LABORATÓRIO DE REDES

ENGENHARIA ELECTRÓNICA E TELECOMUNICAÇÕES/2022-2023

SEGURANÇA E GERÊNCIA EM REDES IP
ESTE SUBTEMA, TRATARÁ DE:
Medidas de segurança nas redes TCP / IP e provê uma visão geral de soluções para resolver problemas de segurança antes que
eles ocorram. Mostraremos uma visão geral de alguns ataques mais comuns aos computadores interligados em rede TCP / IP,
apresentando soluções viáveis para tais riscos e relaciona suas implementações.
 Computadores, sozinhos ou em redes, são encontrados hoje em todos os ramos
da atividade humana. No sistema financeiro, no ensino e pesquisa, na indústria ou
no comércio, nenhuma organização pode funcionar por muito tempo sem seus
sistemas de computadores.
Em todas elas, decisões cruciais dependem da precisão e disponibilidade dos
dados e seu processamento correto. Sistemas de computadores representam,
guardam e transferem recursos de enorme valor, tem grande responsabilidade na
segurança dos meios de transporte, na confiabilidade dos sistemas de
fornecimento de energia e constituem uma grande parte dos sistemas de
comunicação. Dados pessoais detalhados sobre indivíduos são coletados e
armazenados em grandes quantidades.
Os sistemas de computadores são suficientemente seguros para cumprir este papel
crucial? Na maioria dos casos eles não são.
 Confidencialidade: Informações não devem ser divulgadas indevidamente
restringindo o acesso a ela às pessoas devidamente autorizadas.

 Integridade: As informações devem ser protegidas contra alterações indevida

preservando-se o seu caráter original.

 Disponibilidade: Todas as informações devem estar acessíveis aos seus

usuários quando da sua requisição.

 Legalidade: Estado legal da informação, em conformidade com os preceitos da

legislação em vigor, no que se refere à aplicação de medidas punitivas.
Todo sistema de computação seguro satisfaz três requisitos: confidencialidade, integridade e disponibilidade.
Todos os três são essenciais.
· Confidencialidade (ou sigilo): a informação só pode ser divulgada de acordo com uma política;
· Integridade: a informação não é destruída ou corrompida e o sistema tem um desempenho correto;
· Disponibilidade: os serviços do sistema estão disponíveis quando necessários.
Segurança de sistemas de informação tem por objetivo a proteção destes sistemas contra ameaças à esses
requisitos.
Por sistemas de informação, entendemos os computadores, suas redes e as informações que eles manipulam.
Existem boas razões para isto:
• Escutas: conseguir acesso a dados e senhas.
• Representar: conseguir acesso não autorizado a dados ou criar mensagens de correio eletrônico, pedidos, etc não
autorizados.
• Negar serviços: tornar os recursos da rede não-funcionais.
• Responder mensagens: conseguir acesso e alterar informações em trânsito.
• Decifrar senhas: conseguir acesso a informações e serviços que normalmente seriam negados.
• Decifrar chaves: conseguir acesso à dados criptografados e senhas.
• Vírus: destruir dados. Ainda que estes ataques não sejam exclusivamente às redes TCP / IP, deveriam ser
considerados perigos potenciais a qualquer um que baseie sua rede em TCP / IP, o que a maioria das empresas,
organizações e pequenos negócios estão fazendo atualmente. Os hackers fazem o mesmo, e por isso encontram
vítimas fáceis. Considerando os riscos mencionados anteriormente, aqui estão algumas soluções eficazes para
defender-se contra um ataque:
• Criptografia: para proteger dados e senhas.
• Autenticação e Autorização: para impedir acesso não autorizado.
• Checagem da Integridade e Códigos de Autenticação de Mensagem: para proteger contra alterações impróprias de
mensagens.
• Não-repúdio: para certificar-se que uma ação seja imputada à pessoa que a realizou.
• Assinaturas Digitais e Certificados: para determinar a identidade de alguém.
• Senhas de uma só vez e negociações de números aleatórios de duas vias: para autenticar mutuamente uma
conversação.
• Atualização freqüente de chaves, chaves fortes e prevenção contra derivação de chaves futuras: para proteger
contra a quebra de chaves (criptoanálise).
• Ocultação de endereço: para proteger contra ataques de negação de serviço.
A norma de segurança de rede define aqueles serviços que serão explicitamente permitidos ou
negados, normalmente estas regras são implementadas em um firewall e/ou RAS (Remote
Access Server), e geralmente utilizam um dos seguintes métodos:
• Tudo que não é especificamente permitido é negado: Este método bloqueia todo o tráfego entre
duas redes exceto para aqueles serviços e aplicativos que são permitidos. Portanto, cada serviço e
aplicativo desejado deve ser implementado um a um. Serviços e aplicativos serão negados, a
menos que estejam explicitamente permitidos pelo administrador; é o método mais seguro. Por
outro lado, do ponto de vista dos usuários, isto pode ser restritivo e menos conveniente.
• Tudo que não é especificamente negado é permitido: Este método permite todo o tráfego entre
duas redes exceto aqueles serviços e aplicativos que são negados. Portanto, cada serviço ou
aplicativo não confiável ou potencialmente perigoso ou potencialmente perigoso deve ser negado
individualmente. Embora este seja um método flexível e conveniente para os usuários, pode
potencialmente causar sérios problemas de segurança.
Os gerentes de Telecomunicações ou Informática atuais têm percebido que é igualmente
importante proteger suas redes de comunicações contra intrusos e sabotadores, tanto dentro como
de fora.

