DEPARTAMENTO DE INFORMTICA COORDENAO DO CURSO DE CINCIA DA COMPUTAO

UNIVERSIDADE FEDERAL DO MARANHO

CARLOS EDUARDO FERNANDES MACIEL

IMPLEMENTANDO SEGURANA NO WINDOWS 2000 SERVER

So Lus-MA 2004

CARLOS EDUARDO FERNANDES MACIEL

IMPLEMENTANDO SEGURANA NO WINDOWS 2000 SERVER Monografia apresentada ao Curso de Cincia da Computao da UFMA como requisito parcial para obteno do grau Bacharel em Cincia da Computao.

So Lus-MA 2004

CARLOS EDUARDO FERNANDES MACIEL

IMPLEMENTANDO SEGURANA NO WINDOWS 2000 SERVER Monografia apresentada ao Curso de Cincia da Computao da UFMA como requisito parcial para obteno do grau Bacharel em Cincia da Computao.

Aprovado em: ___ /____/______

BANCA EXAMINADORA ____________________________________________________________________ Prof Joo Carlos Pinheiro (Orientador)

_____________________________________________________________________ 2 Examinador

_____________________________________________________________________ 3 Examinador

A minha me, Maria de Nazareth Fernandes Maciel, que investiu com muito sacrifcio nos meus estudos e sempre incentivou para que eu alcanasse meu triunfo, dedico meu trabalho.

AGRADECIMENTOS
A minha me que sempre me incentivou, estando sempre do meu lado, nos momentos bons e ruins. A minha irm que sempre me encorajou para no desistir da concluso do curso. A minha esposa que sempre me deu apoio para terminar este trabalho. Aos meus amigos de faculdade que estiveram presentes desde o incio do curso, em especial: Perilo Srgio, Joo Carlos, Lus Marcio, Lus Gustavo, Adalberto Teixeira, Lourncio. Aos meus amigos no trabalho, Nicolas Rios, Alexandre Maia, Joelson Oliveira e em especial a Raimundo Freitas e sua esposa Aparecida, que me ajudaram muito, no deixando eu desistir quando passei por momentos difceis. A Diretora Geral do Viva Cidado, Graa Jacintho, que sempre confiou no meu trabalho, sempre me estimulando para crescer profissionalmente. A Coordenadora do Viva Cidado, Lcia Guterres, que sempre incentivou para que conclusse o trabalho. A professora Auxiliadora que no comeo deste trabalho foi minha orientadora. Ao meu colega acadmico e Orientador, Professor. Joo Carlos Pinheiro que esclareceu minhas dvidas, me ajudando na concluso deste trabalho. A todos que ajudaram direta ou indiretamente para que eu conclusse este trabalho.

Ningum to grande que no possa aprender, nem to pequeno que no possa ensinar. Confucio

RESUMO

Este trabalho monogrfico tem como principal finalidade mostrar os principais pontos do tema Segurana e em particular a implementao de segurana no Sistema Operacional Windows 2000 Server, mostrando as ferramentas e opes de segurana que visam tornar o sistema mais seguro. Estas implementaes dificultaro as invases de intrusos e facilitaro o acesso dos usurios autorizados. Palavras-Chave: Windows 2000 Server, Segurana.

ABSTRACT

This monograph work has as main purpose to show the theme " Safety's " main points and in particular safety's implementation in the operating system Windows 2000 Server, showing the tools and options of safety that seek to turn the safest system. These implementations will hinder the intruders' invasions and they will facilitate the authorized users' access.

Key words: Windows 2000 Server, Security.

SUMRIO LISTA DE ABREVIATURA E SIGLAS ............................................................... 11 LISTA DE FIGURAS .................................................................................................. 12 1 Introduo ................................................................................................................. 14
1.1 Contexto..................................................................................................................... 14 1.2 Objetivo ..................................................................................................................... 15 1.3 Estrutura da Monografia............................................................................................. 15

2 Avaliando Riscos de Segurana........................................................................... 17 3 Implementando Segurana no Windows 2000 Server .................................. 31

3.1 Active Directory ........................................................................................................ 31 3.1.1 Diretrio de Usurios.......................................................................................... 31 3.1.2 Subadministradores ............................................................................................ 32 3.1.3 Unidades Organizacionais .................................................................................. 32 3.1.4 Sites ................................................................................................................... 32 3.1.5 rvores de Domnios.......................................................................................... 33 3.1.6 Diretivas de Grupos ............................................................................................ 33 3.1.7 Conexes no Active Directory ............................................................................ 34 3.1.8 Gerenciando de contas de usurios e Computadores .......................................... 35 3.1.9 Criando Diretivas de Grupo ................................................................................ 40 3.2 Criar e Gerenciar as Pastas Compartilhadas ............................................................. 51 3.2.1 Criar compartilhamento usando o Windows Explorer ......................................... 51 3.2.2 Criar Compartilhamento Remotamente usando o Console Gerenciamento do Computador ................................................................................................................. 52 3.2.3 Definir Permisses de Compartilhamento .......................................................... 54 3.2.3.1 Atribuir permisses de arquivo e diretrio.................................................. 54 3.2.3.2 Conflito de permisses................................................................................ 55 3.2.3.3 Mltiplas permisses .................................................................................. 56 3.2.3.4 Negar Permisses........................................................................................ 56 3.2.4 Compartilhar pastas pelo uso de DFS................................................................. 56 3.2.5 Compartilhamento da Web ................................................................................ 61 3.3 Infraestrutura de Chave Pblica................................................................................ 62 3.3.1 Criptografia de Chave Pblica ........................................................................... 62

3.3.2 Infraestrutura de Chave Pblica do Windows 2000 Server ................................ 65 3.4 O Funcionamento do Protocolo Kerberos no Windows 2000 Server......................... 70 3.5 Templates de Segurana ........................................................................................... 72 3.5.1 Definir Cotas de discos ....................................................................................... 72 3.5.2 Encriptao de Arquivos e Pastas....................................................................... 73 3.6 Criando e Gerenciando um Site Web ........................................................................ 74 3.7 Fornecer acesso seguro usurios Remotos.............................................................. 77 3.7.1 Viso geral da VPN ............................................................................................ 77 3.7.2 Instalao da VPN no Windows 2000 Server ...................................................... 78

4 Auditoria e Monitoramento no Windows 2000 Server .................................. 81 5 Concluso .................................................................................................................... 87 6 Consultas Bibliogrficas ......................................................................................... 89

LISTA DE ABREVIATURA E SIGLAS

AD: Active Directory (Diretrio Ativo) CA: Certification Authority (Autoridade de Certificao) CD: Controlador de Domnio CRL: Certificate Revocation List (Lista de Revogao de Certificados) DFS: Sistema de Arquivos Distribudos DNS: Domain Name Service EFS: Encrypting File System (Sistema de Arquivo de Criptografia) FTP: File Transfer Protocol (Protocolo de Transferncia de Arquivo) HTTP: Hypertext Transfer Protocol IIS: Internet Information Server (Servidor de Informaes Internet) IP: Internet Protocol ( Protocolo de Internet) IPsec: Segurana do Protocolo de Internet L2TP: Layer Two Tunneling Protocol MMC: Microsoft Management Console (Console de gerenciamento da Microsoft) ODG: Objeto de Diretiva de Grupo PKI: Public Key Infrastructure (Infraestutura de Chave Pblica) POP3: Post Office Protocol verso 3 PPTP: Point-to-Point Tunneling Protocol RID: Identificador relativo Ativo SAM: Security Accounts Manager (Gerenciador de Segurana de Contas) SID: Identificador de Segurana SMTP: Simple Mail Transfer Protocol UO: Unidades Organizacionais UPN: Universal Principal Name VPN: Virtual Private Network ( Rede Virtual Privada) WWW: World Wide Web

11

LISTA DE FIGURAS
Figura 3.1 - Console de Usurios e computadores do Active Directory. Figura 3.2 - Propriedades da conta do usurio. Figura 3.3 - Definindo as horas de logon. Figura 3.4 - Computadores Permitidos para o logon. Figura 3.5 - Diretiva de direitos de usurio local. Figura 3.6 - Configurao de uma diretiva de segurana local. Figura 3.7 - Guia Diretiva de grupo. Figura 3.8 - Opes de Diretiva de grupo. Figura 3.9 - Lista de permisses de poltica de grupo. Figura 3.10 - Adicionando um link de diretiva de grupo. Figura 3.11 - Espao de nome da diretiva de grupo. Figura 3.12 - Scripts de logon/logoff da Diretiva de grupo. Figura 3.13 - Adicionando um script Diretiva de grupo. Figura 3.14 - Diretiva para redirecionar a pasta Meus Documentos. Figura 3.15 - Snap-in Modelos de segurana. Figura 3.16 - Diretivas de grupo do MMC. Figura 3.17 - Detalhes de Configurao do usurio para Diretiva de grupo. Figura 3.18 - Detalhes de Configurao do computador para Diretiva de grupo. Figura 3.19 - Opes de processamento da diretiva de redirecionamento de pasta. Figura 3.20 - Propriedades para o compartilhamento de pasta. Figura 3.21 - Gerenciamento do Computador, compartilhamentos. Figura 3.22 - Adicionando um novo compartilhamento. Figura 3.23 - Guia de Permisses de compartilhamento. Figura 3.24 - Permisses de Arquivos e Diretrios. Figura 3.25 - Negar Permisses. Figura 3.26 - Selecione o tipo de raiz de DFS. Figura 3.27 - Selecionando um domnio para hospedar o DFS. Figura 3.28 - Selecione um servidor para hospedar DFS. Figura 3.29 - Selecionar compartilhamento para a raiz de DFS. Figura 3.30 - Fornecer um nome para a raiz de DFS. Figura 3.31 - A nova raiz de DFS. Figura 3.32 - Acrescentando um link DFS. 36 37 37 38 39 40 41 42 42 43 43 44 44 45 46 48 49 49 50 52 53 53 54 55 56 57 57 58 58 59 59 60 12

Figura 3.33 - Acrescentar um novo membro de rplica DFS. Figura 3.34 - Propriedades da pasta para Compartilhamento da Web. Figura 3.35 - Editar Alias. Figura 3.36 - Protocolo Kerberos. Figura 3.37 - Cotas de disco. Figura 3.38 - Definio de cotas. Figura 3.39 - Encriptao de arquivos ou pastas. Figura 3.40 - Mensagem de erro para arquivo codificado. Figura 3.41 - Permisses de Acesso do site Web. Figura 3.42 - Propriedades do Site Web. Figura 3.43 - Propriedades de segurana de pasta do Site Web. Figura 3.44 - Permisso de acesso de Discagem. Figura 4.1 Auditoria.

60 61 62 70 72 73 73 74 75 76 76 77 84

13

1 Introduo
1.1 Contexto A cada dia centenas de sistemas vitais esto sendo interconectados, operando em conjunto com outros sistemas, tornando a vida das pessoas cada dia mais fcil - e perigosa! So sistemas de controle mdico: mquinas de vigilncia de pacientes, diagnsticos pela rede e at cirurgias online; Controle areo: interoperabilidade entre diversos aeroportos; Trnsito: semforos, pontes mveis, pedgios; At sistemas de monitoramento de vulces que mandam seus alarmes pela rede. Infelizmente no um tpico muito distante para que digamos: "isso no comigo". A preocupao com a segurana da informao uma dor de cabea constante em todos os cantos do mundo. Todos os ramos que se utilizam tecnologia para a execuo de seus negcios ou utilizao da informao preocupam-se com a segurana, ou ento estaro nas mos das pessoas que se aproveitam do fato de no se dar muita importncia a isso. Empresas que usam a Internet para propsitos empresariais, alm de necessitarem de todas estas vantagens, tambm desenvolvem planejamentos detalhados de segurana e polticas de segurana abrangentes para se protegerem de riscos potenciais. Atualmente, conectar redes locais Internet algo bastante comum e, embora isto possa trazer vantagens, tambm pode trazer vrios problemas. Infelizmente, fazer parte da Internet significa estar exposto a uma grande variedade de ameaas, o que obriga todo e qualquer administrador a preocupar-se com a segurana de seus sistemas. Enquanto redes existem para facilitar o acesso a computadores, procedimentos de segurana existem para controlar este acesso. O primeiro conceito relacionado a segurana : "no existe sistema completamente seguro". O que possvel fazer dificultar a invaso em sua mquina. O trabalho necessrio para proteger o seu sistema depender basicamente do que voc tem para proteger e o quo importante proteger este sistema. Obviamente que, se a necessidade justamente prestar um servio na Internet, todos estes riscos existiro. Para diminu-los, preciso tomar algumas precaues, como desabilitar os servios desnecessrios, utilizar controle de acesso atravs de ferramentas de proteo entre sua rede local e redes externas (geralmente entre sua rede local e a Internet).

14

1.2 Objetivo Este trabalho visa mostrar os principais pontos do tema Segurana e em particular no Windows 2000 Server, abrangendo o Sistema Operacional da Microsoft, um dos sistemas servidores de rede mais utilizado atualmente. O Windows 2000 incorporou um novo conjunto de ferramentas para gerenciamento de rede e configurao personalizada das estaes de trabalho, que permitem total controle sobre as mquinas. O recurso Group Policy no nenhuma novidade para o ambiente Windows. Entretanto sua utilizao era muito baixa, pois envolvia a criao de um arquivo contendo configuraes a serem aplicadas nas estaes (Windows 9X e Windows NT), e sua replicao para os demais Controladores de Domnio com Windows NT. Estas polticas de sistema nada mais eram que simples alteraes no registro e permitiam cerca de 45 a 60 opes de configuraes. No Windows 2000 o Policy tornou-se um objeto do Active Directory (a base de dados de usurios, grupos, e demais objetos da rede Windows 2000). O recurso Group Policy foi expandido, permitindo aos administradores de rede um maior controle sobre as estaes de trabalho com Windows 2000. Uma opo interessante para implementaes de segurana no Windows 2000 so os Templates de Segurana, que permitem definir nas estaes com Windows 2000 definies de quota de disco, encriptao de dados transmitidos (IPSec) e encriptao de arquivos e pastas (EFS). 1.3 Estrutura da Monografia Este trabalho monogrfico est dividido em cinco captulos. Na introduo apresenta-se um resumo mostrando o cenrio da computao nos dias atuais, ressaltando a grande preocupao que as empresas tm ou tero com a segurana de seus sistemas. O segundo captulo trata sobre a avaliao dos riscos de segurana, mostrando as principais ameaas existentes em relao ao assunto Segurana da Informao e tambm sobre os principais mecanismos de defesa para evitar que estas ameaas comprometem o funcionamento dos sistemas. O captulo trs apresenta a implementao de segurana no sistema Windows 2000 Server, mostrando como utilizar as ferramentas de segurana do sistema, para dificultar a invaso de intrusos e facilitar o acesso dos usurios autorizados. No captulo quatro ser exposta as opes de Auditoria e monitoramento do Windows 2000 15

Server, mostrando os principais eventos que podero ser auditados e como sero monitorados.

