque de
sniffer. Mas, o que é isso?
Sniffers são programas que permitem a um atacante roubar sua senha e assim utilizar a sua
conta como se fosse você. Estes tipos de ataques são comuns. É muito importante que você,
como usuário Internet, tenha consciência de como suas senhas são vulneráveis e como
tomar medidas apropriadas para tornar sua conta mais segura. Selecionar uma boa senha e
regularmente trocar de senha ajuda bastante, mas também é muito importante que se
conheça quando se está vulnerável a sniffers e como lidar com eles.
Os sniffers são programas que permitem monitorar a atividade da rede registrando nomes
(username e senhas) sempre que estes acessam outros computadores da rede. Atuam
monitorando o fluxo de comunicação entre os computadores. Estes programas ficam
monitorando o tráfego da rede para capturar acessos a serviços de redes, como serviço de
e-mail remoto (IMAP e POP), acesso remoto (telnet, rlogin, etc), transferência de arquivos
(FTP), etc., com objetivo de obter a identificação de acesso à conta do usuário, caso esteja
nas mãos de um hacker. Cada um destes serviços utiliza um protocolo que define como uma
sessão é estabelecida, como sua conta é identificada e autenticada e como o serviço é
utilizado, e ao ser disponibilizado solicita uma autenticação, usuário e senha, neste momento
38
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
o hacker obtém sucesso na sua tentativa de saber dados alheios, ou seja, os dados que
mais interessam no snifffer, neste caso, são os do inicio da sessão.
A figura seguinte mostra o processo de "conversação" entre duas máquinas remotas, onde a
identificação do usuário passa "abertamente" pela rede de uma máquina para outra.
A máquina A inicia a conexão com a máquina B, que solicita identificação do usuário. Este
ao se autenticar na máquina remota B tem sua senha capturada pelo sniffer. Para entender
como um "sniffer" funciona é preciso saber que cada computador em uma LAN
compartilhada pode visualizar todos os pacotes de dados que transitam de um computador a
outro desta LAN. Assim, cada computador desta rede pode executar um programa sniffer
que verificará os pacotes, podendo os salvar em um arquivo.
39
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Basicamente, os seguintes passos são executados por atacantes:
Existem diversas razões que levam pessoas a roubar senhas, desde para simplesmente para
40
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
computadores, roubo de informações, etc). Um atrativo para os hackers é a capacidade de
utilizar a identidade de terceiros nestas atividades.
Uma das principais razões que atacantes tentam quebrar sistemas e instalar sniffers é poder
capturar rapidamente o máximo de contas possível, a fim de ocultar seus ataques. Parece
desesperador dizer tudo o que um sniffer pode fazer para uma rede, em mãos erradas. Mas,
o importante é saber onde estão os riscos e tentar se proteger de forma adequada.
Quando você tem seu cartão de crédito roubado ou desconfia que alguém pode estar utilizando-
o indevidamente, você cancela o cartão e solicita outro. Da mesma forma, como senhas podem
ser roubadas, é fundamental que você a troque regularmente. Esta precaução limita a
quantidade de tempo que uma senha roubada possa ser utilizada por um atacante.
Nunca compartilhe sua senha com outros. Este compartilhamento torna difícil saber onde
sua senha está sendo utilizada (e exposta) e é mais difícil detectar uso não autorizado.
Nunca forneça sua senha para alguém alegando que precisa acessar sua conta para corrigir
algum problema ou quer investigar uma quebra do sistema. Este truque é um dos métodos
mais eficazes de hacking, conhecido como "engenharia social".
Outro aspecto que você deverá levar em consideração é o nível de segurança da rede que
você utiliza ou administra. Se você estiver viajando e necessita acessar computadores de
sua organização remotamente. Por exemplo, pegar algum arquivo em seu home directory e
você tem disponível um cybercafé ou uma rede de outra organização. Você tem certeza que
pode confiar naquela rede? Você tanto pode estar sendo monitorado com sniffers quanto
pode ter algum trojan fornecendo suas informações a algum hacker.
Se você não tiver nenhuma alternativa para acesso remoto seguro e só tem disponíveis
recursos como Telnet, por exemplo, você pode minimizar o efeito negativo trocando a senha
ao final de cada sessão. Lembre-se que somente os primeiros pacotes (200 a 300 bytes) de
cada sessão carregam informações de seu login. Portanto, ao trocar sempre sua senha
antes de encerrar a sessão, esta não será capturada e a senha anterior que esteve exposta
à rede não será mais válida. É claro que é possível se capturar tudo que passar pela rede,
41
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
mas atacantes não tem interesse de lotar o sistema de arquivo rapidamente e com isso ser
facilmente descobertos.
As redes continuam vulneráveis a sniffers devido a diversos fatores. Podemos dizer que a
maior parte do problema é que as empresas tendem a investir mais em novos recursos do
que em adicionar segurança. Novas funcionalidades de segurança podem deixar os sistemas
mais difíceis de configurar e menos convenientes para utilizar.
Outra parte do problema está relacionada a custos adicionados por switchesEthernet, hubs,
interfaces de rede que não suportam o modo especial promiscuous que sniffers podem
utilizar.
Os sniffers são aplicações passivas, não geram nada que possa ser sentido facilmente pelos
usuários e/ou administradores. Em geral, não deixam rastros. Uma forma de detectar um
sniffer é verificar todos os processos em execução. Isto não é totalmente confiável, mas é
um bom ponto de partida. Comandos para listar processos em execução variam de
plataforma para plataforma. Se você estiver em uma máquina Unix, o sniffer aparecerá em
uma lista do comando ps, a menos que este ps seja um trojan (programa implementado pelo
atacante que aparentemente funciona como o esperado, mas efetuar funções desconhecidas
pelo usuário). No Windows, basta verificar na lista de processos em execução e para isto,
basta teclar <CTRL><ALT><DEL>.
Outra alternativa é procurar por um sniffer conhecido. Existe uma grande chance de o
atacante estar utilizando uma versão freeware. Obviamente, existe a possibilidade de o
atacante ter escrito o seu próprio sniffer e neste caso a busca fica mais difícil. É preciso
gastar mais tempo em analisar o que pode ter sido alterado pelo atacante. Por exemplo,
comparar backup de dias diferentes ou utilizar alguns programas que possam ajudá-lo nesta
atividade, como TripWire, ATP e Hobgoblin que são programas interessantes para checagem
da integridade do sistema e arquivos.
Placas de redes que não podem ser colocadas em modo promíscuo. Assim, os
computadores não podem ser transformados em sniffer.
Nos pacotes em trânsito pela rede, os dados são criptografados, evitando assim que
senhas trafeguem às claras.
43
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 5
CONTINUAÇÃO
Para um hacker, o port scanning favorece a redução de esforço quanto a ataques através de
portas que não estão disponíveis nenhum serviço, podendo atacar de forma mais
direcionada, conforme o serviço disponível e porta.
44
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Pesquisar e instalar um port scanner (não blues ou nmap) - Método
O nmap é o port scanning mais utilizado, sendo empregado em auditorias de Firewall ou IDS,
além de determinar falhas na pilha TCP/IP, que podem ser exploradas em ataques do tipo
DoS. Através do método fingerpriting, ele consegue identificar o sistema operacional dos
equipamentos scanneados. Existe ainda, a possibilidade de informar a seqüência de pacotes
TCP, o que esta sendo feito em cada porta, por usuário, o nome DNS e se o endereço pode
se tornar uma vítima do smurf.
45
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
“Uma característica muito utilizada do nmap é o scanning paralelo que auxilia na detecção de
estado de hosts pelos pings paralelos, filtragem de portas, decoy scanning, fragmentação de
pacotes e flexibilidade na especificação de portas e alvo. Outra informação útil, é que o nmap
informa o status de cada porta aberta, se aberta (aceita conexões), filtrada (o Firewall
impede que seja especificado o estado da porta) e não filtrada. Muitos Firewalls podem
protegê-lo contra o port scanning. O Firewall é um programa que monitora conexões de
entrada e saída para o seu computador. Um Firewall pode abrir todas as portas do seu
sistema de forma a interromper efetivamente o scan (varredura) de mostrar qualquer porta.
Embora essa abordagem funcione em muitos casos, port scan avançou com novas técnicas
como “ICMP port scan inacessível” e “Null scan”. Assim como é melhor tentar filtrar todas
port scans para o seu computador, também é importante estar ciente de que qualquer porta
que está aberta e na escuta precisa ser investigada.”
Se o hacker conseguir realizar o port scanning, conseguirá direcionar melhor seu ataque, na
porta e serviço disponibilizado correto, além de ter identificado o sistema operacional do alvo,
diminuindo o tempo gasto para causar o incidente de segurança.
46
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Falhas de protocolos utilizados na rede.
Checagem de trojans.
47
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
verdade não é). Outro fator é a necessidade de se atualizar constantemente com assinaturas
de novos ataques, para que o scanning seja o mais preciso possível.
Vê-se que através do scanning podemos obter dados importantes da rede. Isto é válido para
administradores e para hackers. Por isso, é vital que exista na rede Sistema de Detecção de
Intrusão (IDS) para não permitir que hacker exerça esta atividade.
Obtém informações sobre uma rede remota protegida por um firewall, e tem o funcionamento
similar ao traceroute.
Os pacotes analisados são registrados mesmo que passem via gateways, permitindo o
mapeamento dos roteadores antes dos Firewalls. Através destas informações, é possível
gerar a topologia da rede e obter informações sobre filtragens de pacotes no Firewall.
Uma das formas de se proteger contra o firewalking é proibindo o tráfego de pacotes ICMP
na rede, utilização de proxy ou Network Address Translation – NAT no Firewall (o NAT faz
com que um certo IP externo tenha receba uma tradução dentro da rede interna, outro IP e
vice-versa).
48
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
IP Spoofing: é uma técnica onde o endereço real do atacante é mascarado, evitando
do mesmo ser encontrado. É bem utilizado em sistemas autenticadores e em ataque
de negação de serviço ou Denial of Service (DoS), nos quais os pacotes de respostas
não são esperados.
O IP Spoofing não consegue entregar a resposta das requisições, pois o IP na realidade não
existe.
49
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
que se a empresa tem endereços 200.246.200.0 disponíveis externamente, o Firewall deve
negar conexão onde a origem é 200.246.200.0.
O Land pode auxiliar na pesquisa da vulnerabilidade TCP/IP, fazendo com que a origem e
destino tenham a mesma porta, caso estejam dentro da rede corporativa, evitando o IP
Spoofing de endereços internos a rede.
50
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
SYN flood ou ataque SYN é uma forma de ataque de negação de serviço (também
conhecido como Denial of Service – DoS) em sistemas computadorizados, na qual o
atacante envia uma seqüência de requisições SYN para um sistema-alvo e, ao atingirem um
alvo, deixam o sistema indisponível os usuários legítimos.
Na maioria das vezes, realizam o Syn Flood enviando grande número de conexões que não
são completadas, somente para aumentar o uso dos recursos aos equipamentos alvos. Um
exemplo, é o envio de Smurfs, que causam interrupção nos serviços.
A condição propícia para este tipo de ataque está no mau desenvolvimento de aplicações,
sistemas operacionais e protocolos, que fornecem brechas de segurança que podem ser
exploradas. Citamos como exemplo, os servidores Unix e Linu, que ao receberem um grande
número de conexões sem conseguir responder, seu processo sobe para o total de 1500,
causando uma parada no servidor. Do Windows, podemos citar o caso do mapeamento de
DLL, que ao ser acessado, pode referenciar outra DLL, com o mesmo nome, podendo
exercer atividade diferente.
Syn Flood: é o envio de conexões (Syn) em quantidade capaz de fazer com que o
servidor não consiga responder. A pilha da memória sofre overflow, desprezando as
requisições legítimas dos usuários. Pode ser evitado com a comparação com o
51
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
número de conexões novas e em aberto, alertando quando o valor padrão for
ultrapassado.
Outra vulnerabilidade é o controle dos pacotes que trafegam pela rede e sua seqüência, que
devem estar no padrão esperado. Para evitar este ataque deve-se aumentar a fila de
conexões e diminuindo o time-out handshake. Esta opção não elimina, mas minimiza o
problema.
FÓRUM II
Políticas De Segurança
52
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 6
CONTINUAÇÃO
Existe a capacidade máxima de cada tipo de meio físico de tráfego de dados, denominada
Maximun Transfer Unit ou MTU. A rede Ethernet limita a transferência a 1500 octetos e a
FDDI a 4770 octetos, por exemplo.
Como existem informações maiores que este tamanho, o endereço IP especifica que é
permitido fragmentar em pacotes as mensagens com tamanho maior que o MTU, afim de
que as mesmas atinjam o destino. Neste caso, o pacote é fragmentado de um tamanho que
possa trafegar pela rede, após negociação entre os hosts, de forma que no host destino seja
remontado.
53
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Existem alguns problemas neste processo:
. O quarto é que os filtros de pacotes não podem restringir a fragmentação. Usar NAT
não resolve estes problemas, pois o mesmo encontra-se vulnerável a este ataque.
Smurf e fraggle: Smurf é uma técnica que gera tráfego na rede através de broadcast
de ping (ICMPecho) na rede, a partir de um IP falsificado (IP Spoofing). Desta forma, a
rede tenta responder à requisição e não consegue, afetando o seu desempenho. O
fraggle seria a mesma técnica, porém utilizando o UDP echo.
54
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Ataque Smurf e fraggle (http://www.las.ic.unicamp.br/edmar/Palestras/UFV/Seguranca_Vulnerabilidades.pdf)
Para resolver este problema, o administrador deve configurar os roteadores a não permitirem
broadcast, não permitindo desta forma o uso de ping na rede.
Outra forma de minimizar problemas com Smurf é o egress filtering. O método consiste em
somente aceitar requisições de ping da rede corporativa, evitando que endereços
55
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
desconhecidos trafeguem pela rede. A filtragem se torna fundamental, especialmente para
ataques coordenados.
Endereço de IP do cliente.
Endereço de IP do servidor.
Todo byte enviado é identificado por uma seqüência de 32 bits, diferente em cada conexão e
de forma seqüencial, que é reconhecida pelo receptor da mensagem.
Aproveitando a desincronicidade do protocolo TCP, que não garante que a seqüência ser
preservada após estabelecida a conexão, dois hosts começam a trocar informações, então,
um terceiro host (do hacker) coloca a seqüência certa em seus pacotes, interferindo no meio
da comunicação, enviando pacotes válido, ocasionando o ataque chamado man-in-the-
middle. O problema deste ataque é a quantidade de TCP ACK, pois ao receber um ACK
invalido a seqüência é enviada a outro host sucessivamente, até que alguém o negue.
56
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
5.3.5. Ataques coordenados ou DDoS
Modalidade de ataque onde existem vários hosts que são coordenados por um hacker para
atacar determinado site ou servidor. É muito eficiente, pois normalmente a vítima não tem
como minimizar a situação, por não saber identificar a origem do ataque.
Trinoo: é um ataque DDoS para o protocolo UDP. Ele utiliza um reduzido número de
servidor máster e grande número de daemons, instruídos para atacar certos IP’s. O
trinoo não utiliza IP Spoofing e o tráfego com os servidores masters requerem senhas.
Em 1999, este tipo de ataque tornou indisponível o site da Universidade de Missota.
Porém, este tipo de ataque possui assinatura que pode ser colocada no IDS para sua
57
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
detecção, além de outros pontos falhos que podem ser diagnosticados, mas existe
aumento de complexidade de gerenciamento.