Dos diversos problemas que um crime via Internet pode causar o mais grave, sem sombra de
dúvidas, é o dano a imagem. Problemas desse cunho são praticamente irreversíveis e quando
atrelados a quebra de sigilo podem levar uma corporação a falência.
Em geral os invasores instalam programas ou modificam o sistema operacional invadido para
manterem o acesso à maquina, modificando contas padrões do sistema, instalando backdoors ou
rootkits.
Novos termos:
Backdoor: Porta de acesso remota instalada por um invasor, malware, worm ou vírus por
exemplo.
Rootkits: Um rootkit são ferramentas frequentemente utilizadas por invasores após uma intrusão.
Essas ferramentas tem como objetivo camuflar a presença do invasor no sistema. Existem rootkits
para vários sistemas operacionais incluindo Windows e Linux.
A política de segurança de uma organização especifica que propriedades de segurança os seus
sistemas devem ter.
Ela é ditada pelas necessidades da organização e traduz essas características para o ambiente
computacionais, tais como acesso a arquivos e transações.
A política deve ser definida através de uma análise dos riscos e ameaças aos sistemas de
informação da organização, definindo contra quais ela deve se defender e como.
Alguns princípios são tão fundamentais que a maior parte das políticas de segurança os
incorporam:
• Autorização. Devem existir regras explícitas estabelecendo quem pode usar que recursos e de
que maneira. Devem existir regras também estabelecendo quem pode autorizar o uso dos
recursos.
• Mínimos privilégios. Pessoas devem ter acesso apenas aos recursos necessários para realizar seu
trabalho. Quando aplicado à confidencialidade, esse princípio é também chamado de necessidade
de saber (need-to-know). A aderência a este princípio reduz o risco de que pessoas causem
prejuízos (acidentais ou intencionais) no curso de seu trabalho.
• Separação de funções. Funções devem ser distribuídas entre pessoas de maneira que ninguém
possa cometer fraude sem ser detectado.
• Redundância. O princípio de redundância se aplica a procedimentos, informação e recursos
computacionais. Por exemplo, devem se manter múltiplas cópias de arquivos e fontes redundantes
de energia.
Recomendações para implantação de uma Política de Segurança
•Deverá apresentar um caráter contratual.
•Política deverá ser amplamente divulgada (Evitar elemento surpresa).
•Assinatura no contrato de trabalho, aditivo ao contrato de trabalho ou termo
•de adesão ou uso dos recursos computacionais são boas idéias.
•Registrar em cartório a versão original e suas atualizações.
•O colaborador deverá estar ciente de que pode ser monitorado (Não poderá ter
expectativa de privacidade no uso dos recursos da empresa).
•Manter coerência com empresas coligadas ou do mesmo grupo econômico.
Passos seguintes:
• Identificar o que se pretende proteger.
• Determinar quais ameaças deverão ser consideradas na estratégia de proteção.
• Determinar a freqüência das ameaças.
• Implementar medidas que protejam os recursos, considerando a relação custo-benefício.
• Reavaliar continuamente o processo, otimizando-o sempre que necessário.
• Prever punições. (Suspensão, demissão, denúncia legal, etc...)
Recomendações para implantação