16

2 Avaliando Riscos de Segurana

No incio da era dos computadores, tudo que se precisava para manter seguros os dados de um computador eram uma senha e uma tranca na porta da sala que se encontrava o mesmo. Com o advento das redes de computadores, uma tecnologia que interliga computadores de forma que seus usurios podem compartilhar recursos, alterou completamente a frmula para garantir a segurana dos computadores. De repente, travas e portas no mais protegiam os dados. Os potenciais invasores no necessitavam mais de acesso direto aos computadores para atac-los. Eles podiam utilizar qualquer computador na rede mesmo um do outro lado do mundo para acessar qualquer outro computador. Diante disso o fator segurana passou a ser de fundamental importncia para garantir o perfeito funcionamento de uma rede de computadores, sendo necessrio fazer uma avaliao de todos os riscos que podem comprometer a segurana de um sistema de informao. Na prtica a segurana depende de um ciclo: preveno, deteco e resposta, ou seja, so tomadas medidas para se evitar problemas na segurana, caso ocorra invases ou tentativas de invases, deve haver mecanismos para deteco e logo aps uma resposta para o ataque. Os procedimentos para se fazer uma anlise de riscos consiste nos seguintes fatores: Identificar e priorizar valores ( Patrimnio) dever do administrador identificar quais sistemas podem comprometer a empresa no que diz respeito ao funcionamento e possveis prejuzos financeiros, ou seja, um determinado sistema ter prioridade de funcionamento em relao a outro, pois no caso de pane este sistema causar mais prejuzos para a empresa, enquanto que o outro causar menor ou nenhum prejuzo. Identificar Vulnerabilidades A vulnerabilidade consiste na fraqueza inerente de um elemento no sistema, uma brecha, ponto fraco ou falha que pode ser explorado, deixando o sistema passivo de ataques. Portanto dever de todo administrador identificar os principais problemas de segurana no seu domnio e empregar mecanismos para solucion-los. Para reduzir a probabilidade de erros e reduzir o nmero de brechas no sistema, importante que se siga um padro bem definido durante a configurao dos servios. importante, 17

tambm, considerar alternativas mais robustas, como o uso de criptografia, quando tarefas crticas estiverem envolvidas. As vulnerabilidades so baseadas em vrios fatores: Instalao fsica: M proteo fsica de equipamentos e mdia Hardware e Software: Situaes no previstas, limites, bugs no projeto, deixando brechas que podem ser exploradas. Mdia: Roubo, perda, danificao, desgaste de discos, fitas etc. Transmisso: Interceptao de sinal, monitoramento, grampo. Humana: Desleixo, preguia, estupidez, ganncia, revolta etc.

Entre as vulnerabilidades mais comuns temos: Vulnerabilidade no Correio Eletrnico O correio eletrnico , sem dvida, um dos servios mais vulnerveis. Ele pode ser alvo de uma grande variedade de ataques. Com os mecanismos de segurana de correio disponveis atualmente, forjar uma mensagem pode ser considerada uma tarefa trivial. Atacantes podem abrir uma conexo TCP em uma mquina alvo e manualmente digitar protocolos e enganar servidores. Deste modo, no possvel confiar-se na veracidade do remetente ou do contedo da mensagem. preciso ter mecanismos em um nvel superior para obter-se privacidade e autenticao do remetente. Vulnerabilidade no servio FTP (File Transfer Protocol) O File Transfer Protocol (FTP) utilizado para transferncia de arquivos entre duas mquinas. Pode ser usado para qualquer tipo de arquivos, incluindo executveis, grficos, texto, sons, vdeos e animaes. Ele pode ser utilizado para duas razes: permitir que os seus usurios internos acessem arquivos remotos ou permitir que usurios remotos acessem dados internos. Do ponto de vista de segurana, utilizar FTP para acessar arquivos remotos no representa um grande risco, exceto pelo fato de poderem ser buscados arquivos com vrus at mesmo programas piratas, consumindo assim recursos de conexo e tempo de processamento. Por outro lado, permitir que pessoas externas acessem informaes internas pode ser mais perigoso. Existem dois tipos de acesso FTP para esta finalidade: FTP com autenticao e FTP annimo. O FTP 18

com autenticao usado por usurios j cadastrados no sistema, devendo estes fornecer sua identificao e senha para efetuar uma conexo. J o FTP annimo permite que qualquer pessoa consiga acessar dados em uma rea restrita do sistema. O FTP com autenticao pode ser considerado um mtodo seguro para transferncia de arquivos. Entre as suas fraquezas est a transmisso de senhas sem criptografia, assim como o Telnet. O acesso ao servio FTP annimo pode ser perigoso caso o usurio consiga sair da rea pblica e acesse arquivos de configurao do sistema, tal como o arquivo de senhas, ele dispor de informaes preciosas para futuramente lanar um ataque. Vulnerabilidade no DNS O DNS ( Domain Name Service) o servio padro para acessar e armazenar informaes sobre mquinas na internet. uma base de dados distribuda cujo principal objetivo mapear nomes de mquinas e endereos IP. Entretanto ele pode tambm realizar o caminho inverso, ou seja, mapear endereos IP em nomes de mquinas. O DNS tem uma srie de vulnerabilidades que podem ser utilizadas por um invasor. Um invasor pode obter acesso ao servidor DNS de uma organizao e alterar mapas deste de forma que o seu computador passe a possuir o nome de um computador desta organizao que possui relao de confiana com o computador alvo. Um invasor pode corromper o servidor DNS de uma organizao fazendo que ele responda com o IP de seu servidor WWW quando os usurios da instituio desejavam o IP daquele banco que permite a conta via rede. Administradores devem se preocupar com informaes falsas repassadas por servidores DNS comprometidos por intrusos. Muitas implementaes de clientes e servidores no verificam se a informao que chega resposta de uma requisio realizada ou se provem de um servidor confivel. Simplesmente aceitam-se, colocando-a no cach. Consultas posteriores sero respondidas erroneamente com estes dados falsos.

19

Vulnerabilidade no WWW O servio WWW um dos mais teis e difundidos na Internet, ele tambm representa um srio desafio segurana, pois: - Um hacker pode explorar bugs conhecidos ou erros de configurao de um servidor WWW ou scripts CGI para obter acesso no autorizado a outros arquivos do sistema, ou at mesmo obter o controle do computador. - Informao confidencial pode ser inadvertidamente disponibilizada pelo servidor WWW ou quando transmitida entre cliente e servidor pode ser interceptada. - Um servidor WWW mal intencionado pode utilizar bugs conhecidos do browser ou applets Java para controlar o computador cliente. - O procedimento automtico de diversos tipos de arquivos pelo browser ou por plug-ins nele instalados pode alterar o funcionamento do computador cliente e colocar nele cavalos-de tria. Identificar Ameaas / Ataques A ameaa consiste em qualquer coisa que possa afetar ou atingir o funcionamento, operao, disponibilidade, integridade da rede ou sistema enquanto que o ataque a tcnica especifica para explorar uma vulnerabilidade. Existem trs tipos de ataques que so os seguintes: Ataques sobre o fluxo de informao Esse tipo de ataque se divide de acordo com os seguintes fatores: - Interrupo: Ataca a disponibilidade do sistema, ou seja, prejudica o funcionamento do sistema parcialmente ou totalmente. - Interceptao: Ataca a confidencialidade do sistema, ou seja, tenta interceptar informaes que podero ser usadas posteriormente para invadir o sistema ex: Capturar senhas. - Modificao: Ataca a integridade dos dados, ou seja, altera informaes de maneira maliciosa. - Fabricao: Ataca a autenticidade, ou seja, conseguir informaes para falsificao ( pirataria ).

20

Ataque Passivo Consiste em fazer interceptao, monitoramento, anlise de trfego(origem, destino, tamanho e freqncia) sem modificar o contedo da informao. Ataque Ativo Este ataque consiste em promover a adulterao, fraude, reproduo(imitao) ou bloqueio da informao. Um ataque pode ser dividido em algumas fases distintas, cada uma delas possuindo suas prprias caractersticas. Pode descrever um ataque organizado pelos seguintes passos: 1. 2. 3. Selecionar um alvo Coletar informaes sobre o alvo Lanar um ataque sobre o alvo: Para tentar entrar em um sistema, o

hacker utiliza vrios mtodos que exploram vulnerabilidades conhecidas de servios, servidores e sistemas operacionais. Alternativamente, o atacante pode simplesmente tentar adivinhar senhas de usurios na mquina alvo. 4. Destruir evidncias da invaso: Geralmente, as aes realizadas pelo atacante para conseguir entrar na mquina ficam registradas em arquivos de log. importante que eles sejam alterados de modo a encobrir estes passos e evitar sua anlise pelo administrador do sistema. 5. 6. ataques. 7. 8. 9. 10. Instalar ferramentas para captura de senhas. Para isto, atacantes podem Configurar caminhos secundrios de entrada na mquina invadida; para Encontrar outras mquinas que confiam na mquina invadida. Utilizar a mquina invadida como base para lanar outros ataques. instalar monitores de rede ou cavalos-de-tria. o caso da rota principal ser descoberta e fechada. Obter senhas de outras contas. Quanto mais contas forem comprometidas pelo atacante melhor. Obter acesso de administrador na mquina invadida, para Ter acesso a todo sistema, empregando-o para realizar os passos seguintes e lanar futuros

Os principais tipos de Ataques so: Vrus: um programa ou fragmento de cdigo parasita, que no funciona de forma autnoma: requer um hospedeiro( programa autntico) ao 21

qual se anexa para funcionar. O vrus ativado pela execuo de programa infectado se propagando pela infeco de outros programas ou envio de programa infectado por e-mail(autopropagao), ou ainda pela cpia de programa infectado. Warm: tipicamente um programa independente(autnomo) feito para se propagar ou ativar nos sistemas infectados e procurar outros sistemas nas redes acessveis. Cavalo de Tria: um programa ou fragmento de cdigo malfico que se esconde dentro de um programa, ou se disfara de programa legtimo. Ex: Falsificao de login. Back Door ( Porta dos Fundos ) ou Trap Door ( Armadilha, Alapo ): uma forma no documentada de ganhar acesso a um sistema, criada no sistema por quem o projetou. Pode ser tambm um programa alterado ou includo no sistema para permitir acesso privilegiado a algum. Bomba Lgica: um programa ou seo de um programa projetado com intuito malicioso, que ativado por determinada condio lgica. Ex; funcionrio programador mal-intencionado. Port Scanning (Varredura de Portas): um programa que ouve a nmeros de portas bem conhecidos para detectar informaes e servios em execuo no sistema. Esta tcnica muito utilizada pelo hackers para reconhecimento. Exemplos de portas comuns padro da Internet: - 20: FTP dados ( Transferncia de arquivos ) - 21: FTP controle - 23: Telnet ( Terminal ) - 25: SMTP ( envio de e-mail ) - 80: HTTP (WWW). - 110: POP3 ( recepo de e-mail ) Spoofs (Falsificao ou disfarce de identidade): Existem vrias formas de spoofs, que so:

22

- IP address Spoofing: Esta tcnica consiste em utilizar mquina configurada com endereo IP aceito pelos sistemas de validao (roteador, firewall ). - Sequence Number Spoofing: Esta tcnica consiste no fato das conexes de rede TCP/IP usarem ns de seqncia, includos em transmisses e trocados por transao, caso o algoritmo de gerao de nmeros for previsvel, um hacher pode monitorar, gravar a troca de nmeros de seqncia e prever os prximos para se inserir na conexo. - Replay (Reproduo): Esta tcnica consiste em interceptar e capturar uma transmisso legtima entre dois sistemas e retransmitir esta mais tarde, ela pode ser evitada atravs do uso de timestamp (Controle de tempo ). - Estouro de pilha (Stack Overflow): Esta tcnica consiste em preencher um buffer alocado na pilha com informao que excede o tamanho previsto, de forma que o endereo de retorno da funo seja modificado. A modificao normalmente faz com que uma Shell root seja acionada no retorno da funo original. DNS Spoof: Existem dois tipos de DNS spoof: - MIM Main in the Middle (Homem no Meio): Esta tcnica consiste em se interpor no meio da comunicao. Ex: Registrar domnio parecido. Quando se comete erro de digitao atacante se interpe e pode repassar a comunicao com domnio correto, mas captura dados. - Redirecionamento: Inseri links para destinos falsos. DoS - Denial-of-Service ( Interrupo de servio ): uma ao que interrompe um servio ou impede totalmente seu uso por usurios/entidades legtimos, com o objetivo principal de tirar do ar (indisponibilizar) um servio apenas para causar o transtorno/prejuzo da interrupo ou para eliminar uma proteo que assim permita atingir outras formas de acesso no autorizado. Para isto o intruso inunda o

23

sistema ou a rede com mensagens, processos ou requisies, de modo que nenhum trabalho possa ser realizado. Os principais modos de ataques DoS so: - Consumo de banda de rede: Consiste em sobrecarregar a banda da rede atravs de um atacante que tenha banda maior ou vrios atacantes simultneos. - Consumo de recursos do sistema: Consiste em criar situaes de abuso ou sobrecarga que ultrapassem o limite do recurso ( Buffer, HD, memria etc). - Atingir falhas que levam interrupo. - Adulterao de rotas/DNS: ao invs de desativar um servio, impede o acesso ao servio legtimo. Os principais tipos de ataques DoS so: - SYN Flooding ( inundao de SYN): Enquanto no procedimento normal o cliente envia bit SYN ( synchronize sequence number), ento o servidor reconhece e responde com SYN-ACK, cliente reconhece a resposta enviando ACK e inicia a transferncia de dados. O SYN Flooding ataca o handshake de 3-vias do estabelecimento de conexo TCP, funcionando da seguinte forma: enviar SYNs e no responder aos SYN-ACK deixando em aberto os estabelecimentos de conexo at ocupar todos os buffers de conexo do servidor, assim outros clientes no podem estabelecer conexes legtimas e o ataque pode derrubar o sistema operacional se a situao consumir toda memria livre do servidor. - Ping da morte (Ping of Death): O ping um protocolo TCP/IP que envia um pacote IP para um endereo, para testar se existe e est vivo, o ataque do ping da morte consiste em enviar seqncia de ping com campo ICMP de tamanho mximo ( maior que o comum). - Smurf: O ataque ocorre atravs do envio de um ECHO_REQUEST ICMP geral fazendo spoof do endereo origem com o endereo IP da mquina alvo, ou seja, solicita uma resposta (eco) ICMP a todas as mquinas de uma rede, fingindo ser a mquina alvo. Ento aps todas as mquinas da rede responderem para a mquina alvo real provocando assim uma sobrecarga na rede e no sistema alvo. 24

- SPAM / Junk Mail: Consiste no envio de e-mail no solicitado, em larga escala. Normalmente so mensagens de propaganda ou solicitao de marketing de empresa tentando vender ou divulgar algo, podendo assim provocar sobrecarga de servidores de e-mail. - Mensagem Bomba: Este ataque consiste no envio de e-mail enorme na tentativa de sobrecarregar algum servidor e/ou o usurio. - War Dialing: o mtodo fora-bruta para encontrar um telefone ligado a um modem para pode permitir o acesso discado a um sistema ou rede. Normalmente automatizado, tentando uma faixa de um prefixo de telefone associado a uma grande empresa. Identificar Contra-Medidas (respostas) Existem algumas maneiras de se defender contra ataques ou fechando ou compensando vulnerabilidades, entres as principais so: TCP-Wrapper Esta ferramenta de segurana talvez seja a primeira a ser instalada pelos administradores de sistemas. O Tcp-wrapper um utilitrio fcil de ser instalado e usado, com a funo de interceptar, filtrar e aumentar o nvel de detalhamento de logs. Ela permite um grande controle das conexes TCP solicitadas a um sistema, atuando como protetor ou embrulho do programa original, verificando a origem da conexo, registrando o acesso e tomando aes pr-definidas. Satan ( Security Analysis Tool for Auditing Networks ) O SATAN de fato o prottipo de uma viso muito maior e mais inclusiva de uma ferramenta de segurana. Em sua verso atual, SATAN remotamente sonda e relata vrios bugs e fraquezas em servios de rede e sistemas de windowing, como tambm geral com muitos detalhes e informaes geralmente teis sobre alvo(s). Ele processa os dados de forma cru e que podem ser usados por um especialista em segurana para gerar uma anlise final.