TFN: é um ataque DDoS para o protocolo TCP e implementa o IP Spoofing, TCP SYN
Flooding e ICMP . O processo é acionado quando o hacker dá especificação aos
masters para iniciar o ataque através dos daemons. Neste tipo de ataque, as origens
e os pacotes podem ser alterados de forma aleatória. Existe assinatura que ajudam
sua detecção na rede para IDS.
Buffer Overflow.
Vírus.
Trojans.
Worms.
Buffer Overflow: é um ataque onde o hacker envia mais dados do que o tamanho do
buffer, preenchendo o espaço da pilha, com intuito de que os dados sejam perdidos
devido a falha na camada de aplicação, sendo possível a execução de comandos que
podem dar permissão, até mesmo de administradores do sistema, reescrevendo o
código na pilha do sistema. É um dos ataques mais utilizados por hackers.
58
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Frames no cache da pilha (www.inf.ufrgs.br)
Um exemplo prático que pode acontecer é um hacker enviar uma string na URL com
tamanho superior ao manipulável. Se a aplicação não estiver tratando esta situação, é
possível acontecer pane no sistema, ajudando a acontecer um ataque buffer overflow. Por
este ataque ser característico de cada aplicação sua prevenção é muito complicada – em
geral, está resumida à correção em aplicativos. A maior parte destas correções são geradas
a partir dos incidentes ocorridos, de forma reativa. É o famoso desenvolvimento voltado à
venda e não a segurança, conforme expomos nesta disciplina.
Há uma técnica que pode auxiliar neste processo, que na realidade vem localizar de forma
aleatória o buffer overflow, não permitindo que o hacker venha a gravar as informações da
maneira que lhe é interessante (seqüencialmente) e com conhecimento de sua localização
na pilha. Um produto que oferece este recurso é o Secured da Memco.
59
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Poison null: possibilita a visualização do conteúdo dos diretórios, muitas vezes
permitindo a alteração e consulta através de servidores Web, utilizando o
mascaramento dos comandos de checagem de segurança CGI (null byte – pacote de
dados não detectados pelo scriptCGI).
Upload Bombing: ataque direcionado a sites com upload, cuja finalidade é enviar
arquivos que preencham o disco rígido da vítima, já que não é realizada a checagem
de espaço em disco disponível.
Web Spoofing ou Hyper Spoofing: são as famosas páginas falsas que muitas vezes
são sugeridas por links em e-mails. Neste ataque, as pessoas pensam estar numa
página legitima de uma organização, quando, na verdade, está fornecendo seus
dados pessoais a um hacker.
Como dica de segurança é sempre melhor a pessoa escrever a URL no browser, e não clicar
em links – caso clicar, verificar se a página que está aparecendo é a que realmente ela
pensa estar. Desabilitar o Javascript é bom, pois os scripts podem alterar características da
página, porém muitos sites perderão funcionalidades.
60
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Conectividade
http://www.linorg.cirp.usp.br/Guias_Conectiva/Guias_V.10.0/servidor/pt_BR/ch14.html
61
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 7
CONTINUAÇÃO
Problemas com protocolo SNMP: o Simple Network Management Protocol (SNMP) fornece
informações, como sistema, tabelas de rotas, tabela ARP (Address Resolution Protocol),
conexões UDP e TCP, entre outras informações para gerenciamento de rede.
Funcionamento do SMTP
62
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Para minimizar os efeitos das vulnerabilidades, são adotados alguns procedimentos:
Permitir que somente hosts específicos consiga obter informações SNMP, com
usuários específicos, como o administrador.
63
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Centenas de novos vírus são detectados mensalmente. Portanto, é importante atualizar o
programa de antivírus periodicamente, aumentando as chances de estar protegido dos vírus
já conhecidos. Porém, quanto aos vírus recém criados, existe o perigo de ser atacado sem
ter vacina disponível, mesmo com antivírus atualizado.
Salienta-se que sua segurança perfeita está no seu hábito de prevenção. Os poucos minutos
perdidos por dia podem valer horas, dias ou até meses de trabalho.
Trojans ou Trojan Horses: trojans são programas que são furtivamente instalados no
computador sem o conhecimento do usuário. Geralmente, o usuário instala o
programa no computador, sem saber, enquanto pensa estar instalando outro software
que deseja.
A origem do nome vem da mitologia grega, mais precisamente da odisséia de Ulisses, que
para vingar-se dos Troianos, com quem já batalhavam por dez anos e resgatar sua amada
Helena que por eles havia sido raptada, mandou construir um gigantesco cavalo de madeira
para presentear os troianos. No interior do cavalo, soldados gregos entraram em Tróia e
assaltaram a cidade. O elemento surpresa foi fundamental para o sucesso grego. Aliás, esta
história deu origem à expressão “presente de grego”.
Similarmente, os trojans se alojam no micro do incauto usuário que pensa estar acessando
algo de seu interesse. Os trojans são programas que podem ter ações das mais variadas,
64
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
dependendo apenas do código escrito pelo seu autor. Muitos podem danificar o sistema,
apagar arquivos e causar outros danos maiores.
Um tipo de trojan muito utilizado pelos crackers é o Backdor Trojan ou RemoteAccess Trojan
(RAT’s). Este tipo de trojan executa ações que preparam o computador da vítima para ser
invadido remotamente, através de programas que permitem uma conexão no sistema do
micro onde se instalam que passa a funcionar como servidor do micro invasor que executa o
programa cliente. Eles também podem conter programas keystroke-logging, para capturar
senhas e outras informações confidenciais.
K2pS (RAT+Keystroke-logging);
Os trojans não ficam circulando pela Internet, o que dificulta sua captura para análise e
criação de vacinas pelas empresas especializadas. Outro fator que torna os trojans mais
perigosos é que um vírus pode ser detectado pelas alterações que causa no sistema,
enquanto um trojan pode estar em atividade no computador sem que o usuário sequer
perceba. Por esta razão não bastam os antivírus para se proteger dos trojans. É necessário
também que se utilize programas anti-trojans, programas de detecção de intrusão, analisador
de conteúdos, analisador de vulnerabilidades, programas que chequem as chaves de
inicialização do sistema verificando os programas que iniciam automaticamente, aplicar as
65
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
correções de falhas de sistema fornecidas pelos fabricantes (Patchs) e, sobretudo, ter uma
conduta adequada, não abrindo anexos de e-mail antes de analisá-los, não utilizar
programas piratas ou baixados de redes p2p como KaZaa, ou iMesh.
War Dialing: ferramenta utilizada para verificar as informações dos números dos
modens na rede, que em tese não devem existir na rede, pois aumenta as
probabilidades de ataque, pois o tráfego não passa pelo Firewall.
É útil para a auditoria e nas mãos de hackers podem causar sérios problemas para a
organização, pois eles identificarão as maiores vulnerabilidades da rede.
5.3.7. SPAM
Não é propriamente um ataque, mas é algo que acarreta o aumento de tráfego na rede e
deve ser prevenido por todos. É uma forma de muitas vezes, usuários acessarem páginas
falsas, entre outros problemas.
66
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
de mensagens eletrônicas não solicitadas, exceto pelo fato de que, na série de filmes de
comédia do Monty Python, alguns Vikings desajeitados pediam repetidas vezes o referido
presunto.
Com certa freqüência, os e-mails de SPAM são chamados de junk e-mails, ou seja, lixo.
Seguindo com a terminologia, quem envia SPAM é chamado de spammer.
O modo mais formal de se referir a SPAM é UBE, Unsolicited Bulk E-mail. Pode-se também
usar o termo UCE, Unsolicited Comercial E-mail, quando se trata de SPAM contendo
propaganda de modo geral.
Boatos e correntes.
Propagandas.
Boatos e correntes: tanto boatos como correntes na Internet pedem para serem enviados a
todas as pessoas que você conhece. Tais e-mails se apresentam com diversos tipos de
conteúdo, sendo na maioria das vezes histórias falsas ou antigas. Para atingir seus objetivos
de propagação, os boatos e correntes apelam para diversos métodos de engenharia social.
Ainda dentre os boatos mais comuns na rede, pode-se citar aqueles que tratam de código
malicioso, como vírus ou cavalos de tróia. Neste caso, a mensagem sempre fala de vírus
67
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
poderosíssimos, capazes de destruir seu computador e assim por diante. Um dos mais
famosos é o GoodTimes, que circulou pela rede durante anos e, de vez em quando, ainda
aparece um remanescente enviado por internautas desavisados. Para maiores informações
sobre boatos e vírus, consulte o site Computer Virus Myths no site http://www.vmyths.com/.
O maior problema com a propaganda por SPAM é que a Internet se mostra como um
meio fértil para divulgação de produtos atinge um grande número de pessoas e a
baixo custo, sendo que na verdade, quem paga a conta é quem recebe a propaganda,
como discutido anteriormente.
Outras ameaças, brincadeiras, etc.: alguns SPAMs são enviados com o intuito de
fazer ameaças, brincadeiras de mau gosto ou apenas por diversão, como casos de
ex-namorados difamando ex-namoradas, e-mails forjados assumindo identidade
alheia e aqueles que dizem: "olá, estou testando uma nova ferramenta spammer e por
isto você está recebendo este e-mail", constituem alguns exemplos.
Alguns artifícios usados pelos spammers: são muitos os artifícios usados pelos
spammers para convencê-lo de ter recebido um e-mail válido e não um SPAM.
68
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
O One-time e-mail são aqueles que dizem que serão enviados somente uma vez e que você
não precisa se preocupar, pois não será importunado novamente. Trata-se de SPAM e é
bem provável que você receba outras cópias do mesmo tipo de e-mail.
"Caso não tenha interesse em continuar recebendo este tipo de mensagem, por favor,
solicite sua retirada de nossa lista de distribuição, enviando e-mail para remove-me-from-
list@...". Esta é outra categoria de disfarces usada em SPAM são as que pedem para serem
removidos ou ignorados, caso não sejam de seu interesse. Neste caso, antes de removê-lo,
reclame. Simplesmente deletar e não reclamar, ignorando o SPAM pode torná-lo conivente,
pois o spammer continuará atuando tranqüilamente.
"Você se cadastrou em nosso site e, portanto, está recebendo esta mensagem. Caso queira
sair de nossa lista de divulgação...". Uma variação do tipo remove-me. Alguns SPAMs se
utilizam dos recursos válidos de cadastro on-line de determinados sites para dar legitimidade
ao e-mail. Novamente, não responda e reclame.
Não se deve ignorar o recebimento de SPAM, pois encoraja cada vez mais este tipo de
prática, devendo reclamar. Em se tratando do usuário final, recomenda-se contactar o
administrador de sua rede, notificando o SPAM, enviando o e-mail recebido com o header
completo. Caso o usuário final decida reclamar ele próprio, então deve seguir as orientações
a seguir.
Desconfie dos campos FROM e TO, pois podem conter usuários inválidos, domínios
inválidos ou "spoofados", isto é, os domínios usados no FROM e no TO podem ser
inexistentes, ou ainda não serem, de fato, a origem do SPAM. Este recurso é usado
para confundir e distrair a atenção do administrador ao tentar identificar a origem do
SPAM, ou em outros casos para difamar o domínio "spoofado".
70
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Relay:<IP-do-servidor-com-relay>, este procedimento é um tipo de denúncia
automática.
Caso a notificação seja de uso do servidor de e-mail como relay, o administrador deve tomar
as providências para corrigir o problema o mais rápido possível, sob pena de ser conivente
com o envio de SPAM, enquanto não solucionar a questão e responder aos reclamantes. No
caso de notificação recebida da ORBs, é necessário ainda solicitar a remoção do número IP
do servidor da base mantida pela entidade.
71
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 8
CONTINUAÇÃO
É uma área de serviços da empresa que não é protegida, como por exemplo, serviços
externos de correio eletrônico e vários outros servidores www, ou seja, são servidores
públicos é uma estratégia utilizada para enganar e detectar intrusos. Serve também para
tentar detectar invasões onde alguns equipamentos são posicionados propositalmente sem
proteção, ou seja, atrás do Firewall, esses equipamentos são isolados da rede interna e
monitoram tentativas de ataques.
A DMZ se posiciona como uma sub-rede entre a rede local e a Internet, conhecida como
zona desmilitarizada, onde não é permitido o tráfego direto entre a rede local e a internet.
Ambas podem apenas acessar a sub-rede, normalmente através de um bastion host entre
esta e a rede privada.
Existe um filtro de pacotes entre a Internet e a sub-rede, e outro entre esta e a rede privada.
O primeiro tem como função impedir o tráfego direto entre a rede privada e a Internet. Já o
segundo tem por objetivo proteger a rede privada em caso de comprometimento do bastion
host. Isto pode ser feito limitando o acesso deste à rede local.
O conceito de zona desmilitarizada também pode ser obtido através de Firewalls de terceira
geração que agregam a capacidade de filtrar pacotes e proxies específicos numa única caixa
ou equipamento. Tais elementos podem tanto ser implementados puramente em software ou
através de roteadores comerciais.
72
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Atualmente é comum o desenho de topologias de rede no modelo Internet/DMZ/Rede
Interna. Afinal de contas, é um modelo simples e de baixo custo de implementação. Em
poucos dias a empresa desloca todos os servidores que precisam ser acessados por
usuários na Internet para a rede DMZ, normalmente implementada através de uma terceira
placa no Firewall, e com isso corta todo o acesso direto da Internet para sua rede interna.
Um desenho como este dificulta a invasão da rede interna através de um ataque aos
servidores da DMZ. Se o Firewall for bem configurado e esses servidores forem
constantemente atualizados, a possibilidade de invasão por este caminho torna-se realmente
muito pequena.
73
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 9
PLANO DE CONTINGÊNCIA
Objetivo: instruir como adotar uma política de segurança e contingência que venha a ajudar
as empresa em situações catastróficas ou de incidentes de segurança.
Conhecemos nossos atacantes e como nos atacam. Mas, como posso preparar a
organização para não deixar que os hackers a invadam? E se formos atacados, como
proceder?
Preocupação mundial, e no Brasil temos normas que prevêem este tipo de incidentes. A
realidade é que não existe se formos atacados, mas quando.
É necessário retornar no tempo para melhor entender o destaque que atualmente em nossa
sociedade se faz à segurança da informação e conseqüentemente a se ter um Plano de
Contingência.
74
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Com a chegada dos primeiros computadores, com o surgimento das máquinas de tempo
compartilhado, até chegar aos dias atuais, onde a economia encontra-se interligada por
redes eletrônicas em tempo real, a questão de segurança das informações torna-se cada vez
mais importante e crucial.
O Plano deve ser bem mais do que um documento formal que defina diretrizes e normas em
relação a procedimentos a serem seguidos (por toda a empresa sem exceções) quando da
situação de risco. Deve agregar segurança física e lógica aos dados e ao capital intelectual
da empresa.
75
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
6.2. Importância do Plano de Contingência
Sabotagem.
Fraudes eletrônicas.
Espionagem.
Vandalismo.
Vírus.
Invasores (hackers).
Imprevisibilidade e catástrofes.
Um plano de contingência trata de manter uma estrutura para solucionar os problemas, que
não foram detectados e ou resolvidos nos sistemas de segurança e preventivos da empresa.
É quase inevitável, que em algum momento, um destes fatos, ou outras forças, danifiquem
os dados da empresa, podendo ocasionar desde pequenas paradas, até uma perda total de
dados e serviços, e conseqüentemente custos para restabelecê-los e prejuízos nos casos de
76
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
sistemas com relação direta ao negócio da empresa. É de extrema relevância um plano de
contingência, que aponte os pontos críticos do processo da empresa, permitindo uma rápida
solução do problema, garantindo a continuidade, de uma forma imperceptível aos usuários e
clientes, minimizando os impactos negativos, em custos e prejuízos. Deve garantir a
operacionalidade do processo, em todos os níveis, contando com profissionais que façam os
reparos no menor tempo possível.
