Seguranca Redes

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto
Polticas de Segurana Em Redes de Computadores
Belm Par
2001
Trabalho de Concluso de Curso apresentado ao Curso de Tecnologia em Processamento de Dados da Universidade da Amaznia UNAMA, como requisito parcial para obteno do grau de Tecnlogo em Processamento de Dados, orientado pelo professor Robhyson Dennys.
Belm Par 2001
ii
Avaliado por:
Robhyson Denys Rodrigues da Silva
Fabola Pantoja Oliveira
Drio Russilo
Data: ________/________/________
Belm Par 2001
iii
DEDICATRIA
Deus sobretudo, pela nossa existncia; Aos nossos pais, amigos e professores, dedicamos afetuosamente este trabalho, que jamais teria sido concebido, sem sua ajuda e apoio.
iv
AGRADECIMENTOS
Ao nosso orientador Robhyson Denys pela ateno, compreenso e tempo a ns dispensados. s pessoas que, direta ou indiretamente contriburam para a confeco do referido trabalho. Ao nosso Amigo Layrton que ajudou no desenvolvimento do nosso trabalho de concluso de curso, do inicio ao fim.
LISTA DE ABREVEATURAS
ATM BDC BO CBX COM CPU DCOM DEC DHCP DNA DNS FAT FTP IAM ICMP IEEE IP IPC ISO KDC LAN LPCD MA MAN Asynchronous Transfer Mode Backup Domain Controller Back Orifice Computerized Branch Exchange Component Object Model Central Processor Unit Distributed Component Object Model Digital Equipment Corporation Dynamic Host Configuration Protocol Digital Network Arebitecture Domain Name Server File Alocation Table File Transfer Protocol Interface de Acesso ao Meio Internet Control Message Protocol Institute of Eletrical and Eletronic Engineers Identification Protocol Inter Process Communication International Standards Organization Key Distribuition Center Local Area Network Linha Privada de Comunicao de Dados Medium Acess Metropolitam Area Network
vi
MS NOS NT NTFS PC PDC RAM SNA TCP UDP WAN WWW
Microsoft Network Operation System New Technology New Technology File System Personal Computer Primary Domain Controller Random Acess Memory Systems Network Arebitceture Transmission Control Protocol Utilization Datagram Protocol World Area Network World Wide Web
vii
LISTA DE FIGURAS
Figura 1 Figura 2 Figura 3 Figura 4 Figura 5 Figura 6 Figura 7 Figura 8 Figura 9 Figura 10 Figura 11 Figura 12 Figura 13 Figura 14 Figura 15
Topologia Estrela Topologia Anel Topologia Barramento Topologia rvore Topologia Em Grafos Cabo Par Tranado Fibra ptica Configurao do Dual-Homed Firewall Configurao do Firewall Screened Host Configurao do Firewall Screened Subnet Estrutura Fsica da A.G. Computer e Cia. Estrutura Lgica da A.G. Computer e Cia. Estrutura Lgica da Matriz Estrutura Lgica da Fbrica Estrutura Lgica das Filiais
14 15 16 17 18 21 23 50 51 51 67 68 69 71 72
viii
LISTA DE TABELAS
Tabela 1 Tabela 2 Tabela 3 Tabela 4 Tabela 5 Tabela 6 Tabela 7 Tabela 8 Tabela 9 Tabela 10
Quadro comparativo entre topologias Quadro comparativo dos meios de transmisso Cabealho de pacotes Exemplo 1 de cabealho de Pacotes Exemplo 2 de cabealho de Pacotes Exemplo 3 de cabealho de Pacotes Exemplo 4 de cabealho de Pacotes Exemplo 5 de cabealho de Pacotes Data Encripton Standart (DES) Exemplo de falha no DES
19 25 42 43 43 44 45 46 53 54
ix
RESUMO
Tendo como finalidade esclarecer o aspecto de segurana em um ambiente de redes, este trabalho busca mostrar aspectos a serem levados em conta na elaborao de uma poltica de segurana. Medidas de segurana relativas a mecanismos de criptografia, mecanismos de autenticao, e o uso de firewalls sero apresentados, sempre visando a maior segurana que uma rede pode adquirir atualmente. Outras medidas, como tcnicas de ataques, e aspectos de segurana sobre o sistema operacional de rede, sero abordados. Um estudo de caso ser contextualizado, utilizando alguns desses mecanismos, para mostrar como, na prtica, a interao entre todos esses aspectos podem elevar o grau de segurana de uma rede.
Sumrio 1. 2. INTRODUO ............................................................................................... 1 TIPOS DE REDE............................................................................................ 3
2.1. QUE SO REDES LOCAIS (LANS)? ............................................................... 3 2.1.1. Servidores de Arquivos....................................................................... 7 2.1.2. Servidor de Impresso........................................................................ 7 2.1.3. Servidor de Comunicao .................................................................. 8 2.1.4. Servidor Gateway ............................................................................... 8 2.1.5. Servidor de Rede................................................................................ 8 2.1.6. Servidor Teletex ................................................................................. 9 2.2. QUE SO REDES METROPOLITANAS (MAN) ? ............................................... 9 2.3. QUE SO REDES DE TRABALHO AMPLAS (WAN)? ......................................... 9 3. FILOSOFIAS DE PROCESSAMENTO ........................................................ 11 CLIENTE/SERVIDOR ................................................................................... 11 PAR-A-PAR .............................................................................................. 11 A DIFERENA ENTRE AS FILOSOFIAS DE PROCESSAMENTO .......................... 12 PONTO A PONTO ...................................................................................... 13 MULTIPONTO ............................................................................................ 13 TOPOLOGIA EM ESTRELA ........................................................................... 14 TOPOLOGIA EM ANEL ................................................................................. 15 TOPOLOGIA EM BARRA .............................................................................. 16 OUTRAS TOPOLOGIAS ............................................................................... 17 QUADRO COMPARATIVO DAS DIVERSAS TOPOLOGIAS .................................. 19 3.1. 3.2. 3.3. 4. 4.1. 4.2. 5. 5.1. 5.2. 5.3. 5.4. 5.5. 6.
TOPOLOGIA BSICA ................................................................................. 13
TOPOLOGIA ................................................................................................ 14
MEIOS DE TRANSMISSO......................................................................... 20
6.1. PAR TRANADO ........................................................................................ 20 6.2. CABO COAXIAL ............................................................................................ 21 6.3. FIBRAS TICAS ......................................................................................... 23 6.4. OUTROS MEIOS DE TRANSMISSO .............................................................. 23 6.5. RADIODIFUSO ......................................................................................... 24 6.6. QUADRO COMPARATIVO DOS MEIOS DE TRANSMISSO MAIS UTILIZADOS ....... 25 7. EQUIPAMENTOS PARA CONECTIVIDADE............................................... 26 REPETIDOR .............................................................................................. 26 PONTES ................................................................................................... 26 HUB ......................................................................................................... 26 ROTEADORES ........................................................................................... 27 GATEWAYS ............................................................................................... 27 7.1. 7.2. 7.3. 7.4. 7.5. 8.
SEGURANA .............................................................................................. 28
xi
8.1. ATAQUES ................................................................................................. 28 8.1.1. Tipos de Ataques.............................................................................. 29 8.1.1.1. Trojan Horse (Cavalo de Tria) .................................................... 29 8.1.1.2. Flood ............................................................................................ 30 8.1.1.3. Nuke ............................................................................................. 30 8.1.1.4. Ip Spoofing ................................................................................... 31 8.1.1.5. Dns Spoofing................................................................................ 33 8.1.1.6. Source Routing Attack.................................................................. 34 8.1.1.7. Sniffers ......................................................................................... 35 8.1.1.8. Vrus ............................................................................................. 36 8.1.1.8.1. Como Funcionam ................................................................... 37 8.1.1.8.2. Antivrus ................................................................................. 37 8.1.1.8.3. Vrus: Dvidas Mais Comuns ................................................. 38 8.2. PREVENO CONTRA ATAQUE ................................................................... 40 8.2.1. Firewall ............................................................................................. 40 8.2.1.1. Decises do Projeto de um Firewall ............................................. 41 8.2.1.2. Filtragem de Pacotes.................................................................... 42 8.2.1.3. Filtros Inteligentes ........................................................................ 47 8.2.1.4. Servidores Proxy .......................................................................... 48 8.2.1.5. A Arquitetura dos Firewalls........................................................... 49 8.2.1.5.1. Dual-Homed Host Firewall...................................................... 49 8.2.1.5.2. Screened-Host Firewalls ........................................................ 50 8.2.1.5.3. Screened-Subnet Firewalls .................................................... 51 8.2.2. Criptografia ....................................................................................... 52 8.2.2.1. Criptografia com chave pblica e privada..................................... 55 8.2.2.2. Uso de Criptografia em Redes ..................................................... 55 8.2.2.3. Compartilhamento de Chave Privada........................................... 56 8.2.2.4. Desafio-Resposta ......................................................................... 57 8.2.2.5. Autentificao Centralizada.......................................................... 59 8.2.3. Polticas de Segurana..................................................................... 59 8.2.3.1. Quem deveria estar envolvido quando for definida uma Poltica de Segurana? .................................................................................................. 61 8.2.3.2. Que Faz uma Boa Poltica de Segurana? .................................. 61 8.2.3.3. Planos de Segurana completamente Definidos.......................... 64 8.2.3.3.1. Protegendo os Servios ......................................................... 64 8.2.3.3.2. Aumentando a Proteo......................................................... 64 9. ESTUDO DE CASO ..................................................................................... 66 9.1. CASO ....................................................................................................... 66 9.2. DESCRIO CORPORATIVA ........................................................................ 66 9.2.1. A Rede da A.G. Computer Cia. ........................................................ 68 9.2.2. Matriz................................................................................................ 69 9.2.3. Fbrica.............................................................................................. 71 9.2.4. Filiais ................................................................................................ 71 CONCLUSO ....................................................................................................... 73
xii
BIBLIOGRAFIA..................................................................................................... 74
xiii
UNAMA Universidade da Amaznia
Poticas de Segurana em Redes de Computadores
1. Introduo
Rede de computadores uma tecnologia que surgiu com o objetivo de acabar com o isolamento que os sistemas tinham entre si. Um dos principais objetivos das redes de computadores a questo do compartilhamento de recursos. Por exemplo: voc pode instalar uma impressora lazer em um dos micros ligados em redes, e ento essa impressora passa a ser compartilhada pelos outros micros ligados a rede, assim compartilhando recursos. Existem muitas outras formas de compartilhamento como o scanner, disco rgido, sistemas e etc. Em outras palavras, redes de computadores, significa um conjunto de mdulos processadores que esto ligados atravs de um sistema de comunicao que podem trocar informaes entre si, ou seja, esses mdulos processadores apesar de estarem interconectados ou ligados atravs do sistema de comunicao, eles so mdulos autnomos, ou seja, eles no podem interferir em outro ponto da rede de uma forma que o ponto no permita, ou seja: Exemplo: ns estamos ligados com vrios pontos de rede da nossa rede, j que somos um ponto de rede, mas nenhum outro ponto da rede pode interferir na nossa mquina, se ns no quisermos. Tipo, voc no pode desligar um micro do outro a no ser que a pessoa operadora do micro autorize. Cada dia, mais e mais, pessoas acessam redes de computadores. Sem dvida, a mais popularizada a Internet. Com ela voc pode colocar informaes em sua mquina e disponibiz-las para todo o mundo. Em uma empresa, por exemplo, voc pode ter sua pequena rede de computadores, PCs diretamente conectados ao resto do mundo. Coisas como receber um pedido de compra via Internet, confirmar o pedido via e-mail e imediatamente dar baixa do produto no estoque ao mesmo tempo em que aciona ao departamento de entregas e envia ao mercadoria ao cliente; isto j h muito deixou de ser fico. o Shopping Virtual! Entretanto, ao conectarmos uma rede em outra (como por exemplo, no caso da Internet) temos que estar certos que somente as informaes "pblicas" estaro disponveis. Sofisticados dispositivos devem garantir o sigilo das operaes. E mesmo
em uma rede privada, fisicamente localizada em um prdio, no podemos permitir que usurios no autorizados acessem dados confidenciais. As redes de computadores de meio fsico compartilhado tm vrios problemas quanto segurana. Basicamente estes problemas so decorrentes do fato de que todas as mquinas ligadas rede compartilham o mesmo meio fsico e podem, arbitrariamente ler ou alterar mensagens que no lhes dizem respeito. No h, ento, privacidade nos dados e nem a certeza que uma mensagem colocada na rede para que uma determinada mquina leia ser lida to somente por ela. Alm do mais, o endereo origem destas mensagens podem ser facilmente falsificados, sendo possvel que uma mquina se passe por outra, para beneficiar-se do nvel de segurana existente em uma sub-rede, porque geralmente mquinas de uma mesma sub-rede "confiam" umas nas outras. Para garantir a privacidade dos dados de forma que somente as mquinas envolvidas na comunicao tenham acesso a elas, faz-se uso de algoritmos de criptografia. Tcnicas mais modernas como o uso de Firewall pode resolver problemas de falsificao de endereos e evitar a entrada de mensagens maliciosas. Os problemas relacionados com a segurana de redes so o objetivo deste trabalho. Inicialmente sero apresentados os tipos de redes, os tipos de topologias existentes e em seguida discutiremos as possveis maneiras existentes de burlar a segurana e como prevenir esses problemas usando tcnicas disponveis para melhorar a confiabilidade (em termos de segurana) destas redes, por exemplo, empregando a tcnica de criptografia ou atravs de Firewalls, que sero discutidos mais adiante.
2. Tipos de Rede 2.1. Que so Redes Locais (LANs)?
Redes Locais so basicamente grupos de micros PCs interligados aos computadores chamados servidores da rede. Os usurios de uma rede executam suas tarefas a partir de seus PCs. Servidor da rede um computador com alta capacidade, de processamento com a funo de disponibilizar servios rede. Em geral, essa mquina processa grandes volumes de dados (databases), requerendo CPUs rpidas e dispositivos de armazenamento de alta capacidade e de rpido acesso. Assim, uma rede de micros LAN (Local Area Network - Rede de Trabalho Local) a interconexo de dispositivos de computao que podem se comunicar e compartilhar grupos de recursos comuns, como impressoras, fax, CD-ROM, modem, discos rgidos etc. Normalmente, as LANS esto limitadas a um mesmo prdio, ou, no mximo, esto onde sinais de rdio alcanam, quando so utilizadas placas de rede conectadas por ondas de rdio e no cabos. Dessa forma, podemos ter conectado localmente departamentos de uma organizao, um prdio administrativo inteiro conectado a uma fbrica ou o campus de uma universidade. Trabalhar em uma rede de rea local garante acessos seguros a quem se encontra interconectado atravs de suas altas taxas de velocidade de transmisso. Com a tecnologia existente hoje, praticamente impossvel que as corporaes no possuam pelo menos uma rede de trabalho local. Alm de evitar deslocamento de pessoas, torna mais segura a manipulao de informaes, j que evita redundncia de dados, e, conseqentemente, permite uma maior segurana no trato das informaes, proporcionando economia de escala e efetuando o compartilhamento de perifricos espalhados pelo ambiente da rede. Voc pode, por exemplo, criar uma planilha no MS Excel e atravs de um software adequado, solicitar que seu superior aprove aquela planilha, via rede, sem, tocar no telefone ou sair do lugar. Pode
tambm criar um documento no MS Word, e envi-lo para o micro da rede "que um servidor de fax" para o escritrio (onde se encontra apenas uma placa fax-modem que recebe e coloca em fila todos os documentos transmitidos via fax para algum lugar). Voc pode ainda efetuar videoconferncias, ou seja, com uma cmera apropriada de vdeo conectada ao seu micro, permitir que outros da rede - que tambm possuam essa cmera - visualizem em janelas de suas telas voc falando, mostrando um documento ou, at dando uma bronca. As primeiras redes instaladas em algumas companhias - incluindo IBM, HoneyWell e DEC (Digital Equipment Corporation) - tinham seus prprios padres que definiam a forma de conectar os computadores entre si. Esses padres instauraram os mecanismos necessrios para poder transmitir as informaes de um computador para outro. Essas primeiras especificaes no eram inteiramente compatveis entre elas. Por exemplo, as redes conectadas com o padro IBM, conhecido como SNA (Systems Network Arebitecture), no podiam se comunicar com os equipamentos DEC com arquitetura DNA (Digital Network Arebitecture). Posteriormente, as organizaes dedicadas padronizao, incluindo a Organizao de Padres Internacionais (ISO - Intemational Standards Organization) e o Instituto de Engenheiros Eltricos e Eletrnicos (IEEE - Institute of Electrical and Electronic Engineers), desenvolveram modelos reconhecidos e aceitos
internacionalmente como padres para o desenho de qualquer tipo de rede de computadores. Esses modelos tratam as redes em termos de nveis funcionais. Conforme os poucos exemplos anteriormente citados, as redes de
computadores tm um papel muito importante dentro de diferentes tipos de organizaes, j que formam parte indispensvel da produtividade dos funcionrios. Essas redes esto evoluindo constantemente e a uma velocidade espantosa, de forma que voc tem contato com elas todos os dias e em quase todos os lugares e cada vez com mais freqncia, s vezes, sem se dar conta. o caso, por exemplo, dos supermercados, onde todas as caixas esto organizadas dentro de uma rede local de trabalho, e, graas a essa tecnologia, elas podem manter bases de dados
centralizadas de preos e inventrios. Assim, no momento de digitar o cdigo de um produto ou ler via cdigo de barras, extrai-se o preo da base de dados e se d a baixa da mercadoria no estoque, ajudando com isso manipulao de inventrios, j que toda atualizao de dados feita em real-time, ou seja, em tempo real. Como voc pode observar nesse exemplo, as redes de computadores no so mais de uso exclusivo das empresas de tecnologia; mas, sim, de organizaes financeiras, como bancos, bolsas de valores, agncias de viagens de turismo, companhias areas e muitos outros tipos de negcios. Com o uso das redes, a produtividade dos funcionrios aumenta, entre outros motivos, porque os servios ou rotinas que se utilizam todos os dias (faturamento, inventrios, bancos, etc.) ficam centralizados, garantindo que esses servios fiquem disponveis no momento em que so requeridos. Uma das vantagens significativas que brindam as redes de computadores so os pacotes ou servios da rede, como correio e agendas eletrnicas. Eles facilitam a comunicao dentro das organizaes j que no mais necessrio usar o telefone ou enviar um memorando notificando algum de um evento ou convid-lo para uma reunio, sem saber se realmente a pessoa recebeu a mensagem. Ao usar essa tecnologia de redes e suas aplicaes, voc tem a segurana de que o destinatrio recebeu a mensagem ou o documento. Compartilhar recursos dentro de uma rede torna-se algo natural, evitando gastos que, de outro modo, seriam empregados na compra de equipamentos como impressoras, faxes, unidades de armazenamento ou unidades de CD-ROMS, que seriam sub-utilizados por poucos usurios ou somente por um usurio. Com isso, o uso dos recursos otimizado e passa-se a adquirir somente o que a organizao, rotina ou processo em questo necessita e no o que os usurios requerem individualmente. Ao compartilhar recursos e usar ferramentas de automao nos escritrios (correio, agendas eletrnicas e impressoras, alm de outras) tambm se obtm uma economia de tempo e papel, por no ser necessrio imprimir um relatrio ou uma
apresentao revisada por um grupo de pessoas. Com os recursos da rede, esses documentos so enviados via correio eletrnico e os comentrios so recebidos igualmente, o que vem a incrementar o nvel de produtividade nas organizaes. Por ltimo, para utilizar um s pacote de programas para uma aplicao especfica em toda a organizao e ajudar a padronizar o software, o nico caminho disponvel o uso das redes de micros. Dessa maneira, o que se encontra na rede, e no o que os usurios desejam, o que pode ser utilizado na organizao. Isso ajuda no esforo necessrio para padronizao de cursos de capacitao e a contar com um pequeno grupo de pessoas cuja principal funo a de dar suporte ao pacote de software padronizado em uso na organizao. A filosofia de redes locais define como workstation todo e qualquer equipamento de informtica conectado rede. Sendo assim, a nomenclatura workstation serve tanto para um
microcomputador, quanto para um mainframe, conectados rede local. Devemos entender que apesar de um ambiente minicomputador (ex. AS400/IBM) ter diversos terminais e impressoras, bem como um ambiente mainframe, ambos so considerados como uma nica workstation, devido forma de conexo (uma nica conexo com a LAN). A conexo da workstation a determinado meio fsico de transmisso efetuada atravs de uma lnterface de Acesso ao Meio (IAM), a qual foi denominada posteriormente placa de rede ou MA (Mediurn Access rnit). As Redes locais devem ter uma arquitetura (conjunto de protocolos de comunicao) bem-definida, com a finalidade de propiciar o maior nvel de interoperabilidade dos recursos. Em linhas gerais, podemos definir uma LAN como uma rede de
microcomputadores, minicomputadores ou mainframes, interconectados por um determinado meio fsico de transmisso, gerenciados por um determinado aplicativo de rede, confinados a uma rea fsica limitada e voltados ao uso de recursos compartilhados e processamento distribudo.
Servidores podem ser tambm clientes de outros servidores da rede. Por exemplo, o servidor de impresso pode ser cliente de um servidor de arquivo ao fornecer servios aos seus prprios clientes. Servio de correio eletrnico um outro exemplo de servidor que muitas vezes realizado utilizando os servios de armazenamento de arquivos de um outro servidor.
2.1.1. Servidores de Arquivos

