Apostila 3

Apostila 3
Ameaças e Contramedidas
de Segurança na Web
1
Apresentação – Segurança de Sistema
Ir ao início
Ameaças e Contramedidas de Segurança
na Rede
 Será analisado a segurança de aplicações web e
redes a partir da perspectiva das ameaças,
contramedidas, vulnerabilidades, e ataques.
 A incorporação de recursos de segurança no
design, na implementação, e na implantação de
sua aplicação ajuda a compreender o raciocínio
dos invasores.
 Ao pensar como eles e estar consciente de suas
possíveis táticas, você poderá aplicar as
contramedidas de forma mais eficaz.
 Descreveremos a metodologia do invasor clássico
e traça um perfil da anatomia de um ataque típico. 2
Ir ao início
Compreendendo as Categorias de
Ameaças
 Apesar de existirem muitas variações de
ataques específicos e de técnicas de
ataque, é útil pensar nestas ameaças
buscando saber o que o invasor está
tentando alcançar.
 Isto tira o foco da identificação de todo e
qualquer ataque específico - o que é
realmente apenas um meio para um fim - e
coloca o foco nos resultados finais de
possíveis ataques.
3
Ir ao início
STRIDE
 As ameaças enfrentadas pela aplicação podem ser
categorizadas com base nos objetivos e
propósitos dos ataques.
 O conhecimento funcional destas categorias de
ameaças pode ajudá-lo a organizar uma estratégia
de segurança para que você tenha reações
planejadas para as ameaças.
 STRIDE são as iniciais usadas pela Microsoft para
categorizar diferentes tipos de ameaças. STRIDE
significa:
4
Ir ao início
STRIDE
 Spoofing. Spoofing (falsificação) é a tentativa de
ganhar acesso a um sistema usando uma
identidade falsa. Isto pode ser feito usando
credenciais roubadas ou um endereço falso de IP.
Após o invasor ter conseguido ganhar acesso
como um usuário legítimo ou host, a elevação ou
o abuso de privilégios usando a autorização pode
começar.
 Tampering. Tampering (manipulação) é a
modificação não autorizada dos dados, por
exemplo, conforme fluem através da rede entre
dois computadores. 5
Ir ao início
STRIDE
 Repudiation. Repudiation (repúdio) é a habilidade
de usuários (legítimos ou não) de negar que
tenham executado ações ou transações
específicas. Sem a auditoria adequada, ataques de
repudiation são difíceis de serem provados.
6
Ir ao início
STRIDE
 Information disclosure. Information disclosure
(revelação de informações) é a exposição não
autorizada de dados privados.
 Por exemplo, um usuário visualiza o conteúdo de
uma tabela ou arquivo não autorizado, ou
monitora dados transmitidos em texto puro
através de uma rede.
7
Ir ao início
STRIDE
 Alguns exemplos de vulnerabilidades de
information disclosure incluem o uso de campos
escondidos, comentários incorporados em
páginas da web que contém strings (seqüências)
de conexão com um banco de dados e detalhes da
conexão, e uma manipulação fraca de exceções
que pode fazer com que detalhes do sistema
interno sejam revelados ao cliente.
 Qualquer uma destas informações pode ser muito
útil para o invasor.
8
Ir ao início
STRIDE
 Denial of service. Denial of service (negação de
serviço) é o processo que torna um sistema ou
aplicação indisponível.
 Por exemplo, um ataque de negação de serviço
pode ser feito com o bombardeamento de
solicitações que consomem todos os recursos
disponíveis do sistema ou com a transmissão de
dados de entrada defeituosos que podem acabar
com o processo de uma aplicação.
9
Ir ao início
STRIDE
 Elevation of privilege. Elevation of privilege
(elevação de privilégio) ocorre quando um usuário
com privilégios limitados assume a identidade de
um usuário privilegiado para ganhar acesso a uma
aplicação.
 Por exemplo, um invasor com privilégios limitados
pode elevar seu nível de privilégio para
comprometer e tomar o controle de uma conta ou
processo altamente privilegiado.
10
Ir ao início
Contramedidas e Ameaças na Web
 Ameaça
 Spoofing (falsificação) da identidade do usuário
 Contramedidas
 Utilize
autenticação forte.
 Não armazene segredos (por exemplo, senhas) em
texto puro.
 Não transmita credenciais em texto puro por linha.
 Proteja os cookies de autenticação com Secure
Sockets Layer (SSL).
11
Ir ao início
 Ameaça
 Tampering (manipulação) de dados
 Contramedidas
 Use assinatura e quebra de dados.
 Use assinaturas digitais.
 Use autorizações fortes.
 Use protocolos resistentes a tampering em todas as
conexões de comunicação.
 Proteja as conexões de comunicação com
protocolos que oferecem integridade de
mensagens.
12
Ir ao início
 Ameaça
 Repudiation (repúdio)
 Contramedidas
 Crietrilhas de auditoria seguras.
 Use assinaturas digitais.
13
Ir ao início
 Ameaça
 Information disclosure (revelação de informações)
 Contramedidas
 Use autorização forte.
 Use encriptação forte.
 Proteja links de comunicação com protocolos que
oferecem confidencialidade para mensagens.
 Não armazene segredos (por exemplo, senhas) em
texto puro.
14
Ir ao início
 Ameaça
 Denial of service (negação de serviço)
 Contramedidas
 Use técnicas de controle de largura de banda e de
recursos.
 Valide e filtre a entrada
15
Ir ao início
 Ameaça
 Elevation of privilege (elevação de privilégio)
 Contramedidas
 Siga o princípio de privilégio mínimo e use contas
de serviço menos privilegiadas para executar
processos e acessar recursos.
16
Ir ao início
