Auditoria e Segurana de Sistemas Prof.

Fabricio Boechat Infraestrutura de segurana Uma infraestrutura de segurana no s necessria como obrigatria, devendo existir, alm de um investimento especfico, um planejamento, uma gerncia e uma metodologia bem definida. importante lembrar que os seres humanos so o elo mais fraco dessa corrente. Os mais perfeitos produtos de segurana no sero nada se no tiver conscincia que so gerenciados e utilizados por pessoas. A modelagem de ameaa a primeira etapa em qualquer soluo de segurana. Quais so as ameaas reais contra o sistema? Se voc no souber disso, como saber quais tipos de contramedidas ir empregar? A modelagem de ameaa algo difcil de ser feito, ela envolve pensar sobre um sistema e imaginar o vasto panorama de vulnerabilidade. Avaliao de Risco: No suficiente apenas listar um punhado de ameaas, voc precisa saber o quanto deve se preocupar com cada uma delas. Muitos projetistas de sistemas pensam no projeto de segurana como um livro de receitas: misture contramedidas especficas criptografia e firewalls so bons exemplos e magicamente voc estar seguro, isso nunca acontece! Conceitos Bsicos Nesta seo abordaremos alguns conceitos que no so simplesmente definies de termos, so pilares de um sistema seguro, sendo que alguns esto intimamente ligados ao estudo da criptografia, so eles: A criptografia a arte de guardar mensagens seguras, ou transmiti-las de forma segura, isto garante a privacidade. A criptografia tambm pode trazer outros benefcios segurana, tais como: No-repdio ou irrevogabilidade: O remetente de uma mensagem no deve ser capaz de negar que enviou a mensagem. A disponibilidade se refere ao sistema estar sempre pronto a responder requisies de usurios legtimos, isto envolve o uso de

sistemas redundantes, no-breaks e mecanismos contra ataques de Denial of Service.

Oportunidades e Riscos:
Vulnerabilidades Oportunidades so o que no faltam na Internet. A comear pelo nmero de usurios que temos na Internet, o qual praticamente impossvel de se mensurar, e ainda pelo fato dela ser a maior compradora e vendedora do mundo. Ela tambm tem o potencial para ser a maior projetista, a maior desenvolvedora, a maior fabricante e a maior distribuidora. Algumas vulnerabilidades: Pornografia, jogos de azar, falta de privacidade e assdio sexual, so apenas algumas. As ameaas especficas da Internet seriam os vrus, worms, trojans e o hacker de computador. Problemas mais comuns M configurao dos hosts A m configurao pode ocorrer devido aos problemas em especial: o Configurao default do sistema deixa muito a desejar em segurana; o Instalao de um sistema sem um mnimo de preocupao com a instalao

default: Ex.: Daemons do UNIX, Registros do NT. o Instalao e/ou habilitao de servios de forma indiscriminada Falhas inerentes dos sistemas Nestes casos, a culpa colocada sempre nos fabricantes, porqu seus sistemas possuem vulnerabilidade e falhas, quando no deveriam ter. Bem, acontece que bugs so to naturais em softwares quanto doenas so em ns, seres humanos. Os bugs, falhas, e vulnerabilidades sempre iro

existir, ento, cabe a ns, nos manter atualizados quanto ao lanamento de correes, patches, updates etc. Deficincia na reposta dos fabricantes

Este sim, um problema causado pelo fabricante, quando este deixa de manter um controle de qualidade de seu software, e o que pior, no alerta os usurios e nem lana correes para tais problemas. Portanto, antes de adquirir um software, verifique, alm de sua funcionalidade, se existe uma rea de suporte ativa que cuide das atualizaes e tenha preocupao com a segurana do produto. Pobre educao em segurana um dos primeiros problemas que devem ser atacados na implementao de um plano de segurana. De nada adianta termos os melhores profissionais na administrao, os melhores produtos, se nossos funcionrios no esto cientes da real necessidade de segurana, e como se deve proceder. No que seja necessrio deixar para no cometer erros que possam comprometer a segurana de todo o sistema. Engenharia Social Existe algum mtodo mais rpido e eficiente de se descobrir uma senha? Que tal simplesmente perguntar? Por mais extraordinrio que possa parecer, o mtodo mais simples, mais usado e talvez mais eficiente de se recolher informaes simplesmente chegar e perguntar.

