NewsGeneration: um serviço oferecido pela RNP desde 1997


ISSN 1518-5974
Boletim bimestral sobre tecnologia de redes
produzido e publicado pela  RNP – Rede Nacional de Ensino e Pesquisa
30 de maio de 1997 | volume 1, número 1

volta à página inicial de NewsGeneration

Nesta edição:

NewsGeneration:



Segurança: Você se Preocupa com Isso?

Carlos Campana

Rede Nacional de Ensino e Pesquisa (RNP)

Introdução
Politica de Segurança
Possiveis Formas de Ataque
Perfil de uma Invasão
Bibliografia

Normalmente a vida de um administrador de sistemas e' bastante atribulada. Instalacao de novas maquinas, configuracao de novos servicos, administracao de contas de usuarios, novos sistemas, relatorios, etc. Nessa correria constante, sobrara' algum tempo para cuidar de seguranca?

^

Introdução

Administrar seguranca quase sempre e' um grande problema. Seguranca nao acarreta novos programas, novas facilidades e, principalmente, nao e' um topico importante para a gerencia das empresas (seguranca nao gera receita). Entao, por que se preocupar com ela? Nao seria melhor ignora-la? Assim todos os esforcos seriam canalizados para atividades "produtivas", com resultados visiveis.

Essa pode ser uma opcao, desde que os riscos envolvidos sejam considerados. Podemos encarar seguranca como uma especie de seguro. Recursos sao empregados com a finalidade de tentar assegurar a continuidade do que se tem funcionando hoje. Uma rede pode perfeitamente operar sem esse "seguro", agora se algum "imprevisto" (ou incidente) acontecer, qual sera' o custo? Assim como no mundo "real", e' melhor ter seguro.

Mas que incidentes poderiam causar danos tao grandes? Ou entao, por que alguem atacaria logo o "meu" site? Considerar essas questoes faz parte da avaliacao do risco envolvido.

Basear a protecao na ideia de que sua rede nao e' interessante, ou nao tem nenhum atrativo, e' um grande erro. Estao se tornando cada vez mais frequentes ataques do tipo "hit-and-run". Alguma coisa proxima do vandalismo, onde atacantes simplesmente interrompem algum tipo de servico. Ha', ainda, aqueles que tem como objetivo conseguir pontos para camuflar ataques posteriores, algo como roubar o seu carro para praticar um assalto. Se o negocio da sua empresa envolver dinheiro ou assuntos confidenciais, entao nao ha' o que questionar.

Que danos poderiam ser infligidos? Os piores possiveis, variando desde brincadeiras de mal gosto, com paginas web sendo mudadas, ate' a destruicao completa do software instalado nos seus sistemas (algumas ferramentas permitem destruir o hardware tambem). Talvez o pior dos ataques seja aquele que fica acontecendo durante anos, sem que ninguem note. O custo disso pode ser enorme. Alguns danos podem ser irreparaveis.

Uma vez decidido que e' preciso ter algum tipo de seguranca, inumeras opcoes e caminhos diferentes podem ser escolhidos. Como o assunto e' muito extenso, somente alguns topicos serao apresentados nesse momento.

^

Politica de Segurança

A implantacao de algum nivel de seguranca comeca com a definicao de uma politica de seguranca para o site, um documento com as linhas mestras de atuacao nessa area.

Deverao ser considerados:

Esses topicos ajudarao a delinear as necessidades da sua organização e definir quais os procedimentos que deverao ser adotados para alcancar a seguranca desejada. Procedimentos que englobam, por exemplo:

^

Possiveis Formas de Ataque

A cada dia novos problemas, que afetam a seguranca, sao descobertos. Podemos dividi-los basicamente nas seguintes categorias:

1 - Roubo de Passwords

Explorando alguma falha do sistema, tentando por acaso, encontrando passwords anotadas em algum lugar ou monitorando os pacotes da rede, o hacker tenta descobrir um par username/password valido para o sistema, e com ele invadir a rede.

Por mais tola que possa parecer, essa continua sendo a forma mais comum de ataques. E' impressionante observar como os usuarios tem pouco cuidado na escolha das suas senhas. Com as ferramentas amplamente divulgadas na rede, senhas baseadas em nomes de pessoas, cidades, lugares ou palavras existentes em dicionarios de portugues, ingles, frances, alemao, espanhol ou italiano sao facilmente descobertas.

Deve fazer parte da seguranca do site, com muita enfase, uma boa politica de escolha e utilizacao de senhas.

Referencias: crack, shadow passwords, nis, one-time-passwords, ssh, s/key, sniffers

2 - Erros de Software

E' muito dificil encontrar softwares livres de erros. Explorando falhas, muitas vezes aparentemente inocentes, os invasores tentam gravar arquivos, pegar arquivos ou executar programas em servidores do seu sistema. Uma vez conseguindo seu intento, nao e' dificil iniciar uma invasao completa.

Referencias: ftpd, httpd, phf.

3 - Falhas na Autenticacao

Muitos procedimentos de controle em uma rede sao baseados em informacoes como o nome de uma maquina, o numero IP do sistema e senhas de acesso. O invasor pode tentar falsificar uma identidade, por exemplo, se passando por outra maquina, para conseguir acesso ao servico.