25

O SATAN consiste em vrios sub-programas cada um dos quais so arquivos executveis em (perl, dshell, C compilado binrio) tudo isso testa um host para uma determinada fraqueza em potencial, mostrando no final um relatrio identificando as vulnerabilidades do sistema. Firewall O Firewall um roteador atravs do qual seus requisitos emitidos so transmitidos e os recebidos so filtrados, ou seja, permitido que intrusos entrem no roteador, mas no no sistema, desta forma colocando uma barreira de proteo entre a mquina que se est utilizando e o mundo exterior. Tipicamente os firewalls so construdas em um servidor/host, tambm chamado bastion, e em um roteador com capacidade de lidar com vrios protocolos. Um bastion tem duas redes conectadas, uma sendo a rede interna, de um lado, e outra a Internet. Sua funo bsica evitar o acesso no autorizado vindo de fora da rede interna (ou saindo dela), da Internet, bem como prover relatrios detalhados das atividades do sistema para que a segurana possa ser monitorada. Segurana da Internet Uma rede local conectada internet vulnervel a ataques de criminosos, pois, a internet no foi desenhada tendo a segurana em mente. necessrio primeiramente identificar as falhas de segurana que podem ocasionar problemas para o funcionamento da rede local. Entre os principais problemas temos os seguintes: Os usurios internos podem conseguir facilmente a lista de Cdigo de Identificao dos Usurios(User Ids). Os usurios internos podem facilmente quebrar volumes Compartilhados Isto pode acontecer quando o administrador no habilitar as quotas de disco e qualquer usurio que tiver acesso a gravao poder, acidental ou propositalmente, gravar no volume compartilhado tanta informao quanto ela puder receber, ocasionando falta de espao para os outros usurios. O pior que, se for o volume que tinha pagefile, ento o pagefile no poder crescer, o que poder quebrar todo o Windows 2000. Algum com o acesso de leitura a arquivos de outro usurio poder roubar informaes. 26

Algum com o acesso de gravao a arquivos poder modific-los ou apagalos. Algum com o acesso a gravao poderia usar os servidores de arquivo para guardar informaes pessoais, informao que ele no queira manter em seu prprio computador talvez porque a informao seja ilegal. Algum com o acesso a gravao poderia incapacitar os servidores enchendo os espaos livres com arquivos sem sentido, quebrando os servidores. Presumivelmente algum poderia quebrar os servidores de correio enviando centenas de mensagens geradas automaticamente para os servidores. Uma quantidades suficiente de mensagens para preencher os discos rgidos desses servidores. O acesso aos seus servidores de impresso permitiriam aos intrusos preencher os discos rgidos dos servidores com arquivos encarrilhados, fazendo com que as impressoras fiquem sem papel. O Windows 2000 vem com algumas ferramentas internas que facilitam a deteco de ataques, entre as principais temos: Fazer auditoria nas conexes falhas. Usar o Monitor de performance para alertar quando a fila de conexes exceder um valor razovel. Verificar periodicamente os nveis de conexo de rede. Se a rede estiver extremamente ocupada em horrios em que normalmente nunca est, provavelmente a rede est sendo atacada. Os principais passos para se evitar ataques so: No usar senhas bvias. No habilitar contas Guest em mquinas conectadas internet. Renomear a conta de Administrao interna. No deixar a conta de Administrao interna para acessar os servidores na rede. Travar o usurio aps um determinado nmero de tentativas falhas. Fazer as senhas vencerem depois de um determinado tempo. Instalar um firewall para filtrar portas UDP 136 e 137 externas. Colocar os servidores Web, FTP e gosher em uma mquina separada com domnio prprio, sem nenhum link de confiana para outros servidores. No colocar nenhum servio no seu servidor DNS, exceto o DNS.

27

Planejando segurana de rede A segurana de uma rede est baseada no controle de acesso e no seu tipo de gerenciamento, sendo fundamental importncia observar as seguintes condies: Evitar Login Concorrente: O mecanismo de autorizao de acesso na rede deve, normalmente, restringir o acesso mltiplo concorrente aos usurios, ou seja, um usurio que se conectou a rede deve primeiro finalizar sua conexo antes de poder se conectar a partir de outro lugar, evitando assim que o usurio deixe conexo em aberto em um computador e tente logar em outro computador, excees em geral para o usurio administrador e suporte. Controle de login em estaes: Controlar em quais estaes os usurios podem se conectar e quais no, facilitando assim a setorizao e organizao do acesso. Tambm se aplica a definir um acesso restrito(em geral, apenas local via console) a um servidor da rede. Restrio de espao em disco: Restringir o limite mximo de disco a ser utilizado pelos usurios, evitando assim o descontrole no uso de espao de armazenamento. No caso administrador evita que o mesmo armazene backups antigos e gerncia de discos enquanto que no caso dos usurios obriga os mesmos a promoverem faxina em arquivos antigos e tambm no permitir que ataques gerem dados excessivos na tentativa de interromper algum servio". Restrio de tempo: O controle atravs de tempo pode determinar em que dias e horrios os usurios podem conectar a rede, determinado tambm tempo para desconexo caso o usurio esquea de desconectar-se, facilitando a racionalizando na utilizao dos recursos compartilhados e tambm impedindo acessos indevidos em horrios/dias no imprprios. Remoo de contas inativas: Deve ser feita regularmente uma reviso nas contas dos usurios para identificar contas de usurios que no so mais necessrias assim como as de usurios que esto temporariamente afastados ou que estejam h muito tempo sem acessar. Tambm

28

necessrio remoo ou alterao de senha das contas padro do sistema como: guest, root, administrator, postmaster, webmaster etc. Restries de senhas: necessrio que o administrador defina um tamanho mnimo para as senhas dos usurios, bem como solicitar a troca das mesmas regularmente e guardar um histrico das senhas antigas, com o intuito de evitar acessos indevidos de outros usurios que se apoderam de senhas conhecidas ou de fcil assimilao. Permisses de usurios e grupos de usurios: muito importante para a segurana de uma rede ter definido um mecanismo geral para controle de acesso a recursos e servios, como arquivos e diretrios, impressoras, etc, devendo ser planejado cuidadosamente, de forma a dar sempre o mnimo de permisses necessrias s tarefas. Determinando assim quais os recursos que os usurios podem acessar e que tipo de acesso eles iro ter ( ler, executar, gravar, etc). Single Sign-On ( SSO): Possibilita autenticao nica ou centralizada de usurio com um nico login/senha, mapeando acesso a vrios sistemas e evitando confuses. Gerenciamento de rede baseado em polticas: Esta abordagem est sendo muito utilizada em redes mdias e grandes, buscando reduzir dificuldades de gerenciar redes com centenas ou mesmo milhares de nodos, distribudos em vasta rea geogrfica. Consiste no processo de reunir propriedades de vrios recursos de rede sob um controle administrativo central, visando: - Simplificar o processo de gerncia de redes - Garantir segurana e integridade da rede atravs de um gerenciamento central de recursos distribudos. - Priorizar trfego de rede, garantindo que servios crticos recebam os recursos necessrios, na distribuio de banda com sistema menos prioritrios. - Gerenciar objetivos de qualidade de servio - Consolidar informao de segurana dos recursos de rede: propriedade, ACL(Access Control List), disponibilidade. 29

O principal conceito do gerenciamento baseado em polticas : Servios de Diretrio. - Servios de Diretrio: A funo bsica dos servios de diretrio : localizar, nomear e controlar comunicaes com recursos, combinando mtodos de acesso confiveis, sendo definido padres de comunicao. Ele est dividido em dois: - Diretrio: a listagem abrangente de objetos, repositrio de informaes sobre objetos, como contas de usurio, localidades e outros objetos. - Diretrio de rede: Contm informaes de recursos como impressoras, aplicaes, banco de dados, usurios, grupos, servidores, dispositivos, senhas. Os Formatos e padres de Servios de Diretrio so os seguintes: - '80s ( Protocolo de Acesso a Diretrio(DAP) x.500): Padro que tentou criar e integrar um servio de diretrio universal. - LDAP ( Lightweight Directory Access Protocol ): uma verso simplificada do DAP X.500, focado somente nos protocolos que aplicaes clientes devem usar para acessar diretrio, sem comunicaes do DAP original, suporta recurso de segurana como SSL. As principais implementaes modernas que suportam o padro LDAP so as seguintes: Novell Directory Services (NDS), Microsoft Active Directory (Windows 2000 ), Netscape Directory Server. - Metadiretrios So ferramentas para integrar hierarquicamente diretrios de redes existentes, tendo habilidade de compartilhar informao comum a todos os subdiretrios, independente de plataforma e arquitetura, permitindo propagar atualizaes em um metadiretrio por todos os diretrios componentes. Ex: Cadastrar novo usurio em um servio de diretrio criando contas e acessos nas diversas aplicaes e recursos integrantes.

30

3 Implementando Segurana no Windows 2000 Server

Dentre as modificaes e novas funes no Windows 2000 Server em comparao com o NT, podemos destacar as seguintes: Active Directory. Infra-estrutura de redes baseadas em TCP/IP melhorada. Opes de infra-estrutura de segurana mais escalveis. Compartilhamento de arquivos mais poderoso com Distributed File System ( Sistema de Arquivos Distribudos) e com o File Replication Service ( Servio de Replicao de Arquivos). Armazenamento on-line mais flexvel por meio do Armazenamento Removvel ( Gerenciador de Mdia Removvel). Com relao infra-estrutura de segurana. O Windows 2000 foi projetado com dois sistemas de segurana. O primeiro para substituir o sistema de autenticao do NT, conhecido NTLM ( de NT LAN Manager) seria um sistema conhecido no mundo UNIX denominado Kerberos. O Kerberos bem conhecido e funciona bem em grandes sistemas, ajudando a Microsoft na sua meta de atingir a escalabilidade. No meio do caminho do processo de desenvolvimento do Windows 2000, a Microsoft decidiu complementar o Kerberos com um terceiro sistema de segurana, uma chave pblica baseada no padro X.509. Eles fizeram isso porque um sistema de chave pblica considerado muito mais escalvel do que um sistema NTLM ou Kerberos. 3.1 Active Directory O Active Directory(AD) so as estruturas de domnio do NT 4 com o acrscimo de uma srie de melhorias interessantes, como novos nomes, entre estes novos termos relevantes, para o AD, temos rvores, florestas, unidades organizacionais, entre outras. 3.1.1 Diretrio de Usurios O controle do cadastro dos usurios que no NT utilizava um nico arquivo denominado SAM, que continha nome do usurio, nome de logon, descrio, nome de grupo primrio e informaes de perfil, agora o Windows 2000 Server armazena muitas de suas informaes em um arquivo denominado NTDS.DIT. O NTDS.DIT diferente do SAM em alguns pontos. O primeiro, O NTDS.DIT um banco de dados do Access modificado. O 31

Segundo que ele armazena uma variedade muito mais ampla de informaes a respeito dos usurios do que o SAM jamais foi capaz de reter. 3.1.2 Subadministradores O Windows 2000 Server possibilita a criao de gama de opes de segurana na criao de grupos de administradores definindo seus poderes, onde no NT s existiam alguns grupos predefinidos como, por exemplo: Operadores de Backup, Operadores de Servidor, Operadores de Conta. 3.1.3 Unidades Organizacionais As UOs a subdiviso de um domnio, tendo como principais usos: Criar Conjuntos de Usurios com polticas de contas diferentes de forma a poder, por exemplo, dar-lhes solicitaes de senhas mais ou menos rgidas. Dar o controle de um conjunto de contas de usurios e/ou mquinas para um conjunto de usurios, permitindo, por exemplo, definir um conjunto de pessoas que podero redefinir senhas em um determinado departamento sem ter de torn-los administradores com mais poderes que o desejvel e, alm disso, restringindo o grupo de pessoas cujas senhas eles podero alterar. Controlar e bloquear as mquinas dos usurios por meio do uso de objetos de diretivas de grupo, ferramentas de controle semelhantes s polticas de sistema do NT; apesar de seu nome, entretanto, as diretivas de grupo no so aplicadas a grupos de usurios elas so aplicveis a unidades organizacionais, domnios ou sites. 3.1.4 Sites O Windows 2000 apresenta algumas vantagens nesse ponto com a noo de sites. Alm do conhecimento das mquinas e usurios presentes em uma empresa, o AD tambm acompanha os seus aspectos geogrficos. Cada rea conectada na LAN denominada um site. O Windows 2000 usa as pistas fornecidas pelo administrador a respeito do seu layout fsico para descobrir onde esto as ligaes com a WAN. Ele ento faz duas coisas bastante teis: Primeiro, compacta o trfego da replicao, e segundo, usa as informaes de custos de roteamento fornecidas pelo administrador para descobrir qual a melhor rota para o trfego da replicao com o menor custo.

32

3.1.5 rvores de Domnios O primeiro domnio que o Windows 2000 permite criar chamado de raiz da rvore, por exemplo, caso o nome da raiz fosse empresa.com. Os domnios abaixo dela sero referenciados como domnios filhos e tero os seguintes nomes, por exemplo, filho1.empresa.com e filho2.empresa.com. O Windows 2000 cria automaticamente relacionamento de confiana de duas vias entre cada domnio e seus domnios filhos, ou seja, os administradores do domnio raiz podem estender as permisses de acesso a arquivos e impressoras para os usurios do domnio filho e vice-versa. O conjunto de dois ou mais domnios raiz formam o que chamamos de Florestas de Domnios. 3.1.6 Diretivas de Grupos O Windows 2000 server armazena as informaes das polticas de sistemas no Active Directory Os administradores colocam essas informaes no AD na forma de objetos de diretivas de grupo, ou ODGs. Podendo ser colocadas tantas polticas especficas em um determinado ODG quanto quiser. Por exemplo: Ex: Definir que a pasta Meus Documentos de todos fosse armazenada na rede em vez de serem armazenadas nos seus discos rgidos locais de forma que os discos rgidos de todos possam ter seus backups centralizados. Embora as diretivas de grupo sejam interessantes, elas so similares aos melhores recursos do Windows 2000 elas s funcionam em mquinas com o Windows 2000. Se ainda houver usurios rodando o Windows 95 ou 98, deve-se utilizar polticas do sistema para controlar suas estaes de trabalho. No caso de remoo de uma determinada poltica, os seus efeitos sero removidos imediatamente. Isso pode ser bastante poderoso: se, por exemplo, caso exista uma poltica de grupo para distribuir um aplicativo e depois ela for removida, o aplicativo se desinstalar! No necessrio que o usurio se conecte para obter uma poltica de grupo, pois o Windows 2000 aplica as diretivas de grupo aproximadamente a cada 90 minutos para as estaes e servidores membros e a cada cinco minutos para controladores de domnios. As diretivas de grupo podem fazer qualquer coisa que se poderia fazer com as polticas de sistema e muito mais. Por Exemplo: Distribuir Software possvel reunir todos os arquivos necessrios para instalar uma parte do software em um pacote, colocar o pacote em algum lugar no 33