O ponto-chave é que as técnicas de proteção de dados, por mais sofisticadas que seja, não
têm serventia nenhuma se a segurança física não for garantida. Por mais seguro que seu
ambiente seja, ele não estará 100% seguro se a pessoa que deseja invadir seu sistema tiver
acesso físico ao mesmo.
77
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
6.2.2. Segurança Lógica
Várias ameaças lógicas aos computadores foram criadas por pessoas inescrupulosas
denominadas crackers, script kidies e lamers, a diferença está no nível de conhecimento de
cada um. Os crackers são os que têm o maior nível de conhecimento, portanto são os mais
perigosos, sabem desenvolver vírus, cavalos de tróia e worms, além de dominar técnicas
avançadas de invasão de sistemas e engenharia reversa. Script kidies são aspirantes a
crackers, sabem fazer basicamente scripts maliciosos e invasões a sistemas desprotegidos.
Os lamers são apenas uns idiotas com um mínimo de conhecimento para invadir sistemas
com cavalos de Tróia e outras “ferramentas”, uma das principais armas dos lamers é
simplesmente a “habilidade” de convencer iniciantes a executarem cavalos de Tróia.
Segurança do WAP
http://www.cic.unb.br/docentes/rezende/trabs/wap.pdf
78
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 10
CONTINUAÇÃO
Reúna a equipe do projeto (que, nesta etapa, deverá ser bem pequena; se ela tiver mais de
cinco ou sete integrantes, limite o processo de avaliação de riscos aos líderes de atividade).
Quando identificamos riscos, consideramos 'o que pode dar errado'. É claro que, em termos
gerais, tudo pode dar errado. A questão é não atribuir uma visão pessimista ao projeto. No
entanto, queremos identificar possíveis barreiras ao seu êxito, para que possamos reduzi-las
ou eliminá-las. Para obter mais informações, consulte Diretrizes: Lista de Riscos. Mais
especificamente, estamos procurando os eventos que podem diminuir a probabilidade de
liberarmos o projeto com as características corretas, com o nível de qualidade exigido, no
prazo estabelecido e dentro do orçamento.
Usando técnicas de brainstorming, peça a cada membro para identificar um risco do projeto.
Perguntas de esclarecimento são permitidas, mas os riscos não deverão ser avaliados nem
comentados pelo grupo. Pergunte a todos no grupo até identificar o número máximo de
riscos. Envolva todas as partes no processo e não se preocupe muito com a forma ou
repetições; você poderá limpar a lista posteriormente. Use grupos de pessoas homogêneos
(clientes, usuários, equipe técnica e assim por diante). Isso facilita o processo de coleta de
riscos; os indivíduos ficam menos inibidos na frente de seus pares (em especialidade e
hierarquia) do que em um grupo maior heterogêneo.
Deixe claro aos participantes que apontar um risco não é o mesmo que se oferecer para
resolvê-lo. Se as pessoas acharem que apontar um risco resultará na responsabilidade pela
79
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
sua resolução, elas não identificarão nenhum risco (ou os riscos que apontarem serão
triviais).
Para dar o estímulo inicial, comece pelas listas de riscos genéricas, como Assessment and
Control of Software Risks de Capers Jones [JON94] ou Taxonomy-Based Risk Identification
estabelecida pelo Instituto de Engenharia de Software [CAR93]. Circule a lista de riscos: ver
o que já foi identificado costuma ajudar as pessoas a apontar mais riscos.
Para atualizar a lista de riscos (em fases posteriores): você pode solicitar
informações conforme identificado anteriormente. No entanto, com base no exemplo
da lista existente, novos riscos costumam ser identificados pelos membros da equipe
e capturados na Avaliação de Status regular do projeto. Consulte Atividade: Avaliar
Iteração.
Para cada risco, independentemente de você ter ou não um plano para diminuí-lo
ativamente, decida quais ações deverão ser executadas em determinado momento ou se o
risco se materializar, ou seja, se ele se tornar um problema, um 'sinistro' no termo de
seguros, chamado de "plano 'B'" ou plano de contingência. Necessário quando houve falhas
na prevenção e na transferência de riscos, a diminuição de riscos não obteve o êxito
esperado e agora é necessário enfrentar o risco. Esse costuma ser o caso de riscos
indiretos, ou seja, os riscos sobre os quais o projeto não tem controle, ou quando as
estratégias de diminuição são caras demais para serem implementadas.
80
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Identificar Indicadores de Risco: é possível monitorar alguns riscos com o uso de métricas do
projeto e a observação de tendências e limites; por exemplo:
É possível monitorar alguns riscos com base nos requisitos do projeto e resultados de testes,
como por exemplo, tempos de resposta uma ordem de grandeza acima do exigido.
a) Componente de software não liberado no prazo por um terceiro: existem muitos outros
indicadores "mais flexíveis", nenhum dos quais diagnosticará totalmente o problema. Por
exemplo, há sempre um risco de o ânimo diminuir (na verdade, em determinadas etapas
do projeto, isso é quase (previsível). Existem diversos indicadores, como reclamações,
"humor negro", prazos não cumpridos, qualidade precária e assim por diante. Nenhuma
dessas "medidas" é um indicador preciso; as brincadeiras sobre a futilidade de um
produto liberado específico podem ser uma forma saudável de aliviar o stress. No
entanto, se elas persistirem, podem indicar que a equipe tem uma sensação cada vez
maior de fracasso iminente.
Fique atento a todos os indicadores sem julgá-los. É fácil rotular o portador de 'más notícias'
como alguém que apresenta uma atitude incorreta; por trás do cinismo, há geralmente um
fundo de verdade. Em geral, o 'portador de más notícias' está atuando como a 'consciência
do projeto'. A maioria das pessoas deseja o êxito do projeto e fica frustrada quando o ânimo
está levando o projeto na outra direção.
Apesar do ânimo no momento, a ocorrência de perda tem um lado positivo: ela força uma
ação. Muitas vezes, o grupo poderá adiar riscos facilmente ignorando-os, levado à
complacência pela calmaria aparente. Quando perdas ocorrem, é preciso agir, pois o risco
deixa de ser um risco e não há mais nenhuma dúvida sobre a sua ocorrência. Porém, uma
ocorrência de perda também é uma falha para evitar ou diminuir riscos. Deverá forçar uma
reavaliação da lista de riscos para determinar se a equipe do projeto pode ter algumas
deficiências sistemáticas. Tão difícil quanto a auto-avaliação sincera, poderá evitar outros
problemas posteriormente.
Reavaliar Riscos Durante a Iteração: tem como finalidade assegurar que a lista de riscos
se mantenha atualizada ao longo do projeto.
Permitir que todo o projeto visualize os dez itens mais importantes e insistir que sejam
tomadas providências sobre eles. Em geral, é possível anexar a lista de riscos atual
aos relatórios de Avaliação de Status.
82
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Reavaliar Riscos no Final da Iteração: tem como finalidade assegurar que a lista de riscos
se mantenha atualizada ao longo do projeto.
No final de uma iteração, restabeleça o foco nas metas da iteração com relação à lista de
riscos:
Não se preocupe muito se descobrir que a lista de riscos cresce durante as fases de
iniciação e elaboração. À medida que desenvolve o trabalho, os membros do projeto
percebem que algo considerado trivial na verdade contém riscos. No início da integração,
você poderá encontrar dificuldades que estavam ocultas. No entanto, os riscos deverão
diminuir uniformemente à medida que o projeto chega ao fim da elaboração e durante a
construção. Caso contrário, talvez você não esteja administrando os riscos apropriadamente
ou o seu sistema seja muito complexo ou impossível de ser construído de forma sistemática
e previsível. Para obter mais informações, consulte Diretrizes: Lista de Riscos.
Antes de dar continuidades aos seus estudos é fundamental que você acesse sua
SALA DE AULA e faça a Atividade 1 no “link” ATIVIDADES.
83
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 11
NBR ISO/IEC DE SEGURANÇA
Informações que são protegidas com a implantação da norma NBR ISO IEC 17799:
Conversações telefônicas.
84
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Introdução: os gerentes de segurança vem há muito tempo esperando por alguém
que produza um conjunto razoável de padrões de segurança de informações
reconhecido globalmente. Muitos acreditam que um código de prática ajudaria a
suportar os esforços dos gerentes de TI. E, também influenciariam decisões,
aumentariam a cooperação entre os vários departamentos em nome do interesse
comum pela segurança e ajudaria a tornar a segurança, uma das prioridades
organizacionais.
As origens do ISO 17799: por mais de 100 anos, o British Standards Institute (BSi) e
o International Organization for Standardization (ISO) vêm fornecendo referências
globais para padrões operacionais, de fabricação e de desempenho, mas não tinham
ainda proposto era um padrão para a segurança de informações.
Em 1995, o BSi lançou seu primeiro padrão de segurança, BS 7799, criado com a intenção
de abranger assuntos de segurança relacionados ao comercio eletrônico, ou e-commerce.
Nesse mesmo ano, problemas como o Y2K e EMU tornaram-se precedentes sobre todos os
outros assuntos. Para piorar, o BS 7799 foi considerado inflexível e não foi adotado
85
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
globalmente. O momento não era correto e questões de segurança não despertavam grande
interesse naquele tempo. Quatro anos mais tarde, maio de 1999, o BSi tentou novamente,
lançando a segunda versão do BS 7799, uma enorme revisão da versão anterior. Essa
edição continha vários aperfeiçoamentos e melhoras desde a versão de 1995. Foi nessa
época que o ISO identificou a oportunidade e começou a trabalhar na revisão do BS 7799.
Em dezembro de 2000, o ISO adotou e publicou a primeira parte do BS 7799 como seu
próprio padrão, chamando-o ISO 17799. Nessa mesma época, de um modo formal de
credenciamento e certificação de compatibilidade com os padrões foram adotadas. O Y2K,
EMU e outras questões foram concluídas ou reduzidas no ano 2000, e a qualidade geral do
padrão melhorou dramaticamente. A adoção do BS 7799 Parte 1 (o critério padrão) pelo ISO
foi mais aceitável por um eleitorado internacional, e foi nessa época que um conjunto de
padrões de segurança finalmente recebeu reconhecimento global.
86
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
As recomendações do ISO 17799 continuam neutras com relação à tecnologia e não
fornecem nenhuma ajuda na avaliação ou entendimento de medidas de segurança já
existentes. Por exemplo, discute a necessidade de Firewalls, mas não aprofunda nos tipos
de Firewalls e como devem ser usadas. Isso leva alguns opositores a dizer que o ISO 17799
é muito vago e pouco estruturado para ter seu valor realmente reconhecido.
A flexibilidade e imprecisão do ISO 17799 são intencionais, pois é muito difícil criar um
padrão que funcione para todos os variados ambientes de TI, e que seja capaz de crescer
com a mutante paisagem tecnológica atual. Ele simplesmente fornece um conjunto de
regras, em uma indústria onde elas não existiam.
Tem como objetivo é prover à direção uma orientação e apoio para a segurança da
informação. Convém que a direção estabeleça uma política clara e demonstre apoio e
comprometimento com a segurança da informação através da emissão e manutenção de
uma política de segurança da informação para toda a organização.
O documento da política deve ser aprovado pela direção, publicado e comunicado, de forma
adequada, para todos os funcionários. Convém que este expresse as preocupações da
direção e estabeleça as linhas-mestras para gestão da segurança da informação. No
mínimo, convém que as seguintes orientações sejam incluídas:
87
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
c) Breve explanação das políticas, princípios, padrões e requisitos de conformidade de
importância específica para organização, por exemplo:
A política deve ser comunicada através de toda a organização para os usuários na forma que
seja relevante, acessível e compreensível para o leitor em foco.
89
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
São recomendados contatos com especialistas de segurança externos, para se manter
atualizado com as tendências do mercado, monitorar normas e métodos de avaliação, além
de fornecer o principal apoio, durante os incidentes de segurança.
Terceirização.
90
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
3. Tem como objetivo manter a proteção adequada dos ativos da organização. Convém
que todos os principais ativos de informação sejam inventariados e tenham um
proprietário responsável. O inventário dos ativos ajuda a assegurar que a proteção
está sendo mantida de forma adequada. Convém que os proprietários dos principais
ativos sejam identificados e a eles seja atribuída a responsabilidade pela manutenção
apropriada dos controles.
Ativos físicos.
Tem como objetivo reduzir os riscos de erro humano, roubo, fraude ou uso indevido das
instalações. É recomendada que responsabilidades de segurança sejam atribuídas na fase
de recrutamento, incluídas em contratos e monitoradas durante a vigência de cada contrato
de trabalho.
91
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Os candidatos potenciais devem ser devidamente analisados, especialmente para trabalhos
sensíveis, que todos os funcionários e prestadores de serviço, usuários das instalações de
processamento da informação, assinem um acordo de sigilo.
Acordos de confidencialidade.
Treinamento do usuário.
Processo disciplinar.
Tem como objetivo prevenir acesso não autorizado, dano e interferência às informações
físicas da organização.
92
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 12
ÁREAS DE CONTROLE DO ISO 17799
Tem como objetivo garantir a operação segura e correta dos recursos de processamento da
informação. Convém que os procedimentos e responsabilidades pela gestão e operação de
todos os recursos de processamento das informações sejam definidos. Isto abrange o
desenvolvimento de procedimentos operacionais apropriados e de respostas a incidentes.
93
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Procedimentos operacionais recomendados:
Segregação de funções.
Planejamento da Capacidade.
malicioso. Housekeeping.
Cópias de Segurança.
Registro de operação.
Registro de falhas.
Gerenciamento de Rede.
94
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Controle da Rede.
Tem como objetivo garantir a segurança seja parte integrante dos sistemas de informação.
Isto incluirá infra-estrutura, aplicações do negócio e aplicações desenvolvidas pelo usuário.
O projeto e a implementação dos processos do negócio que dão suporte às aplicações e aos
serviços podem ser cruciais para segurança.
Tem como objetivo não permitir a interrupção das atividades do negócio e proteger os
processos críticos contra efeitos de falhas ou desastres significativos.
95
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
O processo de gestão da continuidade deve ser implementado para reduzir, para um nível
aceitável, a interrupção causada por desastres ou falhas da segurança, através de
combinações de ações de prevenção e recuperação.
Análise do Impacto.
Estrutura do plano.
96
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
além de considerações a serem feitas com relação ao sistema do processo de
auditoria, para garantir que cada empresa se beneficie o máximo possível.
Com o certificado ISO 17799 uma empresa pode fazer mais negócios do que aquelas sem
certificação. Se um cliente em potencial estiver escolhendo entre dois serviços diferentes, e a
segurança for uma preocupação, eles geralmente selecionarão a opção certificada. Além
disso, uma empresa certificada oferecerá:
97
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Status do ISO 17799:
O ISO está atualmente revisando o 17799 para torná-lo mais aceitável pelo seu público
global. Determinou o primeiro padrão e suas recomendações principais e idéias serão
criadas e expandidas de acordo com as necessidades futuras. Até então o ISO 17799 é o
padrão a ser seguido.
Se a sua empresa não possui um programa de proteção de informações, o ISO 1779 pode
fornecer as diretrizes para a criação de um. Mesmo que você não queira se tornar
certificado, o ISO 17799 pode servir como um guia para a criação da postura de segurança
da sua empresa. Você pode pensar nesse padrão como uma boa diretriz de segurança a ser
usada pela sua empresa. Porém, você poderá descobrir que os benefícios da certificação
podem ser muito abrangentes.