Voc tambm poderia subornar, mas dependendo da situao, isto pode lhe custar muito caro, ento porqu no tentar enganar e obter tais informaes? De fato, este mtodo bastante utilizado, e existem hackers que sabem uslo com grande destreza, um exemplo o famoso hacker Kevin Mitnick que era um expert em fazer tais vigarices.

Vrus, Worms e Trojans

Todos os anos, os vrus causam muitos prejuzos ao redor do mundo. A internet o meio ideal para transmisso destas "pestes virtuais". Na dcada de oitenta, por exemplo, para conseguirmos transmitir um vrus tnhamos poucos recursos. O mais usado era transmiti-los de mquina em mquina atravs de disquetes, o que tornava a contaminao bastante lenta.

Atualmente as coisas so bem diferentes, atravs da internet a contaminao muito mais rpida e atinge facilmente nvel mundial. Alm disso, surgiram conceitos novos como vrus de macro, worms e trojans.

Metodologia dos ataques:

Footprinting Coletando informaes do alvo A aquisio de alvos, ou footprinting, a fina arte de coletar informaes do alvo. Seguindo uma metodologia estruturada, atacantes podem juntar sistematicamente informaes de uma grande variedade de fontes e compilar esse footprint crtico de qualquer organizao. O mesmo se aplica a invasores bem-sucedidos. Eles precisam colher uma grande quantidade de informaes para executar um ataque cirrgico e bem direcionado. Como resultado, um atacante ir coletar o mximo de informaes sobre todos os aspectos de segurana de uma organizao. Eles acabaro obtendo um Internet. footprint (perfil) nico de sua presena na

Contramedidas:
Contramedidas Bsicas O primeiro ponto a se considerar na implementao de contramedidas considerar todas as opes possveis. Voc poderia optar por outro proverdor de servio (ISP ou backbone)? Uma conexo com a Internet representa muitos riscos, ento, necessrio estudar bem as opes existentes em cada caso, no s no que se refere ao provedor, mas na forma como sua rede estar conectada. Depois de todas opces estudadas e decises tomadas, agora podemos pensar em contramedidas especficas para os diversos pontos crticos da rede: Reforar o permetro da rede Identificar corretamente os domnios separados, verificar a existncia de pontos de entrada na rede. As polticas de segurana de rede devero incluir procedimentos para o controle do trfego entre todos os pontos de entrada. Utilizao de VPNs;

 Utilizao de Assinaturas Digitais; Utilizao de mecanismos de autenticao fsicos (biomticos, etc.);

Segurana de rede:
Permitir o acesso somente aos servios estritamente necessrios. O ideal bloquear o acesso a todos os servios e dar permisso somente aos necessrios. Se isto no for possvel deve-se bloquear os seguintes servios:

Ferramentas de Segurana:
Controle de acesso Esta seo engloba quaisquer dispositivos de controle de acesso rede, sistemas e at mesmo fsicos. Podemos citar: Controle de acesso fsico: Uso de smart cards, senhas e chaves eletrnicas;

Controles de acesso biomtricos sistemas: fingerprint, ris, etc. Criptografia A criptografia uma das armas mais poderosas da segurana. Ela , na maioria dasvezes, utilizada indiretamente atravs de ferramentas, protocolos e sistemas especficos. Firewalls e IDS Os Firewalls e os Sistemas de Deteco de Intruso so dois componentes principais que no devem faltar na infra-estrutura de segurana de uma rede. Scanners So ferramentas que detectam automaticamente fraquezas na segurana em hosts remotos ou locais. Como eles funcionam? Os scanners (tambm conhecidos como port scanners) interrogam vrias portas TCP/IP do alvo e armazenam os resultados., eles conseguem assim vrias informaes, tais como: Quais servios esto rodando atualmente; Quais so os usurios que rodam estes servios; Se login como usurio annimo suportado; Se alguns servios de rede requerem ou no autenticao; Sniffers

Sniffers so dispositivos que capturam pacotes na rede. Seu propsito legtimo analisar o trfego da rede e identificar reas potenciais de problemas ou interesse. Os sniffers variam muito em funcionalidade e design, alguns analisam apenas um protocolo, outros podem analisar centenas. Password Crackers Os password crackers so programas que quebram a segurana das senhas revelando o contedo previamente criptografado. Para um password cracker funcionar corretamente necessrio: O arquivo de senhas (com os criptogramas), ou alguns criptogramas das senhas;