servidor e depois usar as diretivas de grupo para apontar para a estao de trabalho de um usurio naquele pacote. O usurio ver que o aplicativo est disponvel e, novamente, o administrador executar tudo a partir de uma localizao central em vez de ter de visitar cada estao de trabalho. Na primeira vez que o usurio tentar iniciar o aplicativo, ele se instalar sem qualquer interveno do usurio. Definir Direitos de usurios - Um exemplo desse tipo o fato de um usurio padro no poder alterar a hora e a data da sua estao de trabalho. Restringir os aplicativos que os usurios podem rodar possvel controlar a estao de trabalho de um usurio at o ponto em que o usurio s poder rodar alguns poucos aplicativos talvez o Outlook, o Word e o Internet Explorer, por exemplo. Controlar configuraes em sistemas com o Windows 2000 - A forma mais fcil de controlar a cotas de espao em disco usar as diretivas de grupo. Muitos sistemas com o Windows 2000 so controlados com mais facilidade por meio das polticas; em alguns sistemas, as polticas representam o nico mtodo para habilitao e controle. Definir scripts de logon, logoff, inicializao e desligamento - o Windows 2000 permite a utilizao de scripts para qualquer um ou para todos esses quatro eventos e voc usa ODGs para controlar quais scripts so rodados. Simplificar e Restringir Programas Como, por exemplo, possvel usar ODGs para remover muitos dos recursos do Internet Explorer, Windows Explorer e outros programas que usam ODGs. Restries gerais na rea de trabalho possvel remover a maioria ou todos os itens do boto Start de um usurio, impedir que ele adicione impressoras, desabilitar a possibilidade de se desconectar ou modificar a configurao da rea de trabalho. 3.1.7 Conexes no Active Directory O Active Directory usa sites e DNS para fazer a conexo de mquinas e usurios. A parte mais difcil a respeito das conexes encontrar um Controlador de Domnio. Quando o sistema encontra um CD,ento a transao de todas as coisas que vo e vm do Kerberos relacionadas com a verificao da senha e identificao do usurio (ou a senha da mquina e identificao do usurio) se torna bastante simples. O problema encontrar uma mquina para a qual essas credenciais devem ser apresentadas. Na sua forma mais bsica, uma mquina encontra um controlador de domnio perguntando ao DNS: Sou um membro do domnio win2ktest.com. Voc sabe se h 34

mquinas neste domnio que estejam registradas como servidores usando a porta 389? A porta 389 a forma Internet de solicitar um servidor LDAP, e as mquinas se comunicam com controladores de domnio usando LDAP. Portanto, a solicitao de um servidor LDAP o mesmo que a solicitao de um controlador de domnio. Mas, na realidade, os servidores DNS sob o Windows 2000 so ainda mais espertos do que isso, uma vez que eles no tm apenas uma lista de servidores LDAP para um determinado domnio, mas tambm tm uma lista de sites para aquele domnio e uma lista de servidores LDAP dividida por sites. Assim, uma mquina pode dizer para o DNS: D-me o nome de um controlador de domnio no site do centro e no domnio win2ktest.com. Agora, nem todos os sites tm um controlador de domnio. Nesse caso, o DNS apenas informa ao sistema o endereo de algum controlador de domnio antigo. Uma vez que a mquina cliente tenha um endereo de CD, ela inicia comunicaes com o CD. Parte das tarefas do CD, entretanto, garantir que o cliente esteja conversando com o CD mais prximo de todos. Resumindo, os sistemas com Windows 2000 localizam controladores de domnio usando primeiro o conhecimento das localizaes de seus sites e nomes de domnio para pesquisar o DNS em busca dos nomes dos CDs mais prximos. As mquinas ento entram em contato com os controladores de domnio mais prximo e solicitam suas conexes. O CD que concordar em conect-las em primeiro lugar verificar se ele o CD mais prximo e, caso no seja, redirecionar a mquina para outro CD mais prximo. 3.1.8 Gerenciando de contas de usurios e Computadores No Active Directory as contas de usurios so armazenadas num arquivo chamado NTDS.DIT, e geralmente encontrado em %systemroot%\NTDS. Ele alm de armazenar informaes sobre os usurios, tambm guarda informaes sobre servidores e computadores, recursos, aplicativos publicados e diretivas de segurana. Essa estrutura de dados replicada atravs do domnio para todas as rplicas dos controladores de domnio para a tolerncia a falhas e balanceamento de carga. As contas de usurios, quando criadas pela primeira vez, recebem automaticamente um identificador de segurana (SID). Um SID um nmero exclusivo que identifica uma conta. Os SIDs so usados desde o incio do NT; o sistema no conhece o usurio realmente pelo seu nome, mas pelo seu SID. Os Ids de usurios existem apenas para a interface humana. Os SIDs nunca so reutilizados; quando uma conta excluda, o seu SID 35

excludo juntamente com ela. Os SIDs so parecidos com isso: S-1-5-21-D1-D2-D3-RID Em que S-1-5 apenas um prefixo (na verdade, o 1 o nmero da verso, que no mudou desde o NT 3.1, e o 5 significa que o SID foi atribudo pelo NT); o 21 tambm um prefixo do NT; e o D1-D2-D3 so apenas nmeros de 32 bits que so especficos para um domnio. Assim quando criado um domnio, os valores D1, D2 e D3 sero determinados e todos os SIDs naquele domnio tero esses mesmos trs valores. RID a abreviao de relative identifier (identificador relativo). O RID a parte exclusiva de qualquer SID. Cada nova conta ter um nmero RID exclusivo, mesmo que o nome de usurio e as outras informaes sejam as mesmas de uma conta antiga. Dessa forma, a nova conta no ter nenhum dos direitos e permisses da conta antiga, e a segurana ser preservada. A opo Usurios e Computadores do Active Directory fornece ao administrador de rede os meios de cumprir as seguintes tarefas: Criar, modificar e excluir contas de usurios Definir scripts de logon para contas de usurios Gerenciar grupos e membros de grupos Criar e gerenciar diretivas de grupo Basta executar o arquivo DSA.MSC a partir do menu iniciar ou escolher Iniciar\Programas\Ferramentas Administrativas\Usurios e computadores do Active Directory. No DSA.MSC, aparecer o nome do controlador de domnio contatado no topo da rvore do console e o seu nome de domnio bem abaixo da raiz do console, como mostra a figura 3.1.

Figura 3.1 - Console de Usurios e computadores do Active Directory.

36

Para alterar algumas opes de logon de algum usurio, basta clicar com o boto direito do mouse em cima do nome do usurio, escolher a menu propriedade e depois entre no guia Conta, como mostra a figura 3.2.

Figura 3.2 - Propriedades da conta do usurio. nela que se podero especificar as horas e dias de logon permitidos, computadores permitidos para logon, vencimento da conta, expirao da senha, troca de senha. Para especificar o horrio de logon, basta clicar no boto Horrio de logon para determinar dias e horas especficos em que os logons so permitidos, como mostra a figura 3.3.

Figura 3.3 - Definindo as horas de logon.

37

Para especificar em quais computadores o usurio poder efetuar logon, basta clicar no Efetuar logon em para determinar se o usurio pode logar em todos os computadores ou em computadores especficos, como mostra a figura 3.4.

Figura 3.4 - Computadores Permitidos para o logon.

Aps a criao de contas de usurios, quando da criao de um grupo ser possvel determinar que tipos de grupo os usurios faro parte. Existem dois tipos de grupos: Grupos de Segurana e Grupos de Distribuio. Os grupos de segurana so usados para atribuir direitos e permisses. Como acontece com as contas de usurios, os grupos recebem SIDS. Quando o Access Control List(ACL) do objeto editado , por exemplo, os nomes de grupo que aparecem na lista so grupos de segurana . Essas entradas SID de usurio e grupo na ACL so combinadas com as credenciais de um usurio para permitir ou negar acesso ao objeto. Existem trs tipos principais de grupos de segurana: local, global e universal. Embora possa se preferir pensar neles como quatro grupos diferentes: Local, domnio local, global e universal. Os grupos locais so locais para a mquina. Ou seja, eles existem e so vlidos apenas naquela mquina ou naquele servidor no controlador de domnio. O grupo de domnio local o nome especial para um grupo local que esteja em um controlador de domnio. Os grupos globais so usados para fornecer direitos e permisses de acesso atravs 38

de limites de mquinas (e domnios). Os grupos universais so novos no WIN2K e tambm tm as mesmas funes dos grupos globais, fornecendo direitos e permisses de objetos atravs dos domnios e entre eles. Eles so mais teis que os grupos locais ou globais porque so infinitamente mais flexveis em relao ao aninhamento. O acesso aos recursos da rede pelo usurio arquivos, diretrios, dispositivos controlado peloWin2K, de duas formas: concedendo ao usurio direitos que oferecem ou negam o acesso a determinados objetos e atribuindo aos objetos permisses que especificam quem pode usar os objetos e em que condies. Como regra geral, os direitos de usurios se sobrepem s permisses usurios de objetos. As permisses por outro lado, se aplicam a objetos especficos como arquivos, diretrios, impressoras, regulando quais usurios podem acessar o objeto e de que forma. Para ver ou modificar as atribuies de direitos locais para um usurio ou para um grupo, basta abrir a ferramenta Diretiva de segurana local em um no controlador de domnio ou use a Diretiva de segurana de domnio para um controlador de domnio. Ento basta abrir Diretivas Locais\Atribuio de direitos de usurios, aparecendo uma lista dos direitos e dos usurios ou grupos que tm acesso no painel de detalhes direita, como mostra a figura 3.5.

Figura 3.5 - Diretiva de direitos de usurio local. Para adicionar ou remover um direito de um usurio ou de um grupo, basta dar um duplo clique no direito que est sendo mostrado no painel de detalhes. Na figura 3.6 aparecer a informao de segurana para o direito especfico. Sendo possvel remover um usurio ou grupo escolhendo o boto remover ou adicionar um usurio ou grupo, clicando no boto adicionar. 39

Figura 3.6 - Configurao de uma diretiva de segurana local. 3.1.9 Criando Diretivas de Grupo O trabalho de um administrador nunca tem fim. Os usurios esto sempre mexendo nas suas configuraes, sendo difcil manter construes-padro. A implementao das diretivas de grupo podem facilitar o controle das configuraes. Para abrir o snap-in Diretiva de grupo no DSA.MSC, basta clicar com o boto direito do mouse no nome do seu domnio na raiz do console e escolha Propriedades no meu de contexto. Escolha a guia Diretiva de grupo, como mostra a figura 3.7, mostrando quais ODGs foram ligadas ao nvel de domnio. Caso ainda no tenha sido criada nenhuma diretiva, aparecer somente diretiva de domnio-padro relacionada. A caixa de verificao Herana de diretiva de bloco na parte inferior esquerda da guia Diretiva de grupo. Ela evita que quaisquer configuraes de diretiva de grupo em um nvel superior escoem para esse nvel. Lembrando que a ordem pela qual as diretivas so aplicadas: primeiro, no nvel de site, depois no nvel de domnio e depois diretivas para Uos.

40

Figura 3.7 - Guia Diretiva de grupo. Para ligar a opo Sem Sobreposio, selecione a diretiva e escolha o boto Opes, depois selecione a opo No substituir, como mostra a figura 3.8. Quando essa configurao estiver ativada, outras diretivas aplicadas abaixo desse nvel no podero derrotar as configuraes dessa diretiva, mesmo com Herana de diretiva de bloco. A Herana de diretiva de bloco ativada no nvel da ligao(site, domnio ou UO) enquanto que a opo No substituir ativada por diretiva. Marcando a opo Desativado para desligar a diretiva, ela no ser processada ou aplicada nesse nvel. Desativar a diretiva no desativa o prprio objeto, pois a mesma diretiva desativada no nvel de domnio, pode ser teoricamente aplicada no nvel de site ou Unidades Organizacionais. Se ambas as opes (No substituir e Desativado) estiverem ativadas, haver uma verificao na coluna correspondente da guia Diretiva de grupo.

41

Figura 3.8 - Opes de Diretiva de grupo. Para criar um novo GPO, basta clicar no boto Novo da figura 3.7. O Win2k ir criar uma poltica chamada Novo objeto de diretiva de grupo e depois permitindo que seja renomeado. Na guia de propriedade Segurana, como mostra a figura 3.9, revela as permisses-padro do GPO. Os administradores do domnio e Administrao de empresa, por padro, tm permisso de Leitura e Gravao alm de poderem Excluir e Criar todos os objetos filhos, enquanto Usurios Autenticados tm apenas permisses de Leitura e Aplicar diretiva de grupo. Os acessos de Leitura e Gravao so necessrios para mudar uma diretiva, enquanto os acessos de Leitura e Aplicar so necessrios para ser o continer da diretiva.

Figura 3.9 - Lista de permisses de poltica de grupo. Na guia Diretiva de grupo da pgina de propriedade do domnio que mostra os GPOs numa lista. A ordem de aplicao dos GPOs de baixo para cima, sendo que os GPOs que estiverem mais altos na lista tero uma prioridade maior, em caso de conflito o de maior prioridade vence. Para ligar um objeto de diretiva de grupo a um determinado continer , basta clicar no boto Adicionar na guia Diretiva de Grupo, como mostra a figura 3.10, onde ser possvel procurar pelos GPOs que esto ligados a outros domnios/Uos ou outros sites ou poder apenas solicitar que sejam relacionados todos os GPOs.

42

Figura 3.10 - Adicionando um link de diretiva de grupo.

Ao escolher o boto Editar de um determinado GPO na guia de Diretiva de grupo, ir abrir o snap-in Diretiva de grupo em uma janela separada, onde aparecer o nome do objeto de diretiva na raiz do espao de nome, como mostra a figura 3.11.

Figura 3.11 - Espao de nome da diretiva de grupo. Existem dois tipos principais de configurao. As caractersticas de Configurao do computador so aplicadas s mquinas na inicializao e a intervalos determinados. A configurao do usurio aplicada aos ambientes de trabalho dos usurios no logon e a intervalos de atualizao determinados. Para especificar scripts de logon e logoff, bem como scripts para serem executados 43

na inicializao e desligamento do sistema, basta clicar nas Configuraes do Windows na opo Configurao do usurio ou na opo Configurao do computador, respectivamente, para revelar os scripts( Inicializar, Desligar, Efetuar Logon, Efetuar Logoff), como mostra a figura 3.12.

Figura 3.12 - Scripts de logon/logoff da Diretiva de grupo. Para adicionar um script basta dar um duplo clique no tipo de script(Inicializar, Desligar, Efetuar Logon, Efetuar Logoff), e escolher a opo Adicionar para localizar o arquivo de script, como mostra a figura 3.13.

Figura 3.13 - Adicionando um script Diretiva de grupo.

44

Os scripts criados e atribudos devem ser copiados para o seguinte caminho:SYSVOL:\winnt\SYSVOL\Sysvol\nomedodominio\Policies\{GUID}\Machine\Scrip ts\Startup ou ShutDown( ou User\Scripts\Logon ou Logoff, dependendo se for atribudo scripts para o node de Configurao do computador ou para o node de Configurao do usurio). Para estabelecer uma localizao na rede, por exemplo, para pasta Meus Documentos na Diretiva de grupo, basta escolher a opo Configurao do Usurio \Configuraes do Windows\Redirecionamento de pasta\Meus Documentos, clicando com o boto direito e escolhendo a opo Propriedades, como mostra a figura 3.14.

Figura 3.14 - Diretiva para redirecionar a pasta Meus Documentos.

