Anlise e Desenvolvimento de Sistemas

4 semestre
Aula n 11
Prof. Paulo Rangel
paulo.rangel@tyaro.com.br
Segurana e Auditoria de Sistemas
Segurana de Dados

Contedo Previsto:
Tipos de Ataques
Questes sobre o contedo da aula a serem entregues na
prxima aula

Introduo

Duas grandes mudanas nas ltimas dcadas:
1. Antes da proliferao dos computadores a
Segurana era suprida por armrios trancados,
fechaduras e cadeados, que aps a sua
introduo em larga escala criou a necessidade
da Segurana de Computador, ainda sem a
abordagem do compartilhamento em redes.

2. A segunda mudana introduziu os sistemas
distribudos e o uso de redes de computadores.
Surgindo o termo Segurana de Rede, mas que
atualmente deve ser abordado como Segurana de
inter-rede, pelo alto grau de conexo de diversas
rede (empresa, governo, clientes, fornecedores,
bancos, etc.)
Introduo

O foco de nosso estudo ser sobre a Segurana de inter-rede, que consiste
em medidas para desencorajar, impedir, detectar e corrigir violaes de
segurana que envolvam a transmisso de informaes.
Introduo

Ameaa:
Potencial para violao da segurana quando h uma circunstncia, capacidade, ao
ou evento que pode quebrar a segurana e causar danos. Ou seja, uma ameaa um
possvel perigo que pode explorar uma vulnerabilidade.
Ataque:
Um ataque segurana do sistema, derivado de uma ameaa inteligente, ou seja, um
ato inteligente que uma tentativa deliberada (especialmente no sentido de um mtodo
ou tcnica) de burlar os servios de segurana e violar a poltica de segurana de um
sistema.
RFC2828 Internet Security Glossary
Introduo

Atacantes e seus objetivos
Hackers A colaborao constri coisas surpreendentes. Esta no DNA da Internet!
Comunidade de Software Livre! No um atacante! Whitehat



Introduo

Atacantes e seus objetivos
Cracker, vndalo, defacerHacker com fins destrutivos (blackhat)
Espio, Corporate raiderAtaca sistemas dos concorrentes pelo roubo da informao
para ganho financeiro ou competitivo
Terroristas Atacam para causar medo ou por motivao poltica
Criminoso, CarderAtacam sistema para obter ganho financeiro pessoal
Introduo

Atacantes e seus objetivos
Voyeur Atacam para ter acesso informao
Script KiddyNovato que se acha hacker, mas apenas segue "receitas de
bolo" disponveis na Internet (no sabem exatamente porque aquilo
funciona)
Lamer, Luserque se diz hacker (hacker no se diz hacker) "If you're a good
hacker everybody knows you. If you're a great hacker, no one does."
PhreakerUm hacker com maior atuao em telecomunicaes
White HatUm hacker, possivelmente aposentado, que trabalha como
consultor de segurana. Odiado pelos "Black Hats
Grupos hackers Ex: Cult of the Dead Cow
Ataques Segurana

O IETF atravs da RFC 2828 classifica ataques em dois grupos:

Ataque Passivo: Tenta descobrir ou utilizar informaes do sistema, mas
no afeta seus recursos.

Ataque Ativo: Tenta alterar os recursos do sistema ou afetar sua operao.

Internet Engineering Task Force
Ataque Passivo

Buscam espionar ou monitorar transmisses, a fim de obter informaes que esto sendo
transmitidas. Pode ser classificados em 2 categorias:
Liberao do contedo da mensagem Busca conhecer o contedo das mensagens
trocadas sem que o emissor e o receptor tenham conhecimento disso. Em ligaes
telefnicas poderamos chama-lo de grampo ;
Anlise de Trfego Mais sutil, envolve a analise do trafego, tamanho, frequncia,
emissor e receptor envolvidos. Utilizada quando existe criptografia que impede a simples
interceptao do seu contedo.
O Foco no tratamento de Ataques Passivos deve estar na preveno e no na deteco.
Ataque Ativo

Envolvem modificao no fluxo de dados ou
a criao de um fluxo falso. Divididos em 4
categorias:
Disfarce Busca parecer uma entidade
idnea para, por exemplo, capturar senhas
de acesso;
Repetio Envolve a captura de uma
unidade de dados e sua retransmisso no
autorizada;
Modificao da Mensagem Quando
parte da mensagem modificada,
alterando o seu sentido e/ou contedo;
Negao de servio Impede ou inibe o
uso ou gerenciamento normal das
instalaes de comunicaes. Desativando
a rede ou a sobrecarregando.
Tipos de Ataque