• Deixar claro que a rede e os equipamentos são de propriedade da empresa (Poder de direção da
empresa)
• Manter sob total controle o uso da rede para atividades não relacionadas com a empresa
• Obter suporte da direção da empresa
• Embasamento jurídico sustentável
• Treinamento transparente e completo
• Razoabilidade
Controles de acesso são baseados em três princípios: O que você sabe, o que você possui e o que
você é. Assim para cada um desses princípios temos como exemplo ilustrativo:

O que você sabe: Senhas, s/key, passphrases.

O que você possui: Tokens, smart cards, RFID.
O que você é: Biometria (digital e/ou retina), reconhecimento de face, voz, etc.
Um Intrusion Detection System ou IDS, possui a tarefa de detectar manipulações
indesejáveis aos sistemas. Alguns dos IDS mais comumente utilizados são:
-os baseados no comportamento da rede (Network-based Intrusion Detection System ou
NIDS) e
-os baseados nos próprios hosts (Host-based Intrusion Detection System ou HIDS). Os
IDS, em geral, são compostos por sensores, que geram os eventos de segurança que são
enviados a um servidor. Este servidor possui um console que permite o controle do IDS
além do monitoramento dos seus logs e uma engine que grava os logs dos eventos de
segurança além de verificar, em uma base de assinaturas se a situação sendo monitorada
caracteriza um ataque. Em uma solução empregando NIDS temos a disposição dos
sensores em pontos estratégicos da rede, como na DMZ ou nas fronteiras. Sensores
capturam o tráfego e analisam o conteúdo de cada pacote à procura de tráfego malicioso.
Softwares como o Snort funcionam dessa maneira. Vale ressaltar que existem ataques
contra IDS, com o objetivo de burlar os mecanismos de assinatura e efetivamente passar
pelo IDS. Já um IDS baseado no host, os sensores, em geral, são softwares que
monitoram as atividades do host onde estão instalados verificando deturpações em
arquivos e programas.
Tipos de Sistemas de Detecção de Intrusão

Sistemas de Detecção de Intrusão baseados em Host (HIDS)