As configuraes de segurana, juntamente com os modelos administrativos, caracterizam grande parte da Diretiva de Grupo. As configuraes de segurana padro para a segurana do Win2K so propositadamente abertas para manter as dores de cabea administrativas em baixa e garantir que os usurios e os aplicativos funcionaro como devem. Conforme a segurana for aumentando, os usurios e os aplicativos tero mais restries e o tempo de suporte aumentar. Quando comea a se fazer bloqueios nos sistemas, com certeza algo provavelmente vai parar. O uso das Diretivas de grupos serve para padronizar algo em uma organizao. O conjunto de configuraes de segurana pode ser encontrado na guia de Diretiva de grupo, no seguinte caminho: Configurao do computador\Configuraes do Windows\Configuraes de segurana, embora as diretivas de chave pblicas tambm possam 45

ser encontradas no node Configurao do Usurio no mesmo caminho. As principais categorias de configuraes das Configuraes de segurana, como mostra a figura 3.15 so: Diretivas de contas Especifica restries de senha, diretivas de bloqueio e diretivas Kerberos. Diretivas Locais Configura a auditoria e atribui os direitos de usurios e configuraes de segurana sortidas. Log de eventos Centraliza as configuraes de opes para o Log de Eventos. Servios de Sistema Padroniza as configuraes de servio e protege contra mudanas. Registro Cria modelos de segurana para as permisses-chave do Registro para controlar quem pode alterar que chaves e controlar o acesso de Leitura s partes do Registro. Sistema de arquivos Cria modelos de segurana para permisses em arquivos e pastas para garantir que os arquivos e diretrios tm e mantm as permisses desejadas. Diretivas de chave pblica Gerencia as configuraes para a organizao usando uma infra-estrutura de chave pblica.

Figura 3.15 - Snap-in Modelos de segurana.

As Diretivas de grupo de senha, bloqueio de conta e Kerberos so aplicadas apenas no nvel de domnio. Os controladores de domnio iro receber as suas configuraes 46

das diretivas de conta do nvel de domnio e ignoraro as diretivas ligadas s Uos. A Diretiva de senha inclui as seguintes opes: Aplicar histrico de senhas: Ative essa opo e fornea o nmero de novas senhas que devem ser exclusivas antes que uma determinada senha possa ser usada novamente. Tempo de vida mximo da senha: Essa opo estabelece o perodo de tempo em que uma senha pode ser usada antes que o sistema requeira do usurio uma nova senha. Tempo de vida mnima da senha: O valor estabelecido aqui determina o tempo que uma senha precisa ser usada antes que o usurio possa alter-la novamente. Comprimento mnimo da senha: Essa opo define o menor nmero de caracteres que a senha de um usurio poder conter. Oito caracteres um bom tamanho de senha. Senhas devem satisfazer requisitos de complexidade: Os filtros de senha requerem um nmero mnimo de requerimentos como o nmero de caracteres permitido se devem ser usados letras e nmeros, se qualquer parte do nome do usurio pode ser usada e assim por diante. Armazenar senhas usando criptografia reversvel para todos os usurios no domnio: Os clientes Windows 95/98 e os clientes Macintosh precisam autenticar com uma encriptao de nvel inferior. O usurio deve efetuar logon para alterar a senha: Essa opo evita que usurios no-autenticados mudem a senha de uma conta por meio de ataques de fora bruta. Tambm evita que um usurio mude a senha depois que ela expirou. A Diretiva de bloqueio da conta, uma vez ativada, evita que qualquer um efetue logon na conta aps um determinado nmero de tentativas incorretas, e as principais opes so: Limite de bloqueio de conta. Esse valor define quantas vezes o usurio pode tentar efetuar logon antes que a conta seja bloqueada. Zerar contador de bloqueio de conta aps. Essa configurao define o tempo em que o contador de tentativas incorretas ir ser redefinido. Por exemplo, suponha que voc redefina a conta aps dois minutos e trs tentativas incorretas. Se voc digitar errado duas vezes, esperando dois minutos aps a segunda tentativa, ter trs chances novamente. Limite de bloqueio de conta. Essa configurao determina o intervalo que a conta permanecer bloqueada. Aps esse perodo expirar, a conta do usurio no ficar 47

mais bloqueada e o usurio poder tentar efetuar logon novamente. A Diretiva de grupo oferece opes para controlar o Microsoft Management Console (MMC) para que os outros no possam fazer alteraes nas ferramentas existentes do MMC ou acessar os snap-ins e extenses que esto alm dos limites, nos quais se incluem os snap-ins e extenses da Diretiva de grupo. As diretivas do MMC podem ser encontradas em Modelos administrativos na opo Configurao do usurio, como mostra a figura 3.16. As diretivas principais mostradas nessa figura so para restringir o modo Autor (que evita que o usurio crie arquivos do console e adicione).

Figura 3.16 - Diretivas de grupo do MMC. As diretivas para controlar a diretiva de grupo so encontradas nos Modelos Administrativos tanto no node de Configurao do usurio como no node de Configurao do Computador\Modelos Administrativos\Sistema\Diretiva de grupo). As figuras 3.17 e 3.18 mostram as opes de Configurao do usurio e de Configurao do computador para a Diretiva de Grupo.

48

Figura 3.17 - Detalhes de Configurao do usurio para Diretiva de grupo.

Figura 3.18 - Detalhes de Configurao do computador para Diretiva de grupo. Entre as principais diretivas que podem ser alteradas temos: Intervalo de atualizao de diretiva de grupo para Usurios para Usurios \ Computadores \ Controladores de Domnio: Essas diretivas separadas determinam com que freqncia os GPOs so atualizados no segundo plano enquanto que usurios e computadores esto trabalhando. Esses parmetros permitem alteraes nos intervalos de atualizao em segundo plano padro e permitem alterar o tempo de desligamento. Desativar atualizao em segundo plano de diretiva de grupo: Esta opo 49

quando ativada fazem com as diretivas s sejam atualizadas na inicializao do sistema e no logon do usurio, sendo muito til principalmente para melhorar a performance. Aplicar diretiva de grupo para usurios\computadores de forma assncrona durante a inicializao\logon: Este opo serve para evitar que os usurios efetuem logon at que um grupo de diretivas tenho sido aplicado. Caso contrrio, as diretivas sero aplicadas ao segundo plano e um usurio poder efetuar logon enquanto as configuraes de diretiva ainda esto sendo alteradas. Opes de processamento de diretiva: As diretivas com nomes como Processamento de diretiva do Registro e Processamento da diretiva de redirecionamento de pastas, esto disponveis para personalizar o comportamento dos diferentes componentes do GPO. Cada diretiva apresenta ao menos duas das seguintes opes( figura 3.19):

Figura 3.19 - Opes de processamento da diretiva de redirecionamento de pasta. - Permitir processamento atravs de uma conexo de rede lenta Para conexes lentas algumas diretivas podem ser desligadas a fim de melhorar a performance. As configuraes de segurana e o processamento da diretiva de Registro sempre sero aplicadas e no podero ser desligadas.

50

- No aplicar durante processamento peridico em segundo plano Serve para especificar quais componentes sero atualizados periodicamente. As diretivas de instalao de software e redirecionamento de pastas nunca sero atualizadas enquanto o usurio estiver logado, por isso essa opo no est disponvel para elas. - Processe mesmo que os objetos de diretiva de grupo no tenham sido alterados Para manter os recursos de rede e do sistema, os GPOs, por padro, no so atualizados se no tiver havido nenhuma alterao. Para aumentar a segurana, contudo, e se protegendo contra mudanas feitas por um usurio para a configurao da diretiva, basta ativar a diretiva para ter certeza de que todas as configuraes sero reaplicadas a cada intervalo de atualizao. Esta opo pode causar um degradao sensvel na qualidade da performance. 3.2 Criar e Gerenciar as Pastas Compartilhadas Antes de poder criar uma pasta compartilhada, preciso ter direitos apropriados para fazer isso. Isso requer que o usurio seja um administrador ou um operador de servidor. Existem tambm diversos modos de criar compartilhamentos. A primeiraforma utilizar a interface do Explorer quando estiver diante do servidor, a outra forma usar o console Gerenciamento do computador a partir do servidor ou fazer remotamente. 3.2.1 Criar compartilhamento usando o Windows Explorer Para compartilhar uma pasta usando a interface do Windows Explorer, basta escolher uma pasta especfica e clicar com o boto direito do mouse e selecionar a opo Compartilhamento no menu de contexto, aparecendo a caixa de dilogo Propriedades na guia de propriedades do Compartilhamento. Agora s clicar no boto rdio Compartilhar esta pasta e escolher o nome para o compartilhamento, nome este que ser referenciado pelos usurios, como mostra a figura 3.20.

51

Figura 3.20 - Propriedades para o compartilhamento de pasta.

3.2.2 Criar Compartilhamento Remotamente usando o Console Gerenciamento do Computador Dentro do grupo de programas Ferramentas Administrativas, tem um console do Gerenciamento do Computador. Atravs desta ferramenta possvel criar e gerenciar compartilhamento local ou remotamente. Para criar compartilhamentos remotos necessrio primeiro que seja feita a conexo a o outro computador usando o prprio console Gerenciamento do computador, escolhendo a Ao Conectar a outro computador. Para comear o gerenciamento do compartilhamento, necessrio abrir Gerenciamento do computador \ Ferramentas de sistemas \Pastas compartilhadas \ Compartilhamentos, como mostra a figura 3.21.

52

Figura 3.21 - Gerenciamento do Computador, compartilhamentos. Bastando agora selecionar o menu Ao e escolher a opo Novo Compartilhamento como mostra a figura 3.22, onde ser definido o local da pasta a ser compartilhada, nome de compartilhamento e descrio e tipos de clientes que podero acessar.

Figura 3.22 - Adicionando um novo compartilhamento.

53

3.2.3 Definir Permisses de Compartilhamento Para definir permisses de compartilhamento basta clicar com o boto direito no nome do compartilhamento, usando o Console do Gerenciamento do computador, e selecionando Propriedades\Permisses de Compartilhamento. Aparecer uma caixa Nome que lista os usurios e grupos atribudos ao compartilhamento, e em baixo as permisses de acesso (Controle Total, Alterar e Ler ), como mostra a figura 3.23.

Figura 3.23 - Guia de Permisses de compartilhamento.

3.2.3.1 Atribuir permisses de arquivo e diretrio O NTFS em conjuno com as permisses de arquivo e de diretrio teoricamente podem proteger o servidor de um intruso, isso claro assumindo que o intruso no conhea o nome de usurio e senha do administrador. A idia que este recurso deixe o administrador menos preocupado coma segurana fsica do servidor, pois no caso de algum inserir um disquete com o sistema operacional DOS na unidade A:, no aparecer nada no disco rgido. Para atribuir permisses de arquivo e de diretrio, usando o Windows Explorer, basta clicar com o boto direito do mouse numa pasta especfica, selecionando Propriedades e depois a guia Segurana. Aparecer uma caixa Nome que lista os usurios e grupos atribudos ao compartilhamento, e em baixo as permisses de acesso (Controle Total, Modificar Ler e executar, Listar contedo de pastas, Leitura e Gravar), como mostra a figura 3.24. 54

Figura 3.24 - Permisses de Arquivos e Diretrios. 3.2.3.2 Conflito de permisses possvel atribuir permisses aos arquivos e atribuir permisses aos diretrios. Exatamente como as permisses de compartilhamento podem conflitar com as permisses de arquivo e de diretrio, as permisses de arquivo podem conflitar com as permisses de diretrio. Nos conflitos no nvel de compartilhamento, o compartilhamento vence; nos conflitos de permisso de arquivo e de diretrio, o arquivo vence. Se for atribudo direitos de leitura somente a um diretrio, mas mudar os direitos a um arquivo dentro daquele diretrio, o arquivo poder ser modificado. Logicamente, precisa haver uma exceo a toda a regra, e aqui est: excluses. Suponha que um diretrio diga que o usurio tenha direitos de excluir arquivos, mas o arquivo propriamente diga que usurio no pode exclu-lo. Neste caso, o diretrio vence e o usurio poder excluir o arquivo. Como pode ser? Imagine o arquivo com permisses de somente leitura. O usurio abre o arquivo e tenta salv-lo prprio arquivo est sendo modificado. Mas se o usurio excluir um arquivo, est realmente alterando o arquivo? No realmente. Tudo o que o usurio est modificando a estrutura do diretrio. O usurio est removendo a entrada dentro do diretrio para aquele arquivo especfico, mas no est fazendo nada no arquivo propriamente. Similarmente, o usurio ainda pode renomear um arquivo, mesmo que no tenha permisses para ele. 55

3.2.3.3 Mltiplas permisses Isso acontece quando se dar ao grupo de administradores, controle total sobre um arquivo e o grupos todos tm somente permisses de leitura. Aqui onde novamente as permisses entram em conflito, pois Todos so todos. At os Administradores so parte de Todos. Bem, no caso de mltiplas permisses, as permisses menos restritivas prevalecero. 3.2.3.4 Negar Permisses Devido ao modo como os grupos podem se sobrepor e permitir a um usurio mais permisses que so aparentes, pode tornar-se bem difcil proteger os dados do modo como queremos. O Windows 2000 d-nos a possibilidade de negar as permisses. preciso descobrir quais permisses especificamente no quer que um determinado grupo tenha e em vez de selecionar essas permisses na coluna Permitir, selecion-las na coluna Negar. Como mostra a figura 3.25.

Figura 3.25 - Negar Permisses. 3.2.4 Compartilhar pastas pelo uso de DFS DFS um sistema lgico e hierrquico de arquivos que combina recursos de tudo em um site em um nico namespace. Em outras palavras disponibiliza todos os recursos de uma rede e de numerosos servidores diferentes, combinando em uma exibio lgica para os seus usurios, ou melhor, em um compartilhamento lgico na rede. Para criar uma raiz de DFS, selecione o menu Iniciar\Programas\Ferramentas Administrativas\Sistema de arquivos distribudos. D um clique com o boto direito do mouse 56

em Sistema de arquivos distribudos no painel esquerdo e selecione Nova raiz DFS, aparecer uma tela para escolher o tipo de raiz de DF que ser criado,como mostra a figura 3.26.

Figura 3.26 - Selecione o tipo de raiz de DFS. As escolhas para o tipo de raiz so: raiz de DFS de domnio e raiz de DFS autnoma. A diferena entre as duas que uma raiz de domnio publicar a si mesma no Active Directory, enquanto uma raiz autnoma no se publicar. Agora basta informar o nome do domnio e clicar no boto Avanar, como mostra a figura 3.27.

Figura 3.27 - Selecionando um domnio para hospedar o DFS.

57

Aps informar o domnio, digite nome do servidor que hospedar a raiz, sendo este local onde o recurso real residir, como mostra a figura 3.28.

Figura 3.28 - Selecione um servidor para hospedar DFS. Agora necessrio a criao de um compartilhamento real para a raiz, onde este pode ser um compartilhamento normal existente ou pode ser criado um novo compartilhamento, como mostra a figura 3.29.

Figura 3.29 - Selecionar compartilhamento para a raiz de DFS.

58

Agora s definir um nome para a raiz de DFS e Clicar no boto Avanar para finalizar a criao da raiz, como mostra a figura 3.30.

Figura 3.30 - Fornecer um nome para a raiz de DFS.

Ao abrir novamente o console Gerenciador de DFS, aparecer a nova raiz listada como o nomededominio\nomedocompartilhamento, como mostra a figura 3.31.

Figura 3.31 - A nova raiz de DFS.