Ataque por Dicionrio
um mtodo de ataque onde, de posse do arquivo de senhas, o cracker utiliza um arquivo que
contm diversas palavras que sero tentadas como senha. Este trabalho feito automaticamente por
ferramentas dedicadas a este tipo de tarefa e pode levar dias dependendo da lista de senhas do
cracker e quantidades de usurios existentes no arquivo de senha.
Tipos de Ataque

Fora Bruta
um mtodo de ataque onde, de posse do arquivo de senhas, o cracker utiliza uma ferramenta que
tenta diversas combinaes de letras sequencialmente na tentativa de descobrir uma senha. Este
ataque geralmente usado como ltimo recurso aps um ataque por dicionrio, e leva muito tempo
para descobrir uma senha.

Dependendo se uma senha conter caracteres aleatrios, combinao de letras maisculas ou
minsculas, nmeros, a senha ser praticamente impossvel de ser descoberta.

Tipos de Ataque

Monitoramento de Toques do Teclado
Este um ataque comum nos diversos Sistemas Operacionais, onde um programa instalado sem o
conhecimento do usurio e grava todos os toques do teclado em um arquivo escondido pelo
cracker. Aps certo tempo o cracker obtm acesso ao arquivo e aos dados que ele contm. Este tipo
de ataque muito perigoso e pode capturar senhas no s do sistema como nmeros de carto de
crdito digitados, conta bancria e senha e tudo mais que for digitado pelo teclado.

Tipos de Ataque

Trojan Horse
Termo ingls que significa Cavalo de Tria. um programa que, uma vez instalado em um
computador, proporciona uma maneira furtiva de realizar aes ou coletar informaes, sem ser
percebido pelo usurio. Atravs dele, possvel efetuar transaes como realizar atividades nocivas
como ler arquivos e roubar senhas. Fraudes bancrias ou clonagem de cartes podem ser efetuados
atravs de Trojan Horse, estes so acionados quando sites de bancos so acessados e gravam tudo o
que for escrito e clicado.

Tipos de Ataque

Login Falso
uma tcnica onde uma tela de login idntica a original do sistema, ao digitar nome de
usurio e senha, os dados so gravados em um arquivo que utilizado pelo cracker para obter
acesso ao sistema, e ao usurio, uma mensagem de erro exibida. Ento na segunda tentativa
do usurio, o acesso ser feito ao sistema verdadeiro.
Uma alternativa de preveno digitar nome de usurio e senha incorretos na primeira
tentativa, lanando os corretos apenas na segunda.
Tipos de Ataque

Backdoor
Termo ingls que significa Porta dos fundos, se trata de um trecho de cdigo mal-
intencionado por onde o invasor cria uma ou mais falhas de segurana, e assim
poder dar acesso a pessoas no autorizadas a este sistema.
Tipos de Ataque

Programas Maliciosos
So programas criados para burlar a segurana de sistemas, envolvendo desde espionagem, coleta
furtiva de senhas e destruio de informaes at o controle total das maquinas afetadas. Alguns
tipos de programas maliciosos so descritos nos prximos slides.


Tipos de Ataque

Programas Maliciosos
Vrus: Capaz de infectar outros programas e arquivos de um computador, embutindo neles uma
copia de si mesmo. Os programas e arquivos, ao serem executados, acabam executando o vrus,
dando continuidade ao processo de infeco. Vrus comuns so utilizados para destruir ou alterar
informaes e enviar mensagens eletrnicas infectadas em massa.

Worm: No contaminam outros programas, mas podem se replicar, enviando cpias deles mesmos
para outros sistemas e computadores. Para isto, o worm usa uma rede, o envia a si mesmo
automaticamente como um anexo em e-mail. Quando o usurio executa um anexo sem verific-lo
com um programa antivrus, ele pode estar contaminando o sistema.
Tipos de Ataque

Ataques de dentro do Sistema
Bombas lgicas: Perpetrado por programador da organizao que insere um cdigo em sistema
critico em produo, e caso no insira uma senha de controle em determinado perodo de tempo, a
bomba explode. O que pode significar apagar ou alterar informaes do sistema critico e/ou tira-
lo de operao. Tanenbaum, cita o caso de um programador que teria que colocar uma senha no
sistema de folha de pagamento a cada ciclo de pagamento e se isso no ocorre-se em dois ciclos
consecutivos a bomba explodiria
Tipos de Ataque