Monitora e analisa informações coletadas de um único Host (Máquina). Não observa o tráfego que passa
pela rede, seu uso volta-se a verificação de informações relativas aos eventos e registros de logs e sistema
de arquivos (permissão, alteração, etc.). São instalados em servidores para alertar e identificar ataques e
tentativas de acesso indevido à própria máquina, sendo mais empregados nos casos em que a segurança
está focada em informações contidas em um servidor e os usuários não precisam ser monitorados.
Também é aplicada em redes onde a velocidade de transmissão é muito alta como em redes “Gigabit
Ethernet” ou quando não se confia na segurança corporativa da rede em que o servidor está instalado.
Sistemas de Detecção de Intrusão baseados em Rede (NIDS): monitora e analisa todo o tráfego no
segmento da rede. Consiste em um conjunto de sensores que trabalha detectando atividades maliciosas na
rede, como ataques baseados em serviço, portscans, etc… São instalados em máquinas responsáveis por
identificar ataques direcionados a toda a rede, monitorando o conteúdo dos pacotes ou do tráfego e seus
detalhes como informações de cabeçalhos e protocolos. Os NIDS tem como um dos objetivos principais
detectar se alguém está tentando entrar no seu sistema ou se algum usuário legítimo está fazendo mau uso
do mesmo.
Sistemas de Detecção de Intrusão Híbridos: é utilização dos sistemas baseados em redes e dos
sistemas baseados em Host para controlar e monitorar a segurança computacional de um ambiente.
 Formas de Detecção
Detecção por Assinatura
A Detecção por assinatura analisa as atividades do sistema procurando por eventos que correspondam a
padrões pré-definidos de ataques e outras atividades maliciosas. Estes padrões são conhecidos como
assinaturas e geralmente cada assinatura corresponde a um ataque. Uma desvantagem desta técnica de
detecção é que ela pode detectar somente ataques conhecidos, ou seja, que estão incluídos no conjunto de
assinaturas que o IDS possui, necessitando-se assim de constante atualização diante da rapidez que novos
ataques surgem.
Detecção por Anomalias
A detecção por anomalias parte do princípio que os ataques são ações diferentes das atividades normais de
sistemas. IDS baseado em anomalias monta um perfil que representa o comportamento rotineiro de um
usuário, Host e/ou conexão de rede. Estes IDS’s monitoram a rede e usam várias métricas para determinar
quando os dados monitorados estão fora do normal, ou seja, desviando do perfil. Uma desvantagem é a
geração de um grande número de alarmes falsos devido ao comportamento imprevisível de usuários e do
próprio sistema.
Modelo de Utilização
Modo Passivo
Um IDS passivo quando detecta um tráfego suspeito ou malicioso gera um alerta e envia para o
administrador. Não toma nenhum atitude em relação ao ataque em si.
Modo Reativo
Um IDS reativo não só detecta o tráfego suspeito ou malicioso e alerta o administrador, como também possuí
ações pré-definidas para responder as ameaça. Normalmente, isso significa bloquear todo o tráfego do IP
suspeito ou do usuário mal-intencionado.
Criptografia = kryptós (esconder) + gráphos (escrita): arte de escrever em forma cifrada ou em código. É um ramo da criptologia
- um campo de estudo que trata das comunicações secretas. Outro ramo da criptologia é a criptoanálise, que se preocupa em
quebrar ou derrotar a criptografia.
A criptografia é usada para:
• Autenticação de transações bancárias
• Proteger a integridade de transferências eletrônicas de fundos
• Proteger o sigilo de comunicações pessoais, militares e comerciais
• Proteger a integridade de software e bancos de dados
• Autenticar a identidade de usuários e entidades de redes
A mensagem original é chamada texto normal (plaintext), que após ser criptografada é chamado de texto cifrado (cyphertext).
Este processo é chamado cifragem ou encriptação e o processo inverso é conhecido decifragem ou decriptação.
Existem dois tipos de cripto-sistemas:
• Convencional, também conhecido com clássico, simétrico, de chave única ou de chave secreta
• Chave pública, também chamado assimétrico ou de duas chaves.
Criptografia clássica: uma única chave secreta, conhecida apenas pelo remetente e pelo recipiente, é usada tanto para cifrar como
para decifrar. Requer um canal seguro para distribuição das chaves.
Criptografia de chave pública: a chave de cifragem do recipiente é publicada para ser utilizada por todos os remetentes. O
recipiente decifra as mensagens com sua chave privada secreta.
Os algoritmos simétricos são algoritmos chaveados, onde a chave para decifrar é a mesma
usada para criptografar. Esses são os algoritmos criptográficos convencionais, onde o emissor e
o destinatário devem concordar com a chave antes que qualquer comunicação.
A vantagem dos algoritmos simétricos é a sua eficiência. Eles podem ser facilmente
implementados em hardware. A maior desvantagem é a dificuldade de gerenciamento de
chaves. Um modo seguro de trocar as chaves deve existir, mas algumas vezes, é muito difícil
de implementar.
Um certificado digital é um arquivo que liga uma identidade à chave
pública associada. Esta ligação é validada por um terceiro participante
confiável, o CA (certification Authority). Um certificado digital é assinado
com a chave privada do certificado de autoridade, para poder ser
autenticado. Ele é apenas emitido após uma verificação do requerente.
Agora o quadro fica diferente. Os participantes recuperam o certificado
digital uns dos outros e os autenticam usando a chave pública da
autoridade de certificação emissora. Eles têm confiança de que as chaves
públicas são reais, porque um terceiro participante confiável as certifica.
O firewall é um sistema que reforça a norma de segurança entre uma rede interna segura
e uma rede não-confiável (como a Internet). Os firewalls tendem a serem vistos como
uma proteção entre a Internet e a rede privada. Mas em geral, um firewall deveria ser
considerado como um meio de dividir o mundo em duas ou mais redes: uma ou mais
redes seguras e uma ou mais redes não-seguras.
TPC

1. TECNOLOGICAMENTE, O QUE É O FIREWALL?

2. ATENDENDO O MODELO OSI, QUAL É A

ANATOMIA DE UM FIREWALL?