O Servidor de Arquivo tem como funo oferecer aos seus clientes o servio de armazenamento e acesso a informaes e de compartilhamento de disco. Controlam unidades de disco ou outras unidades de armazenamento, sendo capazes de aceitar pedidos de transaes das estaes clientes e atend-los utilizando os seus dispositivos de armazenamento. Um Servidor de Arquivo Geral aquele que capaz de aceitar transaes, independente do sistema operacional do cliente, ou seja, independente da estrutura de arquivos da estao cliente. Neste caso, existe um sistema de arquivo padro da rede, utilizado pelo servidor de arquivos, nos quais os vrios arquivos das demais estaes da rede devem ser convertidos (pelos protocolos a nvel de apresentao) para comunicao com o Servidor. Sendo adotada esta soluo, todos os arquivos da rede so potencialmente acessveis a todas as estaes, independente das estruturas de arquivos individuais.
2.1.2. Servidor de Impresso

O Servidor de Impresso tem como finalidade oferecer servios de impresso a seus clientes. Um Servidor de Impresso tpico tem vrios tipos de impressoras acoplados, cada um adequado qualidade ou rapidez de uma aplicao particular. Existem vrias formas de se implementar um Servidor de Impresso. A forma mais simples baseada na pr-alocao da impressora. Neste caso uma estao cliente envia um pedido ao Servidor, manifestando o desejo de uso de uma
impressora especfica. Caso esta impressora esteja disponvel, ela ento alocada ao cliente at que este a libere (ou, ento, at que se esgote o tempo mximo da utilizao, conforme negociao na alocao). Caso a impressora no esteja disponvel o cliente avisado e colocado, se de seu desejo, em uma fila de espera. Uma outra forma de implementarmos um Servidor de Impresso utilizando a tcnica de spooling. Neste caso a estao ao invs de pedir a alocao de uma impressora, envia diretamente ao Servidor o texto a ser impresso. Este texto colocado em uma fila de espera, sendo impresso quando a impressora estiver disponvel.
2.1.3. Servidor de Comunicao

Consiste em uma estao especial de frente que ser responsvel pela realizao de todos os procedimentos de acesso rede, bem como da interface com os dispositivos usurios, de forma a permitir o uso da rede por estes.
2.1.4. Servidor Gateway

So estaes da rede que oferecem servio de comunicao com outras redes para seus clientes. A ligao entre redes pode ser realizada via repetidores ou pontes, mas quando se trata de interligao de redes distintas o uso de Gateway se torna indispensvel.
2.1.5. Servidor de Rede

Monitorao do trfego, do estado, do desempenho de uma estao da rede, assim como a monitorao do meio de transmisso e de outros sinais necessria
para o gerenciamento da rede de forma a possibilitar a deteco de erros, diagnose e resolues de problemas da rede, tais como falhas, desempenho e etc.
2.1.6. Servidor Teletex

um servio internacional de telecomunicaes que permite aos assinantes trocarem documentos com alto grau de automao, velocidade e preciso, entre equipamentos de escritrios para tratamento de texto, tais como mquinas de escrever eletrnicas e processadores de palavras, que estejam equipados com recursos de transmisso e recepo.
2.2. Que So Redes Metropolitanas (MAN) ?

Uma rede MAN uma rede de mdio porte que interligam redes lans, ou seja, possui uma abrangncia estadual, geralmente interligadas atravs de comunicao via rdio.
2.3. Que So Redes de Trabalho Amplas (WAN)?

Uma WAN (Wide Area Network) a interligao de diversos sistemas de computadores localizados em regies fisicamente distantes. As WANs utilizam linhas de transmisso de dados oferecidas por empresas de telecomunicaes, como a Embratel ou as Teles (TELESP, TELERJ etc.), suas concessionrias. Nos EUA, as empresas de telecomunicaes mais comuns so: AT&T, Sprint, MCI e Northem Telecom (NT). A necessidade de transmisso de dados entre computadores situados remotamente surgiu com os computadores de grande porte, os mainframes, bem antes do surgimento dos PCs. As primeiras solues eram, baseadas em ligaes ponto a ponto, atravs de linhas telefnicas privadas ou discadas.
Com os PCs (e posteriormente as LANS) houve um aumento da demanda por transmisso de dados a longa distncia, que levou ao surgimento dos servios de transmisso de dados. No Brasil existe a TRANSDATA e a RENPAC como exemplos desses servios. Os servios so geralmente de aluguel de linhas privadas (Leased lines) ou discadas (Switched) permitindo a utilizao de diversos protocolos tais como SNA, PPP/TCP-IP, etc. As redes WANs esto passando por uma evoluo muito grande com a aplicao de novas tecnologias de telecomunicaes com a utilizao de fibra tica (Optical fiber). Novos padres esto surgindo como a ATM ( Asynchronous Transfer Mode) que disponibiliza a transmisso de dados, som e imagem em uma nica linha e em altssima velocidade ( 300Mbps ou superior). A velocidade passa a ser determinada pelos equipamentos que processam as informaes
(Clientes/Servidores) e no do meio fsico. O ATM e a fibra tica permitem altssimas velocidades (300 Mbps - megabits por segundo ou at superior), ao contrrio da LAN, cujo padro de velocidade est em torno de 622 Mbps. A limitao de velocidade de comunicao passa a ser dos computadores que processam a informao, e no do meio fsico de comunicao (fibra tica). A conexo entre os equipamentos geralmente e feita atravs de Modems de 33.6K ou 56K.
10
3. Filosofias de Processamento
So as formas de como as redes trabalham, no poderamos falar de topologia sem antes falarmos nas filosofias.
3.1. Cliente/Servidor
Todos os componentes da rede que esto interligados so divididos em duas partes. Uma cliente e outra servidora. O servidor vai ser um computador ou alguns computadores na rede, que vo estar com todos servios dentro deles, prontos para fornecer esses servios para outros computadores ligados na rede. E o resto, que a grande maioria dos computadores ligados na rede, so chamados de cliente. O cliente sempre solicita o servio, e o servidor sempre fica esperando a solicitao do cliente para fornecer o servio, ou seja, o cliente o ativo e o servidor o passivo, pois se o cliente no solicitar um servio, o servidor no entrar em ao. Ex: Voc vai num shopping e entra em uma loja, voc o cliente e os funcionrios desta loja so os servidores, ou seja, se o cliente no for loja, no solicitar nada, a loja no iria fazer nada, pois no teria ningum para comprar.
3.2. Par-A-Par
Cada ponto da rede possui duas funes, tanto solicitao como fornecimento de servio. Neste tipo de filosofia, tanto o cliente, quanto o servidor tem que possuir contedo completo dos softwares dos sistemas da rede, j que cada ponto pode solicitar ou fornecer servios.
11
3.3. A Diferena entre as Filosofias de Processamento