59

Para acrescentar Links a uma raiz de DFS, basta clicar com o boto direito em cima do nome da raiz de DFS e selecionar Novo link DFS, ou seja, onde se acrescenta outro recurso de rede aos DFS, como mostra a figura 3.32.

Figura 3.32 - Acrescentando um link DFS.

A principal utilizao da criao de uma raiz de DFS facilitar o acesso do usurio a vrios recursos que se encontram em vrios servidores, ou seja, o usurio no precisar saber em qual dos servidores esto os recursos, ele s precisar referenciar o nome do domnio, o nome do compartilhamento de DFS e o nome do vnculo que ele est querendo acessar. No caso de dois vnculos tiverem um mesmo nome, necessrio criar uma rplica de DFS, para isso, basta clicar como o boto direito em cima do nome do vnculo e Selecionar a opo Nova Rplica, o nome do novo endereo e clique no boto Ok, como mostra a figura 3.33.

Figura 3.33 - Acrescentar um novo membro de rplica DFS.

60

3.2.5 Compartilhamento da Web O compartilhamento da Web um recurso novo do Windows 2000. Ele permite que voc compartilhe diretamente para uso via solicitaes HTTP vindo dos navegadores Web. Para que os compartilhamentos Web funcionem necessrio que o Internet Information Services esteja rodando, caso contrrio, no importa que os compartilhamentos Web estejam habilitados para Web, mas os usurios no podero chegar neles por meio de navegadores Web. Para configurar o compartilhamento da Web dentro do Windows explorer, d um clique com o boto direito na pasta a ser compartilhada na Web e selecione Compartilhamento. Agora basta selecionar a opo Compartilhar esta pasta, como mostra a figura 3.34.

Figura 3.34 - Propriedades da pasta para Compartilhamento da Web. Para configurar as opes do alias, basta clicar no boto Editar propriedades, onde sero definidas as configuraes de Permisses de Acesso (Leitura, Gravao, Acesso ao cdigo fonte do script e Pesquisa e pasta) e Permisses de aplicativo(Nenhuma, Scripts e Execuo(incluindo scripts), como mostra a figura 3.35.

61

Figura 3.35 - Editar Alias. 3.3 Infraestrutura de Chave Pblica Uma infraestrutura de Chave Pblica(PKI, Public Key Infrastructure) bem planejada pode ajudar a proteger os dados e distribuir credenciais de identificao atravs de uma Organizao. O sistema operacional Windows 2000 Server inclui uma PKI nativa que foi projetada para tirar proveito total da arquitetura de segurana do Windows 2000. 3.3.1 Criptografia de Chave Pblica A criptografia de chave pblica uma tecnologia importante para o comrcio eletrnico(e-commerce), intranets, extranets e aplicativos compatveis com Web. As duas operaes fundamentais associadas a criptografia de chave pblica incluem a criptografia e a autenticao. O windows 2000 utiliza criptografia de chave pblica em reas como logon por carto inteligente, Sistema de Arquivo de Criptografia(EFS, Encrypting File System) e Segurana do Protocolo de Internet(IPSec). A criptografia de chave pblica fornece privacidade atravs da criptografia dos dados, se os dados estiverem na forma de mensagens de correio eletrnico, nmeros de carto de crdito enviados pela internet ou trfego de rede. Pelo fato de chaves pblicas poderem ser enviadas livremente, indivduos completamente estranhos podem estabelecer comunicaes privadas atravs de redes pblicas meramente recuperando cada uma das outras chaves pblicas e criptografando os dados. A criptografia de chave pblica utiliza duas chaves que so matematicamente 62

relacionadas. Uma chave um texto aleatrio como um nmero, valor ASCII, palavra ou frase que utilizado em conjunto com um algoritmo. Para a criptografia de chave pblica, cada usurio tem um par de chaves relacionadas matematicamente, incluindo: Uma chave privada, que mantida confidencialmente. Uma chave pblica, que dada livremente a todos os correspondentes em potencial. O objetivo da criptografia tornar obscuros os dados em uma forma que eles s podem ser lidos por pessoas pretendidas. Em um cenrio tpico, um remetente utiliza a chave pblica do receptor para criptografar uma mensagem. Apenas o receptor tem a chave privada relacionada para descriptografar a mensagem. Tornando disponvel sua chave pblica, outras pessoas podem enviar a voc dados criptografados que podem ser descriptografados apenas utilizando a sua chave privada. A utilizao de chaves em programas compatveis com PKI que fornecem criptografia de dados tipicamente transparente para o usurio. A propriedade fundamental da criptografia de chave pblica que as chaves de criptografia e descriptografia so diferentes. A criptografia com uma chave pblica uma funo unidirecional. Quando voc criptografa um documento com uma chave pblica, texto plano se torna texto codificado. Uma chave de descriptografia, que relacionada, mas no idntica chave de criptografia, necessria para tornar o texto codificado de volta a texto plano. Se algum intercepta uma mensagem criptografada na transmisso, a mensagem em texto codificado ilegvel. A autenticao de chave pblica utiliza a criptografia de chave pblica para autenticar e verificar a origem dos dados eletrnicos no e-mail, e-commerce e outras transaes eletrnicas. Assim como a criptografia de chave pblica, a autenticao de chave pblica utiliza um par de chaves. Entretanto, ao invs de utilizar a chave privada do remetente para descriptografar uma mensagem, a chave pblica do remetente utilizada para autenticar e validar o remetente da mensagem. Esta chave privada chamada assinatura digital. Uma assinatura digital inverte a funo das chaves privadas e pblicas. Uma assinatura digital um meio para o remetente da mensagem, arquivo ou outra informao codificada digitalmente vincular sua identidade informao. A assinatura uma seqncia de bits anexados ao documento digital. Uma assinatura digital garante que: Apenas algum que tenha posse da chave privada criou a assinatura digital. Qualquer pessoa com acesso chave pblica correspondente pode verificar a assinatura digital. Uma assinatura digital utiliza um algoritmo chamado um algoritmo hash. 63

Algoritmos hash so projetados para garantir que se um nico byte alterado, o processamento do documento gera um hash completamente diferente. Quando um hash criptografado utilizando uma chave pblica, qualquer modificao dos dados assinados invalida a assinatura digital. A autoridade de certificao (CA, certification authority) responsvel pelo fornecimento e assinatura de chaves para criptogafia, descriptografia e autenticao. Uma CA distribui chaves emitindo certificados, que contm a chave pblica e um conjunto de atributos. Uma CA pode emitir certificados a um computador, uma conta de usurio ou um servio. Os Certificados so documentos assinados que correspondem s chaves pblicas para outras informaes, como um nome ou endereo de e-mail. Certificados so assinados por CAs que emitem certificados. A assinatura de uma CA garante que a chave pblica realmente pertence parte que a apresenta. Uma CA pode ser uma companhia de emisso externa, como uma grande CA comercial que emite certificados a milhes de usurios. Ou uma CA pode ser interna, como um departamento dentro de uma companhia que tem instalado seu prprio servidor para a emisso e verificao de certificados. Cada CA decide que atributos ela inclui em um certificado e que mecanismo ela utiliza para verificar estes atributos antes de emitir o certificado. Adicionalmente cada CA tem um certificado para confirmar sua prpria identidade, emitida por outra CA confivel ou por si mesma. Confiando em uma CA, confiase implicitamente nas diretivas e procedimentos que a CA tem em lugar de confirmar a identidade das identidades a quem so emitidos certificados. O processo de emisso de um certificado tem quatro passos bsicos: 1. A CA aceita uma solicitao de certificado. 2. A CA verifica a informao do solicitador de acordo com os requisitos de prova-de-identidade da CA. 3. A CA utiliza sua chave privada para aplicar sua assinatura digital ao certificado. 4. A CA emite o certificado para utilizao como uma credencial segura dentro de uma PKI.

64

Uma CA tambm responsvel por revogar certificados e por publicar uma Lista de Revogao de Certificados (CRL, Certificate Revocation List). A revogao de um certificado invalida o certificado como uma credencial de segurana confivel antes da expirao do perodo de validade do certificado. Algumas razes para que o certificado possa ser revogado antes de sua expirao so as seguintes: Acordo, ou acordo suspeito, da chave privada do assunto do certificado. Descoberta de que um certificado foi obtido de forma fraudulenta. Alteraes no estado do assunto do certificado como uma entidade confivel. Uma hierarquia de certificado um modelo de confiana no qual os caminhos de certificao so criados atravs do estabelecimento de relacionamentos pai/filho entre CAs. Uma CA raiz, as CAs subordinadas que foram certificadas pela raiz e CAs subordinadas que foram certificadas por outras CAs subordinadas, formando uma hierarquia de certificado. 3.3.2 Infraestrutura de Chave Pblica do Windows 2000 Server A PKI fornecida pelo Windows 2000 consiste em um conjunto de servios que so fornecidos por um grupo de componentes interconectados. Estes componentes trabalham em conjunto para fornecer servios de segurana baseada em chave pblica para usurios e aplicativos. Os componentes primrios da PKI do Windows 2000 so: Servios de Certificados: O servio do sistema operacional ncleo que permite que as empresas ajam como suas prprias CAs e lancem e gerenciem certificados digitais. Active Directory: O servio de publicao para a PKI. A publicao de certificao torna a publicidade dos certificados e dos CRLs disponveis dentro da organizao. Observao: Certificados e CRLs tambm podem ser publicados em pginas da Web ou distribudos em cartes inteligentes, discos ou CDs. Aplicativos compatveis com PKI: Os aplicativos que utilizam o PKI para criptografia e autenticao. Estes incluem o Microsoft Internet Explorer, o Microsoft Money, o Microsoft Internet Information Server (IIS), o Microsoft Outlook, o Microsoft Outlook Express e aplicativos de terceiros. 65

Adicionalmente, os componentes da PKI do Windows 2000 utilizam protocolos de segurana da indstria, incluindo: Camada de Sockets Segura (SSL, Secure Sockets Layer): Um protocolo desenvolvido pela Netscape Communications Corporation para garantir a segurana e privacidade nas comunicaes pela Internet. O SSL suporta a autenticao do cliente, servidor, ou ambos, alm da criptografia durante uma sesso de comunicaes. Segurana do Protocolo de Internet (IPSec): Um conjunto de protocolos sendo desenvolvido pela IETF para suportar a troca segura de pacotes na camada de IP. Os servios de segurana e programas no Windows 2000 utilizam certificados para fornecer autenticao, integridade dos dados e comunicaes seguras atravs de redes no seguras como a Internet. Certificados fornecem o seguinte: Autenticao de servidor: Utiliza certificados para autenticar servidores para clientes. O comrcio eletrnico (E-commerce) um exemplo. Autenticao de cliente: Utiliza certificados para autenticar clientes para servidores. A funcionalidade do acesso remoto e autenticao dos cartes inteligentes so exemplos. Assinatura de cdigo: Utiliza certificados associados a pares de chaves para assinar contedo ativo. E-mail seguro: Utiliza certificados associados a pares de chaves para assinar mensagens de correio eletrnico (e-mail). EFS: Utiliza certificados associados a pares de chaves para criptografar e descriptografar a chave simtrica utilizada na recuperao de dados criptografados. IPsec : Utiliza certificados associados a pares de chaves para criptografar trfego de rede baseado em IP. Embora Servios de Certificados seja um servio do Windows 2000 includo com os produtos de servidor do Windows 2000, este no instalado por padro. Ser necessrio instalar os Servios de Certificados durante ou depois da instalao do Windows 2000. Para instalar os Servios de Certificados durante a instalao do Windows 2000, basta escolher Servios de Certificados a partir da lista de componentes opcionais que exibida durante a instalao. Tambm pode ser instalado os Servios de Certificados depois da instalao do Windows 2000, utilizando Adicionar/Remover Programas (Add/Remove Programs) no Painel 66

de Controle (Control Panel). Durante a instalao dos Servios de Certificados. Ser necessrio configurar vrias opes e configuraes. Em primeiro lugar ser preciso escolher um dos seguintes tipos de CA: CA raiz empresarial, CA subordinada empresarial, CA raiz autnoma ou CA subordinada autnoma. Para alterar configuraes de criptografia padro, clique em Opes avanadas e ento escolha a partir das seguintes configuraes. Configurao CSP Descrio Utilize esta configurao para especificar um provedor de servio de criptografia (CSP, cryptographic service provider) de terceiros. O padro o Provedor Criptogrfico Base da Microsoft v 1.0 (Microsoft Base Cryptographic Provider v 1.0). Consulte a documentao do vendedor do CSP para informaes sobre a utilizao da CSP com os Servios de Certificados. Algoritmo hash (Hash algorithm) lenght) O padro o Algoritmo Hash Seguro (SHA-1, Secure Hash Algorithm 1) Provedores Criptogrficos Base da Microsoft (Microsoft Base Cryptographic Providers). Para uma CA raiz, voc deve utilizar um comprimento de chave de no mnimo 2048 bits. Esta configurao no est disponvel se voc est utilizando chaves existentes. Usar chaves existentes (Use existing keys) Marque esta opo quando voc estiver realocando ou restaurando uma CA instalada anteriormente. Alm disto, marque Usar o certificado associado (Use the associated certificate) para garantir que a CA tenha um certificado que seja idntico CA anterior. Agora preciso entrar com as informaes requeridas para identificar a CA, de acordo com as seguintes linhas-guia:

Comprimento da chave (Key O comprimento de chave padro de 512 bit ao utilizar os

67

Campo Nome da CA (CA name)

Descrio O nome para identificar o objeto CA que ser criado no Active Directory. Os nomes de objeto do Active Directory so limitados a 64 caracteres pelo padro Protocolo Leve de Acesso a Diretrio (LDAP, Lightweight Directory Access Protocol). Consulte a Ajuda do Windows 2000 para informaes sobre nomes com caracteres especiais.

Pas/Regio (Contry/Region) O cdigo de pas/regio de dois caracteres, como requerido pelo padro de Esquema de Nomeamento X.500 (X.500 Naming Scheme). Por exemplo, o cdigo pas/regio para os Estados Unidos US e o cdigo para a Alemanha DE. Vlido por (Valid for) O campo pode ser definido para uma CA raiz. A durao de validade que voc escolhe para a CA determina quando a CA expira. Tipicamente, um perodo de dois anos recomendado. Os Servios de Certificados adicionam os seguintes componentes aps a instalao: Autoridade de Certificao (Certification Authority): Um console para o gerenciamento de CAs em servidores no qual os Servios de Certificados esto instalados. O acesso a Autoridade de Certificao feito atravs do menu Ferramentas Administrativas. Se utiliza a Autoridade de Certificao para emitir certificados, revogar certificados, alterar configuraes de diretivas, visualizar uma lista de certificados emitidos e executar outras tarefas administrativas. Certificados: Um snap-in que adicionado ao Console de Gerenciamento da Microsoft (MMC, Microsoft Management Console) serve para gerenciar certificados existentes para contas de usurio, computadores e servios. Suporte ao registro na Web dos Servios de Certificados (Certificate Services Web enrollment support). Pginas da Web fornecidas por usurios e administradores para solicitar certificados. Estas pginas da Web esto localizadas em http://servidor/certsrv, onde servidor o nome do servidor executando o Windows 2000 que hospeda a CA.