Requisitos:
98
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Realização de avaliações de risco periódicas ou à medida que se identifiquem
mudanças nos processos.
6.4.1. Introdução
A grande maioria das empresas que operam no Brasil espera enfrentar algum tipo de
problema de segurança virtual (Oitava Pesquisa Nacional de Segurança da Informação,
realizada pela empresa Módulo). Segundo o estudo, 82% dos entrevistados esperam
enfrentar mais problemas, enquanto 43% das companhias reconheceram ter sofrido ataques
aos seus sistemas de segurança, sendo que 24% desses eventos ocorreram nos últimos
seis meses.
A pesquisa revela que, embora a grande maioria dos pesquisados reconheça que a
tendência de crescimento desse problema seja real, somente 49% dessas empresas têm
algum plano de ação formalizado em caso de ataques. A preocupação com a segurança, no
entanto, entrou definitivamente na pauta dos investimentos dos empresários: 77% admitem
gastar mais neste item em 2003, com duas tendências claras: 81% vão investir na
capacitação técnica de pessoal e 76% pretendem implementar uma política de segurança.
Neste sentido, 75% dos entrevistados reconhecem serem conscientes para a necessidade
das empresas realizarem análises de riscos. Segundo um balanço realizado pela Modulo, os
hackers são os principais responsáveis por 48% dos ataques e invasões no ano passado,
representando um aumento de 15% com relação ao ano de 2001. Empregados das próprias
empresas saltaram de 24% para 31%; e ex-funcionários somam 8% e os concorrentes
saíram do 1% para 4%.
A Oitava Pesquisa Nacional de Segurança da Informação ouviu, entre março e agosto deste
ano, 547 profissionais – o triplo dos entrevistados em 2001 – ligados às áreas de tecnologia
99
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
e segurança da informação de todos os segmentos econômicos, abrangendo mais de 30%
das mil maiores empresas do País, revelou a Módulo.
As empresas devem contar com medidas implementadas que protejam todos os aspectos de
seus negócios, desde a segurança física até emergências de segurança da TI e dos
negócios em geral. Os eventos catastróficos de 11 de setembro de 2001 mostraram ao
mundo a importância crucial do planejamento contra desastres e veio a dar maior impulso a
continuidade de negócios em todos os segmentos organizacionais, aumentando a
necessidade de se ter redundância e os chamados Discovery Recovery.
FÓRUM III
Autenticação
100
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Segurança da Informação
http://www.scribd.com/doc/323333/20070914-Seguranca-da-Informacao
101
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 13
MEDIDAS, MONITORAMENTO E RISCOS NA SEGURANÇA
Qual a melhor medida de segurança? Muitos acreditam que possa existir um modelo ideal
de segurança pronto e que seja encontrado em livrarias, supermercados, ou quem sabe em
lojas de conveniência! Seria muito bom se isso fosse verdade!
Longe desta realidade, modelos de segurança devem ser preparados por profissionais
especializados na área, segundo diversos fatores como tipo de negócio, estratégia, ambiente
operacional, cultura da empresa, entre outros. Muitas vezes, a combinação de várias
estratégias pode ser a saída para que a empresa consiga atingir o nível de segurança
desejado e que é requerido em função de seu tipo de negócio.
102
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Existem algumas estratégias que podem ser aplicadas em um ambiente computacional. A
seguir, apresentamos três estratégias de segurança que podem ser utilizadas, como Medida
Preventiva, Detectiva e Corretiva.
Monitoramento.
Monitoração de ataques.
usuários. Auditoria.
Trilhas.
Documentação.
Log.
c) Medida Corretiva: são ativadas pós-ocorrência do risco. Pode ser o último estágio
antes do acionamento de um Plano de Contingência. Ações corretivas em demasia
podem ser o resultado de um planejamento ou operações inadequadas ou mesmo a
103
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
falta deles. Muitas das vezes, ocorrem de forma emergencial, sem planejamento e
dependendo do procedimento e das ferramentas adotados podem ser mais nocivas
para o ambiente de TI do que benéficas. Podem ser evitadas caso haja ações
Preventivas.
A questão não é "se”, mas “quando”, ou seja, em algum momento teremos um incidente de
segurança em nossa rede com um maior ou menor nível de gravidade, desta forma, faz-se
necessário definirmos claramente o que é um incidente de segurança. Esta definição deve
estar contida em nossa política de segurança, mas de forma genérica podemos classificar
como incidente de segurança: "Invasões de computador, ataques de negação de serviços,
furto de informações por pessoal interno e/ou terceiros, atividades em redes não autorizadas
ou ilegais”· Desta forma, além de termos claramente definidos o que é um incidente de
segurança devemos estabelecer medidas de pré e pós-incidente, ou seja, devemos estar
preparados para a ocorrência de um incidente.
Medidas pré-incidentes:
104
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Entre as medidas pós-incidentes podemos incluir:
Talvez seja a parte mais complexa da segurança. Nesta fase, sua empresa deve determinar
a força e vulnerabilidade de sua rede. Você deve priorizar os recursos comerciais e avaliar
se estes recursos chaves estão protegidos pelas soluções de segurança atuais.
Ainda não há um sistema totalmente seguro. Falhas nos computadores são inevitáveis.
Desde que as arquiteturas de rede são complexas e o ambiente da computação está sempre
mudando, existem sempre novos riscos e exposições para a rede. O assunto a ser enfocado
é se as vulnerabilidades de uma empresa - os riscos que ela corre – são administráveis ou
não.
Uma dica neste estágio é priorizar os ativos da empresa e destacar os mais cruciais que
requerem atenção imediata em caso de evento inesperado.
105
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Passos para seguir nesta fase:
PASSO 2: Analisar as vulnerabilidades: deve ser incluída uma análise da relação custo-
benefício para os riscos nas vulnerabilidades. Para fazer isto, você deve ter um senso claro
das informações das propriedades dos negócios.
Classificação dos ativos: quanto ao grau de impacto para o negócio, caso seja
comprometido.
106
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Elaboração da documentação da rede e arquitetura atual: sistemas operacionais
utilizados, versão do sistema operacional, fornecedor, serviços habilitados,
responsáveis pelo sistema, etc.
O monitoramento da segurança deve ser classificado de acordo com o quanto ele é sensível,
registra e reage ao uso ou mau uso da rede, e como cuida de novos problemas e soluções
disponíveis a partir de uma comunidade de peritos.
Leve em conta seus parceiros: a sua empresa trabalha com e depende de outras
empresas para a execução de algumas funções essenciais aos seus negócios.
Certifique-se de que seus principais fornecedores e parceiros comerciais também
tenham planos contra desastres implementados.
Compromisso ao nível executivo: assim como acontece com qualquer outra iniciativa
de segurança que envolva tempo e recursos, os seus planos de contingência e de
recuperação de desastre terão de ser financiados pela empresa. Isso poderá requerer
107
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
um compromisso por parte dos executivos de sua organização, a fim de demonstrar a
necessidade de tal plano, e de testar tais planos regularmente, estando preparado
para fornecer à administração análises e documentação demonstrando o risco de
possíveis perdas financeiras caso um desastre ocorra e sua empresa não possa se
recuperar.
108
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
reavaliação constante no modo como sua empresa avalia, monitora, planeja, e testa a
segurança das redes.
109
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Isolar os sistemas atingidos até a recuperação do mesmo e coleta das evidências.
o Seu tempo será gasto com uma ação que poderá complicá-lo.
Montar uma equipe de resposta a incidente não é tarefa fácil, desta forma devemos
identificar dentro da instituição profissionais com diferentes perfis e acioná-los no caso de
intrusão. É necessário que passem por treinamento para familiarização dos procedimentos
de resposta a incidentes e entendimentos das ações e hierarquias a serem respeitadas, ou
seja, podemos ter uma equipe relativamente pequena de profissionais altamente
especializados em resposta a incidentes, sendo que esta equipe sabe que pode acionar
outros interlocutores internos ou até mesmo externos, no processo de resposta a um
incidente de segurança.
A equipe deve contar com profissionais multidisciplinares e/ou com especialidade tais como:
criptografia, banco de dados, TCP/IP, Firewall, sistema de detecção de intrusão ou IDS,
110
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
elementos de conectividade, plataformas variadas, estenografia, estrutura de arquivos, e
outras especializações.
111
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 14
POLÍTICAS, REGRAS E ESTATÍSTICAS DE INVESTIMENTOS EM CONTINGÊNCIA DE
GRANDES EMPRESAS
Objetivo: Conhecer as Políticas, Regras e Estatísticas de Investimentos.
Uma senha fácil de deduzir é a causa mais comum dos problemas de segurança.
Alguns critérios que devem ser seguidos por todo para a troca de senha:
Nunca criar senhas tomando por base o próprio nome, mesmo que seja o seu nome
de trás para frente.
A senha não pode ser fácil de adivinhar, como o nome do marido ou da mulher, do
namorado ou namorada, do seu cão, a placa do carro, a rua onde mora, a data do
nascimento ou outra informação conhecida. Os hackers costumam usar os programas
e dicionários on-line para adivinhar expressões como, por exemplo, “dedicação”.
A dica é ser criativo, utilizando, por exemplo, frases, como: “Até que a morte nos
separe querida” e utilizando a primeira letra de cada palavra “aqamnsq”. Dessa forma,
a senha não é propriamente uma palavra, mas é fácil de lembrar e difícil de adivinhar.
É aconselhável combinar palavras com números.
Nunca crie uma senha somente com números, pois é muito fácil adivinhar.
112
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Regras:
Existem algumas regras recomendáveis para a criação de usuários e senhas, que podem ser
utilizadas para minimização com problemas de senhas.
Criar contas dos usuários de acordo com seus nomes, dentro dos grupos..
o Senha em branco.
113
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Fácil de lembrar para não ter que escrever.
6.5.1. Volkswagen
114
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
6.5.2. Shell
6.5.3. Credicard
6.5.4. CSN
115
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Já teve de usar os sistemas de contingência? Não informado.
116
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
6.5.7. GVT
117
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 15
COMPONENTES DE SEGURANÇA: FIREWALL
7. FIREWALL
118
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Um Firewall pode ajudar a impedir que hackers ou softwares mal-intencionados (como
worms) obtenham acesso ao seu computador através de uma rede ou da Internet. É utilizado
para evitar que o tráfego não autorizado possa fluir de um domínio de rede para o outro.
“Firewall é um ponto entre duas ou mais redes no qual circula todo o tráfego. A partir deste
tráfego é possível controlar e autenticar o tráfego, além de registrar por meio de logs, todo o
tráfego da rede, facilitando sua auditoria. É um dos maiores destaques para hackers, pois se
o mesmo conseguir acessá-lo pode alterar suas permissões e alcançar o bem mais valioso
das empresas – a informação” (Bill Cheswick e Steve Bellovin, em Firewall and Internet
Security: Reppeling the Wily Hackers).
Na Internet, define-se Firewall com o intuito de restringir o acesso que a Internet possibilita,
quebrando o paradigma da “conectividade sem limites”. Porém, possuir um Firewall não
resolve os possíveis problemas de segurança, pois o componente sozinho não é uma
barreira, mas suas configurações é que faz esta função ser atingida.
Atualmente, existe uma tendência a serem adicionados mais serviços aos Firewalls, mesmo
não estando diretamente associado à segurança, como por exemplo, gerenciamento de
banda, balanceamento de cargas, servidor de e-mail ou Proxy, entre outros.
119
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Este capítulo irá ilustrar o funcionamento dos principais tipos de Firewalls, tecnologias,
arquiteturas, principais produtos comerciais e componentes integrantes na arquitetura.
Deve ser imune à penetração, uma vez que não pode oferecer nenhuma proteção ao
perímetro interno uma vez que um atacante consiga atravessá-lo ou contorná-lo.
Um Firewall age como uma barreira que controla o tráfego entre duas redes. O mais seguro
de todos os tipos seria aquele que bloqueasse todo o tráfego com o mundo exterior, mas isto
derrubaria o propósito de fazer conexões com redes externas. O degrau seguinte na escala
seria permitir tráfego com o mundo exterior, mas manter severo controle sobre ele, de modo
seguro. Assim, o Firewall pode ser encarado como um par de mecanismos: um existe para
bloquear tráfego e o outro existe para permiti-lo. A definição do equilíbrio entre estas duas
políticas será sempre baseada numa política global de segurança da organização.
Firewall típico
121
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Como o Firewall gerencia todo e qualquer acesso entre a rede interna e a Internet, sem ele
cada componente do sistema na rede interna estaria exposto a ataques externos e, portanto,
deveria possuir capacidades de segurança acentuada. Além disso, o nível de segurança
geral da rede interna seria delimitado, por baixo, pelo elemento mais "fraco" desta rede.
Outro benefício do uso de Firewalls é que tornou-se locais ideais para a colocação de
Tradutores de Endereços de Rede (NAT – Network Address Translators), essenciais para
aliviar a crescente escassez de endereços IP registrados. Assim, a organização necessita ter
apenas um endereço IP conhecido e fornecido por um ISP (Internet Service Provider), sendo
os demais criados internamente e geridos pelo NAT.
O Firewall é composto por diversos componentes, que isoladamente são responsáveis por
algum tipo de serviço específico, que de acordo com o tipo
disponível, vai definir o papel do Firewall e seu nível de
segurança.
122
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
funcionalidades de Firewall:
1. Filtros.
2. Proxies.
3. Bastion Hosts.
4. Zonas Desmilitarizadas.
Por apresentarem o mesmo papel, porém de forma mais atualizada, atores modernos
incluem nesta lista os seguintes itens:
Os Firewalls que operam no nível da rede geralmente baseiam suas decisões nos endereços
de origem e destino e nas portas contidas em pacotes IP individuais. Um roteador simples é
a forma mais típica de um Firewall operando no nível da rede. Um roteador não é capaz de
decisões sofisticadas sobre o conteúdo ou a origem de um pacote. Por outro lado, este tipo
de Firewall é bastante rápido e transparente para os usuários. No outro extremo, Firewalls
que atuam no nível da aplicação, são geralmente computadores executando servidores
proxy, que não permitem fisicamente a existência de tráfego entre redes, e que efetuam
elaboradas operações de verificação nos dados que por eles trafegam. Além disso, Firewalls
deste tipo são excelentes também como tradutores de endereços de rede (NAT), já que o
tráfego "entra" por um lado e "sai" por outro, depois de passar por uma aplicação que
123
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
efetivamente mascara a origem da conexão inicial. Este tipo de Firewall é certamente menos
transparente para os usuários e pode até causar alguma degradação no desempenho.
7.1.1. Filtros
São os responsáveis por rotear pacotes de forma seletiva, aceitando ou descartando, através
da analise de cabeçalho. Esta seleção é definida a partir da política de segurança adotada
pela organização.
1. Filtros de Pacotes: tipo mais antigo e comum é colocado entre uma rede confiável e
outra não confiável. Opera na camada de Rede e Transporte, toma suas decisões
baseado no endereço IP e nos campos dos pacotes, permite ou proíbe o forward do
pacote usando informações contidas nos Headers dos pacotes, como Endereço IP
124
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
fonte ou de destino, portas TCP/UDP de destino ou de origem, por protocolos (ICMP,
TCP, UDP, SNMP, etc..), etc. Pode ser dividido em três tipos:
2. Filtragem Estática: implementado na maioria dos roteadores. Suas regras devem ser
alteradas manualmente.
125
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Firewall de filtro de pacotes
Por exercer sua função na camada de rede e transporte, a tecnologia é mais flexível,
barata e fácil de ser implementada.
Os roteadores, que atuam como gateway, podem ser configurados para exercer esta
função.