Na filosofia cliente/servidor, em relao ao sistema operacional, apenas o servidor ou os servidores possuem a cpia do sistema operacional completo, o cliente geralmente no tem a cpia completa do sistema operacional, tem apenas uma cpia que chamada cpia cliente, que possui apenas as funes especficas, descartandose as funes de fornecimento de servios. J na filosofia par-a-par, como cada ponto solicita e fornece servio ao mesmo tempo, obrigatoriamente todos os pontos da rede tm que possuir o sistema operacional completo, j que o mesmo nunca sabe quando ele vai ser servidor ou cliente.
12
4. Topologia Bsica
a forma como os pontos de redes se interligam, ou seja, a arquitetura da rede.
4.1.
Ponto A Ponto
Cada mdulo da rede est ligado a outro mdulo, por uma linha ou elo exclusivo, ou seja, se o computador A, quer comunicar com B, porque existe uma linha exclusiva de ligao entre eles, e s existe uma nica ligao entre um e outro, assim se um outro computador C quiser comunicar com A ele tem outro elo, uma comunicao exclusiva com A.
4.2.
Multiponto
Existe uma nica linha de transmisso, s que neste caso ele serve de interligao para vrios computadores ao mesmo tempo. A ligao entre os computadores passa a ser mais complexa, pois o computador A vai precisar de um controle bem mais complexo por que ele tem que saber se o B, C ou D que ele est se interligando naquele determinado momento.
13
5. Topologia
Conforme definido, redes locais constituem-se de um conjunto de
estaes(ns) interligadas por um sistema de comunicao. Este sistema composto de um arranjo topolgico e de um conjunto de regras de forma a organizar a comunicao, interligando os vrios ns. Dentre as topologias mais usuais encontramse a estrela, o anel e a barra comum.
5.1.
Topologia em Estrela
Neste tipo de topologia cada n interligado a um n central(mestre), atravs do qual todas as mensagens devem passar. Tal n age como o centro de controle da rede, interligando os demais ns(escravos) que usualmente podem se comunicar apenas com um outro n de cada vez. Isto no impede que haja comunicaes simultneas, desde que as estaes envolvidas sejam diferentes.
N N N
N CENTRAL
Figura 1 Topologia Estrela Vrias redes em estrela operam em configuraes onde o n central tem tanto a funo de gerncia de comunicao como facilidades de processamento de dados. Em outras redes o n central tem como nica funo o gerenciamento das comunicaes. Esta topologia no necessita de roteamento, uma vez que concentram todas as mensagens no n central. O gerenciamento das comunicaes por este n pode ser por chaveamento de pacotes ou chaveamento de circuitos. No primeiro caso, pacotes
14
so enviados do n fonte para o n central que o retransmite ento ao n de destino em momento apropriado. J no caso de chaveamento de circuitos, o n central, baseado em informaes recebidas, estabelece uma conexo eltrica ou realizada por software, entre o n fonte e n de destino, conexo esta que existir durante toda a conversao.
5.2.
Topologia em Anel
Uma rede em anel consiste de estaes conectadas atravs de um caminho fechado, evitando os problemas de confiabilidade de uma rede em estrela. O anel no interliga as estaes diretamente, mas consiste de uma srie de repetidores ligados por um meio fsico, sendo cada estao ligada a estes repetidores. Redes em anel so capazes de transmitir e receber dados em qualquer direo. As configuraes mais usuais, no entanto, so unidirecionais, tornando o projeto dos repetidores mais simples e menos sofisticados os protocolos de comunicao que asseguram a entrega da mensagem corretamente e em seqncia ao destino, pois sendo unidirecionais evita o problema do roteamento. Os repetidores so em geral projetados de forma a transmitir e receber dados simultaneamente, diminuindo assim o retardo de transmisso e assegurando um funcionamento do tipo full-duplex.
N N
Estao Monitora Fonte de Alimentao N N Fonte de Alimentao
Figura 2 - Topologia Anel
15
Quando uma mensagem enviada por um n, ela entra no anel e circula at ser retirada pelo de n de destino, ou ento at voltar ao n fonte, dependendo do protocolo empregado. Os maiores problemas com topologia em anel so sua vulnerabilidade a erros e pouca tolerncia a falhas. Qualquer que seja o controle de acesso empregado, ele pode ser perdido por problemas de falhas e pode ser difcil determinar com certeza se este controle foi perdido ou decidir qual n deve recri-lo. Erros de transmisso e processamento podem fazer com que uma mensagem continue eternamente a circular no anel.
5.3.
Topologia em Barra
Topologia em barra comum se caracteriza pela ligao de estaes (ns) ao mesmo meio de transmisso. A barra geralmente compartilhada no tempo ou na freqncia, permitindo a transmisso de informao. Ao contrrio das outras topologias que so configuraes ponto a ponto (isto , cada enlace fsico de transmisso conecta a apenas dois dispositivos), a topologia em barra tem uma configurao multiponto (isto , mais do que dois dispositivos esto conectados ao meio de comunicao).
Figura 3 Topologia em Barra
Nas redes em barra comum cada n conectado barra pode ouvir todas as informaes transmitidas.
16
Existe uma variedade de mecanismos para o controle de acesso barra, que pode ser centralizado ou descentralizado. A tcnica adotada para cada acesso rede (ou a banda de freqncia de rede no caso de redes em banda larga) a multiplexao no tempo. Em um controle centralizado, o direito de acesso determinado por uma estao especial da rede. Em um ambiente de controle descentralizado, a responsabilidade distribuda entre todos os ns.
5.4.
Outras Topologias
Dentre ouras topologias ainda podemos citar as topologias em rvore e a estrutura de grafos ou parcialmente ligadas. A topologia em rvore essencialmente uma srie de barras interconectadas. Geralmente existe uma barra central onde outros ramos menores se conectam. Esta ligao realizada atravs de derivadores e as conexes das estaes so realizadas do mesmo modo que no sistema de barra padro. Cuidados adicionais devem ser tomados nas redes em rvores, pois cada ramificao significa que o sinal dever se propagar por dois caminhos diferentes. A menos que estes caminhos estejam perfeitamente casados, os sinais tero velocidades de propagao diferentes e os sinais tambm sero refletidos de maneiras diferentes. Em geral, redes em rvore, vo trabalhar com taxa de transmisses menores do que as redes em barra comum, por estes motivos.
Barra Derivado r
Figura 4 Topologia em rvore
17
A topologia mais geral de redes locais a estrutura de grafos. Desta derivam as redes completamente ligadas, as redes parcialmente ligadas, em estrela e as redes em anel.
N N
Figura 5 Topologia em Grafos
Redes interligadas ponto a ponto crescem em complexidade com o aumento do nmero de estaes conectadas. Nestes sistemas no necessrio que cada estao esteja ligada a todas as outras (sistemas completamente ligados). Devido ao custo das ligaes mais comum o uso de sistemas parcialmente ligados baseados em chaveamento de circuitos de mensagens ou de pacotes. O arranjo das ligaes normalmente baseado no trfego da rede. A generalidade introduzida neste tipo
de topologia visa a otimizao do custo do meio de transmisso. Devido a isto tal topologia normalmente empregada em redes de longas distncias (geograficamente distribudas). Em redes locais, meios de transmisso de alta velocidade e privados podem ser utilizados, pois tm um custo baixo, devido s limitaes das distncias impostas. Tal topologia no tem tanta aplicao neste caso, por introduzir mecanismos complexos de decises de roteamento em cada n da rede, causado por sua generalidade. Tais mecanismos iriam introduzir um custo adicional nas interfaces de rede que tornariam seu uso proibitivo quando comparado com o custo das estaes. Estruturas parcialmente ligas tm o mesmo problema de confiabilidade das estruturas em anel. O problema, no entanto, aqui atenuado devido existncia de caminhos alternativos em caso de falha de um repetidor. A modularidade desta
18
topologia boa desde que os dois ou mais ns com os quais um novo n a ser includo se ligaria possam suportar o aumento do carregamento.
5.5.
TOPOLOGIA / CARACTERSTICAS SIMPLICIDADE FUNCIONAL ROTEAMENTO
Quadro Comparativo das Diversas Topologias

ESTRELA ANEL BARRA COMUM GRAFOS
A MELHOR DE TODAS
RAZOVEL
RAZOVEL, UM
POUCO MELHOR DO QUE A ANEL
EXTREMAMENTE
COMPLEXA
INEXISTENTE
INEXISTENTE NO ANEL, UNIDIRECIONA, SIMPLES

NOS OUTROS TIPOS
INEXISTENTE
BASTANTE
COMPLEXO
CUSTO DE CONEXO CRESCIMENTO INCREMENTAL APLICAO ADEQUADA
ALTO (INCLUINDO O
CUSTO DO N CENTRAL)
BAIXO PARA MDIO
BAIXO ALTO
MUITO ALTO
ALTO SEM LIMITAES
LIMITADO A CAPACIDADE TEORICAMENTE INFINITO

DO N CENTRAL
AQUELAS ENVOLVENDO
PROCESSAMENTO CENTRAL DE TODAS AS MENSAGENS
SEM LIMITAO
SEM LIMITAO
DESEMPENHO
BAIXO, TODAS AS
MENSAGENS TM DE PASSAR PELO N CENTRAL
ALTO, POSSIBILIDADE DE
MAIS DE UMA MENSAGEM SER TRANSMITIDA AO MESMO TEMPO
MDIO
ALTO. PODE SE
ADAPTAR AO VOLUME DE TRFEGO EXISTENTE
CONFIABILIDADE
POUCA CONFIABILIDADE
BOA, DESDE QUE SEJAM

TOMADOS CUIDADOS ADICIONAIS
A MELHOR DE TODAS. INTERFACE

PASSIVA COM O MEIO
BOA, DEVIDO A
EXISTNCIA DE CAMINHOS ALTERNATIVOS ALTO
RETARDO DE TRANSMISSO LIMITAO QUANTO AO MEIO DE TRANSMISSO
MDIO
BAIXO, PODENDO
CHEGAR A NO MAIS QUE 1 BIT POR N
O MAIS BAIXO DE
TODAS
NENHUMA. LIGAO
PONTO A PONTO
NENHUMA. LIGAO
PONTO A PONTO
POR TER A LIGAO

MULTIPONTO SUA LIGAO AO MEIO DE TRANSMISSO PODE SER DE CUSTO ELEVADO, COMO O CASO DA FIBRA TICA
NENHUMA. LIGAO
PONTO A PONTO
Tabela 1 Quadro comparativo entre topologias (Tanenbaum, 1994)
19
6. Meios de Transmisso
Meio de transmisso a conexo fsica entre as estaes da rede. Geralmente eles diferem com relao faixa passante, potencial para conexo ponto a ponto ou multiponto, limitao geogrfica devido atenuao caracterstica do meio, imunidade a rudo, custo disponibilidade de componentes e confiabilidade. A escolha do meio de transmisso adequado s aplicaes extremamente importante no s pelos motivos mencionados acima, mas tambm pelo fato de que ele influencia diretamente no custo das interfaces de rede. Qualquer meio fsico capaz de transportar informaes eletromagnticas possvel de ser usado em redes locais. Os mais comumente utilizados so o par tranado, o cabo coaxial e a fibra tica. Sob circunstncias especiais, radiodifuso, infravermelho e microondas tambm so escolhas possveis.
6.1.
Par Tranado
No par tranado, dois fios so enrolados em espiral de forma a reduzir o rudo e manter constantes as propriedades eltricas do meio atravs de todo o seu comprimento. No devemos confundir este meio de transmisso com os meios de transmisso do ambiente telefnico tradicional ou digital. O par tranado o mais barato dos meios de transmisso padronizados para uso em LANS, alm de ter um alcance mdio/baixo. Quando a topologia estrela, com seu emprego viabilizado pelos hubs, tornou-se a melhor opo, o par tranado passou a ser largamente empregado nas LANs, sendo atualmente a maior base instalada. Com alcance de 100 metros (da workstation ao hub), considerando todos os segmentos de conexo (PC cable, Patch cable, etc.) este meio de transmisso adequasse facilmente s necessidades topolgicas das LANs atuais, pelo menos em sua maioria.
20
Existem dois tipos de par tranados: Cabo UTP Sem Blindagem Cabo STP Blindado A diferena que o blindado menos sujeito a rudo do que o sem blindagem (sendo que o ltimo o mais usado, principalmente na Ethernet e o blindado nas redes TOKEN RING). A UTP divide-se em 5 categorias: a 1 categoria o cabo utilizado na telefonia; a segunda categoria (feita pela IBM) igual a categoria 3 (para redes comuns) sendo que na categoria 3 os trabalhos so feitos em cabos de 10MBPS e freqncia 10HZ na categoria 4 trabalham com redes que utilizam 16 MBPS, 20 MHZ e na categoria 5 trabalham100 MBPS e 100MHZ.
Figura 6 Cabo Par Tranado
6.2.
Cabo Coaxial
O cabo coaxial uma forma de linha de transmisso que possui um condutor interno circundado por um condutor externo; tendo, entre os condutores, um dieltrico, que os separa. O condutor externo por sua vez circundado por outra camada isolante. Existe uma grande variedade de cabos coaxiais, cada um com caractersticas especficas. Alguns so melhores para transmisso em alta freqncia, outros tm atenuao mais baixa, outros so mais imunes a rudos e interferncias, etc. Os cabos de mais alta qualidade no so maleveis e so difceis de instalar, mas cabos de baixa qualidade podem ser inadequados para altas velocidades e longas distncias. Tipos de cabos utilizados:
21
Cabo Ethernet Fino: Possui impedncia de 500 Ohms. Sendo o mais utilizado, o tamanho Maximo do segmento de 185 m. Cabo Ethernet Grosso: Possui impedncia de 75 Ohms, a tamanho Maximo de um segmento de 500 m. Coaxial 10base2: Este meio de transmisso foi largamente utilizado no inicio das LANs, onde o mesmo apresentava a melhor relao custo X beneficio. Atualmente, devido falta de confiabilidade na utilizao das topologias fsicas em barra e anel, este meio de transmisso no apresenta uma relao custo X beneficio adequada. Cabe lembrar que o uso de hubs fez com que adotssemos uma topologia fsica em estrela, portanto o mesmo viabilizou o emprego do par tranado, cujo alcance suficiente na maioria das instalaes. Coaxial 10base5: Com o crescimento das redes corporativas, este coaxial passou a ser adotado como Backbone, at pelo fato de o segmento ptico no apresentar uma relao custo X beneficio adequada. Atualmente este meio de transmisso encontrado em redes de controle de processos na industria e em alguns Backbones. O cabo coaxial, ao contrrio do par tranado, mantm uma capacitncia constante e baixa independente (teoricamente) do comprimento do cabo, evitando assim vrios problemas tcnicos. Devido a isto, oferecer velocidades da ordem de 10 megabits por segundo, sem ser necessrio regenerao de sinal e sem distores ou ecos, propriedade que revela a alta tecnologia j dominada. Os cabos coaxiais podem ser usados em ligaes ponto a ponto ou multiponto. Ligaes no cabo coaxial causam reflexo devido impedncia no infinita do conector (transceiver). A colocao destes conectores em ligaes multiponto deve ser controlada de forma a garantir que as reflexes no se somem em fase a um valor significativo. Em uma rede em barra, o cabo deve ser casado em seus extremos (como da mesma forma o par tranado) de forma a impedir reflexes.
22
6.3.
Fibras ticas
Transmisso em fibra tica realizada pelo envio de um sinal de luz codificado, dentro do domnio de freqncia do infravermelho, 1014 a 1015 Hz, atravs de um cabo tico. O cabo consiste de um filamento de slica ou plstico, por onde feita a transmisso da luz. Ao redor do filamento existe uma outra substncia de baixo ndice de refrao, que faz com que os raios sejam refletidos internamente, minimizando assim as perdas de transmisso, alm de prover a segurana contra
"grampeamentos". A fibra tica imune a interferncia eletromagntica e a rudos; e por no irradiar luz para fora do cabo, no se verifica cross-talk. Ela permitir uma isolao completa entre o transmissor e receptor, fazendo com que o perodo de curto eltrico entre condutores no exista. Fibra tica apresenta uma atenuao independente da freqncia, permitindo assim uma velocidade de transmisso bastante alta (virtualmente ilimitada). Sob condies experimentais em laboratrio j foram obtidas taxas da ordem de alguns gigabits por segundo.
Figura 7 Fibra ptica
6.4.
Outros Meios de Transmisso
Alm dos trs meios de transmisso j mencionados, existem outros meios de transmisso, embora menos utilizados em redes locais. Um destes meios a rdio difuso.
23
Aplicaes de rdio difuso em redes locais ainda so experimentais e seus custos bastante elevados. Por sua natureza, adequado tanto para ligao ponto a ponto quanto para ligaes multipontos. Seu emprego particularmente importante para comunicaes entre computadores e o ambiente de rede local mvel. Rdio difuso tambm utilizada em aplicaes onde a confiabilidade do meio de transmisso requisito indispensvel. Um exemplo drstico seria em aplicaes blicas, onde, por exemplo, o rompimento de um cabo poderia paralisar todo o sistema de defesa. Nas ligaes entre redes locais rdio difuso tambm tem um papel relevante, especialmente se as redes distantes e a taxa de fluxo de dados entre elas precisa ser elevada. Neste caso, circuitos telefnicos podem ser inadequados e a rdio difuso pode ter a largura de faixa exigida. Radiao infravermelha e microondas so outros meios possveis de comunicao, mas raramente utilizados em redes locais.
6.5.
Radiodifuso
todo o tipo de transmisso que no seja feita via cabo, porem, considerada no meio fsico devido elas estarem junto com as molculas de ar. Divide-se em trs:
6.5.1
Radiovisibilidade
o meio em que se utiliza antenas que sejam visveis umas para as outras. A distncia varia de 40 a 50 Km. Se ultrapassar 50 km no pode utilizar mais esse tipo de radiodifuso devido influncia da curvatura de terra. Da utiliza-se a radiovisibilidade;
24
6.5.2
Microondas (Tropodifuso)
O emissor joga os raios de microondas na direo da troposfera. S se atingila, ocorrero vrias reflexes atingindo a outra antena; 6.5.3
Satlite
Brasilsat - satlite o tempo de recado numa transmisso via satlite ser equivalente a distncia sobre a velocidade da luz a ( 300.000 Km/s).
6.6.
Quadro Comparativo dos Meios de Transmisso mais
utilizados
CARACTERSTICAS / MEIO TIPO DE SINALIZAO DISPONIBILIDADE DE COMPONENTES CUSTO DE COMPONENTE COMPLEXIDADE DE INTERCONEXO FACILIDADES PARA LIGAO MULTIPONTO TOPOLOGIAS ADEQUADAS NMEROS DE NS (TPICO EM LIGAO MULTIPONTO) RELAO SINAL/RUDO DISTNCIA MXIMA DE TRANSMISSO/VELOCIDADE TPICA PAR TRANADO DIGITAL ALTA
DISPONIBILIDADE
CABO COAXIAL BASE BAND DIGITAL LIMITADA
CABO COAXIAL BROADBAND ANALGICA ALTA