68

Uma CA subordinada deve ser associada com uma CA que processe as solicitaes de certificado das CA subordinadas. Dependendo do tipo de CA, isto pode ser outra CA em sua organizao ou uma CA externa, de terceiros. Tipicamente, uma CA subordinada emite certificados para usos especficos, como proteger e-mails, autenticao baseada em Web e autenticao de cartes inteligentes. CAs subordinadas tambm podem emitir certificados a mais outras CAs subordinadas. Quando voc instala uma CA subordinada, voc deve obter um certificado a partir de uma CA pai. Obtendo um Certificado para uma CA Subordinada Para obter um certificado se uma CA pai estiver disponvel online: 1. Na pgina Solicitao de Certificado CA (CA Certificate Request), clique em Enviar a solicitao diretamente a uma CA na rede (Send the request directly to a CA already on the network). 2. Na caixa Nome do Computador (Computer Name), digite ou localize o nome do computador no qual a CA pai est instalada. 3. Na lista de CAs Pai (Parent CA), clique no nome da CA pai. Para obter um certificado se uma CA pai no estiver disponvel online: Na pgina Solicitao de Certificado CA (CA Certificate Request), clique em Salvar a solicitao em um arquivo (Save the request to a file). Na caixa Arquivo de solicitao (Request file), digite o caminho e o nome do arquivo do arquivo onde ser armazenado a solicitao. Ser necessrio obter o certificado a partir da CA pai. Como um mnimo, o arquivo da CA pai deve conter o certificado da CAs subordinadas e o caminho de certificao completo. Quando criado um arquivo de solicitao de certificado durante a instalao de uma CA subordinada, ser necessrio enviar o arquivo sua CA pai. Sua CA pai fornecer um certificado para este arquivo. Depois de receber o certificado, ser preciso fazer a instalao do mesmo. Para instalar um certificado a partir de um arquivo, siga os seguintes passos: 69

1. Abra a Autoridade de Certificao (Certification Authority) a partir do menu Ferramentas Administrativas (Administrative Tools). 2. Na rvore do console, clique no nome da CA. 3. No menu Ao (Action), aponte para Todas as Tarefas (All Tasks) e clique ento em Instalar Certificado CA (Install CA Certificate). 4. Localize o arquivo de certificado recebido a partir da CA pai, clique neste arquivo e clique ento em Abrir (Open). Aps finalizar a operao o Certificado j estar instalado e pronto para funcionamento. 3.4 O Funcionamento do Protocolo Kerberos no Windows 2000 Server O Kerberos um protocolo de autenticao que combina os servios de trs servidores(Servidor de Autenticao , Servidor de Concesso de Ticket e Servidor de Administrao), esses servidores trabalham independentes um dos outros, portanto, dito que o Kerberos um servio de autenticao distribudo. A figura 3.36 mostra simplificadamente o tipo de segurana proporcionada por este protocolo. Ela mostra que o cliente precisa primeiramente se conectar ao Kerberos, isso indica que necessrio que o cliente execute o login. Uma vez que este cliente foi aceito pelo Kerberos ele recebe uma resposta, e a partir da ele pode acessar algum servio que esteja disponvel na rede.
KERBEROS SERVIO

CLIENTE

Figura 3.36 - Protocolo Kerberos.

70

Primeiramente so registrados no banco de dados do servidor Kerberos a chave secreta dos clientes e tambm a chave secreta dos servios. Este registro feito pelo servidor de Administrao, como foi falado anteriormente. Para que possa haver a autenticao do usurio no protocolo Kerberos, este entra com o seu identificador (username) e a sua senha, a qual sofrer um processo criptogrfico e se tornar a sua chave secreta. Esta chave secreta ser comparada com aquela chave secreta que foi cadastrada no banco de dados para este username, em caso de confirmao, o usurio pode prosseguir com o processo de autenticao, caso contrario ele expulso do sistema, e tem que estabelecer uma nova conexo. Com a confirmao do cliente gerada uma chave de sesso. Como forma de autenticao de clientes e dos servidores, o Kerberos cria mensagens, as quais possuem a chave secreta do usurio e o nome do TGS(Servidor de Concesso de Tickets) correspondente, o qual vai enviar para o usurio, o ticket, que foi requisitado por ele, cifrado com a sua chave secreta. No caso de acesso a um servio, o ticket que ser requisitado pelo cliente ao TGS ser um ticket correspondente a este servio. Caso esteja tudo correto este ticket enviado para o cliente, que agora vai se relacionar com o servidor Kerberos apresentando tal ticket. Este ticket comparado com as informaes que o cliente possui, entre elas o seu nome, chave secreta e o timestamp (horrio que foi estabelecida a conexo), caso seja verdadeira esta comparao, os usurios podem se comunicar . Esse processo tambm importante para evitar que a mesma mensagem seja mandada vrias vezes, isso possvel pelo fato de sempre ser verificado o horrio em que foi criado. No Windows 2000 para o usurio poder efetuar o logon no sistema, ele precisa digitar o seu username e a sua senha, a qual ser criptografada, e passar a ser a chave secreta deste usurio. Esta chave estar guardada no banco de dados dos clientes, e servir para comprovar a identidade deste cliente, pois esta chave estar presente nas informaes passadas pela rede, sendo usado tanto no processo de criptografia quanto no processo de descriptografia. O cliente envia sua pr-autenticao com a sua identificao (seu nome), o nome do servio desejado e informaes de que conhece a senha, usualmente um timestamp (dia e hora do computador) criptografado com a chave de longa durao. O servidor verifica se o cliente conhece realmente a senha descriptografando a senha do seu banco e analisando se o seu timestamp igual ao enviado, dentro de uma margem de erro de 5 minutos, certificandose que o usurio certo que est requisitando o servio. Se isso se confirma ele cria uma 71

chave de sesso que ser usada nas prximas trocas de informao enviado-a criptografada ao cliente. 3.5 Templates de Segurana Os templates de Segurana so implementaes de segurana que permitem definir nas estaes Windows 2000 Cotas de disco, encriptao de arquivos e pastas(EFS) e encriptao de dados transmitidos(IPSEC). 3.5.1 Definir Cotas de discos O processo de administrao de cotas direto: o gerente de cotas controla a gravao no disco de volumes de letras protegidas em critrios fixados pelo administrador de rede. Se o volume protegido alcanar ou exceder um certo nvel, enviada uma mensagem pessoa que grava no volume e a adverte de que o volume est prximo da cota ou o gerente de cotas impede que o usurio grave no volume, ou ambos. Os usurios no podem gravar em volumes que chegam ou excedem sua cota prefixada. A administrao de cotas do Win2K est baseada na identidade do usurio e a pasta onde o usurio est armazenando informaes, portanto o administrador pode controlar quanto espao o usurio usa e onde o est usando. Como padro, as cotas do Win2K esto desativadas. Para comear o funcionamento com a administrao de cotas, necessrio abrir o Windows Explorer e clicar com o boto direito do mouse no volume a ser protegido. Podendo ser qualquer volume NTFS 5 com uma letra de drive, local ou mapeada de outro servidor, como mostra a figura 3.37.

Figura 3.37 - Cotas de disco.

72

Aps habilitar as cotas, marcando a opo Ativar gerenciamento de cota, ser necessrio definir o limite de cota e marcar a opo para registrar evento em log quando o usurio exceder o limite. Para criar cotas para os usurio que utilizaro aquele volume basta clicar no boto Entrada de cotas, escolhendo a opo Nova Entrada de Cota no menu Cota, onde ser escolhido o banco de dados de contas de usurio local ou a do domnio, aparecendo logo depois a figura 3.40. Nesta tela ser definida a cota de espao para cada usurio, especificando ainda o nvel de cota onde o usurio ser advertido.

Figura 3.38 - Definio de cotas. 3.5.2 Encriptao de Arquivos e Pastas Para codificar um arquivo ou pasta a partir do Explorer, basta clicar com o boto direito do mouse no arquivo ou pasta, escolhendo a folha de propriedades e clicando no boto Avanado, como mostra a figura 3.39.

Figura 3.39 - Encriptao de arquivos ou pastas.

73

Ser possvel compactar ou codificar dados de um arquivo, no ambos. Se a pasta que contm o arquivo no estiver codificada, aparecer o aviso solicitando a codificao da pasta e do arquivo. Os novos arquivos em um diretrio codificado herdam os atributos de codificao. Com relao aos arquivos copiados ou movidos para um diretrio, acontecer o seguinte: Se o arquivo no estiver codificado e for copiado ou movido para uma pasta NTFS codificada, o arquivo ser codificado. Se o arquivo estiver codificado e for copiado ou movido para uma pasta NTFS no codificada, o arquivo permanecer codificado. Se o arquivo estiver codificado e for copiado ou movido para uma pasta NTFS compactada, o arquivo ganhar o atributo de compactao, mas perder o atributo de encriptao. Se o arquivo estiver codificado e for copiado ou movido para uma pasta FAT ou FAT32, o arquivo j no estar codificado. Aps a configurao do atributo de codificao, se qualquer pessoa exceto o proprietrio do arquivo tentar acessar o mesmo, o acesso lhes ser negado. No h nenhuma chave visual bvia dizendo que determinados arquivos ou pastas esto codificados.O nico modo de saber se o arquivo est codificado ou no que ao tentar abrir, aparecer uma mensagem de erro como mostra a figura 3.42, no permitindo que o arquivo seja aberto.

Figura 3.40 - Mensagem de erro para arquivo codificado. 3.6 Criando e Gerenciando um Site Web Aps a definio do endereo IP do servidor, os nmeros das portas dos protocolos e o diretrio que abrigar o contedo do site Web(Html, scripts etc) ser possvel criar um site Web selecionando o servidor IIS no MMC e escolhendo a opo Novo Site no menu Ao. Depois de informar o caminho da pasta base do site Web, ser necessrio estabelecer as permisses de acesso do site Web, como mostra a figura 3.41.

74

Figura 3.41 - Permisses de Acesso do site Web. As principais propriedades de segurana do Site Web so as seguintes: Identificao do site: Nesta opo possvel alterar o nome amigvel, o endereo IP e o nmero da porta. Conexes: Serve para definir se as conexes so ilimitadas ou limitadas, no caso da opo limitas possvel definir o nmero de conexes simultneas, alm de definir o tempo limite para cada conexo. Ativar log : Esta opo permite a ativao ou no do arquivo de log. Controle de acesso annimo e autenticao: Serve para definir se o acesso ao site web poder ser feito por usurios annimos ou somente por usurios validados pelo domnio do Windows 2000. Restries de nome de domnio e endereo IP: Serve para permitir ou negar acesso ao site Web com base em um endereo IP, faixa de endereos IP ou um nome de domnio. As figuras 3.42, 3.43 mostram as principais propriedades que foram comentadas anteriormente.

75

Figura 3.42 - Propriedades do Site Web.

Figura 3.43 - Propriedades de segurana de pasta do Site Web.

76

3.7 Fornecer acesso seguro usurios Remotos Primeiramente ser necessrio instalar o RRAS ( Servio de Roteamento e acesso remoto) no seguinte caminho Iniciar\Programas\Ferramentas Administrativas\Roteamento e acesso remoto. Assim que tiver instalado, a prxima coisa a se fazer ser conceder permisses de discagem para uma conta de usurios dentro do item Usurios e computadores do Active Directory. Agora basta escolher o usurio e clicar com o boto direito do mouse para escolher a opo Propriedades. Ao clicar na guia de Discagem aparecer a figura 3.44, nela ser possvel alterar a permisso de acesso, que por padro negada.

Figura 3.44 - Permisso de acesso de Discagem. 3.7.1 Viso geral da VPN Uma rede privada virtual (VPN) um meio de ligar a uma rede privada (como, por exemplo, a rede da empresa) atravs de uma rede pblica, como, por exemplo, a Internet. Este conceito combina as virtudes de uma ligao de acesso telefnico a um servidor de acesso telefnico com a facilidade e flexibilidade de uma ligao Internet. Atravs de utilizao de uma ligao Internet, poder viajar por todo o mundo e, ainda assim, na maior parte dos locais, estabelecer uma ligao com a empresa atravs de uma chamada local para o nmero de telefone de acesso Internet mais prximo. Caso tenha uma ligao Internet de alta velocidade (como, por exemplo, por cabo ou DSL) no computador, poder comunicar com a empresa com a mesma rapidez que caracteriza a Internet, ou seja, bastante mais rpida do que 77

qualquer ligao de acesso telefnico atravs de um modem analgico. As VPN utilizam ligaes autenticadas para garantir que apenas os utilizadores autorizados podero ligar-se rede, sendo que estes utilizam a encriptao para assegurar que os dados transmitidos via Internet no podero ser interceptados nem utilizados por outros. O Windows consegue atingir este nvel de segurana mediante a utilizao do protocolo PPTP (Point-to-Point Tunneling Protocol) ou L2TP (Layer Two Tunneling Protocol). A tecnologia VPN tambm permite que uma empresa estabelea ligao com as respectivas filiais ou com outras empresas atravs de uma rede pblica (por exemplo, a Internet), mantendo, ainda assim, comunicaes seguras. A ligao VPN via Internet opera, segundo parmetros lgicos, como uma ligao de rede alargada (WAN, Wide Area Network) dedicada. No Windows 2000, uma VPN composta por um servidor VPN, um cliente VPN, uma ligao VPN (a parte da ligao na qual os dados esto encriptados) e pelo tnel (a parte da ligao na qual os dados esto encapsulados). A utilizao de tneis feita atravs de um dos respectivos protocolos includos no Windows 2000, sendo que ambos so instalados com o servio Encaminhamento e acesso remoto (Routing and Remote Access). Seguem-se os dois protocolos de utilizao de tneis includos no Windows 2000: Point-to-Point Tunneling Protocol (PPTP) Possibilita a encriptao dos dados atravs da Codificao ponto a ponto da Microsoft (Microsoft Point-to-Point Encryption). Layer Two Tunneling Protocol (L2TP) Possibilita a encriptao, autenticao e integridade dos dados atravs do IPSec. A ligao Internet dever utilizar uma linha dedicada, do tipo T1, T1 fracionrio ou Frame Relay. O adaptador de WAN tem de ser configurado com o endereo IP e a mscara de sub-rede atribudos ao domnio em questo ou fornecidos por um fornecedor de servios Internet (ISP, Internet Service Provider), assim como com o gateway predefinido do router do ISP. 3.7.2 Instalao da VPN no Windows 2000 Server Para instalar e ativar um servidor VPN, siga estes passos: 1. Clique em Iniciar, aponte para Ferramentas administrativas e, em seguida, clique em Roteamento e Acesso remoto. 2. Clique no nome do servidor na rvore e, em seguida, clique em Configurar e ativar roteamento e acesso remoto Ao. Clique em Seguinte. 78

3. Na caixa de dilogo Configuraes comuns, clique em Rede privada virtual (servidor VPN) e, em seguida, clique em Seguinte. 4. Na caixa de dilogo Protocolos de cliente remoto, confirme que o TCP/IP est includo na lista, clique em Sim, todos os protocolos disponveis esto nesta lista e, em seguida, clique em Seguinte. 5. Na caixa de dilogo Conexo Internet, selecione a conexo com Internet que ir estabelecer e, em seguida, clique em Seguinte. 6. Na seo Atribuio de endereos IP, selecione Automaticamente para utilizar o servidor DHCP na sub-rede com vista a atribuir endereos IP a clientes de acesso telefnico e ao servidor. 7. Na caixa de dilogo Gerenciando mltiplos servidores de acesso remoto, confirme que a caixa de verificao No, no quero configurar este servidor agora para utilizar o RADIUS est selecionada. 8. Clique em Seguinte e, em seguida, clique em Concluir. 9. Clique com o boto direito do mouse no n Portas e, em seguida, clique em Propriedades. 10. Na caixa de dilogo Propriedades de portas, clique no dispositivo WAN Miniport (PPTP) e, em seguida, clique em Configurar. 11. Na caixa de dilogo Configurar dispositivo - WAN Miniport (PPTP) (Configure Device - WAN Miniport (PPTP)), definia se pretende suportar ou no uma rede privada virtual direta de acesso telefnico para utilizadores para os modems instalados no servidor, clique para selecionar a caixa de verificao Ligaes de roteamento de discagem por demanda (entrada e sada). 12. Escreva o nmero mximo de ligaes PPTP simultneas que pretende permitir na caixa de texto N. mximo de portas. (Esta definio poder depender do nmero de endereos IP disponveis). Repita os passos 10 a 12 relativamente ao dispositivo L2TP e, em seguida, clique em OK. Para que o servidor de acesso remoto encaminhe corretamente o trfego dentro da rede, ter de o configurar como um router com rotas estticas ou protocolos de encaminhamento, de modo a que todas as localizaes da intranet possam ser contatadas a partir do servidor de acesso remoto.