Ataques de dentro do Sistema
Alapes (trap door): Perpetrado por programador da organizao que
insere um cdigo no sistema desviando o processamento de uma rotina de
verificao caso determinada senha de acesso seja inserida, validando-a
independente da senha que constar no banco de dados.
Tipos de Ataque

Explorando erros de cdigo:
Transbordamento de buffer (Buffer overflow):
uma condio anmala onde um processo tenta armazenar dados alm dos limites de um buffer
com tamanho limitado. O resultado que os dados adicionais sobrepem locais adjacentes na
memria. Os dados sobrepostos podem incluir outros buffers, variveis e fluxo de dados de
programas, e podem causar danos a um processo ou produzir resultados incorretos. Eles podem
ser desencadeados por entradas especificamente designadas para a execuo de cdigo malicioso,
ou para fazer o programa funcionar de maneira involuntria. Assim sendo, os buffer overflows
causam muitas vulnerabilidades e formam a base de muitos exploits.
Tipos de Ataque

Explorando erros de cdigo:
Ataque por transbordamento de nmeros inteiros:
Na programao de computadores, um estouro de inteiro ocorre quando uma operao
aritmtica tenta criar um valor numrico que muito grande para ser representado dentro do
espao de armazenamento disponvel. Por exemplo, a adio de um para o maior valor que pode
ser representado, constitui um transbordamento de inteiros. Este erro ir criar condies para
um ataque anlogo ao de transbordamento de buffer
Explorando erros de cdigo:
Ataques por injeo de cdigo:
Injeo de cdigo um ataque no qual um cdigo mal-intencionado inserido em cadeias de
caracteres que so passadas posteriormente para uma instncia do Server para anlise e
execuo. Qualquer procedimento que construa instrues deve ser verificado quanto a
vulnerabilidades de injeo. Mesmo dados com parmetros podem ser manipulados por um
invasor qualificado e determinado.
Tipos de Ataque

A forma principal de injeo consiste em insero
direta de cdigo em variveis de entrada de
usurio, concatenadas com comandos e
executadas. Um ataque menos direto injeta cdigo
mal-intencionado em cadeias de caracteres
destinadas a armazenamento em uma tabela ou
como metadados. Quando as cadeias de caracteres
armazenadas so concatenadas subsequentemente
em um comando, o cdigo mal-intencionado
executado. Exemplo: SQL Injection
Tipos de Ataque

Ataques para obteno de informaes
Dumpster diving ou trashingverificar o lixo em busca de informaes.
Engenharia social tcnica que explora as fraquezas humanas e sociais (No envolve recursos
tecnolgicos).
Farejamento de pacotes (Packet sniffing) - Farejam o que passa pela rede. Consiste na
captura de informaes pelo fluxo de pacotes de um mesmo segmento de rede.
Scanner de portas (Port scanning) - Ferramentas utilizadas para obteno de informaes
referentes aos servios que so acessveis e definidas por meio do mapeamento das portas TCP e
UDP.
Tipos de Ataque

Ataques para obteno de informaes
Scanning e vulnerabilidades - Aps o mapeamento dos sistemas e servios que
podem ser atacados, as vulnerabilidades especficas sero procuradas por meio do scanning
de vulnerabilidades. O port scanning define os alvos.
Firewalking Tcnica implementada para obter informaes sobre uma rede remota
protegida por um firewall.
IP spoofing Endereo real do atacante mascarado, de forma a evitar que ele seja
encontrado.


Tipos de Ataque

Ataques de Negao de Servio (DoS)

Tambm conhecido como DoS - Denial of Service, um ao que impede ou prejudica o uso
autorizado de redes, sistemas ou aplicaes, atravs do esgotamento de recursos como CPU,
memria, largura de banda e espao de disco.
Tipos de Ataque

Ataques de Negao de Servio (DoS)
Alguns exemplos:
Usar toda a banda disponvel da rede pela gerao de um volume de trfego descomunal;
Enviar pacotes mal formados para um servidor para que o sistema operacional pare;
Enviar pedidos ilegais para uma aplicao para faz-la parar;
Fazer vrios pedidos que consomem CPU para que a mquina no tenha condies de
atender outros pedidos;
Criar vrias conexes simultneas para que o servidor no possa aceitar outras conexes;
Criar vrios arquivos imensos em disco para ocupar todo o espao disponvel.