Uma mquina com um processador veloz; Um dicionrio de senhas; Tempo; Tipos de Firewall Um firewall qualquer dispositivo destinado a prevenir atacantes externos de acessar sua rede. Este dispositivo pode ser um computador, um roteador, ou um hardware dedicado. Firewalls tambm podem analisar pacotes de vrios protocolos e processar os pacotes atravs de regras que iro permitir ou no a passagem deste pacote. Podemos classificar os firewalls em dois grandes grupos: Nvel de Rede (Filtro de Pacotes) Gateways de aplicao (proxies) Gateways de aplicao (proxies) Os proxies agem de tal forma que ficam no meio da conexo, aceitando requisies dos clientes e abrindo conexes com os destinos, sendo intermedirios neste processo. Isso faz com que os proxies sejam especficos para cada aplicao. Temos proxies de HTTP, FTP, SMB. etc. Testando a segurana de um firewall Um teste de invaso tem por objetivo verificar a resistncia do sistema em relao aos mtodos atuais de ataque.

Diariamente so descobertos novos furos nos mais variados sistemas, por isso de fundamental importncia de utilizar tcnicas reais, pois caso isso no ocorra o teste pode tornar-se invlido. Identificando as vulnerabilidades de alto risco: Um teste de invaso pode dar uma boa idia sobre as vulnerabilidades de alto risco presente em seu sistema. Riscos envolvidos em um teste de invaso : Pode gerar uma falsa sensao de segurana. Sua rede pode ter vulnerabilidades no encontrada ou talvez elas no existam no momento do teste. recomendvel realizar o teste de invaso detalhando os resultados finais. Relatrio de testes em firewall Qualquer tipo de teste que possa causar danos ao sistema deve ser realizado em perodos de baixa ou sem atividades. Um relatrio detalhado deve ser entregue contendo todos os passos executados mostrando onde ganhou acesso e onde no. O relatrio deve conter recomendaes detalhadas para a correo de qualquer vulnerabilidade encontrada. Fase-1: Coleta de dados e planejamento: Nesta fazer o aprenderemos tudo que puder sobre o alvo e no estaremos necessariamente preocupados com vulnerabilidades do sistema. Tentaremos obter informaes sobre a estrutura da diretoria, nmero dos telefones/ramais, relao dos parceiros, dos vendedores, ou seja, todo tipo de informao. Fase 2: Pesquisa do sistema Nesta fase podemos colher mais informaes sobre a intistuio que est sendo testada. Isso inclui a consulta de informaes via web: Como esto registrados os domnios. Com estas informaes temos uma idia de que a instituio est na rede e de seus IPs. Fase 3: Testes do sistema Agora iniciamos a fase onde temos os seguintes passos: Identificar o caminho para acessar a instituio, e apresentar um documento

verificar que tipo de informao podemos recuperar do servidor de DNS.

Determinar quais os hosts que esto ativos e conectados a Internet Se uma mquina esta ativa e conectada a Internet Descobrir as portas ativas de cada host Montar um mapa de vulnerabilidades.

Como acessar a instituio? Identificar o caminho para acessar a instituio, podemos fazer isso com o traceroute, fazer a uma porta TCP ou UDP especfica, desta forma conseguimos burlar os filtros de ICMP. Nosso objetivo determinar o caminho e as ACLs implementadas nos roteadores e Firewalls. Mapa de vulnerabilidades. Agora que j temos um conjunto de informaes, podemos montar um mapa de vulnerabilidades. O objetivo deste mapa e associar as informaes do sistema com as vulnerabilidades conhecidas. Deve-se fazer log detalhado de todos os testes e scans bem como de seus resultados. O objetivo do log permitir que aps os testes possa-se fazer uma relao para determinar se os testes causaram algum dano ao sistema e garantir que outro intruso no tenha ganhado acesso ao sistema durante o teste. Concluso O teste de invaso deve fazer parte do programa de segurana da sua empresa. Mas deve-se observar os pontos tratados, para que se possa tirar um real aproveitamento do dinheiro empregado em tal atividade. Voc deve restringir as informaes sobre os testes somente aos departamentos competentes, pois alguns funcionrios desavisados ou inocentes podem deixar esta informao vazar e algum pode aproveitar para realizar seu prprios testes.