Referencias: spoofing, dns.

4 - Falha na Configuracao do Servico

Muitas vezes, configuracoes erradas comprometem toda a seguranca de uma rede, permitindo que o invasor plante armadilhas, capture o arquivo de senhas, etc.

Referencias: ftpd, tftpd.

5 - Erros no Protocolo

Assim como os softwares, os protocolos podem apresentar "bugs", nao observando detalhes minimos, mas que podem ser usados para abrir falhas na seguranca.

Referencias: connection hijacking, nfs.

6 - Vazamento de Informacoes

As vezes, o sistema pode estar fornecendo pistas para o invasor, que pode estar pensando em atacar determinada maquina com um sistema operacional antigo, ou um grande mainframe, com base nestas informacoes.

Referencias: sendmail (vrfy, expn), dns.

7 - Interrupcao no Servico

Usando comandos para o envio de pacotes (ping), tentando adulterar as informacoes de roteamento e esgotando a capacidade de discos, por exemplo, o hacker pode tentar parar o funcionamento de uma rede ou de um sistema.

Referencias: ping-of-death, syn attack, mailbombing.

8 - Engenharia Social

Explorando a ingenuidade de alguns usuarios e falsificando a sua identidade, um hacker pode tentar obter acesso a um sistema. Nao e' dificil forjar um email como administrador do sistema, solicitando a um grupo de usuarios a alteracao de suas passwords para uma determinada sequencia de caracteres, a titulo de teste de seguranca, por exemplo.

Ainda pode acontecer o contrario: o hacker entra em contato com o administrador do sistema (via email ou telefone) e, alegando ter esquecido sua password, pede para que este a altere provisoriamente.

^

Perfil de uma Invasão

E' dificil descrever um "modus-operandi" padrao dos hackers durante uma invasao. Isso dependera' dos seus objetivos, da seguranca existente, do sistema atacado, etc. Utilizando as formas descritas anteriormente, um invasor tentara' conseguir um acesso shell no sistema.

Uma das coisas que um invasor tentara' fazer, apos entrar no sistema, e' passar desapercebido, apagando seus rastros dos arquivos de log e dos registros de usuarios. Existem alguns programas prontos para isso, como o zap (e suas diversas versoes) que alteram o arquivo utmp do UNIX. Com isso, comandos who, w e finger nao mostram o invasor atuando.

Ao mesmo tempo, os atacantes tentarao esconder todos os arquivos e programas colocados no sistema, criando diretorios escondidos ("...", ".. ", "...^H^H^H") em areas como o /tmp, /var/tmp/, /var/spool/mail etc.

Depois disso, em muitos casos os hackers tentarao conseguir obter privilegios de administrador do sistema (root, sysadmin, manager). Em sistemas UNIX, eles tentarao explorar vulnerabilidades conhecidas. Se patches nao foram aplicados, fatalmente eles serao bem sucedidos.

Dentre as vulnerabilidades mais exploradas estao:

Uma vez conseguindo esse privilegio, o invasor tera' livre acesso a todos os recursos do sistema. Normalmente, os hackers tentarao substituir os seguintes programas do sistema:

Alem de instalarem sniffers, para obter senhas de outros usuarios em maquinas na mesma rede ou de fora, cujos pacotes passem pelo mesmo barramento.

Todos estes programas estao disponiveis nos chamados rootkits.

^

Bibliografia

Indicações de Leitura

Alguns livros trazem informacoes valiosas para o estabelecimento de seguranca em redes de computadores.

- Firewalls And Internet Security: Repelling the Wily Hacker Bill Cheswick e Steve Bellovin Ed. Addison Wesley

Um classico da area. Esta' ficando um pouco desatualizado, devido a grande quantidade de novos tipos de ataque. A segunda edicao devera' estar disponivel no final deste ano.

- Building Internet Firewalls D. Brent Chapman e Elizabeth Zwicky Ed. O'Reilly

Um excelente livro para quem busca informacoes e dicas de como estabelecer firewalls.

- Practical UNIX Security Garfinkel, Simson e Spafford Ed. O'Reilly

A referencia mais completa sobre o assunto ate' o momento. Indispensavel.

Paginas WWW

- Indice dos principais recursos da area:

http://www.cs.purdue.edu/homes/spaf/hotlists/csec-top.html
http://www.usenix.org/events/sec98/sites.html

- Ferramentas:

http://www.cs.purdue.edu/coast/coast.html

- Organizacoes de respostas a emergencias:

FIRST: http://www.first.org/
CIAC: http://ciac.llnl.gov/
CERT: http://www.cert.org/
AUSCERT: http://www.auscert.org.au/

- Criptografia:

Chyperpunks: ftp://ftp.csua.berkeley.edu/pub/cypherpunks/Home.html

- Hackers:

http://underground.org
http://www.2600.com/
http://underground.org/
http://www.l0pht.com/

Listas

Uma relacao atualizada das principais listas internacionais pode ser encontrada em http://iss.net/iss/maillist.html

Em um proximo artigo, falaremos de como responder a um ataque e das ferramentas disponiveis na area.

^

NewsGeneration, um serviço oferecido pela RNP – Rede Nacional de Ensino e Pesquisa
Copyright © RNP, 1997 – 2004