DISPONIBILIDADE LUZ
FIBRA TICA TRANSMISSO

DE
BASTANTE LIMITADA ALTO ALTA MUITO BAIXA ESTRELA E ANEL 2 (PONTO A PONTO) ALTA 10 S DE KM 10 MBPS
MAIS
TODOS
BAIXO BAIXO
DE DE
BAIXO BAIXA MDIA (100 S NS) TODAS 10 S A 100 S MDIA
MDIO MDIA ALTA (1000 S NS) BARRA 100 S / CANAL MDIA 10 S DE KM 20 MBPS
MAIS
TODOS BAIXA
TODAS 10 S BAIXA
POUCAS CENTENAS 1,0 KM DE METROS 10 MBPS 1MBPS
Tabela 2 Quadro Comparativo dos Meios de Transmisso (Tanenbaum, 1994)
25
7. Equipamentos para Conectividade 7.1. Repetidor
Os repetidores so equipamentos que reforam o sinal fsico de transmisso, pegando os sinais eltricos que chegam at ele, regenerando-os at atingirem o nvel mximo anterior, antes de repass-los. Os repetidores geralmente ampliam o alcance (extenso) de uma nica rede (em vez de conectar duas redes). Estes equipamentos so dependentes do meio fsico e independentes do protocolo.
7.2.
Pontes
As pontes permitem combinar duas redes locais, alm de admitir que estaes de uma rede local acessem recursos de outra rede local. As pontes utilizam protocolos de controle de acesso ao meio fsico na camada fsica de rede. A grande vantagem da ponte vem da observao de que o desempenho de uma rede pode ser grandemente aumentado se a mesma for dividida em pequenas sub-redes interligadas por pontes. Devemos notar, entretanto, que essa vantagem apenas persistir se o trfego inter-redes no for significativo.
7.3.
Hub
Os hubs so equipamentos usados como concentradores para unir vrios clientes com uma nica conexo ao resto da LAN. Um hub tem vrias portas s quais os clientes so diretamente conectados e uma ou mais delas que podem ser usadas, por sua vez, para conectar o hub a outros componentes de rede ativa. Este equipamento funciona como um repetidor, onde os sinais recebidos em qualquer porta so retransmitidos imediatamente as demais.
26
7.4.
Roteadores
necessrio quando duas redes usam a mesma camada de transporte, mas camadas de redes diferentes. Por exemplo, quando desejamos conectar redes X.25 e Token-Ring. Os roteadores so usados para conectar uma rede a outra e decidirem qual caminho o trfego de informaes deve seguir.
7.5.
Gateways
So equipamentos que tem por finalidade resolver problemas de tamanho mximo de pacotes, forma de endereamento, tcnicas de roteamento, controle de acesso, timeout, entre outros. A utilizao de gateways para a conexo de redes locais idnticas no sofre nenhuma restrio. Sua desvantagem principal consiste em uma maior complexidade na exigncia de protocolos inter-redes, ou seja, no custo da interligao.
27
8. Segurana
Ao se conectar um computador a uma rede, necessrio que tome as providencias para se certificar que esta nova mquina conectada possa no vir a ser um porto que servir de entrada de invasores, ou seja, de pessoas que esto mal intencionadas, procurando prejudicar algum ou at mesmo paralisar a rede inteira. Embora haja sistemas que conseguem fornecer um grau de segurana elevado, mesmo sendo bem configurado ainda estar vulnervel.
8.1.
Ataques
Um ataque, ao ser planejado, segue um plano de estratgia sobre o alvo desejado, e uma pessoa experiente em planejamento de ataque sempre traa um roteiro a ser seguido a fim de alcanar o objetivo. Um exemplo de roteiro organizado para atacar exemplificado a seguir: Localizar o alvo desejado; Concentrar o mximo de informaes possveis sobre o alvo, geralmente utilizando alguns servios da prpria rede, ou at mesmo, ferramentas utilizadas na administrao e gerenciamento da rede alvo; Disparar o ataque sobre o alvo, a fim de invadir o sistema, explorando a vulnerabilidade do sistema operacional, servidores e servios oferecidos pela rede. O invasor pode at mesmo abusar um pouco da sorte tentando adivinhar uma senha na mquina alvo, fazendo combinaes possveis; No deixar pistas da invaso, pois geralmente as aes realizadas pelos invasores so registradas no sistema alvo em arquivos de log, possibilitando que o administrador do sistema invadido possa vir a descobrir a invaso, a no ser que o invasor se preocupe em eliminar todos e quaisquer vestgios que o incriminem;
28
O invasor deve conseguir no somente senhas de usurios comuns, pois os privilgios destes usurios so limitados, no dando acesso a recursos mais abrangentes no sistema. Com isso, de grande importncia que o invasor consiga uma senha de administrador, pois ter todos os recursos de gerenciamento do sistema disponveis, para alteraes e at mesmo gerar bug no sistema. Instalar ferramentas que faam a captura de senhas de forma clandestina aos olhos do administrador, para isso existem programas que
conseguem rodar em segundo plano sem que a vtima perceba, podendo ser colocados na pasta usada pela vtima; Criar caminhos alternativos de invaso, logo que a administradora do sistema encontrar uma porta aberta que permita a invaso esta ser fechada, mas se o invasor gerar outras maneiras de invadir o sistema, certamente ter outra chance de invaso, j que teve a preocupao de criar novas rotas alternativas; Utilizar a mquina invadida como porto de entrada para invaso de outras mquinas da rede e at mesmo do computador central.
8.1.1. Tipos de Ataques 8.1.1.1. Trojan Horse (Cavalo de Tria)

O trojan horse, um programa com poder de infectar muitos computadores, tendo capacidade de dar acesso sem restries ao invasor possibilitando executar qualquer ao no computador da vtima, como exemplo podemos citar o NetBus e o BO (Back Orifice) so alguns dos mais conhecidos, embora existam outros que realizam essas tarefas. Normalmente, a distribuio destes programas feita via email, e executadas por usurios desavisados, que no tem antivrus para proteger o sistema, ou quando o antivrus est desatualizado, passando assim despercebido.
29
De modo a facilitar as invases, os trojam horses abrem portas que sero utilizadas na invaso do sistema.
8.1.1.2. Flood
O Flood uma tcnica utilizada para gerar lentido ou at mesmo derrubar um servio, ainda mais se o servidor alvo for de pequeno porte. Essa tcnica consiste em enviar, sem interrupes, diversos disparos de pacotes para o servidor com objetivo de causar um congestionamento.
8.1.1.3. Nuke
Nuke o nome que dado para pacotes TCP ( Protocolo de Controle de Transmisso), UDP ( Protocolo Utilizao de Datagrama ), ICMP ( Protocolo de Controle de Mensagens de Erro) ou IP ( Protocolo de Identificao) com anomalias, onde este tipo de pacote pode fazer com que o servidor alvo se torne lento ou at mesmo chegue a travar devido dificuldade em conseguir identificar ou tratar corretamente o pacote. Exemplificando, podemos imaginar a seguinte situao em que o servidor recebe um pacote alterado com uma solicitao de conexo, onde o endereo de origem deste pacote o mesmo endereo do servidor que recebeu o pacote, sendo assim o servidor tentar estabelecer uma conexo consigo mesmo, possivelmente entrando em um loop, que caso no seja detectado pelo servidor, fatalmente resultar na queda do servio, onde essa queda pode ser a chance que o invasor esperava para entrar no sistema. Basicamente todos os programas de nuke utilizam o mesmo princpio: 1. Definir o alvo dos pacotes (Cliente ou Servidor) 2. Definir o tipo de mensagem de erro enviada (opcional) 3. Definir o host do cliente
30
4. Definir o host do servidor 5. Definir as portas a serem nukadas no cliente 6. Definir as portas a serem nukadas no servidor 7. Definir o intervalo (delay) entre cada pacote enviado (opcional) Uma vez determinados esses parmetros o programa inicia o envio de pacotes de erro. Quanto mais rpida for a conexo com a Internet, menor o intervalo entre os pacotes e mais rpido a vtima vai ser atingida. No lugar da porta do servidor, o mais bvio comear a varredura a partir da porta 6667, que a porta de conexo default para a maioria dos servidores de IRC.
8.1.1.4. Ip Spoofing
Disfarce. isto que este ataque faz. Muitas comunicaes entre computadores na Internet se baseiam em parceiros confiveis. Um computador X pode manter uma comunicao comum com um computador Y de forma que no seja necessria a constante verificao de autenticao entre eles. O invasor, ento, se disfara, dizendo para o computador X que ele o computador Y. Desta forma o computador X vai aceitar seus comandos tranqilamente, enquanto ele usufrui dos servios disponveis do sistema. Detalhando um pouco mais, os pacotes IP possuem um endereo destino e um endereo de origem, onde normalmente o endereo de origem reflete a realidade, mas nada impede que este endereo seja alterado pelo invasor para que o pacote parea ter vindo de um outro lugar. S que no basta apenas isso, alm de enganar o computador de destino, neste caso o X, necessrio que se sobrecarregue o computador Y, para que ele no responda s mensagens de X, o que faria com Y dissesse: Mas eu no te perguntei nada!!!, e ento X cancelaria a conexo. Faz-se necessrio ainda, uma previso do nmero de seqncia mandado por X, onde este nmero enviado por X ao originar a conexo (supostamente o Y). Mas Y no ir responder, devido a sobrecarga explicada anteriormente. Com isso, o invasor deve prever o nmero de seqncia mandado por X para que seja enviado um
31
novo pacote com estes nmeros de seqncia, fingindo novamente ter sido enviado por Y, e assim forjando a autenticao. A previso deste nmero de seqncia um processo demorado e criativo. Durante a negociao da conexo, os computadores trocam informaes para efetuarem o handshake, que seria o aperto de mo entre as mquinas. Dentre essas informaes trocadas esto os nmeros de seqncia, que devem ser repetidos para o destino, para que este se certifique da autenticao da conexo. O que o invasor pode fazer o seguinte: Enviar, atravs de um pacote legtimo, com o endereo de origem verdadeiro, vrios pedidos de conexo X; X responde com um nmero de seqncia, para que o invasor o repita e efetue a conexo, mas a mquina de origem (do invasor) no tem privilgios e no lhe interessa fechar esta conexo; Ento o invasor no responde a estes pacotes de X, apenas os guarda e verifica seu nmero de seqncia. Aps vrios pedidos de conexo com X, o invasor pode aprender como gerar seus nmeros e ento mandar um pedido de conexo, desta vez com endereo de origem sendo Y (o computador confivel). Obviamente, o invasor no vai receber os pacotes de X com os nmeros de seqncia, pois estes iro para o endereo de origem (computador Y, que, a esta altura, precisa estar sobrecarregado para no responde-los), mas com base nos clculos anteriores, o invasor prev e manda o nmero de seqncia correto para o computador X, fechando a conexo. Esta conexo unidirecional, pois todas as respostas de X sero destinadas ao computador Y, e no ao computador do invasor. Ento o invasor age s cegas, pois no recebe nenhum tipo de retorno de X, pelo menos enquanto configura X para aceitar conexes do seu prprio computador. Ao terminar, o invasor tira o disfarce desfazendo a conexo falsa com X, fazendo uma conexo legtima logo em seguida, agora que X pode aceitar conexes confiveis atravs do computador do invasor com todos os privilgios possveis.
32
H dois inconvenientes neste ataque: 1. O trabalho de achar um padro nos nmeros de seqncia; 2. Falta de retorno do computador invadido. Entretanto, existe uma outra categoria de spoofing, que apesar das condies pouco comuns, muito mais eficiente. Neste tipo de ataque, um computador de pouca importncia em uma rede invadido por um mtodo simples qualquer (infelizmente, os computadores que no guardam informaes importantes geralmente so esquecidos no projeto de segurana) e, estando localizado no mesmo meio fsico, onde ocorre uma conexo entre duas mquinas importantes, ele poder captar todo trfego deste meio fsico. Com isso, ele saber os nmeros de seqncia de ambos os lados, podendo assim interceptar este dilogo, pondo-se no lugar de um dos computadores de conexo confivel, tendo total acesso aos dados mais sigilosos. Este tipo de ataque s pode ser eficazmente prevenido atravs de um controle apurado de todos os computadores da rede local, que compartilham o mesmo meio fsico, atravs de uma comunicao confivel baseada em aplicativos de criptografia.
8.1.1.5. Dns Spoofing

A idia bsica deste tipo de invaso fazer com que o servidor DNS permita que mquinas no autorizadas, que neste caso so as mquinas do invasor, passem a ser vistas pelo servidor DNS como mquinas confiveis rede. Para este objetivo ser alcanado, o invasor deve ter controle do host servidor de DNS, e saber o nome de uma mquina que o alvo confia, desta forma, altera-se o registro do DNS que mapeia o endereo IP da mquina confivel para o seu nome, modificando-o para que tenha o endereo da mquina do invasor. A partir de ento, o invasor ter acesso aos servios baseados em autenticao feita por nome. Grande parte dos sistemas j possui mtodos que identificam este tipo de ataque, utilizando para isso uma tcnica conhecida como cross-check, com esta tcnica o nome retornado pela consulta novamente submetido ao servio de nomes. Se o endereo retornado pela consulta for diferente do endereo cross-check, a
33
conexo imediatamente abortada e apontada uma violao de segurana. Esta tcnica pode ser instalada no servidor de nomes e nos servidores de servios com autenticao baseada em nomes.
8.1.1.6. Source Routing Attack

Esse ataque se utiliza dos mecanismos de roteamento disponveis e da opo loose source route do protocolo IP para induzir a mquina alvo a acreditar que o ataque , na realidade, uma operao legtima de uma outra mquina confivel. A opo loose source route disponibiliza um mecanismo para que a origem de um datagrama possa fornecer informaes de roteamento usadas pelos gateways para direcion-lo ao destino. Deste modo um processo pode iniciar uma conexo TCP fornecendo um caminho explcito para o destino, sobrescrevendo o processo usual de roteamento. O protocolo IP especifica que pacotes contendo informaes de roteamento devem retornar sua origem utilizando o caminho reverso das rotas indicadas por ele. Um ataque pode desativar um computador que possui relao de confiana com o computador alvo (utilizando um ataque como Flood, Nuke, etc.) e definir em seu computador o IP do computador desativado. Sejam trs mquinas, X, A e B. Seja a situao em que o intruso em X lana um Source Route Attack em A que confia em B. Os passos de ataque sero os seguintes: 1. O intruso, com algum tipo de ataque desestabiliza B, ou espera at que ela esteja desligada; 2. O intruso configura X para que contenha o endereo IP de B. Neste momento o atacante est personificando a mquina confivel; 3. Neste momento X acessa A. Para isso deve utilizar pacotes IP com opo loose source route ativada e corretamente configurada, contendo um caminho vlido de X para A;
34
4. A aceita as requisies de X pensando que so de B. A partir deste momento X obtm uma conexo legtima com A;
8.1.1.7. Sniffers
Na grande maioria das redes, os pacotes so transmitidos para todos os computadores conectados ao mesmo meio fsico, e cada mquina programada para somente tratar os pacotes destinados a ela. Entretanto, possvel reprogramar a interface de rede de uma mquina para que ela capture todos os pacotes que circulam pelo meio, no importando o destino. A interface de rede que opera deste modo dito em modo promscuo, e esta tcnica denominada snifing. Os ataques baseados em monitoria tm software especfico chamado sniffer, instalado pelos atacantes. O sniffer busca gravar os 128 bytes de cada sesso login, telnet e FTP session vista naquele segmento de rede local, comprometendo todo trfego da rede de/para qualquer mquina naquele segmento, bem como o trfego que passar por aquele segmento. Os dados capturados incluem o nome do host (mquina ) destino, o identificao do usurio (username) e a senha (password). A informao gravada no arquivo que posteriormente ser recuperado pelo atacante que acessa outras mquinas. Em muitos casos os invasores obtm acesso inicial aos sistemas usando uma das seguintes tcnicas: Obtm o arquivo de senhas via FTP em sistemas
impropriamente configurados; Obtm acessos ao sistema de arquivos locais via pontos exportados para montagem com NFS, sem restries; Usam um nome de login e password capturada por um sniffer rodando em outro sistema. J que em um ambiente de rede normal trafegam muitas informaes em sigilo, como, por exemplo, nomes de usurios e senhas, fica fcil para um programa sniffer obter estas informaes. Naturalmente o volume de dados a tratar enorme, mas o trabalho pode ser simplificado atravs de regras simples de filtragem, e pelo fato de ser extremamente fcil detectar o incio de uma conexo TCP.
35
A utilizao de sniffer difcil de ser detectada. Se ele estiver somente coletando dados e no respondendo a nenhuma informao, a nica maneira percorrer fisicamente todas as conexes da rede. Uma maneira de detectar um sniffer em operao atravs dos imensos arquivos gerados por ele. Nota-se ainda que, novamente, um sniffer normalmente requer recursos somente disponveis para usurios administrativos, o que impede o seu uso por usurios normais de um sistema. Diversas medidas podem ser adotadas contra sniffers, mas a maioria delas requer o uso de hardware especfico, como hubs ativos, que enviam a uma rede ou sub-rede somente os pacotes destinados s mquinas localizadas nestas redes, ou ento interfaces de rede que no possuam modo promscuo. No lado dos aplicativos, podem ser utilizados programas que utilizem criptografia ou ento realizem autenticao com mtodos criptogrficos.
8.1.1.8. Vrus
Vrus so programas como outros quaisquer, com a diferena de que foram escritos com o nico objetivo de atormentar a vida do usurio. Para "pegar" um vrus, voc deve obrigatoriamente executar um programa infectado ou acessar um disquete que tenha um vrus escondido. No h outra forma de contaminao. Por isto, difcil pegar vrus atravs de e-mail, por exemplo. Mesmo que voc tenha um programa infectado, caso voc no o execute, o vrus no ir contaminar o seu micro, ou seja, o vrus no de e-mail e sim de um arquivo que esta no e-mail. Na verdade, o micro no "pega" vrus nem "fica" com vrus. Os vrus ficam alojados secretamente dentro de programas ou da rea de boot de disquetes ou do disco rgido. Por este motivo, impossvel que voc compre alguma pea de computador "com vrus"; eles necessitam estar armazenados em algum lugar, normalmente disquetes e discos rgidos. Como so programas, com o micro desligado os vrus no podem fazer nada, mesmo que o micro esteja infectado.
36
8.1.1.8.1. Como Funcionam