Anatomia de um ataque

Anatomia de um ataque

Anatomia de um ataque

Footprinting(reconhecimento)
Informaes bsicas podem indicara postura e a poltica de
segurana da empresa
Coleta de informaes essenciais para o ataque
Nomes e mquinas, nomes de login, faixas de IP, nomes de domnios,
protocolos, sistemas de deteco de intruso
So usadas ferramentas comuns da rede
Engenharia Social
Qual o e-mail de fulano?
Aqui Cicrano. Poderia mudar minha senha?
Qual o nmero IP do servidor SSH? e o DNS?
Anatomia de um ataque

Anatomia de um ataque

Scanning (varredura ou mapeamento)
De posse das informaes coletadas, determinar
Quais sistemas esto ativos e alcanveis
Portas de entrada ativas em cada sistema
Ferramentas
Unix: nmap
Windows: net scan tools pro ($), super scan(free)
system banners, informaes via SNMP
Descoberta da Topologia
Automated discovery tools: cheops, ntop,
Comandos usuais: ping, traceroute, nslookup
Anatomia de um ataque

Scanning (varredura ou mapeamento)
Deteco de Sistema Operacional
Tcnicas de fingerprint (nmap)
Busca de senhas contidas em pacotes (sniffing)
Muitas das ferramentas so as mesmas usadas para
gerenciamento e administrao da rede
Anatomia de um ataque

Anatomia de um ataque

Anatomia de um ataque

Enumeration (enumerao)
Coleta de dados intrusiva
Consultas diretas ao sistema
Est conectado ao sistema e pode ser notado
Identificao de logins vlidos
Banners identificam verses de HTTP, FTP servers
Exemplo:
Comando: telnet www.host.com 80
Resposta: HTTP/1.0 Bad Request server Netscape
Commerce/1.12
Anatomia de um ataque

Enumeration (enumerao)
Identificao de recursos da rede
Compartilhamentos (windows) Comandos net view, nbstat
Exported file systems(unix) Comando showmount
Identificao de Vulnerabilidades comuns
Nessus, SAINT, SATAN, SARA, TARA, ...
Identificao de permisses
find/home/joao-perm0004(arquivos de joao que podem
ser lidos por qualquer um...)
Anatomia de um ataque

Anatomia de um ataque

Ganhando acesso (invaso)
Informaes coletadas norteiam uma estratgia de ataque
Invasores mantm um Banco de dados de vulnerabilidades
Bugs de cada SO, kernel, servio, aplicativopor verso
Tentam encontrar sistemas com falhas conhecidas
Busca privilgio de usurio comum (pelo menos)
Tcnicas
Password sniffing, password crackers, password guessing
Session hijacking (sequestro de sesso)
Ferramentas para bugs conhecidos(buffer overflow)
Hackers tambm constroem as suas prprias ferramentas,
personalizadas
Anatomia de um ataque

Anatomia de um ataque

Escalada de privilgios
Uma vez com acesso comum, busca acesso completo ao sistema
(administrator, root)
Ferramentas especficas para bugs conhecidos
"Exploits"
Tcnicas
Password sniffing, password crackers, password guessing
Session hijacking (sequestro de sesso)
Replay attacks
Buffer overflow
Trojans
Anatomia de um ataque

Anatomia de um ataque

Anatomia de um ataque

Ocultao de rastros
Invasor tenta evitar deteco da presena
Usa ferramentas do sistema para desabilitar auditoria
Windows: c:\auditpol/disable(atividadedo invasor)c:\auditpol/enable
Toma cuidados para no deixar buracos nos logs
Excessivo tempo de inatividade vai denunciar um ataque
Existem ferramentas para remoo seletiva do Event Log
Esconde arquivos plantados (back doors)
Exemplo1: attrib +h file
Exemplo2: cp backdoor.exe arquivo.ext:stream(esconde)
cp arquivo.ext:streambackdoor.exe (recupera)
(conceito de file stream foi introduzido peloWindows2000)
Anatomia de um ataque

Anatomia de um ataque

Instalao de Backdoors (porta dos fundos)
Objetivo a manuteno do acesso
Rootkits Ferramentas ativas, mas escondidas
Trojan horses Programas falsificados
Backdoors acesso/controle remoto sem autenticao
Prxima invaso ser mais fcil
Trojans podem mandar informao para invasor
Captura teclado (ex: no login)
Manda um e-mail com a senha
Anatomia de um ataque