Algumas desvantagens:
O grau de segurança é menor, pois se pode criar pacotes que passem pela
126
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
É preciso configurar o sentido dos pacotes para que não ocorra IP spoofing, para
determinar se o pacote vem da rede interna ou externa. Isto impossibilita o IP spoofing
de máquinas internas, mas os endereços externos ficam vulneráveis neste caso.
Também é preciso configurar corretamente para a rede não sofrer port scanning,
fingerpriting ou outros ataques.
Problemas com protocolos que utilizam portas dinâmicas, como RPC, X11 e H.323,
pois somente o cabeçalho não fornece todos os dados necessários.
http://msdn.microsoft.com/pt-br/library/system.security.cryptography.ecdsa.aspx
127
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 16
FILTROS E GATEWAYS
Um roteador é um dispositivo que recebe pacotes de uma rede e os envia a outra rede. Um
roteador com filtragem de pacotes é conhecido como screening router (ou roteador
examinador).
Tem como objetivo decidir se aceita/recusa o tráfego de cada pacote que recebe,
examinando cada datagrama para determinar se atende a alguma de suas regras de
filtragem de pacotes. Estas regras baseiam-se na informação contida nos cabeçalhos dos
pacotes, que consiste nos seguintes itens:
Endereço IP da origem.
128
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Endereço IP do destino.
Para entendermos como funciona a filtragem de pacotes é preciso saber a diferença entre
um roteador comum e um screening router. Um roteador comum simplesmente observa o
129
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
endereço de destino de cada pacote e decide qual o melhor caminho para enviar o pacote ao
seu destino. Então, a decisão de como tratar o pacote é baseada somente no endereço de
destino. Existem, então, duas possibilidades: ou o roteador sabe como enviar o pacote ao
seu destino, e o faz, ou não sabe, e retorna-o à origem, com uma mensagem ICMP para o
destino inalcançável.
Um screening router, por outro lado, observa as características do pacote mais detidamente.
Além de determinar se pode ou não rotear o pacote ao seu destino, também determina se
deve fazê-lo, de acordo com as regras de segurança que o roteador deve fazer cumprir.
Observamos a seguir a posição típica de um screening router num sistema.
130
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Posição da filtragem de pacotes usando um screening router, como vista pelo modelo de camadas TCP/IP
Embora seja possível ter apenas um screening router como medida de segurança entre a
rede interna e a Internet, isto coloca grande responsabilidade neste dispositivo, já que é a
única medida de proteção da rede. Se falhar, toda a rede interna estará exposta. Além disso,
não é capaz de modificar serviços ou de proteger operações individuais dentro de um
serviço, podendo apenas negá-lo ou permiti-lo, o que exige normalmente o uso de
arquiteturas mais complexas.
Buscando suprir as deficiências do filtro de pacotes, foi criado o filtro de pacotes por estado
como uma evolução, com o desenvolvimento do dynamic packet filter ou stateful packet filter
– que filtra os pacotes a partir das informações dos pacotes e sua tabela de estado. Um Firewall
que utiliza esta metodologia verifica as informações do primeiro pacote, de acordo com a
filtragem – como no filtro de pacotes. É alimentada a tabela de conexões com a entrada deste
pacote, juntamente com suas informações e estado da conexão, sendo a única diferença entre o
filtro de pacotes, mas que corrige o problema da fragmentação de pacotes. É importante
ressaltar, que a tabela de conexões gera um log para posteriores pesquisas.
131
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
As principais vantagens são:
Apesar de divulgarem que o filtro de pacotes por estado atua na camada de aplicação
é necessário, na maioria dos Firewalls, outros softwares para realizar esta atividade.
7.1.2. Proxies
132
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Seu objetivo é não permitir que estações internas se comuniquem a servidores externos sem
reendereçamento, promovendo assim, uma maior segurança dentro da rede, já que
externamente o endereço interno está mascarado.
Um Proxy funciona como um daemon e não utiliza um mecanismo único para controle do
tráfego, sendo necessário um código especial para cada tipo de aplicação. Sua
implementação é simples, minimizando ataque no mesmo. Por possuir um sistema de
alarme, é possível registrar todo o tráfego da rede, tanto interno quanto externo.
Existem dois tipos de proxys, os gateways de circuito e de aplicação. Sua principal diferença
está na camada TCP na qual atua. O primeiro atua como relay entre cliente e servidor
externo, não verificando os serviços executados. Este procedimento pode causar problemas
de segurança, pois o gateway de pacote não sabe diferenciar os serviços, permitindo sua
entrada na rede. Por exemplo, pode-se utilizar a porta 80 (http), para trafegar outro tipo de
informação, sem a percepção do Firewall. O segundo realiza esta verificação, fazendo com
que o payload dos pacotes sejam filtrados.
Gateway de Circuito:
É uma função especializada que pode ser realizada por um gateway de aplicação (uma estação
segura – um computador – que permite aos usuários se comunicarem com a Internet através de
um servidor Proxy, código especial que aceita ou recusa características ou comandos
específicos de certas aplicações, ou mesmo aceita ou recusa a própria aplicação). Este tipo de
Firewall opera na camada de sessão do modelo OSI (camada 4), ou camada de transporte, no
modelo TCP/IP, usa as conexões TCP/IP como Proxy, pois um circuito proxy é instalado entre o
roteador da rede e a Internet. É este Proxy que se comunica com a Internet, em lugar da própria
rede local, e só o seu endereço IP é tornado público na Internet.
133
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
A posição de um Firewall baseado em um gateway de circuito, como vista pelo modelo de camadas TCP/IP
A figura a seguir ilustra a operação de uma típica conexão Telnet através de um gateway de
circuito. Este simplesmente transmite as informações, sem nenhum exame ou filtragem dos
pacotes. Todavia, como a conexão parece, aos usuários externos, gerada e gerenciada no
134
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
gateway de circuito, informações sobre a rede interna não estão disponíveis. Só o endereço
IP do gateway é conhecido.
135
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 17
CONTINUAÇÃO
Gateway de Aplicação:
Se o servidor Proxy para uma dada aplicação não for instalado, o serviço não estará
disponível e os pacotes correspondentes não atravessarão o Firewall. Além disso, o servidor
Proxy pode ainda ser configurado para permitir que apenas algumas características da
aplicação sejam oferecidas, a critério do administrador.
A filtragem de pacotes num servidor Proxy continua, então, sendo efetuada, com a diferença
de que, como o servidor examina intensivamente os pacotes recebidos no nível da aplicação
(camada 7 do modelo OSI, ou camada 5 do modelo TCP/IP), pode filtrar comandos
específicos desta, o que seria impossível para um roteador. Assim, por exemplo, um serviço
http pode estar sendo oferecido, mas determinados comandos, como http:post e http:get,
podem ser bloqueados.
136
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
A posição da filtragem de pacotes usando um gateway de aplicação, com vista pelo modelo de camadas TCP/IP
137
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Um bastion host apresenta características de projeto bem específicas, com a finalidade de
prover segurança por restrição de acesso, como:
Cada servidor Proxy é independente dos demais operando no bastion host, de modo a
impedir que vulnerabilidades específicas afetem a segurança como um todo.
138
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
disponíveis dentro de cada serviço e os computadores conectados para atenderem às
requisições de serviço. Simplificam igualmente a negação de serviço, bastando não
disponibilizar um servidor Proxy para a aplicação.
Outras duas vantagens inerentes a este arranjo são a possibilidade de ocultar os nomes dos
computadores internos e a viabilidade de analisar os conteúdos dos pacotes para verificar se
são "apropriados" e seguros, como rejeitar e-mails que contenham certas palavras).
Posição da Inspeção de Estado Multicamada, como vista pelo modelo de camadas TCP/IP
A principal limitação desta tecnologia é que ela expõe os endereços IP das máquinas
internas à rede, já que permite que os pacotes internos alcancem a Internet. Esta limitação
pode ser contornada com a adição de servidores Proxy em conjunto, o que eleva ainda mais
a segurança.
São os equipamentos que prestam serviços à Internet. É a sua presença pública na Internet.
Imagine a recepção de um prédio, onde estranhos podem não ter permissão de subir as
escadas nem utilizar os elevadores, mas podem vagar livremente pela recepção e se
informarem do que necessitam. Como numa recepção de edifício, os Bastion Hosts são
expostos a possíveis elementos hostis, que tendo ou não permissão, precisam inicialmente
passar pelo Bastion Hosts antes de alcançarem a rede interna. Quando mais simples forem,
mais simples será mantê-lo seguro.
140
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
O bastion host é a ponte de interação com a zona desmilitarizada, pois os serviços
disponíveis à DMZ devem ser impreterivelmente instalados nestes equipamentos protegidos.
Esta segmentação garante que caso algum equipamento bastion host seja atacado na rede
DMZ, a rede interna continuará sua operacionalidade de forma intacta e segura.
Usualmente encontrada como sendo uma rede entre a Internet e a intranet da empresa.
141
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 18
NAT, VPN E LIMITAÇÕES NO USO DE FIREWALL
Objetivo: Conhecer solução econômica de IP, redes sobre a infra-estrutura de uma rede
pública e as limitações do Firewall.
É uma das soluções que existem para a economia de endereços IP. É um tradutor de
endereços de rede que visa minimizar a escassez dos endereços IP, pois o crescimento da
Internet tem sido grande e, para que uma máquina tenha acesso à rede, é preciso ter um
endereço IP válido.
Para o tradutor funcionar, é preciso usar endereços IP privados, note que, tais endereços só
podem ser utilizados em redes corporativas, pois, não são propagados pela Internet. A
tradução pode ocorrer de forma estática, onde se estabelece uma relação entre endereços
locais e endereços da Internet ou dinâmica, onde o mapeamento de endereços locais e
endereços da Internet é feito conforme a necessidade de uso. As traduções estáticas são
úteis quando disponibilizamos serviços na rede interna, como um site Web. Nesse quadro,
quando o pedido de conexão chega ao roteador, o NAT consulta a tabela de endereços e
transcreve para o IP interno correspondente, permitindo assim, que seja possível fazer uma
conexão no sentido
da Internet para a rede interna.
142
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
roteador e ele, aloca em sua tabela, o endereço da máquina interna que requisitou a
informação e o endereço Internet configurado no roteador (esse endereço pode ser único ou
uma faixa de endereços), e quando os dados retornam da Internet, o NAT consulta a tabela
de traduções e responde a máquina que fez a requisição.
Rede Privada Virtual é uma rede construída sobre a infra-estrutura de uma rede pública,
normalmente a Internet, ou seja, utiliza-se a infra-estrutura da Internet ao invés de se utilizar
links dedicados ou redes de pacotes (como Frame Relay e X.25) para conectar redes
remotas.
143
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Motivada pelo lado financeiro, onde os links dedicados são caros, e do outro lado está a
Internet, que por ser uma rede de alcance mundial, tem pontos de presença espalhados pelo
mundo.
As conexões com a Internet podem ter um custo mais baixo que links dedicados,
principalmente quando as distâncias são grandes, esse tem sido o motivo pelo qual, as
empresas cada vez mais utilizam a infra-estrutura da Internet para conectar a rede privada.
A utilização da Internet como infra-estrutura de conexão entre hosts da rede privada é uma
ótima solução em termos de custos, mas não em termos de privacidade, pois a Internet é
uma rede pública, onde os dados em trânsito podem ser lidos por qualquer equipamento.
Então como fica a questão da segurança e a confidencialidade das informações da
empresa?
144
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Criptografia é a resposta. Incorporando criptografia à comunicação entre hosts da rede
privada de forma que, se os dados forem capturados durante a transmissão, não possam ser
decifrados. Os túneis virtuais habilitam o tráfego de dados criptografados pela Internet e
esses dispositivos, são capazes de entender os dados criptografados formando uma rede
virtual segura sobre a rede Internet.
Um Firewall não pode proteger uma rede interna de ataques que não passem por ele. Se o
uso de canais de discagem por parte dos usuários da rede for irrestrito, usuários internos
poderão realizar conexões diretas dos tipos PPP (Point-to-Point Protocol) ou SLIP (Serial
Line Internet Protocol), que contornam as barreiras de segurança do Firewall e oferecem
significativo risco de ataques por trás.
145
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Conexão SLIP contornando o Firewall
O Firewall não pode prover proteção contra usuários internos agindo de má fé ou por
ignorância. Usuários podem remover dados confidenciais por meio de disquetes, cartões de
notebooks, ou serem vítimas de hackers fazendo-se passar por administradores de sistemas
e solicitando que revelem uma senha, por exemplo. O mesmo se pode dizer quanto à
proliferação de vírus de computador: as organizações devem dispor de softwares anti-vírus
em toda a rede interna, para sua proteção.
Outra forma de ataque contra a qual os Firewalls não são totalmente eficazes são ataques
acionados por dados. Nestes casos, dados aparentemente inofensivos são introduzidos no
interior da rede interna, seja através de e-mail, seja por cópia de arquivos. Neste caso, a
execução de um programa determinado pode disparar alterações significativas em arquivos
relacionados à segurança do sistema, tornando-o vulnerável.
146
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Identificação de Tipos: o protocolo SLIP não possui um campo de tipo. Assim,
somente um protocolo pode percorrer a conexão SLIP, então em uma configuração
que ligue dois computadores que usem outro protocolo além do TCP/IP somente este
poderá usar a linha, não havendo esperança de compartilhar a linha entre os
protocolos.
Algum trabalho para solucionar algum ou todos esses problemas vem sendo feito por vários
grupos de trabalho para projetar e implementar um sucessor para o SLIP.
147
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 19
ARQUITETURA E PROJETO DE FIREWALL
A orientação do Firewall quanto à passagem de recursos pode ser resumida duas a posições
diametralmente opostas:
Tudo o que não for especificamente permitido é proibido: posição que determina que o
Firewall deva bloquear todo e qualquer tráfego e que cada serviço ou aplicação
desejada deve ser implementada caso-a-caso, sendo esta a mais segura e
recomendada. Sua desvantagem é dar à questão da segurança maior peso que à
questão da facilidade de uso.
Tudo o que não for especificamente proibido é permitido: posição que determina que o
Firewall deva permitir a passagem de todo e qualquer tráfego, e que serviços ou
148
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
aplicações potencialmente perigosas devem ser desabilitadas caso-a-caso, criando
um ambiente mais flexível, oferecendo mais serviços aos usuários, mas sua
desvantagem é colocar a facilidade de uso num patamar de importância maior que a
segurança.
Levando-se em conta os três fatores acima, uma organização pode definir os itens
integrantes do sistema Firewall. Um sistema típico poderá conter um ou mais dos seguintes
blocos componentes:
O sistema mais comum de Firewall consiste em nada mais que um roteador com filtragem de
pacotes, colocado entre a rede interna e a Internet, executando as tradicionais funções de
rotear o tráfego de pacotes entre redes e usar regras de filtragem para aceitar ou recusar
este tráfego. Neste arranjo, os computadores da rede interna têm acesso direto à Internet,
enquanto os externos só dispõem de acesso limitado à rede interna. A política de segurança
mais adotada nesta arquitetura é "tudo o que não for especificamente permitido é proibido".
149
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Roteador com filtragem de pacotes
Vantagens:
Baixo custo.
Desvantagens:
Exposição da estrutura da rede interna (já que a troca de pacotes entre usuários
internos e externos é permitida, há a exposição dos endereços IP internos).
150
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
pacotes, em primeira instância, quanto o fornecimento de serviços através de servidores
Proxy (aplicações com finalidades especiais, instaladas no bastion host, intermediando a
comunicação entre os meios interno e externo, impedindo a direta troca de pacotes entre
eles). Neste esquema, um roteador com filtragem de pacotes é colocado entre o bastion host
e a Internet. As regras de filtragem de pacotes só permitem que o tráfego externo tenha
acesso ao bastion host; o tráfego dirigido a qualquer outro computador da rede interna é
bloqueado.