Ao executar um programa infectado ou acessar um disquete contaminado, o vrus passa para a memria (RAM) do micro. Estando residente em memria, ele passar a interceptar todas as rotinas de acesso a arquivo e disco do sistema operacional; sempre que um novo arquivo for acessado, o vrus adicionar uma cpia de si prprio neste arquivo (caso o vrus seja um "vrus de arquivo"). Outro tipo de vrus, conhecido como "vrus de boot" no se esconde em arquivos, mas no setor de boot de disquetes e de discos rgidos. Esse tipo de vrus grava uma cpia de si prprio em todos os disquetes que forem inseridos na unidade. Essa a "fase de contaminao", onde o vrus tenta se espalhar o mximo possvel. Repare que o vrus estar ativo a partir do momento em que est carregado em memria (RAM). No caso de vrus de arquivo, eles tratam de infectar logo o arquivo COMMAND.COM, que um dos primeiros arquivos a serem carregados pelo sistema operacional. Como o COMMAND.COM sempre carregado, o vrus sempre estar em memria. No caso de vrus de boot, o vrus carregado antes do sistema operacional, pois h uma modificao na rotina de boot do disquete ou do disco rgido.
8.1.1.8.2. Antivrus
Contra vrus usamos programas antivrus, claro. Acontece que devemos ter muitos cuidados quando usamos um programa deste tipo. O antivrus deve ser o mais recente possvel, de forma a detectar vrus mais novos. Alm disto, o programa deve ser recente o bastante para reconhecer e eliminar vrus de macro. Todos os antivrus mais novos eliminam vrus de macro. O maior cuidado que devemos ter em relao a descontaminao. Alguns vrus (como o AntiEXE, por exemplo) "tapeiam" o antivrus. Caso voc execute o antivrus com o vrus na memria, o programa acusa que no h nenhum vrus em seu micro! Alm disto, caso voc execute um programa antivrus diretamente do disco
37
rgido de um micro com vrus, o mais provvel de ocorrer o prprio antivrus ser contaminado! Por isso, voc dever utilizar o antivrus atravs de um disquete "limpo" (descontaminado). Vejamos passo-a-passo como proceder: Prepare um disquete de boot "limpo" em um micro que voc tenha certeza absoluta que no h vrus. Utilize o comando FORMAT A: /S para esta operao. Em seguida, copie o programa antivrus para o disquete. Caso o programa no caiba inteiro no disquete, elimine arquivos desnecessrios para a sua execuo, como arquivos ZIP, arquivos com extenso DOC e TXT e arquivos do tipo README. Crie um AUTOEXEC.BAT no disquete para que o programa antivrus seja executado automaticamente. Isto pode ser feito com o comando EDIT A: \AUTOEXEC.BAT. Basta voc colocar no AUTOEXEC.BAT o comando necessrio para executar o antivrus. No caso do F-Prot, bastaria colocar a linha "f-prot". O seu disquete "caa-vrus" est criado. Quando voc quiser execut-lo, basta inseri-lo no drive e ligar o micro (ou dar um "reset"). Voc dever verificar se o micro est com o boot habilitado pelo drive A de modo que voc possa utilizar o seu disquete. Isto pode ser feito entrando-se no setup do micro (basta ficar pressionando a tecla [DEL] durante a contagem de memria), alterando a opo "Boot Sequence" (presente em "Advanced Setup") para "A,C". Todos os antivrus possuem verses shareware e que voc poder obter de graa na Internet.
8.1.1.8.3. Vrus: Dvidas Mais Comuns

Como eu pego um vrus? Atravs de um disquete ou arquivo contaminado ou ainda atravs de documentos do Word e do Excel, no caso de vrus de macro. Por este motivo muito importante que voc passe um antivrus em todos os disquetes que voc trouxer do trabalho, do curso ou for emprestado por amigos, por mais inocentes que os disquetes possam parecer.
38
Um vrus pode "destruir" o meu computador? Literalmente falando, no. O mximo que os vrus fazem destruir dados ou corromper programas. O seu hardware (ou seja, a parte fsica do seu micro) no tem como ser "destrudo" ou "queimado" por um vrus. Por este motivo, nunca deixe de fazer cpias de segurana (backup) de seus arquivos de dados.
Posso pegar um vrus pela Internet? Sim, pode. Mas importante lembrar que voc precisa executar o vrus. O fato de baixar um arquivo ou abrir o seu correio eletrnico (e-mail) no faz com que um vrus seja ativado. Em outras palavras, voc obrigatoriamente precisa "rodar" um arquivo que esteja contaminado, ou ento abrir um documento infectado por um vrus de macro no Word para que o vrus seja ativado.
Existem vrus de e-mail? E estas mensagens de alerta que de vez em quando recebo avisando sobre um novo vrus de e-mail? No existem vrus de e-mail. Mensagens contendo alertas sobre novos vrus que so pegos via e-mail so completamente falsas. Trata-se de spam, circular uma notcia falsa pela Internet. Quando voc receber uma mensagem deste tipo, responda a quem te enviou para parar e alerte-o que se trata de uma notcia falsa. Atravs de email voc pode pegar vrus atravs de arquivos anexados (attach). Entretanto o vrus estar no arquivo e no no e-mail. Este procedimento equivale a um disquete emprestado por um amigo: o arquivo pode ou no estar contaminado.
Eu posso pegar vrus atravs de fotos (arquivos GIF e JPG) que eu pegue na Internet ou atravs de algum amigo? No. Os vrus se propagam somente atravs de arquivos executveis (extenses EXE, COM, SYS, DLL, etc). Como imagens so arquivos de dados e no de programas, nunca sero executados e, por isto, no h sentido um vrus se
39
propagar em um arquivo deste tipo. O nico tipo de vrus que contamina arquivos de dados o vrus de macro, que se alastra atravs de arquivos do Word ou do Excel.
Quais so os sintomas tpicos de um micro infectado? Os vrus possuem duas fases: a de contaminao e a de ataque. Em geral, quando chega fase de ataque, voc logo perceber que o seu micro est infectado, pois os vrus, em geral, avisam que esto realizando um "estrago" (algo como "ha h ha! Voc pegou o vrus xpto e agora estou apagando todos os dados de seu disco rgido!"). Na fase de contaminao, geralmente o micro fica mais lento e apresentando problemas aleatrios, tais como travamentos e alteraes no comportamento normal do micro. Em relao aos vrus de macro, eles so ativados imediatamente aps a contaminao de Word. Em geral, o Word fica com um comportamento anormal, trocando opes e comandos.
8.2.
Preveno Contra Ataque Firewall
8.2.1.
Um Firewall e um conjunto de polticas de segurana que tem como objetivo tentar fazer uma segurana eficiente, mas sabendo que esta segurana nunca ser cem porcento. E alem disso existe um Firewall software. Uma das grandes preocupaes na rea de segurana de redes a vulnerabilidade de um computador, que pode comprometer as transmisses pelo meio fsico da rede na qual o mesmo est ligado. Muito se tem feito para que o equipamento computacional ( host ) esteja seguro, impedindo o acesso indevido a seus dados e monitorando qualquer tentativa de invaso. Entretanto, um outro mtodo tem se mostrado bastante eficiente: impedir que informaes indesejadas entrem na rede como um todo. No um mtodo substituto segurana do host, ,mas complementar, e consiste no seguinte: na ligao da rede interna com Internet, instala-se um
40
equipamento que permitir, ou no, a entrada e sada de informao, baseada em uma lista de permisses e restries, devidamente configuradas para suprir as necessidades bsicas de comunicao da rede interna com a Internet e vice-versa. Nem mais nem menos. Esta configurao a chave do sucesso ou fracasso de um firewall. importante lembrar que o firewall deve estar presente em todas as conexes da rede com a Internet. No adianta nada colocar um firewall super sofisticado na ligao do backbone se dentro da rede interna, existe um micro conectado com outra rede.
8.2.1.1. Decises do Projeto de um Firewall

A utilizao de um firewall implica na necessidade de conectar uma Intranet ao mundo externo, a Internet. Para tanto, podemos formular um projeto de firewall especfico, implicando em algumas perguntas que se fazem necessrias quando da aquisio destas polticas:
Gostaramos que usurios baseados na Internet fizessem upload ou download de arquivos de ou para o servidor da empresa? H usurios especficos (como concorrentes) aos quais desejamos negar acesso? A empresa publicar uma pgina Web? O site prover suporte Telnet a usurios da Internet? Os usurios da Intranet da empresa devero ter acesso a Web sem restries? Sero necessrias estatsticas sobre quem est tentando acessar o sistema atravs do firewall? H pessoal empenhado na monitorao da segurana do firewall? Qual o pior cenrio possvel, caso uma ameaa atinja a Intranet? Os usurios precisam se conectar a Intranets geograficamente dispersas?
41
8.2.1.2. Filtragem de Pacotes

Essa a maneira mais simples de se construir um firewall. Geralmente utilizadas em roteadores, as listas de acesso tm uma tima relao custo X benefcio: os roteadores j possuem estas facilidades, basta sentar e aprender a configur-los; a filtragem bem eficiente, invisvel e rpida (se o roteador for de boa qualidade). Mas ento o que vamos configurar? Os roteadores (que toda rede em conexo com Internet possui) tem um papel muito simples: interligar duas ou mais redes e fazer o transporte de pacotes de informaes de uma rede para outra, conforme sua necessidade. Mas muitos destes roteadores, alm de identificar o destino do pacote e encaminh-lo na direo certa, elas checam ainda: a direo dos pacotes; de onde veio e para onde vai (rede interna e Internet); endereo de origem e destino; tipo de pacote; portas de conexo; flags do pacote e etc. Estes pontos de conexo da Internet com a rede interna podem receber uma srie de regras para avaliar a informao corrente. So as listas de acesso que definem o que deve e o que no deve passar por este ponto de conexo. Elas so mais ou menos assim:
[Nmero da regra]
[Sim / No] [Protocolo]
[Origem] [Destino]
[Opes]
Tabela 3 Cabealho de pacote
A opo sim/no equivale a permitir a passagem do pacote/negar a passagem do pacote e em opes definiremos os flags do pacote e portas de destino. Claro, esta uma generalizao das sintaxes mais comuns, o que nos permite ter uma idia geral de como isto pode ser configurado.
42
Vamos supor que ns quisssemos impedir o acesso a nossa rede interna para que no seja possvel uma conexo Telnet (pacotes TCP da porta 21) com nossos hosts (pelo menos conexes vindas da Internet). Este filtro, logicamente, deveria ser colocado na interface de entrada dos pacotes externos na rede interna. Pela sintaxe do exemplo ficaria assim:
[Nmero da regra] [Sim / No] [Protocolo] Regra #1 No TCP
[Origem] [Destino] Qualquer Interno
[Opes] Porta 23
Tabela 4 Exemplo 1 de cabealho de pacote
Ou seja, negar todos os pacotes TCP para a porta 23 vindos da Internet em direo a qualquer mquina da rede interna. Isto funciona muito bem. Mas vamos supor que, em algum canto da Internet, exista um funcionrio da nossa empresa que precise abrir sesses Telnet, com isso ele vai ficar chateado com a situao. Ento poderamos fazer o seguinte: procurar saber exatamente de onde ele est tentando se conectar e permitir a entrada de seus pacotes.
[Nmero da regra] [Sim / No] [Protocolo] Regra #1 Regra #2 No Sim TCP TCP
[Origem] Qualquer
200.254.36.147
[Destino] [Opes] Interno Interno Porta 23 Porta 23
Dessa forma, os pacotes vindos de 200.254.36.147 (isto apenas um exemplo) poderiam passar pelo roteador. uma brecha na segurana? Sem dvida! Mas cabe a este funcionrio tomar conta do seu computador, impedindo que ataques se originem debaixo do seu nariz.
43
preciso criar uma regra nova para cada restrio ou permisso? No, necessariamente. Se duas restries no forem excludentes (que no o caso do exemplo anterior) elas podem fazer parte da mesma regra, isto , terem o mesmo nmero. Baseado nesta ordem podemos definir uma poltica para segurana da rede. A primeira opo seria liberar tudo e negar servios perigosos; a segunda seria negar tudo e liberar os servios necessrios. Sem dvidas a segunda mais segura, entretanto, os funcionrios da rede interna podem precisar acessar livremente a Internet como forma de trabalho, e a manuteno desta lista seria to trabalhosa, visto que a proliferao de programas na Internet muito grande que, em pouco tempo estaramos em um emaranhado de regras sem sentido. Ento vamos pelo caminho mais simples, negar apenas os servios perigosos. Ento vamos nos prender a um pressuposto simples: os servios disponibilizados em portas menores que 1024 so perigosos. Caso no saiba, estas portas so destinadas a servios que precisam ser executadas com privilgios de root, e o comprometimento de um servio nesta porta estaria pondo as chaves de casa nas mos do ladro. (Obs: os servios NFS, porta 2049 e x-window, porta 6000, apesar de no estarem rodando nas portas privilegiadas, so considerados perigosos demais e tambm sero bloqueados).
[Nmero da regra] Regra #1 Regra #1 Regra #1
[Sim / No] [Protocolo] No No No TCP TCP UDP/TCP
[Origem] Qualquer Qualquer Qualquer
[Destino] [Opes] Interno Interno Interno Porta 2049 Porta 6000 Porta < 1024
A liberao de todas as portas necessria porque os clientes dos usurios da rede interna (browsers, mails, telnets, etc.) utilizam uma infinidade delas. Seria impossvel (ou quase) liberar apenas as necessrias. Aparentemente estas regras
44
resolveriam o problema, no fosse o seguinte fato: os servidores geralmente so executados em portas baixas (<1024), mas nada impede que um funcionrio da rede execute um servidor de Telnet (que geralmente fica na porta 23), por exemplo, na porta 3456. No pense que isto muito difcil de acontecer. Muita gente se utiliza deste mtodo para escapar justamente das limitaes impostas pelo firewall da sua empresa. Para eles timo, pois podem navegar pela rede da empresa sem estar fisicamente l, baixar arquivos, tirar relatrios, modificar configuraes, etc. Mas como foi dito anteriormente, os roteadores verificam um campo chamado flags de pacote, que nada mais do que uma sinalizao entre os computadores que se comunicam que identificam alguns estados em que um pacote se encontra. Analisaremos um estado bem interessante, o flag ACK (de acknowledgment) identifica que este pacote uma resposta a um pedido, ou seja, que pertence a uma conexo j existente. Os pedidos de conexo originais no possuem o flag ACK. Ai est a chave para o bloqueio da conexo nos servidores dos funcionrios irresponsveis.
[Nmero da regra] [Sim / No] [Protocolo] Regra #1 Regra #2 No No IP TCP
[Origem] Interno Qualquer
[Destino] [Opes] Qualquer Interno Flag ACK
Desta forma, todos os pacotes com o flag ACK ativado poderiam entrar na rede interna, mas outros (que muito provavelmente estariam fazendo uma tentativa de conexo) seriam bloqueados. importante lembrar que estas regras se aplicam a cada interface do roteador, ou seja, a regra nmero 1 seria aplicada na interface do roteador com a rede interna e, a nmero 2, na interface do roteador com a Internet. O sentido em que a informao passa pelo roteador deve ser levado em considerao. Primeiro que com este truque do ACK s podemos impedir os pacotes TCP. O UDP no possui este flag, e agora? Neste caso, ou proibimos todos os pacotes UDP, ou liberamos todos e contaremos com a sorte.
45
O segundo motivo para a preocupao o FTP. Os clientes de FTP (assim como todos os outros clientes) iniciam a comunicao com uma porta local alta, vamos supor que fosse a 2030, direcionada porta 21 do servidor FTP do qual se deixa baixar o arquivo. At ai tudo bem, est dentro da ltima regra imposta pela filtragem de pacotes. O problema o seguinte: a conexo FTP possui duas portas: uma para controle e outra para transmisso dos arquivos. Voc, ao se conectar no servidor de FTP (porta local 2030, porta remota 21), os computadores negociam, atravs das portas 2030/21, uma porta local para transferncia do arquivo, vamos supor 2055, que receber o arquivo do servidor FTP originado na porta 20. S que, quem faz o pedido de conexo na porta 2055 o servidor FTP, portanto, o pacote tornar a entrar na rede em uma porta alta sem o flag ACK acionado. Seria barrado no ato! O fator principal para esta baguna a aleatoriedade com que os programas escolhem uma porta local para transmisso do arquivo. O nico jeito de se conseguir baixar os arquivos por FTP seria liberando novamente as portas altas, mas como vimos, esta no uma atitude aceitvel. H uma outra maneira bastante interessante de se contornar este problema, mas os recursos necessrios para isso so um pouco mais difceis de se encontrar: podemos filtrar pacotes baseados na porta de *origem* em que foram criados. A regra ficaria mais ou menos assim:
[Nmero da regra] [Sim / No] [Protocolo] Regra #1 Regra #1 Regra #1 Sim Sim Sim IP TCP TCP
[Origem] Interno Qualquer