Instalao de Backdoors (porta dos fundos)
Rootkits se confundem com o sistema
Comandos modificados para no revelar o invasor
Exemplo: (unix) ps, who, mount e at partes do kernel!
Backdoors
Sistemas cliente/servidor
Cliente na mquina invasora controlando Servidor na mquina remota
No aparecem na "Task List" do Windows NT/2k
Anatomia de um ataque

Anatomia de um ataque

Denial of Service (negao de servio)
Ataques com objetivo de bloquear servios, atravs de:
Consumo de banda de rede
Esgotamento de recursos
Explorao de falhas de programao (ex: ping da morte)
Sabotagem de Roteamento
RIP, BGP tem fraca autenticao
Pacotes no conseguem sair da rede
Sabotagem no DNS
DNS responde errado causando desvio de acesso
banco.com =>hacker.com
Anatomia de um ataque

Denial of Service (negao de servio)
Se a Amazon parar30 minutos, qual o prejuzo?
E se no parar mas ficar20% mais lento ?
DDoS =>Distributed Denial of Service
Ataques coordenados de mltiplas fontes
Aes Preventivas

Os mais conhecidos.....

Segurana de Dados

Referncias:
STALLINGS, William, Criptografia e Segurana de Redes. 4 Edio. So
Paulo: Pearson Prentice Hall, 2008
TANENBAUM, Andrew S., Sistemas Operacionais Modernos. 3 Edio.
So Paulo: Pearson Prentice Hall, 2010.
IETF - Internet Engineering Task Force, RFC 2828 Internet Security
Glossary. http://www.ietf.org/rfc/rfc2828.txt , acessado em 17/09/12.
CERT.BR, Estatsticas Mantidas pelo Cert.Br. http://www.cert.br/stats/
acessado em 17/09/12
KLEINSCHMIDT, J. H. Segurana de Dados. Santo Andr, UFABC, 2010.
http://professor.ufabc.edu.br/~joao.kleinschmidt/aulas/seg2010/aula_06_se
g.pdf acessado em 17/09/12



Glossrio

dos (DoS - Denial of Service): notificaes de ataques de negao de
servio, onde o atacante utiliza um computador ou um conjunto de
computadores para tirar de operao um servio, computador ou rede.
invaso: um ataque bem sucedido que resulte no acesso no autorizado
a um computador ou rede.
web: um caso particular de ataque visando especificamente o
comprometimento de servidores Web ou desfiguraes de pginas na
Internet.
scan: notificaes de varreduras em redes de computadores, com o
intuito de identificar quais computadores esto ativos e quais servios
esto sendo disponibilizados por eles. amplamente utilizado por
atacantes para identificar potenciais alvos, pois permite associar possveis
vulnerabilidades aos servios habilitados em um computador.
Glossrio

Fraude: segundo Houaiss, "qualquer ato ardiloso, enganoso, de m-
f, com intuito de lesar ou ludibriar outrem, ou de no cumprir
determinado dever; logro". Esta categoria engloba as notificaes de
tentativas de fraudes, ou seja, de incidentes em que ocorre uma tentativa
de obter vantagem.
Scam. Scams (com "m") so quaisquer esquemas para enganar um
usurio, geralmente, com finalidade de obter vantagens financeiras.
Ataques deste tipo so enquadrados na categoria fraude.
Exploit, um programa, uma poro de dados ou uma sequncia de
comandos que se aproveita das vulnerabilidades de um sistema. So
geralmente elaborados por hackers como programas de demonstrao das
vulnerabilidades, a fim de que as falhas sejam corrigidas, ou por crackers a
fim de ganhar acesso no autorizado a sistemas. Por isso muitos crackers
no publicam seus exploits, conhecidos como 0days, e o seu uso
massificado deve-se aos script kiddies.
Glossrio

IETF (sigla em ingls de Internet Engineering Task Force) uma
comunidade internacional ampla e aberta (tcnicos, agncias,
fabricantes, fornecedores, pesquisadores) preocupada com a
evoluo da arquitetura da Internet e seu perfeito funcionamento.
O IETF tem como misso identificar e propor solues a
questes/problemas relacionados utilizao da Internet, alm de
propor padronizao das tecnologias e protocolos envolvidos. As
recomendaes da IETF so usualmente publicadas em
documentos denominados RFCs (Request for Comments), sendo que
o prprio IETF descrito pela RFC 3160
Segurana de Dados

DVIDAS