Como os sistemas internos residem na mesma rede que o bastion host, a política de
segurança determina se os sistemas internos terão acesso direto à Internet ou se deverão
utilizar os serviços de Proxy concentrados no bastion host, o que pode ser reforçado pelo
bloqueio de todo o tráfego de saída que não se origine no bastion host.
Um servidor público (que forneça serviços Web ou FTP) pode ser colocado no mesmo
segmento da rede situado entre o bastion host e o roteador, permitindo acesso direto
de usuários externos sem comprometer a rede interna (protegida pelo bastion host).
O mesmo servidor pode situar-se após o bastion host e estar disponível apenas
através de serviços Proxy, tanto para usuários internos quanto externos.
151
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Um arranjo ainda mais seguro, visto na seguir, pode ser construído com um bastion host que
apresenta duas interfaces de rede: uma com a rede interna e outra com a Internet, passando
pelo roteador. Neste arranjo, conhecido por dual-homed bastion host, não há mais nenhuma
possibilidade de acesso direto entre os sistemas da rede interna e a Internet; todo o tráfego é
bloqueado no bastion host e o uso dos serviços de proxy passa a ser compulsório mesmo
para os usuários internos. Deve-se, entretanto, evitar que usuários externos tenham a
possibilidade de efetuar um login diretamente ao bastion host, sob pena de comprometer a
segurança obtida com este arranjo.
Este arranjo emprega ainda um bastion host e um roteador para acesso à Internet, mas
adiciona um segundo roteador interno (na interface bastion host-rede interna), criando o que
se convencionou chamar de "zona desmilitarizada", ou DMZ. Este arranjo é o que de mais
seguro se pode conceber em termos de arquiteturas de Firewall, pois aplica conceitos de
segurança desde a camada de rede até a de aplicação, além de restringir o acesso a tudo o
que é público (bastion host, servidores públicos, modems, etc.) a uma área restrita, a zona
desmilitarizada. Esta funciona como se fosse uma pequena rede isolada, situada entre a
152
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Internet e a rede interna. O tráfego direto através desta é proibido e os sistemas, tanto os
internos quanto os externos, só têm acesso limitado à zona desmilitarizada.
Para o tráfego externo, o roteador mais externo oferece proteção contra os ataques externos
mais comuns, bem como gerencia o acesso da Internet à sub-rede DMZ. Somente o bastion
host (ou, às vezes, o servidor público, dependendo da rigidez da política de segurança deste)
está disponível para acesso. Já o roteador interno provê uma segunda linha de defesa,
gerenciando o acesso da sub-rede DMZ à rede interna, aceitando somente o tráfego
originado no bastion host.
Para o tráfego de saída, as regras são semelhantes. Os sistemas internos à rede privada
somente têm acesso ao bastion host, através do controle exercido pelo roteador interno. E as
regras de filtragem do roteador externo exigem o uso de serviços Proxy para o acesso à
Internet, ou seja, só permite o tráfego externo que se origina do bastion host.
Este arranjo traz diversos benefícios importantes: três níveis de segurança (roteador externo,
bastion host e roteador interno) separam a Internet do meio interno; somente a sub-rede
DMZ é conhecida na Internet, de modo que não há meio de se conhecerem rotas de acesso
à rede interna; da mesma forma, somente a sub-rede DMZ é conhecida para a rede interna e
não existem rotas diretas para o acesso à Internet.
153
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 20
SISTEMAS DE DETECÇÃO DE INTRUSÃO
< p>
154
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
É um conjunto de técnicas e métodos usados para detectar atividades suspeitas na rede e no
host. São divididos em duas técnicas de detecção:
OS primeiros IDS’s surgiram no início dos anos 80. Um bom estudo foi conduzido por
Stanfort Research Institute, de julho de 1983 a 1986 – o Project 6169: Statistical Techniques
Development for Audit Trail System.
155
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Onde monitorar?
156
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Desta forma, IDS é um detector de anomalias, atividades impróprias ou incorretas de
sistemas corporativos, através de verificação de portas e usuários que são permitidos a
realizar acesso a informações. O Firewall nega o acesso e o IDS tem poder de verificar se o
acesso é legitimo e de rastrear requisições que foram barradas pelo Firewall. Pode alarmar
aos responsáveis dos problemas ocorridos e, dependendo do caso, reconhecer o problema.
Principais características de um IDS, conforme a HAL 98, SAN 99-2 e BEC 99:
Flexibilidade de resposta.
157
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Configuração apropriada para evitar "falso-positivos".
Reconfiguração do Firewall.
158
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Existem, ainda, os honeypots, que apesar de não serem IDS, podem ser utilizados por
administradores de sistemas para aprender as formas de ataques, detectando e
armazenando seus tipos.
159
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Arquitetura de um sistema de registros
Para analisar logs, o IDS verifica com excelência os ataques de força bruta, ou seja, aqueles
com maiores direcionamentos de máquinas para determinados serviços. Ataques mais
sofisticados são mais difíceis de serem identificados através do IDS. Um exemplo de
software é o Swatch. Ele envia alerta quando é detectado um comportamento suspeito do
serviço ou equipamento, ou seja, quando o mesmo apresentar um padrão diferente do
definido como padrão.
160
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Maiores vantagens do HIDS:
Desvantagens:
Não e capaz de detectar ataques de rede, como scanning de rede ou smurf – somente
de servidores isolados.
No Windows 98 não é muito eficiente, pois registra poucos logs do sistema e auditoria.
161
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Antes de dar continuidades aos seus estudos é fundamental que você acesse sua
SALA DE AULA e faça a Atividade 2 no “link” ATIVIDADES.
162
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 21
NIDS E HIDS
163
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Salienta-se que estações de trabalho conectadas à rede também podem receber pacotes
destinados a outras estações. Para que uma interface de rede consiga receber pacotes não
destinados a ela, é necessária que ela trabalhe em um modo especial, chamado modo
promíscuo.
Os NDIS ou SDIRs precisam trabalhar em modo promíscuo para que mesmo os pacotes não
destinados a ele possam ser analisados. Tendo todas as informações que trafegam pela
rede, é possível ao sistema, por exemplo, detectar varreduras de portas, monitorar conexões
ou datagramas maliciosos, que caracteriza um ataque antigo ao IIS (no pacote com destino
ao servidor web) ou ainda verificar ataques de negação de serviço (através da falta de
resposta de um servidor a uma requisição de um serviço).
Em redes comutadas, cada máquina recebe o tráfego que corresponde somente a ela, ou seja,
uma máquina A não receberia tráfego destinado a máquina B e vice-versa. Isso se deve ao
conhecimento da localidade física de onde está conectada cada estação pelo comutador,
164
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
ou seja, em qual porta está qual máquina, e ao fato da análise do endereço de destino do
cabeçalho da camada de enlace.
Para detectar intrusões em redes desse tipo, seria necessário algum tipo de artifício no
comutador com o objetivo de fazer com que todo o tráfego que passa por ele seja enviado,
além da porta do destinatário, para a porta onde está conectado o SDIR. Esse artifício é
chamado de espelhamento de portas e tem objetivo de refletir o tráfego de outras portas para
uma porta específica.
O modo como ele é feito é mostrado na figura a seguir na estação A passa um quadro para a
estação B e este é refletido na porta do SDIR.
Vantagens:
165
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
É difícil para um hacker conseguir apagar os rastros num NIDS, caso o mesmo
consiga invadir o equipamento.
Desvantagens:
Existem algumas técnicas utilizadas por hackers para não serem monitorados pelo NIDS.
Envio de pacotes fragmentados devido a alguns NIDS não serem capazes de tratar.
Ataques a portas não convencionais, como do DNS (53), para envio de backdoors.
166
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Slow Scan – Ataque de forma pausada para que o IDS não perceba o ataque. Para
evitar este tipo de atitude com sucesso, é preciso configurar o IDS apropriadamente.
Mudança nos padrões do IDS, para que o ataque não seja reconhecido.
Para o caso scanning, slow scan, o IDS deve armazenar o máximo de tempo possível
às informações.
A maioria das organizações utiliza um sensor ou agente de segmento para monitoração, que
captura os pacotes e os tratam antes de enviar a console, utilizando criptografia,
principalmente o algoritmo assimétrico RSA para formação de um canal seguro.
O IDS híbrido tem como objetivo agregar as vantagens do NIDS e HIDS, de forma a melhorar a
detecção de tentativas de ataques e intrusões. A medida que os HDIS atuam somente em
estações críticas, o NDIS atua analisando todo o tráfego de rede, inclusive aquele para
167
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
estações que não contem um sistema de detecção rodando. Uma configuração bastante
comum seria a de um SDIR para a rede local e SDIEs rodando nos servidores principais.
O IDS híbrido, como o NIDS, captura o tráfego da rede, processa, detecta e responde a
ataques. Porém, a estratégia que ele utiliza é diferente: existe o processamento a partir
dos pacotes do próprio sistema, como o HIDS, eliminando o problema do desemepnho.
Porém, existe o problema da escalabilidade. É necessário instalar em cada estação para
que seja efetuada a monitoração.
168
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Breves considerações sobre a Criminalidade Informática e a Legislação Penal no Brasil
http://revista.grupointegrado.br/revista/index.php/discursojuridico/article/viewFile/163/60
169
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 22
HONEYPOT E METODOLOGIA
8.3. Honeypot
170
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
O honeypot é uma armadilha onde existem
em um ou mais equipamentos que estão, em
geral, em uma rede separada que
aparentemente contém informações
importantes da empresa para que os hackers
os acessem.
Como curiosidade, na Internet existe um projeto com oito honeypots que fornecem
informações sobre tentativas de ataques, a título de aprendizagem. É o HoneynetProject.
Existem diversas plataformas (Windows, Solaris, Linux) e as estatísticas das tentativas são
compartilhadas, gratuitamente, na Internet.
Vantagens:
Localização de Honeypot
8.4. Metodologia
Existem dois tipos de abordagem que os IDS utilizam para detecção de intrusão ou ataque.
Vantagens:
Desvantagens:
Não consegue detectar ataques que não estão armazenados no banco de dados sua
assinatura – semelhante aos antivírus.
173
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Caso algum hacker coloque espaços em branco em partes da assinatura, ele não
reconhece o ataque, já que o processo dele está associado à identicidade da base de
dados.
Existem assinaturas que detectam falhas de conexões TCP em diversas portas, identificando
assim scanning na rede. Este tipo de assinatura é dividido em três:
Cabeçalho: rastreia por combinações sem lógica ou perigosa nos cabeçalhos dos
pacotes. Como exemplo temos a identificação de pacotes com SYN e FIN,
significando que o cliente deseja iniciar e finalizar uma conexão ao mesmo tempo, o
que normalmente não acontece, demonstrando claro indicio de ataque.
174
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 23
IDS E PADRONIZAÇÃO
A decisão de ser um
ataque é realizada de
forma estatística ou
heurística, apontando
comportamentos diferentes
quanto ao tráfego,
utilização de CPU,
atividade de disco, logon
de usuários e horários,
acesso a determinado
disco, entre outros.
175
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Principais vantagens:
Mesmo que não esteja definida uma assinatura, o IDS irá identificar o ataque por a
mudança de comportamento, detectando a intrusão até mesmo de novos tipos de
ataques.
Existem projetos de inteligência artificial para sanar estes tipos de problemas, com
redes neurais e lógicas fuzzy.
A padronização dos IDS’s ainda está em andamento e tem como finalidade a criação de
formatos e procedimentos para compartilhamento de informações entre sistemas. Este
trabalho vem sendo realizado por a IETF (Internet Engineering Task Force). O nome do
projeto é Intrusion Detection Exchange Format (IDWG) [IET 01].
Principais objetivos:
176
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Definição de formatos de dados e procedimentos para compartilhamento de
informações
Depois da criação do projeto, é esperado que seja definida uma forma única
(linguagem comum a todos os IDS’s) de formatos de dados e procedimentos, para
comunicação entre IDS e exigências que os equipamentos devem se preocupar, tanto
para gerenciamento quanto para troca de informações. Outro resultado esperado é a
obtenção de um melhor protocolo para comunicação entre IDS’s.
Na realidade, o IDS pode ser colocado em qualquer lugar dentro da rede, mas cada lugar
possui um tipo de proteção específico.
177
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Localização de IDS
Outro ponto também importante é próximo a DMZ, que identifica o tráfego de empresas
coligadas que podem estar sendo usadas como ponte para alcançar a organização, ou até
mesmo elas próprias. O mesmo se aplica a VPN.
Com a chegada dos bolsões de segurança e o acesso a recurso interno cada vez maior, é
interessante colocar IDS dentro do ambiente cooperativo também. Porém, não é uma prática
muito comum nas empresas devido ao custo.
178
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 24
VPN E CARACTERÍSTICAS
Virtual Private Network é uma rede de comunicações privada normalmente utilizada por uma
empresa ou um conjunto de empresas e/ou instituições, construída em cima de uma rede de
comunicações pública (como a Internet). O tráfego de dados é levado pela rede pública
utilizando protocolos padrão, não necessariamente seguros.
Uma rede privada nada mais é do que computadores interligados, por hubs ou switchs,
compartilhando informações ao grupo que formam. Observamos que esta solução vem
resolver problemas de redes com equipamentos no mesmo local, com o mínimo de
segurança.
179
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Quanto maior a rede privada maior seu custo, pois precisaremos utilizar fibra ótica, por
exemplo, para conseguirmos conexão. Esta é solução para diversas empresas que são
grandes e possuem uma infra-estrutura que suporta este tipo de medidas, como bancos.
Vivemos num mundo globalizado, onde muitas empresas são virtuais ou pequenas e
representadas em diversas partes do mundo. Como estas empresas devem se comunicar é
a constante preocupação, pois soluções como fibra ótica, possuem um alto custo que não
corresponde à realidade das mesmas.
A rede pública que temos é a Internet, onde tudo é compartilhado e existe conexão entre
diversos equipamentos, pessoas e serviços do mundo. Porém, não existem regras de
propriedade e segurança, muito menos administradores dos computadores interconectados.
Pensando na rede pública e privada trabalhando juntas, surgiu o VPN, um estudo onde o que
se quer é ter uma rede privada de segurança dentro da rede pública, a fim de minimizar
custos, porém com a segurança de uma rede privada.
Esta solução vem sendo cada vez mais empregada devido à expansão das intranets, onde
não é necessário adquirir novos produtos para manipular suas informações, somente o
browser. Os funcionários possuem uma visão da organização que lhe é necessária através
dos sistemas, com suas permissões, centralizando as informações em servidores, que
distribuem as informações, banco de dados e arquivos.
Para associar todas estas vantagens on-line, em qualquer lugar, surgem mais uma vez a
necessidade de tomada de decisões, sem estar necessariamente dentro da organização.
Como fazer com que o acesso a intranet seja feito via rede pública e de forma confiável? A
VPN vem a ser uma solução, mais simples e barata, de alcançar este objetivo.
A segurança depende do valor do que se quer proteger. Quando falamos de bens materiais,
tomamos por base os preços de mercado. Porém, quando o assunto é informação digital, é
180
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
preciso que os responsáveis pelo dado consigam mensurar, tanto em quantidade quanto em
qualidade, quais são as informações que mais precisam ser protegidas. Esta análise é
baseada em quanto à organização pode perder em caso de roubo da informação.