Qualquer Porta 20
[Destino] Qualquer Interno

Interno Porta >1023
[Opes]
Flag ACK
Tabela 8 Exemplo 5 de cabealho de pacotes
46
lgico que isto somente reduziria um pouco os problemas, at porque nada impede que o invasor utilize justamente a porta 20 para passar pelo firewall. O nico inconveniente que ele precisaria ter privilgios de root no sistema de origem do ataque para poder usar estas portas de nmero baixo. Mas s se estiver usando o sistema operacional Unix, pois se estiver em DOS no h maiores problemas para o invasor. O mais importante nestas regras o fato de que, com elas, o nmero de pessoas que vai desistir da invaso sem ao menos tentar entender o motivo da falha de 90%. A grande maioria dos invasores utiliza um planejamento definido (como se fosse uma receita de bolo) para as invases. E o firewall uma excelente arma contra estas pessoas.
8.2.1.3. Filtros Inteligentes

Pensando nas dificuldades de configurao e falta de recursos dos roteadores para a implementao dos filtros de pacotes, muitos fabricantes criaram ferramentas para fazer este tipo de filtragem, desta vez baseada em um host (computador) especfico para esta tarefa, localizada nos pontos de conexo da rede interna com a Internet. Os chamados filtros inteligentes so aplicaes executadas em, por exemplo, computadores ligados ao roteador e rede interna. O trfego de um lado para outro se d (ou no) conforme as regras estabelecidas nas aplicaes. Apesar de esta soluo requerer um equipamento extra, ela nos d uma srie de vantagens sobre os filtros baseados em roteador, principalmente no que diz respeito monitorao de acesso. Roteadores que possuem algum tipo de log, no guardam informaes muito precisas sobre as tentativas de conexo na (ou da) rede interna, enquanto os filtros inteligentes possuem vrios nveis de logs, nos quais possvel (e bastante recomendvel) perceber os tipos de tentativa de acesso, e at definir certas aes caso um evento em especial relacionado segurana acontea.
47
Uma outra caracterstica interessante dos filtros inteligentes a tentativa de implementar um controle de pacotes UDP, guardando informaes sobre eles e tentando improvisar o flag ACK. Montando-se uma tabela de pacotes UDP que passam, pode-se comparar os pacotes UDP que retornam e verificar se eles so uma resposta ou se so uma tentativa de novo contato. Mais uma vez vale a pena lembrar que: nem mesmo os filtros inteligentes so substitutos para a segurana dos computadores internos. Fica fcil visualizar a quantidade de problemas se seus computadores da rede interna no apresentarem nenhum nvel de segurana e o firewall for comprometido. Lembre-se: Nenhum colete prova de bala lhe proteger se algum enfiar o dedo no seu olho....
8.2.1.4. Servidores Proxy

O servidor proxy tem duas funes, a primeira e fazer com que a internet enxergue a intranet apenas como um maquina, com isso tornando a rede segura e a outra funo armazenar paginas web para sua rede interna caso precise de atualizaes o servidor proxy vai buscar na internet. Neste sistema, temos um gateway (computador que faz uma ligao) entre o nosso computador e o servidor que desejamos acessar. Esse gateway possui uma ligao com a rede externa e outra com a rede interna. Tudo que passa de uma rede para outra deve, obrigatoriamente, passar pelo gateway. O fato de terem duas ligaes lhe confere o nome de Gateway de Base Dupla. O seu funcionamento simples, mas de funcionalidade trabalhosa: Vamos supor que ns queremos acessar um servidor de FTP em uma rede que possua este gateway de base dupla. Primeiro, ns precisamos nos conectar ao Proxy (gateway), e dele nos conectar ao servidor FTP. Ao baixar o arquivo, este no chegar direto at ns, e sim at o Proxy. Depois de encerrada a transferncia do arquivo at o Proxy, ns o transferimos, do Proxy at o nosso computador. O conceito relativamente simples, mas isto implica em alguns problemas.
48
H um outro tipo de Proxy que facilita um pouco as coisas: os proxies de aplicao. Este, ao invs de fazerem com que o usurio se conecte com o destino atravs do Proxy, permite ao usurio a conexo atravs do seu prprio computador para que transfira as informaes diretamente, desde que passe nas regras estabelecidas no Proxy de aplicao. Ao se conectar no Proxy de aplicao, este oferece as opes que o usurio tem disponvel na rede, nada mais, e isto diminui a chance de livre arbtrio do usurio, como acontece nos gateways simples ou de base dupla, em que o usurio tem acesso ao sistema para se conectar a mquinas internas da rede. Entretanto, uma das principais vantagens destes proxies a capacidade de esconder a verdadeira estrutura interna da rede. Vejamos como: ao tentar conectar a uma rede que possui este tipo de Proxy, eu no preciso saber nada alm do nmero IP deste servidor. De acordo com o tipo de servio pedido pela minha conexo, o servidor de Proxy a encaminha para o servidor que trata deste servio, que retorna para o Proxy, que me responde o servio.
8.2.1.5. A Arquitetura dos Firewalls

Construir um firewall decidir quais polticas de segurana sero utilizadas, ou seja, que tipo de trfego ir ou no ser permitido na Intranet. Podemos escolher entre um roteador que ir filtrar pacotes selecionados, ou usar algum tipo de software proxy que ser executado no computador, alm de outras polticas. No geral, uma arquitetura firewall pode englobar as duas configuraes, podendo assim maximizar a segurana da Intranet, combinando um roteador e um servidor proxy no firewall. As trs arquiteturas de firewall mais populares so: Dual-Homed Host Firewall, Screened Host Firewall e Screened Subnet Firewall, sendo que os dois ltimos usam uma combinao de roteadores e servidores proxy.
8.2.1.5.1. Dual-Homed Host Firewall
49
Um Dual-Homed Host Firewall uma configurao simples, porm muito segura, na qual dedicamos um computador host como fronteira entre a Intranet e a Internet. O computador host usa duas placas de rede, separadas, para se conectar a cada rede, conforme mostra a figura abaixo. Usando um firewall deste tipo, necessrio desativar as capacidades de roteamento do computador, para que ele no conecte as duas redes. Uma das desvantagens desta configurao a facilidade de ativar inadvertidamente o roteamento interno.
Internet H ub H os t c om duas plac as de rede
Figura 8 Configurao do Dual-Homed Host Firewall Fonte: [BREMMER, 1998] O Dual-Homed Host Firewall funciona rodando um proxy a nvel de circuito ou a nvel de aplicativo. Conforme visto anteriormente, o software proxy controla o fluxo de pacotes de uma rede para outra. Como o computador host dual-homed (conectado s duas redes), o firewall host v os pacotes de ambas, o que permite rodar o software proxy para controlar o trfego entre elas.
8.2.1.5.2. Screened-Host Firewalls

Muitos projetistas de rede consideram os screened-host firewalls mais seguros do que os Dual-Homed Host Firewalls, isto porque, acrescentando um roteador e colocando um computador host fora da Internet, possvel ter um firewall bastante eficaz e fcil de manter. A figura abaixo mostra um Screened-Host Firewall.
50
Internet
H ub
R oteador
Figura 09 Configurao do Firewall Screened-Host Fonte: [BREMMER, 1998] Como podemos ver, um roteador conecta a Internet Intranet e, ao mesmo tempo, filtra os tipos de pacotes permitidos. Podemos configurar o roteador para que ele veja somente um computador host na rede Intranet. Os usurios da rede que desejarem ter acesso Internet devero fazer isso por meio deste computador host, enquanto que o acesso de usurios externos restringido por este computador host.
8.2.1.5.3. Screened-Subnet Firewalls

Uma arquitetura Screened-Subnet isola ainda mais a Intranet da Internet, incorporando uma rede de permetro intermedirio. Em um Screened-Subnet Firewall, o computador host colocado na rede de permetro, onde os usurios podero acess-lo por dois roteadores separados. Um roteador controla o trfego da Intranet e o outro, o trfego na Internet. A figura 9 mostra um Screened-Subnet Firewall.
H os t
Internet
H ub
R oteador
R oteador
Figura 10 Configurao do Firewall Screened-Subnet Fonte: [BREMMER, 1998]
51
Um Screened-Subnet Firewall proporciona formidvel defesa contra ameaas. Como o firewall isola o computador host em uma rede separada, ele reduz o impacto de uma ameaa para este computador, minimizando ainda mais a chance da rede interna ser afetada.
8.2.2. Criptografia
A Criptografia tem suas origens a muitos anos. Comenta-se que o imperador Romano Jlio Csar teria sido o primeiro a empreg-la, pois no confiava no mensageiro e havia o risco dele ser capturado, no caso de uma guerra. O mtodo utilizado por Csar era simples: ele reescrevia a carta somando 3 a posio da letra, ou seja, o "A" (1) passaria a ser "D" (4), o "B" (2) "E" (5) e assim sucessivamente, imaginado as letras dispostas em crculo, ou seja, a lista no termina no "Z" mas continua da no "A" novamente. Hoje a Criptografia utiliza tcnicas muito mais complexas que as de Csar Augusto, mas a sua idia ainda empregada. Uma ligeira modificao de sua idia original consiste, em vez de trocar cada caracter por ele + 3, troc-lo por ele + "n". Para descriptografar, portanto, o receptor dever saber o valor de "n". Introduzimos ai o conceito de "chave". J no basta o receptor conhecer apenas o mtodo empregado, mas tambm deve conhecer a chave. Esta tcnica, no entanto, fcil de ser quebrada (manualmente, pois com o auxlio de computadores muito fcil testar se um "A" foi substitudo por algum dos outros 25 caracteres existentes) tendo-se em vista uma tabela de freqncia para lngua utilizada. Por exemplo, no ingls, estudos comprovam que as letras mais usadas so: e, t, o, a, n, i, etc. Precisaramos apenas de uma tabela com suas freqncias. Algo do tipo: 23% de e, 19% de t, etc. Verificamos ento qual a letra que se repete 23% no texto, digamos o "w". Ento podemos supor que o "W" esteja aqui substituindo o "E". Com algumas tentativas logo encontraremos uma palavra que faa sentido e a "chave" foi descoberta.
52
Outra maneira de "embaralhar" um texto atravs da transposio. Neste mtodo no h troca de caracteres e cada um representa ele mesmo. H, no entanto, uma reordenao dos mesmos, isto , eles so escritos fora de ordem. Podemos dizer que escrever um texto ao contrrio uma forma bastante rudimentar de transposio. Uma outra seria dispor os caracteres em uma tabela de "n" colunas (chave) e reescreve-los por colunas (tabela 1). Neste caso o nmero de linhas ser definido pelo tamanho do texto. Para descriptograf-lo, devemos conhecer a chave, ou seja, o nmero de colunas usadas, dispor o texto cifrado nestas colunas, achando, portanto o nmero de linhas, e reescrever o texto em outra tabela de mesma dimenso, porm, trocando linhas por colunas. Um exemplo mais interessante mostrado a seguir. Neste, a chave uma string de caracteres no repetidos, e a quantidade de caracteres define o nmero de colunas usadas. Numera-se, ento, as colunas de acordo com a posio do caracter no alfabeto (a=1, b=2, etc) e reescreve-se o texto com as colunas na ordem certa.
1 r s o t r
2 E D M A E
3 d e p d s
4 E C U O -
1 2 3 4 5
1 R R A P C
2 S E E D U
3 o d d s o
4 t m e e -
Texto original: redesdecomputadores Texto cifrado: rsotredmaedepdsecuo
chave: 4 (4 colunas)
Tabela 9 Data Encrypton Standart (DES) Vamos dar uma rpida olhada em um algoritmo muito polmico, o DES. Produzido inicialmente pela IBM, o DES utilizava uma chave de 128 bits, mas ao ser padronizado pela NSA (National Security Agency) acabou ficando com 56 bits. Havia suspeita de que a NSA definiu o tamanho em 56 bits porque conhecia tcnicas de quebr-lo com esta chave. De qualquer forma, ele j no mais considerado seguro. O DES utiliza vrios estgios de criptografia e utiliza vrias tcnicas simultaneamente, entre elas a substituio, transposio e OU exclusivo bit a bit, o que garante a no correspondncia de freqncia de caracteres (verificao estatstica dos caracteres que mais se repetem). So ao todo 19 estgios sendo que
53
16 deles utilizam chaves diferentes, todas parametrizadas da chave original de 56 bits. O texto ento cifrado em blocos de 64 bits, justamente este o fato que enfraquece sua segurana. Quando ciframos blocos de 64 bits temos, ento, que cada bloco resultar em um novo bloco cifrado e para cada bloco igual, com a mesma chave ser gerado um mesmo bloco cifrado. Isto na verdade apenas um algoritmo de substituio, idntico ao de Jlio Csar, s que ao invs de 8 bits, usamos agora 64. Podemos dizer que cada bloco poder ser substitudo por algum outro em um universo de 264-1 candidatos. Alm disso, um bloco de texto cifrado pode ser facilmente substitudo por outro bloco de texto cifrado sem perder a coerncia. Um exemplo prtico: as notas de uma disciplina criptografadas com DES e enviadas para a secretaria. Um dos alunos no gostou de sua nota e deseja mudar esta situao. Ele intercepta a mensagem, mas no consegue decifr-la, sabe, porm que ela cifrada em blocos de 64 bits. Tudo que ele tem que fazem descobrir qual desses blocos corresponde a sua nota, pegar o mesmo bloco de um outro aluno (com uma nota melhor) e copi-lo para o seu bloco correspondente.
Nome Fulano Ciclano Beltrano Nota prova 9,5 8,0 6,0 Nota trabalho 8,5 8,5 5,0
Tabela 10 Exemplo de falha no DES Para melhorar a segurana no DES, pode-se fazer um encadeamento entre os blocos, como, por exemplo, fazer um OU EXCLUSIVO de um bloco com o seu bloco anterior. Neste caso o "Beltrano" no alcanaria seu objetivo, pois o texto ficaria inteligvel aps o bloco de sua nota, porque os blocos subseqentes fizeram um OU EXCLUSIVO com a suas notas originais. Outras modificaes foram sugeridas para remendar o DES, sendo uma delas fazer trs vezes a criptografia com duas chaves de 56 bits (como se fosse uma de 112 bits), mas mesmo assim, o DES no deve ser usado para coisas realmente confidenciais.
54
8.2.2.1. Criptografia com chave pblica e privada