79

Para configurar o servidor como um router, siga estes passos: 1. Clique em Iniciar, aponte para Ferramentas administrativas e, em seguida, clique em Roteamento e acesso remoto. 2. Clique com o boto direito do mouse no nome do servidor e, em seguida, clique em Propriedades. 3. No guia Geral, clique para selecionar a opo Ativar este computador como roteador. 4. Escolha entre a opo Somente roteamento de rede local(LAN) ou Roteamento de discagem por demanda e de rede local. Clique em OK para fechar a caixa de dilogo Propriedades.

80

4 Auditoria e Monitoramento no Windows 2000 Server

O Windows 2000 permite o controle das atividades do usurio e do sistema operacional em um computador. A anlise dessas atividades servem para avaliar as medidas gerais de segurana. A compreenso de como implementar a auditoria e monitorar os eventos do sistema fundamental para detectar as tentativas feitas por um intruso de comprometer os dados da rede. No Windows 2000, a auditoria o processo que consiste em controlar as atividades do usurio e do sistema operacional (chamadas eventos) em um computador. Quando ocorre um evento do qual foi feita auditoria, o Windows 2000 grava um registro do evento no log de segurana. Uma entrada de auditoria no log de segurana contm as seguintes informaes: A ao que foi executada. O usurio que executou a ao. O xito ou a falha do evento e quando ele ocorreu. Informaes adicionais, como o computador no qual houve a tentativa de executar a ao. Uma diretiva de auditoria define os tipos de eventos de segurana que o Windows 2000 registra no log de segurana de cada computador. O Windows 2000 grava os eventos no log de segurana do computador especfico em que o evento ocorre. Ao se Configurar uma diretiva de auditoria para um computador, servir para: Controlar o xito ou a falha de eventos, como tentativas de logon, tentativas de leitura de um arquivo especfico por um usurio, alteraes em uma participao em grupo ou conta de usurio, e alteraes nas configuraes de segurana. Minimizar o risco de uso no autorizado de recursos. Manter um registro da atividade do usurio e do administrador. O uso Event Viewer (Visualizar eventos) serve para exibir os eventos que o Windows 2000 registrou no log de segurana. Tambm possvel arquivar os arquivos de log para controlar as tendncias ao longo do tempo. Isso til para determinar o uso de impressoras, o acesso aos arquivos ou para verificar as tentativas de uso no autorizado de recursos. A primeira etapa na implementao de uma diretiva de auditoria selecionar os tipos de eventos que o administrador deseja que o Windows 2000 realize uma auditoria. A tabela a seguir descreve os eventos dos quais o Windows 2000 pode fazer a auditoria. 81

Evento Account Logon (Logon de conta)

Exemplo Uma conta autenticada por um banco de dados de segurana. Quando um usurio efetua logon no computador local, o computador registra o evento Account Logon. Quando um usurio efetua logon em um domnio, o controlador de domnio de autenticao registra o evento Account Logon.

Account Managentent (Gerenciamento de contas)

O administrador cria, altera ou exclui um grupo ou uma conta de usurio. Uma conta de usurio renomeada, desativada ou ativada, ou uma senha definida ou alterada.

Directory Service Access

Um usurio obtm acesso a um objeto do Active configurar objetos especficos do Active Directory para auditoria.

(Acesso ao servio de diretrio) Directory. Para registrar esse tipo de acesso, voc deve

Logon (Logon)

Um usurio efetua logon ou logoff em um computador local, ou estabelece ou cancela uma conexo de rede com o computador. O evento registrado no computador que o usurio acessa, independentemente de ser usada uma conta local ou de domnio.

Object Access (Acesso a objetos)

Um usurio obtm acesso a um arquivo, pasta ou impressora. impressoras, auditoria. O administrador deve configurar pastas ou arquivos especficos para

Policy Change (Alterao de diretiva)

Uma alterao efetuada nas opes de segurana do usurio (opes de senha, configuraes de logon de conta), nos direitos do usurio ou nas Diretivas de auditoria.

Privilege Use (Uso de privilgios)

Um usurio se utiliza de um direito de usurio, como, por exemplo, alterar a hora do sistema (isso no inclui os direitos relacionados a logon e logoff) ou o administrador apropria-se de um arquivo.

Process Tracking (Monitorao Um aplicativo executa uma ao. Geralmente, essas 82

de processo) System (Sistema)

informaes so teis apenas para os programadores que desejam controlar detalhes da execuo de aplicativos. Um usurio reinicia ou desliga o computador, ou ocorreu um evento que afeta a segurana do Windows 2000 ou o log de segurana.

A auditoria de muitos tipos de eventos pode criar uma sobrecarga excessiva. Isso poder resultar em uma queda do desempenho do sistema. Recomenda-se fazer a auditoria somente dos eventos que forneam informaes teis para os esforos de segurana. Portanto melhor usar as diretrizes a seguir ao planejar uma diretiva de auditoria: preciso determinar os computadores em que a auditoria dever ser configurada. Planejando os eventos para auditoria em cada computador, pois o Windows 2000 registra esses eventos em cada computador separadamente. Dessa maneira, se poder fazer freqentemente a auditoria dos computadores usados para armazenar dados confidenciais ou crticos e uma auditoria menos freqente dos computadores cliente usados somente para executar aplicativos de produtividade. importante determinar os tipos de eventos para auditoria, tais como: Acesso a arquivos e pastas. Logon e logoff de usurios. Desligamento e reinicializao de um computador que execute o Microsoft Windows 2000 Server. Alteraes em grupos e contas de usurio. Determinar se deve ser feita a auditoria do xito ou da falha de eventos, ou de ambos. O controle dos eventos com xito pode indicar com que freqncia o Windows 2000 ou os usurios obtm acesso a impressoras ou arquivos especficos. O administrador poder usar essas informaes para o planejamento de recursos. O controle dos eventos sem xito pode alert-lo de possveis violaes de segurana. Determinar a necessidade de controlar tendncias de uso do sistema. Em caso afirmativo, planejar arquivar os logs de eventos, pois algumas organizaes precisam manter um registro do acesso aos dados e aos recursos. Examinar os logs de segurana freqentemente. Definir uma agenda e examinar regularmente os logs de segurana. A configurao da auditoria apenas no o alerta sobre violaes de segurana, veja a figura 4.1. 83

Figura 4.1 Auditoria. Aps definir uma diretiva de auditoria em um nico computador, o administrador poder implementar a auditoria de objetos de sistema de arquivos, de objetos do Active Directory e de impressoras. Para atribuir a diretiva de auditoria a um nico computador, defina as configuraes da diretiva de computador em Local Policies na diretiva de grupo. Podendo tambm definir as configuraes de auditoria como parte de um modelo de segurana e usar o Security Configuration and Analysis para aplic-las ou importar o modelo para a diretiva de grupo. Para configurar uma diretiva de auditoria, execute as seguintes etapas: Crie um console MMC e adicione o snap-in de diretiva de grupo. Selecione Computador local como o GPO. Em Diretiva do Computador local, expanda Configuraes do Computador, expanda Configuraes do Windows, expanda Configuraes de Segurana, expanda Diretivas locais e clique em Diretiva de Auditoria. O console exibe as configuraes da diretiva de auditoria atual no painel de detalhes. Selecione o tipo de evento para auditoria e clique em Segurana no menu Ao. Marque a caixa de seleo Sucesso ou Falha, ou ambas, e clique em OK. Importante: necessrio ser participante do grupo Administradores para configurar uma diretiva de auditoria. 84

Durante a auditoria para fins de segurana, o administrador normalmente faz a auditoria do acesso a objetos de sistema de arquivos e impressoras. Para fazer a auditoria do acesso do usurio ao sistema de arquivos, preciso executar seguintes tarefas: - Definir a diretiva de auditoria para fazer a auditoria do acesso a objetos, incluindo arquivos e pastas. - Ativar a auditoria de pastas e arquivos especficos, especificando os tipos de acesso para auditoria. Lembrando que s possvel fazer a auditoria do acesso s pastas e aos arquivos localizados em volumes NTFS. O sistema de arquivos FAT no d suporte auditoria. Ao especificar as configuraes de auditoria do sistema de arquivos, preciso usar as diretrizes a seguir: - Registrar os eventos Falha para as operaes Leitura para determinar quando os usurios esto tentando obter acesso a arquivos para os quais no tm permisses. - Registrar os eventos Sucesso e Falha para as operaes Excluir durante a auditoria de arquivos mortos e confidenciais. - Registrar os eventos Sucesso e Falha para as operaes Alterar permisses e Apropriar-se referentes a arquivos confidenciais e pessoais do usurio. Essas operaes podem indicar que algum est tentando modificar a segurana para obter acesso a dados para os quais no tem permisses atualmente. Se um administrador apropriar-se do arquivo de um usurio para atribuir a si mesmo acesso ao arquivo, essa configurao garantir que esse evento seja registrado. - Registrar os eventos Sucesso e Falha para todas as operaes executadas durante a auditoria dos participantes do grupo Guests. Esse procedimento deve ser usado principalmente para as pastas e arquivos aos quais o grupo Guests no deve obter acesso. - Fazer a auditoria do acesso aos arquivos e s pastas de todos os computadores que contm dados compartilhados que devem ser protegidos. possvel fazer a auditoria do acesso a impressoras para controlar o acesso do usurio a recursos de impresso de alto custo. Para fazer a auditoria do acesso a impressoras, preciso executar as seguintes tarefas: - Definir a diretiva de auditoria para fazer a auditoria do acesso a objetos, incluindo impressoras. - Ativar a auditoria de impressoras especficas e especificar os tipos de acesso para auditoria. 85

Ao especificar as configuraes de auditoria da impressora, usar as diretrizes a seguir: - Registrar os eventos Falha para as operaes Imprimir em impressoras restritas, como as dedicadas impresso de cheques. - Registrar os eventos Sucesso e Falha para as operaes Controle total para manter um log de quando foram executadas tarefas administrativas em uma impressora. - Registrar os eventos Sucesso para as operaes Excluir em impressoras pblicas para garantir que os trabalhos de impresso incompletos ou os trabalhos excludos antes de serem iniciados possam ser controlados como aes administrativas em vez de como erro de hardware. - Registrar os eventos Sucesso e Falha para as operaes Alterar permisses e Apropriar-se em impressoras restritas. Isso garantir que um registro das atividades administrativas seja mantido para consulta caso haja uma discrepncia na segurana.

86

5 Concluso
Ao concluir esta pesquisa, se constata que a Segurana da Informao muito mais do que um simples ramo de trabalho ou um bom mtodo de vendedores de anti-vrus ficarem ricos. Ela no faz parte do futuro, ela j est presente em nosso cotidiano e precisamos nos adaptar. Vamos entrar em uma era virtual onde o mundo estar evoluindo mais rpido que nossos pensamentos, onde cada falha pode custar nossas carreiras, onde a competio entre seres da mesma espcie chegar a um nvel nunca visto antes na natureza. Ao implementar segurana no Windows 2000 Server constatou-se que para manter o sistema seguro envolve vrios procedimentos, sendo que o mais importante manter uma monitorao constante do sistema, para notar qualquer anormalidade antes que ela se torne um problema grave. Antes de tomar qualquer atitude relacionada a aumentar a segurana do sistema Windows 2000, deve-se saber o que est sendo protegido, por que e quanto vale esta informao. Alm disso, necessrio verificar a que tipo de ameaas seu sistema est exposto. A RFC 1244, intitulada Site Security Handbook, por Holbrook Reynold e outros, identifica trs tipos distintos de ameaas de segurana geralmente associadas conectividade em rede: - Acesso no autorizado: Acesso ao sistema por uma pessoa no autorizada. - Revelao de informaes: Qualquer problema relacionado ao acesso a informaes valiosas ou confidenciais por pessoas que no deveriam acess-las. - Negao de Servio: Tambm conhecido como Denial of Service - DoS - qualquer problema que torne impossvel ou bastante difcil continuar utilizando o sistema de maneira produtiva. Dependendo do sistema em questo, estas ameaas podem ser mais ou menos importantes. Por exemplo, para um rgo governamental ou empresa da rea de tecnologia, acessos no autorizados podem desacredit-los perante o pblico e/ou clientes. J para a grande maioria das empresas, acesso no autorizado no um grande problema, se no envolver uma das ameaas: revelao de informaes e negao de servio. A extenso do problema em casos de revelao de informao varia de acordo com a informao que pode ser comprometida. Embora seja fato notrio que informaes sigilosas jamais devam permanecer armazenadas em mquinas conectadas Internet, em alguns casos certos tipos de informao, como informaes pessoais de clientes e/ou nmeros de cartes de 87

crdito, podem ser necessrias em aplicaes de comrcio eletrnico, por exemplo. Neste tipo de caso, o cuidado deve ser redobrado. A negao de servio pode causar grandes prejuzos a empresas que conectam sistemas de misso crtica a Internet. Na verdade, as vantagens devem ser muito bem avaliadas antes de conectar este tipo de sistema Internet, pois, dependendo do caso, esta conexo pode parar uma empresa por inteiro. Geralmente servidores menores so conectados Internet, possivelmente acessando informaes de um servidor principal atravs de um modo mais seguro. Ao concluir este trabalho foi possvel notar que o Windows 2000 Server incorporou um novo conjunto de ferramentas para gerenciamento de rede e configurao personalizada das estaes de trabalho que permitem total controle sobre as mquinas, como por exemplo, a utilizao das diretivas de grupo que podem realizar diversas configuraes de segurana, dificultando assim a invaso de intrusos e deixando o sistema mais seguro, mas de um modo geral, quanto mais seguro o sistema Windows 2000 Server se tornar, mais complexa ser sua utilizao, pois existiro vrias restries de uso. imprescindvel usar o bom senso na hora de aplicar as medidas de segurana, para evitar que a cura seja pior que a doena.

88

6 Consultas Bibliogrficas

Mark, Minasi / Anderson, Christa / Smith, Brian e Toombs, Doug, Dominando o Windows 2000 Server - A Bblia, Makron Books, 2001. http://www.inf.ufsc.br/~custodio/cursos/security/Notas_Aula.html - Disponvel em: 20 de agosto de 2002 http://www.inet.com.br/~mhavila/aulas/seguranca/material.html - Disponvel em: 10 de janeiro de 2004 http://www.inf.uri.com.br/estudo_ferramentas.htm - Disponvel em: 12 de janeiro de 2004 http://www.w2k.com.br - Disponvel em: 15 de janeiro de 2004

89