É preciso saber visualizar as informações da empresa de forma macro, ter percepção, para
identificar o nível de segurança apropriado, pois se sermos extremistas, podemos ver
necessidade de colocar autenticação por retina em salas de servidores. Esta é uma atitude
certa do ponto de vista da segurança, porém, em termos econômicos, não é decisão viável
em muitos casos.
A partir do momento que temos esta divisão, é preciso identificar quais grupos terão um nível
de segurança maior, de acordo com o tipo de informação manipulada e os prejuízos que
podem ocorrer em caso de perda da confidencialidade.
Considerando que a informação será trafegada pela Internet, sendo fragmentada em pacotes
visíveis pela rede, o túnel VPN possui algumas premissas que visam fazer com que as
informações transmitidas tenham segurança, como se estivesse em rede privada.
Privacidade.
Integridade.
Autenticidade.
Não-repúdio.
Facilidade.
181
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
9.2.1. Privacidade
Deve garantir que somente as informações ao grupo de VPN do usuário estejam disponíveis
para o acesso dele, como se estivesse numa rede corporativa. Outro ponto importante, é que
apesar de utilizar a Internet como conexão, qualquer pessoa que consiga capturar as
informações não consiga identificá-las. Para resolver este problema, é preciso utilizar
técnicas de criptografia algoritmos matemáticos que visam dificultar o entendimento dos
pacotes e para conseguir decifrá-los seria necessário muito tempo e esforço para descobrir o
algoritmo reverso.
9.2.2. Integridade
182
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
dados, a mesma função hash conseguirá abrir a mensagem no destino. Caso contrário, o
resultado será diferente e o destino saberá que houve alguma interrupção no caminho.
9.2.3. Autenticidade
É necessário ter certeza que as informações enviadas foram entregues ao destinatário. Esta
garantia é dada pelo uso da Infra-estrutura de Chave Pública, na forma da assinatura digital.
A chave privada é de uso exclusivo do autor, garantindo que não há como outra pessoa
utilizá-la, fazendo com que a premissa da autenticidade seja validada. A assinatura digital
possui valor legal, na legislação brasileira.
9.2.4. Não-repúdio
O não-repúdio está na afirmação que determinado usuário realizou determinada tarefa e não
pode ser negado posteriormente, devido a registros. A assinatura digital consegue garantir o
não-repúdio juntamente com a autenticidade.
9.2.5. Facilidade
183
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Algoritmo Criptográfico Posicional
http://revista.pcs.usp.br/n2/r002a004.pdf
184
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 25
FUNDAMENTOS E APROFUNDAMENTO SOBRE VPN
Os conceitos acima se referem a uma tecnologia perfeita ou pelo menos, ideal. Na realidade,
nem sempre temos disponível a assinatura digital em redes VPN. Através da VPN,
informações são trafegadas na Web, sofrendo grandes riscos de perderem sua
confidencialidade.
Caso a VPN não estiver utilizando uma arquitetura de criptografia, como a PKI, são
necessários alguns cuidados adicionais com ataques e dados recebidos da Internet. Como
185
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
exemplo de ataque, citamos o packet sniffing, onde qualquer indivíduo consegue capturar os
dados trafegados, destruindo a confidencialidade, caso não esteja devidamente protegido.
Ataque contra conexões TCP é outro tipo de problema que a integridade pode ser
comprometida, Existe ainda o IP Spoofing, no caso de um usuário passar por outro,
causando problemas de autenticação e autorização.
186
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Os túneis VPN podem ser criados tanto na rede corporativa, quanto na estação do próprio
usuário, procedimento comum em acesso remoto.
Para usuários dentro da rede corporativa, a VPN é como se a rede externa fosse interna, de
forma transparente, chamado gateway-to-gateway. Para caso de usuários isolados, é
necessário que seja iniciado o processo de conexão ao túnel, a partir do próprio
equipamento, não sendo tão transparente quanto na rede corporativa, chamado client-to-
gateway, pois é realizado através de um software no cliente.
187
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Exemplo de ambiente para proteger o acesso remoto (http://www.microsoft.com/brasil/security/guidance)
Algumas situações que devem ser revisadas quando disponibilizamos este tipo de serviço:
A segurança de conexões tem como base o protocolo IPSec, que tem demonstrado
segurança em VPN, sendo que a integridade, autenticação e confidencialidade são
negociadas por ele. Entretanto, é necessário saber implementá-lo, caso contrário,
pode-se comprometer a segurança, principalmente quanto a algoritmos criptográficos.
188
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Inclusão na política de segurança da necessidade de cuidado ao envio de notebooks
para assistência técnica, onde alguém pode copiar os dados e informações
necessárias a VPN, ou empréstimo destes equipamentos.
O tunelamento é um pilar da VPN, e pode ser realizadas nas camadas dois e três do modelo
OSI, com vantagens e desvantagens.
Simplicidade.
189
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Inicialização bidirecional de túnel.
Estabilidade.
Segurança.
Confiabilidade.
O tunelamento nível dois (ou seja, aquele que utiliza protocolo na camada dois) é mais
indicado para redes de acesso discado ou acessos que associam tráfego à utilização.
Desvantagens:
Padronização em desenvolvimento.
Segurança.
Confiabilidade.
190
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
PPTP x L2TP (www.abusar.org)
O controle de tráfego para uma VPN é essencial para garantir a qualidade do serviço
disponibilizado. É obtido através do gerenciamento de banda, que determina a dimensão da
191
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
banda que cada protocolo pode utilizar (IP Sec, FTP, http, entre outros), para que a VPN
tenha um bom desempenho e não gaste seus recursos somente em um tipo de protocolo.
Tem como finalidade, integrar a política de segurança da organização (de forma centralizada
local ou remota), aumentando a escalabilidade da solução. Existem softwares no mercado
que oferecem serviços de monitoramento, detecção e solução de problemas.
Área de cobertura.
Acesso.
Desempenho.
Segurança.
Gerenciamento.
Largura de banda.
192
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 26
CRIPTOGRAFIA
10. CRIPTOGRAFIA
Extraída de http://www-asc.di.fct.unl.pt/sd1/aulas-teoricas-0506/materiais/cap4-0506-6pp.pdf
A criptografia vem para garantir a privacidade no mundo virtual. De acordo com diversos
estudos, é complicado impedir todas as formas que pessoas consigam capturar pacotes que
trafegam pela rede. Já que é muito difícil garantir via infra-estrutura, a criptografia vem como
uma forma de garantir a privacidade das informações, embaralhando-a de forma eficiente,
através de algoritmos específicos para esta finalidade.
(http://www.di.ufpe.br/~flash/ais98/cripto/Image3.gif)
194
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
A importância da criptografia vem crescimento gradativamente dentro das organizações,
garantindo a confidencialidade, integridade, autenticação, certificação e não-repúdio. Estas
características estão presentes em protocolos com Secure Shell (SSH) e IP Security (IPSec),
sendo um ponto importante dentro de Rede Privada Virtual (VPN – Virtual Private Network)
ou Infra-Estrutura de Chave Publica (PKI – Public Key Infrastructure).
Criptografia significa estudo de códigos e cifras. Sua origem é do grego kryptos significa
oculto e graphen significa escrever. A palavra saphar significa dar números, motivo que a
maioria das criptografias estão associadas a algoritmos matemáticos. A criptografia não é
moderna, como muitos pensam.
A criptografia por substituição foi inventada pelo imperador Julio César, a mais ou menos,
2000 anos atrás. Ele enviava mensagens trocando as letras do alfabeto por três letras
subseqüentes (A -> D, B -> E, e assim sucessivamente).
Quando falamos em criptografia, temos dois tipos diferentes de chaves: chaves simétricas,
(secretas), e as chaves assimétricas (públicas).
195
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
10.2. Tipos de Chaves
A chave deve ser um segredo difícil de descobrir, mesmo com tentativas exaustivas
de processamento.
A seguir constam os principais tipos de chaves (pública e privada) e como elas atuam para
alcançar este objetivo.
A chave simétrica surgiu em 1972 pela IBM e depois foi revista em 1977, pelo Nacional
Institute of Standards (NIST), Federal Information Processing Standards (FIPS-46-1) e
American Nation Standards Institute (ANSI X9.32), com o nome de Data Encryption Standard
ou DES. O padrão criado utiliza uma chave com 64 bits, sendo 56 para chave e 8 de
paridade. Para a época foi um grande avanço, pois se acreditava que somente em 228
milhões de anos (com testes a cada 100ms) o algoritmo poderia descobrir a chave.
196
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Uma curiosidade quanto aos 56 bits de tamanho da chave simétrica é que esta foi uma
imposição de restrição do governo americano. O uso de chaves maiores só é permitido para
fins militares. Entretanto, os cientistas anunciaram a quebra da DES por volta de 1997,
fazendo com que os que utilizam esta chave tenham receio.
Foram implementadas algumas variantes da DES, por exemplo, a 3DES, que nada mais é do
que o uso de três chaves DES que embaralhadas formam a mensagem. Até agora a 3DES
vem sendo mais utilizada e não foi quebrada, pelo menos por enquanto.
Constante troca de chave secreta: o segredo de uma chave é compartilhado por duas
organizações que precisam interagir para obter as chaves para comunicação, antes
que seja efetuada a transação, de forma não digital, preferencialmente. Este detalhe
eleva o custo da solução em alguns casos, além de ser um processo lento. Por ser de
forma não digital, pessoas não autorizadas podem ter acesso a este material,
colocando em perigo a confidencialidade, portanto se faz necessário constantemente
à troca de chave.
197
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Problemas na troca de chave inicial: muitas vezes, é complicado saber com quem
estamos lidando na Internet, ou se a pessoa que receber a chave terá a idoneidade de
utilizá-la corretamente, sem divulgar a terceiros. Para este problema, surgiram os
Centros de Distribuição de Chaves (KDC – Key distribution Center). São os
responsáveis pela distribuição de chaves para usuários desconhecidos, por isso é
necessário estar sempre on-line. Deve ser um foco de atenção aos administradores,
pois um ataque neste ponto único desestrutura a empresa na distribuição das chaves.
Outro tópico importante é a gerencia do servidor para usuários externos a
organização.
198
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 27
CHAVES CRIPTOGRÁFICAS
A chave assimétrica demonstra segurança maior do que a simétrica devido aos recursos
computacionais disponíveis atualmente, que não conseguem em centenas de anos descobrir
quais os números primos que originaram a chave.
Em vias normais, a chave privada é armazenada usando a chave simétrica AES, pois
aumenta a segurança na parte mais importante do processo. A chave privada é a garantia
que somente quem tem a chave publica utilizada ira descobrir a mensagem enviada.
Uma necessidade das chaves assimétricas é um repositório onde as pessoas que precisam
se comunicar busque a chave publica para criptografar e enviar os dados ao destinatário.
Neste caso, este repositório deve ser confiável ou esta irá ser uma grande falha, pois ao
buscar uma chave você precisa ter certeza que está criptografando para a pessoa certa
descriptografar. Por isso, é recomendável os cuidado a seguir:
199
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Estabelecimento de relação de confiança no repositório de chaves públicas.
Para estabelecer esta relação de confiança, surgiu o Certificado Digital, que será explicado
em outro tópico deste capítulo.
Em segundo lugar, os modelos de criptografias podem ser combinados. Existem casos onde
se opta pelas mensagens serem enviadas via chave simétrica, por ser mais rápida a
transmissão, e a distribuição das chaves através das chaves assimétricas. Tudo irá depender
da arquitetura e nível de segurança das informações. Os seguintes protocolos aceitam o
sistema de criptografia híbrido: IPSec, SSL e TLS, PGP, S / MIME, Set, X.509.
200
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
10.3. Algoritmos
10.3.1. Diffie-Hellman
201
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Outro usuário pode se passar pelo destinatário. Isto se deve a preocupação do algoritmo ser
somente na criptografia e não incluir a autenticação.
10.3.2. RSA
É um algoritmo de encriptação proposto por Ron Rivest, Adi Shamir e Leonard Adleman,
pesquisadores do MIT em 1977 e fundadores da atual empresa RSA Data Security, Inc. É
um dos mais velhos algoritmos de criptografia de chaves públicas, porém utiliza-se da
eficiência da multiplicação de grandes números primos e retorno de tempo não hábil para a
operação reversa. Algoritmo, até a data (2008), é a mais bem sucedida implementação de
sistemas de chaves assimétricas, e fundamenta-se em Teorias Clássicas dos Números. É
considerado dos mais seguros, já que mandou por terra todas as tentativas de quebrá-lo. Foi
também o primeiro algoritmo a possibilitar encriptação e assinatura digital, e uma das
grandes inovações em criptografia de chave pública.
10.3.3. DAS
Outro algoritmo de chave pública utilizado para gerenciamento de chaves. Sua matemática
difere da utilizada no RSA, mas também é um sistema comutativo. O algoritmo envolve a
manipulação matemática de grandes quantidades numéricas. Sua segurança advém de algo
denominado problema do logaritmo discreto. Assim, o ElGamal obtém sua segurança da
202
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
dificuldade de se calcular logaritmos discretos em um corpo finito, o que lembra bastante o
problema da fatoração.
10.3.4. ECDSA (Elliptic Digital Signiture Algorith) e ECDH (Elliptic Curve Diffie-Helman)
O ECDSA e ECDH, na realidade, não são algoritmos, mas uma forma de implementação que
altera a forma que funcionam, para curvas elípticas.
203
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Alterando os algoritmos para trabalharem de forma elíptica, o algoritmo se torna mais seguro
e tem um menor tamanho, resolvendo um dos maiores problemas dos algoritmos de chave
pública. Porém, o tempo de processamento é maior do que o RSA.
Funções Descrição
É uma função de espalhamento unidirecional inventada por Ron
Rivest, do MIT, que também trabalha para a RSA Data Security. A
MD5
sigla MD significa Message Digest. Este algoritmo produz um valor
hash de 128 bits, para uma mensagem de entrada de tamanho
204
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
arbitrário. Foi inicialmente proposto em 1991, após alguns ataques de
criptoanálise terem sidos descobertos contra a função Hashing prévia
de Rivest: a MD4. O algoritmo foi projetado para ser rápido simples e
seguro. Seus detalhes são públicos, e têm sido analisados pela
comunidade de criptografia. Foi descoberta uma fraqueza em parte do
MD5, mas até agora ela não afetou a segurança global do algoritmo.
Entretanto, o fato dele produzir um valor hash de somente 128 bits é o
que causa maior preocupação; é preferível uma função Hashing que
produza um valor maior.
O Secure Hash Algorithm, uma função de espalhamento unidirecional
inventada pela NSA, gera um valor hash de 160 bits, a partir de um
tamanho arbitrário de mensagem. O funcionamento interno do SHA-1
é muito parecido com o observado no MD4, indicando que os
estudiosos da NSA basearam-se no MD4 e fizeram melhorias em sua
segurança. De fato, a fraqueza existente em parte do MD5, citada
SHA-1
anteriormente, descoberta após o SHA-1 ter sido proposto, não ocorre
no SHA-1. Atualmente, não há nenhum ataque de criptoanálise
conhecido contra o SHA-1. Mesmo o ataque da força bruta torna-se
impraticável, devido ao seu valor hash de 160 bits. Porém, não há
provas de que, no futuro, alguém não possa descobrir como quebrar o
SHA-1.
O MD4 é o precursor do MD5, tendo sido inventado por Ron Rivest.
Após terem sido descobertas algumas fraquezas no MD4, Rivest
escreveu o MD5. O MD4 não é mais utilizado. O MD2 é uma função de
espalhamento unidirecional simplificada, e produz um hash de 128
MD2 e MD4
bits. A segurança do MD2 é dependente de uma permutação aleatória
de bytes. Não é recomendável sua utilização, pois, em geral, é mais
lento do que as outras funções hash citadas e acredita-se que seja
menos seguro.