Temos, contudo, um problema com algoritmos de chave nica: como dar a chave com segurana s partes envolvidas? Para resolver este problema foram criados algoritmos com chave pblica e privada. A idia a seguinte: voc criptografa com a chave pblica, mas s possvel descriptografar com a privada, ou vice-versa. Ou seja, se voc deseja receber seu extrato do banco, por exemplo, e quer ter a certeza de que somente voc o receber, tudo o que tem a fazer enviar a chave pblica para o banco. No importa se programas "Sniffers" capturem sua mensagem e outras pessoas conheam sua chave pblica. por isso que chamada de pblica. Quando o banco enviar seu extrato criptografado com esta chave, s ser possvel decriptograf-la com a chave privada que voc no enviou! O contrrio tambm pode ser til: voc criptografa uma mensagem com a sua chave privada e a envia. Qualquer um que conhea sua chave pblica ser capaz de descriptografa-la... Mas ento, qual a vantagem? A vantagem disto que quem ler sua mensagem saber que ela s poderia ter sido escrita por voc, pois somente voc conhece sua chave privada. Esta ltima, do ponto de vista das redes (mquinas) nos interessa mais, pois permite fazer a identificao da origem. Os algoritmos de chave pblica e privada exploram propriedades especficas dos nmeros primos e, principalmente, a dificuldade de fator-los, mesmo em computadores rpidos. Como exemplo temos o RSA, nome dado pelas iniciais de seus autores (Rivest, Shamir e Adleman). O problema desses algoritmos que eles so muito lentos e inviveis em alguns casos em que se deseja desempenho. Uma soluo inteligente usar um algoritmo de chave pblica para enviar uma chave privada outra parte e depois a criptografia se d somente com a chave privada que mais rpida.
8.2.2.2. Uso de Criptografia em Redes
55
Podemos ento garantir uma comunicao segura na rede atravs da implantao de criptografia. Podemos, por exemplo, implantar a criptografia na gerao dos pacotes, ou seja, apenas as mensagens enviadas de mquina para mquina sero criptografadas. O nico problema disso continua sendo a escolha das chaves. Se implementarmos criptografia com chave simples (uma nica para criptografar e descriptografar) temos o problema de fazer com que todas as mquinas conheam esta chave, e mesmo que isso possa parecer fcil em uma rede pequena, redes maiores que no raramente atravessam ruas e avenidas ou mesmo bairros isto pode ser invivel. Alm no mais, talvez queiramos estabelecer conexes confiveis com mquinas fora de nossa rede e no ser possvel estabelecer uma chave neste caso e garantir que somente as mquinas envolvidas na comunicao a conhecem. Se, contudo, criptografarmos as mensagens com chave pblica e privada, temos o problema de conhecer todas as chaves pblicas de todas as mquinas com quem queremos estabelecer comunicao. Isto pode ser difcil de controlar quando so muitas maquinas.
8.2.2.3. Compartilhamento de Chave Privada

Uma proposta para resolver o problema do sigilo com chave nica, mas sem preestabelec-la foi proposto por Diffie e Hellman. A proposta dos autores possibilita que uma chave privada seja estabelecida e esta compartilhada de forma segura pela rede. Resumidamente consiste no seguinte: ambos os usurios (ou mquinas) escolhem dois nmeros primos, n e g. Obviamente isto ter que ser de acordo com ambos e, portanto so pblicos, pois tiveram que envia-los pela rede. Cada um, no entanto seleciona mais um nmero, este bem extenso (no precisa ser primo), digamos x e y (x para o remetente - R - e y para o destinatrio - D). Esses nmeros sero exclusivos de cada um e no sero compartilhados. R ento comea a comunicao e envia para D os seguintes dados: (n, g, gx mod n). Observe: n e g so pblicos, mas x privado e no foi enviado, foi enviada sim uma operao
56
matemtica envolvendo-o. Da mesma forma, D responde com (gy mod n). Por propriedades matemticas temos que (gy mod n)x = (gx mod n) cada um pode, individualmente calcular a chave. No ser possvel para nenhuma outra mquina calcular a chave, pois ela no conhece nem x nem y. Vejamos um simples exemplo (o tamanho dos nmeros primos envolvidos define o grau de segurana). Assumiremos n=47, g=3, x=8 e y=10. Bem, n e g ento so pblicos e de conhecimento de todos. X e Y so exclusivos de cada mquina. A mquina X envia ento para a Y: n, g, gx mod n, ou seja, envia 47, 3 e 28 (38 mod 47) e recebe de Y: 17 (310 mod 47). A mquina X calcula sua chave: (178 mod 47) e acha 4. J a mquina Y calcula a sua: (288 mod 47) e acha 4 tambm. Ambas tm agora uma chave compartilhada: 4. Uso de criptografia na gerao de pacotes cria-se o que se chama de tnel criptografado, mas seu emprego no resolve todos os problemas de segurana. Nada impede, por exemplo, que algum capture estas mensagens e as reutilize posteriormente (ataque por repetio). Por exemplo, digamos que uma empresa faa uma encomenda de produtos ao seu fornecedor e que toda a transao seja criptografada. Um intruso poder capturar todos os pacotes. Tudo bem, ele no conseguir entende-los mesmo. Mas digamos que ele comece a reenviar estes mesmos pacotes, forjando o endereo. O fornecedor pensar que o seu cliente est comprando novamente e na mesma quantidade! Bem, com um protocolo de desafioresposta isto resolvido (o firewall tambm pode ser configurado para no aceitar pacotes de fora com endereo de uma mquina interna, mas no resolve se a mquina intrusa" pertencer mesma sub-rede, ou seja, no passar por ele).
8.2.2.4. Desafio-Resposta
O conceito de desafio-resposta usado em protocolos de autentificao prope que cada mquina gere um desafio outra. Se a outra conseguir resolve-lo, garantese a autenticidade dela. Como cada mquina tem sua chave pblica e privada, ou ainda, ambas tem uma nica chave privada compartilhada, uma delas gera um nmero aleatrio e envia a outra. Esta por sua vez, criptografa-o usando sua chave (privada) e envia de volta. Se esta conseguir descriptograf-la usando a chave pblica
57
de destino (ou a mesma privada, no caso de compartilhamento de chaves), confirmase a autenticidade do destino. Se necessrio, o destino tambm poder enviar um desafio origem, para se certificar de sua autenticidade. Aps ambos estarem certos em relao outra a comunicao poder ser estabelecida. Ser impossvel ao intruso estabelecer uma conexo usando pacotes originais de ambas as mquinas, porque no desafio os nmeros gerados so aleatrios. Esta tcnica tambm pode ser usada para o caso de criptografia de todas as mensagens, apesar de ser desnecessria em virtude do alto custo de performance imposto. Assim que ambas as mquinas se certificarem da autenticidade uma da outra, uma comunicao sem criptografia pode ser estabelecida. Perde-se, contudo o sigilo, mas garante-se a autenticidade. Uma alterao feita neste algoritmo foi proposta para minimizar as comunicaes. Ao invs de termos quatro mensagens para garantirmos a autenticidade (A envia desafio, B envia resposta, B envia desafio, A envia resposta) passariam a ter somente trs, pelo mesmo conceito de mensagens de "carona": A envia desafio, B envia resposta + seu desafio, A envia resposta. Esta alterao, contudo, possibilitou o chamado "ataque por reflexo" se cada mquina aceitar vrias conexes simultneas (na maioria dos casos). Este ataque consiste no seguinte: suponhamos que A e B utilizem esta tcnica para certificar-se da identidade uma da outra e utilizem uma chave privada compartilhada. Por questes de desempenho, elas no desejam criar um "tnel criptografado". Digamos que exista tambm um I (intruso) que tem interesse em se passar por A. I ento comea a conexo enviando seu desafio para B. B resolve o desafio e envia a resposta para I (pensando ser A), juntamente com seu desafio. Bem, I no pode resolver este desafio, pois no conhece a chave, mas como B aceita novas conexes, I envia este mesmo desafio para B resolver em uma nova conexo. B ento resolve este desafio e retorna a resposta para I junto com seu novo desafio. I ento fecha esta ltima conexo e envia a resposta recebida como resultado da primeira conexo. Para evitar este ataque, pequenos cuidados podem ser tomados, com, por exemplo, fazer com que B "se lembre" dos desafios que gerou e no aceite conexes com este desafio. Uma
58
maneira mais simples, porm, seria estabelecer um conjunto restrito de desafios para cada mquina, por exemplo, nmeros pares para a origem e mpares para o destino.
8.2.2.5. Autentificao Centralizada

Ainda temos, contudo um problema. Mesmo usando protocolo de desafioresposta, cada mquina dever conhecer a chave pblica ou privada de todas as outras com as quais deseja se conectar. Isso pode ser muito difcil de gerenciar. Para resolver este problema criou-se os chamados KDC (Key Distribuition Center). Fazendo uma analogia com o nosso dia-a-dia, podemos dizer que, de certa forma, um KDC um tabelionato. Voc no pode simplesmente conhecer todas as assinaturas existentes, mas pode, com certeza conhecer bem a assinatura do tabelio de sua cidade. Voc ento envia a assinatura suspeita a esse tabelio e recebe de volta um "reconheo a firma. No nosso caso um pouco diferente. Cada mquina estabelece uma chave privada com o KDC (ou ento uma pblica e outra privada). Quando desejarmos estabelecer conexo com uma mquina, enviamos o pedido ao KDC criptografado com a nossa chave (que ele conhece). O KDC ento descriptografa o pedido usando a nossa chave e envia uma mensagem mquina com quem desejamos estabelecer conexo, usando para isso a chave privada que ambos conhecem. Aps algumas trocas de mensagens entre origem-KDC-destino, uma chave privada aleatria escolhida e dada a conhecer a origem e o destino para que elas estabeleam uma conexo segura com ela. Para evitar que mensagens j enviadas sejam reutilizadas por um intruso, pode-se introduzir na mensagem uma informao quanto a data, rejeitando as que expiraram.
8.2.3. Polticas de Segurana
59
As decises relacionadas segurana que voc toma, ou no toma, sendo um administrador, em grande parte determinam o quo segura ou insegura sua rede . Quanta funcionalidade sua rede oferece e o quo fcil ela de ser utilizada. Porm, voc no pode tomar boas decises sem determinar primeiro quais so suas metas de segurana. At que voc determine suas metas de segurana, voc no poder fazer uso efetivo de qualquer coleo de ferramentas de segurana, simplesmente porque voc no saber o que conferir ou quais restries impor. Suas metas sero determinadas em grande parte pelos seguintes pontos chaves: Servios oferecidos versus segurana provida Cada servio oferecido aos usurios apresenta um prprio risco de segurana. Para alguns servios, o risco excede em valor o benefcio do servio e o administrador pode escolher eliminar o servio em lugar de tentar deix-lo seguro. Facilidade de uso versus segurana O sistema mais fcil de usar permitiria acesso a qualquer usurio e no requereria senha; isso quer dizer, no haveria nenhuma segurana. Requerer senhas torna o sistema um pouco menos conveniente, mas mais seguro. Requerer senhas geradas em dispositivos que as alteram toda vez que voc se loga, faz o sistema at mesmo mais difcil para uso, mas muito mais seguro. Custo de segurana versus risco de perda Existem muitos custos referentes segurana: monetrio (i.e., o custo de comprar hardware de segurana e software como firewalls e geradores de senhas descartveis), desempenho (i.e., cifragem e decifragem levam tempo), e facilidade de uso (como mencionado acima). Tambm h muitos nveis de risco: perda de privacidade (i.e., a leitura de informao por indivduos sem autorizao), perda de dados (i.e., a corrupo ou deleo de informao) e a perda de servio (por exemplo,
60
o preenchimento do espao de armazenamento de dados, uso de recursos computacionais, e negao de acesso rede). Cada tipo de custo deve ser pesado contra cada tipo de perda. Suas metas devem ser comunicadas a todos os usurios, ao pessoal da operao e aos gerentes atravs de um conjunto de regras de segurana, chamadas "poltica de segurana".
8.2.3.1. Quem deveria estar envolvido quando for definida uma Poltica de Segurana?
A seguir temos uma lista de indivduos que deveriam estar envolvidos na criao e reviso de documentos sobre poltica de segurana: O administrador de segurana do site; O pessoal tcnico da tecnologia de informao (por exemplo, o pessoal do centro de computao); Os administradores de um grande grupo de usurios dentro da organizao (por exemplo, divises empresariais, departamento de cincia de computao dentro de uma universidade, etc.); Um grupo responsvel por respostas a incidente de segurana; Os representantes dos grupos de usurios afetados pela poltica de segurana; Responsvel pela administrao; Um representante para a deliberao legal (se apropriado).
8.2.3.2. Que Faz uma Boa Poltica de Segurana?