3. DEPENDENDO DAS NECESSIDADES, EM QUE

CONSISTE UM FIREWALL?
Na maioria das vezes, a filtragem de pacotes é feita através do uso de um roteador que pode enviar pacotes de acordo com as
regras de filtragem. Quando um pacote chega ao roteador de filtragem de pacotes, este extrai certas informações do cabeçalho do
pacote e toma decisões de acordo com as regras do filtro, tais como por onde o pacote passará ou será descartado. As seguintes
informações podem ser extraídas do cabeçalho do pacote:
Endereço IP de origem
Endereço IP de destino
Porta de origem TCP / UDP
Porta de destino TCP / UDP
Tipo de mensagem ICMP
Informação do protocolo encapsulado (TCP, UDP, ICMP, etc) Baseado nestas informações a filtragem pode ser realizada de
várias maneiras:
Filtragem a Nível de Serviço: Uma vez que a maioria dos serviços usa números de portas TCP / UDP bem conhecidas, é
possível permitir ou negar serviços através do uso da informação da porta relacionada no filtro.
Filtragem a Nível de Origem/Destino: As regras de filtragem de pacotes permitem que um roteador aceite ou rejeite um pacote
de acordo com a informação de origem ou destino contida no cabeçalho do pacote.
Filtragem Avançada: Alguns pacotes podem ser descartados ao se usar regras de filtragem avançadas como as opções de
checagem de IP, compensação de fragmentos e assim por diante.
Um gateway de nível de aplicativo é muitas vezes referido como PROXY. Na verdade, um
proxy provê controle de nível superior no tráfego entre duas redes, e o conteúdo de um serviço
particular pode ser monitorado e filtrado de acordo com a norma de segurança da rede.
Portanto, para qualquer aplicativo desejado, o código proxy correspondente deve ser instalado
na entrada a fim de gerenciar aquele serviço específico, passando pelo gateway.
Um proxy age como um servidor para o cliente e como um cliente para o servidor de destino.
Uma conexão virtual é estabelecida entre o cliente e o servidor de destino. Uma vez que o
proxy parece ser transparente do ponto de vista do cliente e do servidor, o proxy é capaz de
monitorar e filtrar qualquer tipo de dado específico, como comandos, antes de enviá-los ao
destino.
Um servidor proxy é um servidor de relay de aplicação específica que é executado no servidor,
conectando uma rede segura a uma não segura. O propósito de um servidor proxy é controlar a
troca de dados entre as duas redes em nível de aplicativo em vez de em nível de IP.
Ao usar um servidor proxy, é possível desabilitar o roteamento IP entre a rede segura e a não
segura para o protocolo de aplicativo que o servidor proxy está habilitado a negociar, mas
continua sendo possível trocar dados entre as redes ao substituí-lo no servidor proxy.
Na maioria das vezes, a fim de usar um servidor proxy de FTP, os usuários devem Ter uma identidade e senha válidos. No proxy
FTP, o cliente FTP se conecta primeiramente ao servidor proxy FTP na porta 21 para estabelecer uma conexão de controle.
Quando a transferência de dados é solicitada, o cliente envia um comando PORT para o servidor instruindo-o a estabelecer uma
conexão de dados da porta de dados do servidor (porta 20) para um número de porta efêmero especificado no host do cliente.

Na posição de um servidor proxy de FTP, significa que temos que permitir conexões TCP limitadas da rede não segura para o
servidor do proxy FTP. Como uma conexão é estabelecida pela porta 20 do servidor FTP em uma rede não-segura para o número
da porta efêmera do servidor proxy de FTP. Para permitir que isto aconteça, são usadas regras de filtragem IP que permitem
solicitações de conexões limitadas da porta 20 para um número de porta efêmero em um servidor proxy de FTP. Esta não é
normalmente a regra de um filtro IP. Muitas vezes é melhor adicionar configurações de regra de filtro sob medida, porque isto
permitiria que um cracker rodasse um programa na porta 20 e examinasse todos os números de porta acima de 1023, o que na
sua forma mais simples resultaria em uma situação de negação de serviço.

Assim, para estabelecer conexões tanto para a porta 21 quanto para qualquer número de porta efêmera em uma rede não-segura,
um número de porta efêmera é usado no servidor proxy de FTP. No entanto, adicionar uma regra que permita conexões sem
limites a números de portas efêmeras em um servidor proxy de FTP pode causar problemas de segurança.