Contramedidas e Ameaças na Rede
 Os principais componentes que compõe sua infra-
estrutura de rede são os roteadores, os firewalls, e
os switches. Eles agem como guardiões
protegendo seus servidores e suas aplicações
contra ataques e invasões. Um invasor pode
explorar dispositivos de rede mal configurados.
Vulnerabilidades comuns incluem configurações
fracas de instalação padrão, controles de acesso
totalmente abertos, e dispositivos sem os últimos
patches (atualizações) de segurança. Estas são as
principais ameaças de rede:
17
Ir ao início
 Os principais componentes que compõe sua infra-
estrutura de rede são os roteadores, os firewalls, e
os switches. Eles agem como guardiões
protegendo seus servidores e suas aplicações
contra ataques e invasões. Um invasor pode
explorar dispositivos de rede mal configurados.
Vulnerabilidades comuns incluem configurações
fracas de instalação padrão, controles de acesso
totalmente abertos, e dispositivos sem os últimos
patches (atualizações) de segurança. Estas são as
principais ameaças de rede:
18
Ir ao início
 Acúmulo de Informações
 Sniffing
 Spoofing
 Seqüestro de Sessões
 Negação de serviço
19
Ir ao início
Acúmulo de Informações
 Dispositivos de rede podem ser descobertos e seus perfis
podem ser traçados praticamente da mesma forma com
que isto é feito em outros tipos de sistemas.
 Os invasores geralmente começam com a varredura de
portas.
 Após identificarem portas abertas, eles utilizam
enumeração e obtenção de banners para detectar tipos de
dispositivos e determinar sistemas operacionais e versões
de aplicações.
 Armado com estas informações, o invasor pode atacar as
vulnerabilidades conhecidas que não foram ainda
atualizadas com os patches de segurança.
20
Ir ao início
Acúmulo de Informações
 Contramedidas para evitar o acúmulo de informações
incluem:
 Configure roteadores para restringir suas reações às
solicitações de footprinting.
 Configure sistemas operacionais que hospedam softwares
de rede (por exemplo, firewalls de software) para evitar
footprinting inabilitando protocolos não utilizados e portas
desnecessárias.
21
Ir ao início
Sniffing
 Sniffing ou eavesdropping (escuta) é o ato de
monitorar o tráfego na rede para dados como
senhas em texto puro ou informações de
configurações.
 Com um pacote simples de sniffing, um invasor
pode facilmente ler todo o tráfego em texto puro,
além de poder abrir pacotes encriptados quebrando
algoritmos leves e decifrar a informação que você
considera estar segura.
 O sniffing de pacotes requer um pacote sniffer no
caminho da comunicação entre o cliente e o
servidor.
22
Ir ao início
Sniffing
 Contramedidas para ajudar a evitar sniffing incluem:
 Use forte segurança física e segmentação adequada da
rede. Este é o primeiro passo para evitar que o tráfego seja
coletado localmente.
 Faça a encriptação total das comunicações, incluindo a
autenticação de credenciais. Isto evita que os pacotes de
sniffing possam ser usados por um invasor. SSL e IPSec
(Internet Protocol Security) são exemplos de soluções de
encriptação.
23
Ir ao início
Spoofing
 Spoofing (falsificação) é um meio de esconder a
verdadeira identidade na rede.
 Para criar uma identidade enganosa, um invasor
usa um falso endereço de fonte que não
representa o verdadeiro endereço do pacote.
 O spoofing pode ser usado para esconder a fonte
original de um ataque ou para contornar listas de
controle de acesso de rede (network access
control lists - ACLs) que estão posicionadas para
limitar o acesso host baseado nas regras de
endereço da fonte.
24
Ir ao início
Spoofing
 Apesar de pacotes de spoofing cuidadosamente
preparados jamais permitirem o rastreamento até
o responsável pelo envio original, uma
combinação de regras de filtragem previne o
surgimento de pacotes de spoofing a partir de sua
rede, permitindo a você bloquear pacotes de
spoofing óbvios.
25
Ir ao início
Spoofing
 Contramedidas para ajudar a evitar spoofing
incluem:
 Filtrar pacotes no sentido interno que parecem vir
de um endereço de IP interno, em seu perímetro.
 Filtrar pacotes no sentido externo que parecem ter
sido originados de um endereço de IP local
inválido.
26
Ir ao início
Seqüestro de Sessões
 Também conhecido como ataque de homem no
meio (man in the middle), o seqüestro de sessões
(session hijacking) engana um servidor ou cliente
fazendo-os aceitar o host upstream como o host
legítimo.
 Na verdade, o host upstream é um host do invasor
que está manipulando a rede para que pareça ser
o destino desejado.
27
Ir ao início
Seqüestro de Sessões
 Contramedidas para ajudara a evitar o seqüestro
de sessões:
 Use negociação de sessão encriptada.
 Use canais de comunicação encriptados.
 Mantenha-se informado sobre patches para
plataformas para ajustar vulnerabilidades TCP/IP,
como seqüências de pacotes previsíveis.
28
Ir ao início
Bibliografia
 http://www.lightreading.com
 http://computerworld.uol.com.br
 http://www.teleco.com.br
 http://www.itweb.com.br
 http://www.cert.br
29
Ir ao início

Apostila 3 - Ameaças e Contramedidas Na Rede

Enviado por

Dados do documento

Descrição original:

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Apostila 3 - Ameaças e Contramedidas Na Rede

Enviado por

Direitos autorais:

Formatos disponíveis

Você também pode gostar