As caractersticas de uma boa poltica de segurana so:
61
Deve ser implementvel atravs de procedimentos de administrao de sistema, publicando diretrizes sobre uso aceitveis, ou outros mtodos apropriados;
Deve ser reforado com o uso de ferramentas de segurana apropriadas e com sanes, onde a preveno atual no tecnicamente possvel;
Tem de definir claramente as reas de responsabilidade para os usurios, administradores, e gerncia.
Os componentes de uma boa poltica de segurana incluem: Compra de Tecnologia de computador que especifica a caracterstica de segurana exigida ou a preferida. Estes devem suprir a compra de polticas e de diretrizes existentes; Uma Poltica Privada, a qual define expectativas razoveis de privacidade, sero definidos limites aceitveis para caractersticas como monitoramento de correio eletrnico, logs das teclas digitadas, e acesso aos arquivos de usurios; Uma poltica de acesso que define os direitos de acesso e privilgios necessrios para proteger recursos, evitando assim a perda ou revelao de informao, alm de especificar as diretrizes aceitveis para usurios, pessoal da operao e gerncia. Uma poltica de acesso deve prover tambm diretrizes para conexes externas, comunicaes de dados, conexes de dispositivos a rede e adio de novos softwares aos sistemas. Ela tambm deve especificar qualquer mensagem de notificao exigida (por exemplo, as mensagens de conexes devem prover advertncias sobre o uso autorizado e a monitorao da linha, e no simplesmente dizer "Bem-vindo"); Uma poltica de responsabilidade que define as responsabilidades dos usurios, pessoal da operao e gerncia. A poltica de responsabilidade tambm precisa especificar uma capacidade de auditoria e prover
62
diretrizes para a manipulao de incidentes (i.e., o que fazer e quem contactar se uma possvel intruso for descoberta); Uma poltica de autenticao que estabelece confiana por uma poltica efetiva de senhas, estabelecendo diretrizes para autenticao remota e o uso de dispositivos de autenticao (por exemplo, senhas descartveis e os dispositivos que as geram); Uma declarao de disponibilidade que fixa as expectativas de usurios pela disponibilidade de recursos. Ela pode se destinar a caractersticas de redundncia e recuperao, bem como especificar horas
operacionais e perodos de manuteno. Tambm pode incluir informao de contato sobre relatrio do sistema e fracassos da rede; Um sistema de tecnologia de informao & poltica de manuteno da Rede que descreve como a manuteno interna e externa permitida para as pessoas dirigirem e acessarem a tecnologia. Um tpico importante a ser ressaltado aqui quando a manuteno remota permitida e como tal acesso controlado; Uma poltica de informao de violaes a qual indica quais tipos de violaes (por exemplo, privacidade e segurana interna e externa) devem ser informadas e para quem sero feitos os relatrios. Uma atmosfera no ameaadora e a possibilidade de informao annima resultaro em uma maior probabilidade de que uma violao seja informada se for descoberta; Informao de suporte que prov aos usurios, pessoal e gerncia uma informao de contato para cada tipo de poltica de violao; diretrizes de como manipular questes sobre um incidente de segurana, ou informao que pode ser considerada confidencial ou proprietria; e referncias cruzadas para procedimentos de segurana e informao relacionada, como polticas de companhia e leis governamentais e regulamentos.
63
8.2.3.3. Planos de Segurana completamente Definidos

Um plano de segurana deve definir: Uma lista dos servios de rede que sero oferecidos; Quais reas da organizao provero os servios; Quem ter acesso a esses servios; Como ser provido o acesso; Quem administrar esses servios; etc.
8.2.3.3.1. Protegendo os Servios

Agora ns consideraremos alguns dos servios mais populares, pois eles so a maioria dos servios freqentemente usados e so os pontos mais bvios de ataque. Um ataque prspero em um destes servios pode produzir desastres de grandes propores; os servios so: Servio de Nomes; Servio de Senhas/Chaves; Servio de Autentificao/Proxy; Correio Eletrnico; WWW; Transferncia de Arquivos; NFS;
8.2.3.3.2. Aumentando a Proteo

Baseado nas consideraes previamente discutidas deve estar claro que: O servidor de segurana no deve estar acessvel de fora; Deve-se oferecer acesso mnimo, com exceo da funo de autenticao, para usurios locais;
64
No deve ser co-localizado com quaisquer outros servidores.
Mais adiante, todo o acesso para o nodo, inclusive acesso ao prprio servio, deve ser logado para prover um "rastro" no caso de uma eventual brecha de segurana.
65
9. Estudo de Caso 9.1. Caso
O presente captulo busca ilustrar na prtica, atravs de uma empresa fictcia, a A.G. COMPUTER CIA., alguns dos principais conceitos abordados no trabalho em relao segurana, aliada a facilidade de administrao que o Windows NT proporciona.
9.2.
Descrio Corporativa
A A.G. COMPUTER CIA. uma corporao especializada na venda de computadores e notebooks, a qual tem como principais atividades: Produzir microcomputadores e notebooks de ltima gerao; Garantir suporte tcnico, via telefone e Internet dos equipamentos vendidos; Fornecer produtos sob encomenda. A corporao est dividida em trs principais grupos: Fbrica Responsvel por toda a produo gerada pela empresa, bem como garantir a qualidade dos produtos fabricados; Matriz Controla a parte administrativa e principalmente gerencia a rea de vendas; Filiais Possui como principal objetivo contatar os clientes e repassar pedidos matriz.
66
A ilustrao da figura abaixo mostra a estrutura fsica da corporao.
M atriz
ps
F bric a
64 K bp s
Kb
64
ps
Kb
64
ps
Kb
64
64
Kb
ps
F ilial 1
F ilial 2
F ilial 3
F ilial 4
F ilial 5
Figura 11 Estrutura Fsica da A.G. COMPUTER Cia.
Devido a um crescente aumento nas vendas dos produtos da A.G. COMPUTER Cia. a mesma descentralizou o seu servio de vendas, atravs de filiais localizadas distantes da matriz. A fbrica tambm foi separada do prdio principal, ganhando uma instalao com caractersticas necessrias a segurana das informaes tecnolgicas e capaz de garantir a demanda na produo dos equipamentos. O prdio matriz possui 5 andares, pelos quais esto divididos cada setor da empresa: Comercial, Contabilidade, Faturamento, Recursos Humanos e Suporte Tcnico.
67
9.2.1.
A Rede da A.G. Computer Cia.
De acordo com a figura abaixo, a rede est centralizada no prdio matriz, em um servidor RISC de alto desempenho, rodando o sistema operacional de rede Windows NT Server 4 (PDC), que por possuir caractersticas que facilitam o gerenciamento da rede e a melhor relao com os aplicativos que rodam no sistema, foi adotado como servidor de arquivos e servios.
M a triz
E s ta e s W in do w s 9 5 /98
D epartam ento 1
S ervidor P D C com D H C P
D epartam ento 2
H ub
H ub
D epartam ento 3
D epartam ento 4
H ub
F b ric a
S e rv id o r BDC S e rv id o r PDC com DH C P
H ub
D epartam ento 5
R ote a do r
R ote a do r
H ub F ibra tic a
Internet
P ix F irew a ll
E s ta e s NT W ork s ta tio n H ub
S w itch
64 K bps
P ix F irew a ll WWW F TP E -M a il
R oteador
64 K bps
64
Kb
ps
R oteador
R oteador
64
64
Kb
ps
bp
F ilia is
64
bp
R oteador
R oteador
R oteador
S ervidores c onfigurados com o B D C 's com D H C P
H ub
H ub
H ub
H ub
H ub
E sta es W indow s 95/98 F ilial 1 F ilial 2 F ilial 3 F ilial 4 F ilial 5
Figura 12 Estrutura Lgica da Rede da A.G. COMPUTER Cia.
A rede da corporao est dividida em duas sub-redes: a sub-rede corporativa e a sub-rede Internet. A sub-rede corporativa composta pelos departamentos e
68
filiais, enquanto que a sub-rede Internet contm os servidores que disponibilizam os servios via Internet. A estrutura da sub-rede corporativa est organizada em um servidor configurado como PDC e 5 BDCs correspondentes a cada filial da empresa. Este servidor oferece os seguintes servios: NetMeeting, Aplicaes Cliente/Servidor em Bancos de Dados, WWW, FTP e E-Mail, sendo que este ltimo feito com o auxlio de criptografia por meio de um software PGP, includo no firewall. O acesso Internet est disponvel permanentemente matriz, fbrica e s filiais atravs da sub-rede Internet. O protocolo usado na rede corporativa o TCP/IP, por ser utilizado nas aplicaes da Intranet e, ser o protocolo padro utilizado na Internet.
9.2.2.
Matriz
O centro de processamento de dados est localizado no 1 andar do prdio, possuindo como um dos equipamentos principais um switch de 12 portas, com a finalidade de separar os departamentos, as filiais, a fbrica e a Internet, visando a segurana entre eles (vide figura abaixo).
M a triz
E s ta e s W in d o w s 9 5 /9 8
D epartam ento 1
S ervidor P D C com D H CP
D epartam ento 2
Hub
Hub
D epartam ento 3
Hub
D epartam ento 4
Hub
D epartam ento 5
R o tea d o r
R o tea d o r
Hub
Internet
P ix F irew a ll
S witch
64 K bps
P ix F irew a ll WWW F TP E -M a il
R oteador
Figura 13 Estrutura lgica da Matriz O servidor da matriz estar configurado para disponibilizar nmeros IPs dinamicamente para as estaes atravs do servio DHCP (Dynamic Host
69
Configuration Protocol Host Dinmico de Protocolo de Configurao), bem como os servidores das estaes e da fbrica. Para fins de segurana, somente a sub-rede Internet possui endereos IP classe C (vlidos para Internet). O endereo IP usado em toda a sub-rede corporativa ser o endereo classe A, no vlido Internet. Para evitar a proliferao de vrus nas estaes e nos servidores, programas de antivrus (NetScan e WebScan) estaro ativos na memria. Para manter um nvel de segurana em que somente alguns usurios devidamente especificados tenham condies de alterar as configuraes de suas mquinas, foi criada uma poltica de segurana (configurada atravs do editor de poltica do Windows NT Server 4.0), que divide os usurios em trs grupos distintos: Administrador, Manuteno e Comum.
Administrador Este perfil utilizado para gerenciar o acesso aos arquivos e pastas em volumes NTFS e efetuar e restaurar o backup do servidor.
Manuteno Este perfil responsvel pela criao de perfis dos usurios comuns, compartilhamento de recursos em disco e configurar as impressoras de rede.
Comum Perfil que inclui todos os usurios locais e remotos que tenham acesso rede, podendo ter algumas permisses diferentes, inerentes aos servios por eles desenvolvidos. Vai ser adotada a arquitetura screened-subnet firewalls para que haja um
isolamento entre a internet e a intranet da empresa atravs de um servidor proxy e dois roteadores. Dois firewalls com implementao por hardware (Pix Firewall) so
implementados em pontos estratgicos da sub-rede corporativa para garantir a segurana de acesso da Internet e das filiais.
70
9.2.3.
Fbrica
A fbrica, por manipular informaes valiosas sobre tecnologia de arquitetura em microcomputadores, ter sua ligao com a matriz feita com cabo de fibra tica e possuir domnio prprio (PDC) com relao de confiana com o servidor da matriz. O servidor utilizado na fbrica estar rodando o Windows NT Server 4.0, com estaes Windows NT Workstation, para obter a maior segurana que o NT pode proporcionar. Tanto o servidor, quanto as estaes de trabalho utilizam o sistema de arquivo NTFS para garantir uma maior segurana aos arquivos nele contidos. A figura abaixo servir para uma melhor ilustrao do exposto. O servidor da fbrica, por ser um servidor primrio, ter um outro servidor atuando como BDC, que ser responsvel pelo backup relativo s informaes da diviso.
F b rica
S e rv id o r BDC S e rv id o r PDC com D H C P
F ib ra tic a Hub
E s ta e s NT W o rk s ta tio n
Figura 14 Estrutura Lgica da Fbrica
9.2.4.
Filiais
As filiais estaro equipadas com servidores rodando o Windows NT Server 4.0, configurado como BDC do servidor da matriz e a comunicao entre eles ser feita atravs de uma LPCD com transmisso de 64 Kbps. Suas estaes esto configuradas com Windows 95/98, como mostra a figura abaixo.
71
O logon de todos os funcionrios das filiais ser autenticado no servidor da matriz (PDC). Este servio s ser realizado pelos servidores das filiais, quando a conexo entre ambos no for estabelecida.
R oteador
S ervidores c onfigurados c om o B D C 's c om D H C P
Hub
E s ta es W indows 95/98 F ilial 1
Figura 15 Estrutura Lgica das Filiais
72
CONCLUSO
Aliado ao fato de que o processamento das informaes est migrando para ambientes distribudos de LANS e WANS, e a disseminao da Internet como plataforma para a comunicao desses dados, os riscos de um ataque aumentam exponencialmente. Vinculados a esta preocupao, procuramos mostrar neste trabalho, tcnicas de gerenciamento e administrao suscetveis implementao de uma poltica de segurana relativamente eficaz dentro de uma empresa, o que no tarefa fcil, pois, caminha desde a segurana fsica do sistema computacional, passando pelo grau de confiana do pessoal que nele opera, at as normas propriamente ditas de acesso ao sistema. Levando sempre em considerao, que os ataques a sistemas de informaes esto cada vez mais freqentes, de fundamental importncia que o administrador conhea como os ataques so realizados, os tipos de mecanismos de autenticao e criptografia e as ferramentas que esto disponveis para ajudlo a dificultar o mximo tais atitudes. Como as medidas adotadas para se obter tal segurana no uma frmula, cabe a um especialista examinar cada caso e propor as implementaes necessrias mediante o ambiente computacional, e justificando-as quando necessrio. No podemos esquecer, entretanto, que no existe sistema totalmente seguro e que uma segurana relativa no se consegue em um curto espao de tempo e sem as tcnicas apropriadas e geralmente de alto custo. Para que o nvel de segurana se mantenha estvel, o administrador dever realizar regularmente procedimentos adotados pela organizao, com medidas preventivas e corretivas violao das informaes. Dever, ainda, sempre procurar manter seus sistemas sem erros, atualizando-os, e possuir acesso s mais recentes informaes sobre segurana, devendo para tanto, cadastrar-se em listas de informao e visitar sites oficiais sobre os assuntos relacionados a segurana de redes.
73
BIBLIOGRAFIA TANENBAUM, Andrew S. Redes de Computadores. Traduo: PubliCare Servios de Informtica. Rio de Janeiro: Campus,1994 PINTO, Ana Clara. SEGREDE mecanismo e sistemas de segurana em redes. 1995. Dissertao de Mestrado apresentado UFRGS. SOARES, Luiz Fernando Gomes, LEMOS, Guido, COLCHER, Srgio. Redes de Computadores das LANs, MANs e WANs s Redes ATM. Rio de Janeiro: Campus,1995 NERY, Fernando. Intranet: Segurana fundamental. Informtica Hoje [on line]. Abril de 1998, Disponvel: http://www.modulo.com.br/noticia/opiniao .htm. BASTOS, Alberto. Segurana da Informao na Internet e Intranet Oportunidade versus Riscos [on line]. Agosto de 1998, Disponvel: http://mingus.modulo.com.br/opiniao.htm CERT-RS. Segurana na Internet [on line]. 1998. Disponvel: http://www.poprs.rnp.br/cert/docs_html/segcheck.htm. DISTRIBUDOS, Segurana da Informao em Ambientes [on line]. 1998. Disponvel: http://www.origenet.com.br/advisor/atual.htm#segur. HOLSCHUH, Henrique. Pretty Good Privacy (PGP) [on line]. 1997. Disponvel: http://www.dca.fee.unicamp.br/pgp/pgp.shtml INTRANETS, Criando uma Poltica de Segurana de dados para Redes e [on line]. 1997. Disponvel: http://www.qualix.com.br/qualix/polseg.htm. MICROSOFT Corp. Guide to MS Windows NT 4.0 Profiles and Policies [on line]. 1997. Disponvel: http://www.segurancant.com/prof.html SEGURANA, Equipe de. Ataques [on line]. 1998. Disponvel: http://www. brasirc.net/segurana/netscape4.html UNIVERSIDADE FEDERAL DO RIO GRANDE DO SUL. Grupo de Trabalho de Redes. RFC 2196 [on line]. 1997. Disponvel: http://penta.ufrgs.br/ gerseg/rfc2196
74

Seguranca Redes

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Seguranca Redes

Transféré par

Droits d'auteur :

Formats disponibles

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

Polticas de Segurana Em Redes de Computadores

Polticas de Segurana Em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

Belm Par 2001

Polticas de Segurana Em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

Robhyson Denys Rodrigues da Silva

Fabola Pantoja Oliveira

Belm Par 2001

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

MS NOS NT NTFS PC PDC RAM SNA TCP UDP WAN WWW

Sumrio 1. 2. INTRODUO ............................................................................................... 1 TIPOS DE REDE............................................................................................ 3

TOPOLOGIA BSICA ................................................................................. 13

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

2. Tipos de Rede 2.1. Que so Redes Locais (LANs)?

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

2.1.1. Servidores de Arquivos

2.1.2. Servidor de Impresso

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

2.1.3. Servidor de Comunicao

2.1.4. Servidor Gateway

2.1.5. Servidor de Rede

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

2.1.6. Servidor Teletex

2.2. Que So Redes Metropolitanas (MAN) ?

2.3. Que So Redes de Trabalho Amplas (WAN)?

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

3.3. A Diferena entre as Filosofias de Processamento

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto

UNAMA Universidade da Amaznia

Poticas de Segurana em Redes de Computadores

Artur Gustavo Alves Gomes Luiz Tom de Farias Neto