205
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
A assinatura digital precisa de um mecanismo para seu adequado emprego, devido a
lentidão dos algoritmos assimétricos, ou seja, devido ao tamanho das mensagens, torna-se
inviável utilizar somente chaves assimétricas por causa do tempo necessário para realizar a
criptografia.
A função hash tem como objetivo calcular um valor de tamanho fixo baseado na mensagem
que se deseja assinar, chamado de Digest ou valor hash. Esta função fornece maior
agilidade e integridade confiável. Com a alteração de qualquer bit dentro da mensagem,
ocorre a alteração do valor hash, que indica a mudança da origem ao destino da mensagem.
Alguns exemplos de função hash são SHA-1, MD5, MD4 e MD2, sendo a mais utilizada e
considerada mais segura a SHA-1.
206
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Segurança da informação digital na saúde
http://www.einstein.br/biblioteca/artigos/131%20132.pdf
207
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 28
ATAQUES A SISTEMAS CRIPTOGRÁFICOS
http://www.redegalega.org/synapsis/091/criptogr.gif
208
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Ataque com texto original conhecido: o criptoanalista conhece algumas parelhas texto
original - texto criptografado.
Ataque com texto original escolhido: o criptoanalista pode obter o texto criptografado
de qualquer texto original que introduza.
Ataque com texto criptografado escolhido: o criptoanalista pode obter o texto original
de qualquer texto criptografado que introduza.
Os ataques que mais preocupam são os que procuram descobrir informações como tempo,
consumo de energia e radiação de dispositivos de tokens ou smartcard. São os chamados
209
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
side-channel attack. Outro ataque é o failure analysis, que forçam diversos erros durante a
operação visando derrubar a segurança dos smartcard.
210
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 29
AUTORIDADE CERTIFICADORA E CERTIFICADOS
O padrão mais comumente utilizado para certificados digitais é denominado X-509, o qual
prevê, entre outras informações possíveis, os seguintes dados de identificação:
212
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
O objetivo da assinatura digital no certificado é indicar que uma outra entidade (a
Autoridade Certificadora) garante a veracidade das informações nele contidas.
Autoridade Certificadora (AC) é a entidade responsável por emitir certificados digitais. Estes
certificados podem ser emitidos para diversos tipos de entidades, como pessoa, computador,
departamento de uma instituição, instituição, etc.
Quando você acessa um site com conexão segura, como o acesso a sua conta
bancária pela Internet é possível checar se o certe apresentado é realmente da
instituição que diz ser, através da verificação de seu certificado digital.
213
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Quando você consulta seu banco pela Internet, este tem que assegurar-se de sua
identidade antes de fornecer informações sobre a conta.
Quando você envia um e-mail importante, seu aplicativo de e-mail pode utilizar seu
certificado para assinar “digitalmente” a mensagem, de modo a assegurar ao
destinatário que o e-mail é seu e que não foi adulterado entre o envio e o recebimento.
214
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
U NIDADE 30
AUTENTICAÇÃO
11. Autenticação
É a capacidade de se garantir que a pessoa de fato é quem diz ser, dentro de um contexto.
Definir um contexto é importante, pois uma pessoa pode ser autêntica numa situação e, em
outra não. Citamos como exemplo um passaporte, que é válido somente dentro de um país.
Para autenticar alguém, o autenticador necessita de informações de autenticação que podem
ser:
Algo que definimos como usuário é senha, da forma mais insegura, apesar de ser a
mais conhecida e utilizada.
Algo físico que possuímos como cartão de banco, passaporte, entre outros.
Algo que somos como impressões digitais, retina, reconhecimento de voz, rosto e
padrão de assinatura.
215
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
11.1. Autenticação baseada em definições
Tipo de autenticação mais utilizada, por apresentar o custo mais reduzido e a maior parte
dos sistemas aceitarem este tipo de autenticação de forma simplificada.
11.2. Senhas
Mesmo sendo as mais utilizadas, são as que mais possuem vulnerabilidades, sendo
considerado o elo mais fraco da cadeia de segurança, vindo após dos seres humanos.
Adivinhação.
Processos de logging spoofing realizado por hackers, que capturam tudo o que a
pessoa digitar em seu micro.
Entre outros.
216
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Uma forma de minimizar os efeitos negativos do uso de senha é a utilização das mesmas
uma única vez, sendo trocada a cada novo acesso. Porém, o usuário não se sentirá
confortável nesta situação.
Mesmo desta forma, existem ataques que podem ser realizados pelos hackers:
Race: aproveita a vulnerabilidade dos protocolos que trafegam byte a byte, porém são
poucos. O hacker controla o envio dos bytes e antes do envio da última série tenta se
conectar no lugar do usuário.
Principais desvantagens:
Dificuldade de administração.
217
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Em geral, os smarts tokens geram a cada novo acesso uma nova seqüência sincronizada
com o servidor de autenticação, que juntamente com o PIN (senha comum), permite ou não
a autenticação do usuário ao recurso, minimizando as chances de colocação de senhas
inapropriadas.
Considerada a mais segura, por somente depender de fatores humanos, senhas ou perda de
objeto, sendo sua principal vantagem. É baseado na biometria que através das
características físicas ou comportamento do individuo, verifica sua autenticação, baseada
nas informações armazenadas que devem ser idênticas as do individuo. Ao ser concedida, é
transmitido o perfil da autorização. É importante que as informações de cada usuário sejam
criptografadas em seus servidores para que, em mãos erradas, não aconteçam problemas a
organização.
Exemplos:
Emissões técnicas.
Retina.
Íris.
Impressão digital.
Poros da pele.
218
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Analise de assinaturas.
Padrões de escrita.
Voz.
São diversas as formas de autenticação com biometria, conforme visto, porém somente
duas, segundo pesquisas, são únicas: íris dos olhos e impressão digital.
Pessoas acreditarem que os equipamentos biométricos não são higiênicos (os que
coletam a impressão digital precisam ser limpos a todo o momento) ou podem
provocar problemas na saúde (caso do laser na íris).
219
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
(http://support.citrix.com/article/html/images/CTX108095-1.gif)
Principais vantagens:
Minimização de custos com suporte técnico de produtos e help desk para usuários.
Principais desvantagens:
(http://www.nisled.org/wiki/images/c/c8/Figura1.jpg)
Como funciona? O Radius autentica através de uma série de comunicações entre o cliente e
o servidor. Uma vez que o usuário é autenticado, o cliente proporciona a ele, o acesso aos
serviços apropriados.
221
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
O protocolo Radius é adequado em sistemas de serviços remotos discados. O Radius
autentica através de uma série de comunicações entre o cliente e o servidor. Uma vez que o
usuário é autenticado, o cliente proporciona a ele, o acesso aos serviços apropriados.
222
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
11.6.2. Protocolo Kerberos
(http://www.nisled.org/wiki/images/6/68/Figura2.jpg)
O Kerberos possuirá uma chave secreta associada a cada cliente e cada serviço, sendo
conhecidas como chave de cliente e chave de serviço respectivamente. Essa chave é obtida
a partir da senha fornecida pelo cliente/serviço no momento de seu cadastramento. Sendo
assim, apenas o próprio cliente/serviço conhece sua chave secreta, além do Kerberos.
Passo 1: Quando um cliente deseja acessar um serviço qualquer protegido pelo Kerberos,
antes de conseguir acessá-lo, ele deverá autenticar-se. Nesse momento, o cliente envia uma
requisição de autenticação para o SA, que verifica os dados fornecidos pelo cliente
(identificação do cliente e uma identificação do tipo da mensagem), busca em sua base de
dados as chaves secretas correspondentes ao cliente (origem da requisição) e ao TGS (onde
223
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
o cliente deseja autenticar-se), e cria uma chave de sessão que será utilizada por ambos,
cliente e TGS. O SA responde ao pedido de autenticação do cliente, quando a validação de
seus dados é positiva, enviando-lhe um ticket que permite acessar o TGS. Esse ticket é
composto da seguinte forma: nome do cliente, nome do TGS, tempo corrente, tempo de vida
do ticket, IP do cliente e a chave de sessão. Antes de ser enviado, o ticket é criptografado
utilizando-se a chave de serviço que apenas o próprio serviço e o Kerberos conhecem. Além
disso, tanto o ticket, já criptografado, quanto a chave de sessão, são criptografados
utilizando-se a chave de cliente.
Passo 4: Ao receber a requisição, o TGS utiliza sua chave secreta para descriptografar o
ticket, e utiliza a chave de sessão que acabou de receber, na própria requisição, para
descriptografar o autenticador. No final desse processo, o TGS utiliza os dados que obteve
224
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
para validar a requisição do cliente. Os nomes do cliente, os IPs obtidos e o tempo corrente,
tanto do ticket quanto do autenticador, são comparados. Sendo todos os dados comparados,
válidos, uma nova chave de sessão é criada pelo TGS. Um novo ticket é criado, dessa vez
contendo as informações referentes ao cliente e serviço. A chave de serviço é utilizada para
criptografar o ticket. Em seguida, a chave de sessão e o ticket, já criptografado, são
criptografados juntos utilizando-se a chave de sessão enviada pelo próprio cliente.
Finalmente, a mensagem de resposta é enviada para o cliente.
Passo 5: A partir de agora, o cliente será capaz de utilizar o serviço que deseja. Porém,
antes disso, é preciso descriptografar a mensagem utilizando a chave de sessão. Terminado
esse processo, o cliente tem em “mãos” o ticket que lhe permitirá acessar o serviço, e
também, a nova chave de sessão que será utilizada para estabelecer a comunicação entre
os dois. Para finalizar o processo de autenticação, o cliente deve criar um autenticador,
contendo seu nome, IP e tempo corrente. Criptografar esse autenticador com a chave de
sessão, e junto com ticket fornecido pelo TGS, formar uma requisição que será enviada
diretamente para o serviço que se deseja acessar. Só resta agora que o serviço verifique a
requisição recebida. Com sua chave secreta o serviço consegue descriptografar o ticket
recebido. Dentre outras informações, consta no ticket a chave de sessão criada pelo TGS,
que o permitirá descriptografar o autenticador enviado pelo cliente. Os nomes do cliente, os
IPs obtidos e o tempo corrente, tanto do ticket quanto do autenticador, são comparados.
Considerando os dados válidos, o serviço tem certeza quanto a veracidade da identidade do
cliente e a autenticação é finalizada.
A comunicação entre o cliente e o serviço poderá ser feita de três formas diferentes:
Normal: apenas a autenticação inicial é exigida. A partir daí, não é feita mais nenhuma
autenticação e as mensagens também não são criptografadas.
Esse protocolo foi desenvolvido no meado dos anos oitenta como parte do Projeto de MIT
Athena. Hoje em dia, é uma das soluções aos problemas de segurança em rede, pois
fornece ferramentas de autenticação e criptografia para trabalhos em redes públicas como a
Internet. Pode ser utilizado através de qualquer tipo de conexão, a autenticação e um dos
pontos forte na segurança de qualquer sistema, pois tem a finalidade de atravessar os
mecanismos de segurança para autenticar o usuário, autorizando ou não a sua conexão.
Muitos dos protocolos usados na Internet não provêem segurança. Ferramentas que varrem
senhas fora da rede são usadas em brechas de sistemas. Assim, aplicações que enviam
senha sem criptografia pela rede Internet são extremamente vulneráveis. Contudo, em
muitas aplicações cliente/servidor que são desenvolvidas e implementadas, não é dada a
devida atenção sobre os aspectos aqui mencionados.
O sistema Kerberos usa ingressos eletrônicos para autenticar um usuário para um servidor.
Um ingresso só é bom para um único servidor e um único usuário durante certo período de
tempo e para uma mensagem codificada que contém o nome do usuário, o seu servidor, o
endereço da rede do servidor do usuário, um selo de tempo e uma chave de sessão.
Uma vez que o usuário adquire este ingresso, ele pode usar isto para ter acesso ao servidor
quantas vezes forem necessárias até que o ingresso se expire. O usuário não pode decifrar o
226
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
ingresso, mas pode apresentá-lo ao servidor. Com isso, escutas clandestinas não podem
violar o ingresso quando este estiver em curso na rede Internet.
(http://www.linhadecodigo.com.br/artigos/img_artigos/bruno_spinelli/Kerberos_1.jpg)
227
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
forma de uma mensagem que contém o nome do usuário e o nome do TGS (pode haver
vários).
PASSO 2: O servidor de autenticação verifica o usuário em seu banco de dados e então gera
uma chave de sessão para ser usada entre o usuário e o TGS. Kerberos codifica esta chave
de sessão que usa a chave de segredo do usuário (processo de uma só direção com senha
do usuário). Então cria um TGT (ingresso que concede ingresso) para o usuário apresentar
ao TGS e codifica o TGT usando a chave de segredo do TGS (que só é conhecido pelo
servidor de autenticação e o servidor TGS). O Servidor de Autenticação envia de volta as
mensagens codificadas ao usuário.
PASSO 4: O TGS decifra o TGT com sua chave secreta e então usa a chave de sessão
incluída no TGT para decifrar o autenticador. Compara a informação do autenticador com a
informação do ingresso, o endereço da rede do usuário com o endereço foi enviado no
pedido e o tempo estampado com o tempo atual. Se tudo se emparelhar, permite a
continuação do pedido. O TGS cria uma chave de sessão nova para o usuário e o servidor
final com esta chave em um ingresso válido para o usuário apresentar ao servidor. Este
ingresso também contém o nome do usuário, endereço da rede, um selo de tempo, e um
tempo de vencimento para o ingresso codificado com a chave de segredo do servidor
designado e o seu nome. Também codifica a nova chave de sessão designada que vai ser
compartilhada entre o usuário e o TGS. Envia ambas as mensagens de volta ao usuário.
PASSO 5: O usuário decifra a mensagem e a chave de sessão para uso com o servidor
designado. O usuário está agora pronto para se autenticar com o servidor. Ele cria um
autenticador novo codificado com a chave de sessão de usuário e servidor final que o TGS
228
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
gerou. Para pedir acesso ao servidor final, o usuário envia junto ao ingresso recebido de
Kerberos (que já é codificado com a chave de segredo do servidor designado) o autenticador
codificado. O autenticador contém o texto plano codificado com a chave de sessão, prova
que o remetente sabe a chave. Da mesma forma que é importante, codificar o tempo para
prevenir que intrometidos que venham registrar o ingresso e o autenticador, possam tentar
usar as informações em futuras conexões.
PASSO 7: Para aplicações que requerem autenticação mútua, o servidor envia para o
usuário uma mensagem que consiste no selo de tempo mais 1, codificada com a chave de
sessão. Isto serve como prova ao usuário que o servidor soube da sua chave secreta de fato
e pôde decifrar o ingresso e o autenticador.
http://143.54.31.10/reic/edicoes/2001e2/cientificos/CriptografiaPosicional.pdf
229
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
Antes de iniciar sua Avaliação Online, é fundamental que você acesse sua SALA
DE AULA e faça a Atividade 3 no “link” ATIVIDADES.
Atividades dissertativas
Acesse sua sala de aula, no link “Atividade Dissertativa” e faça o exercício proposto.
Bons Estudos!
230
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
G LOSSÁRIO
Caso haja dúvidas sobre algum termo ou sigla utilizada, consulte o link Glossário em sua
sala de aula, no site da ESAB.
231
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil
B IBLIOGRAFIA
Caso haja dúvidas sobre algum termo ou sigla utilizada, consulte o link Bibliografia em sua
sala de aula, no site da ESAB.
232
Copyright © 2014, ESAB – Escola Superior Aberta do Brasil