TCC Roberson Naves e Willian Pires

ROBERSON AFONSO NAVES WILLIAN RICARDO PIRES

POLÍTICAS DE SEGURANÇA DA INFORMAÇÃO EM UMA EMPRESA

MOCOCA 2006



Projeto de Trabalho de Conclusão de Curso apresentado as Faculdades da Fundação de Ensino de Mococa para obtenção do título de BACHARELADO EM CIÊNCIA DA COMPUTAÇÃO. Orientador: Professor Eduardo Fernandes Mendes Co-Orientador: Professo Luiz Carlos Levada

MOCOCA 2006



Esta monografia foi julgada adequada à obtenção do grau de Bacharelado

em Ciência da Computação e aprovada em sua forma final pelo Curso de Ciências

da Computação das Faculdades da Fundação de Ensino de Mococa.

Mococa – São Paulo, 05 de Dezembro de 2006.

______________________________________________________

Prof. Luiz Carlos Levada

Faculdades da Fundação de Ensino de Mococa

______________________________________________________

Prof. Marcelo Prinholato


______________________________________________________

Prof. José Cortêz


Roberson Afonso Naves Dedico esse trabalho a meus pais Sebastião e Lucimeire e principalmente a minha noiva Lucinéia por abdicarem de minha companhia a fim da realização do mesmo no qual, sem o empenho de meu amigo Willian e dos professores Kátia, Levada e Eduardo, não teria se concretizado. Willian Ricardo Pires Dedico esse trabalho a meus pais Mariolino e Isabel por incentivar e apoiar em todo tempo meus estudos e a realização deste trabalho, no qual sem o empenho de meu amigo Roberson e dos professores Levada, Kátia e Eduardo o mesmo não teria se concretizado.

RESUMO

O principal objetivo deste trabalho é propor normas de segurança para sanar problemas relativos e informar usuários e administradores de redes quanto ao risco de ataques, como vírus, engenharia social, entre outros, no ambiente corporativo assim maximizando o nível de conscientização de seus colaboradores quanto a confidencialidade, integridade e disponibilidade da informação acumulada pela corporação.

ABSTRACT

The main objective of this work is to consider security norms to cure relative problems and to inform users and administrators of nets how much to the risk of attacks, as virus, social engineering, among others, in the corporative environment thus maximizing the level of awareness of its collaborators how much the confidencialidade, integrity and availability of the information accumulated for the corporation.

SUMÁRIO

INTRODUÇÃO .......................................................................................................... 10 CAPÍTULO 1 - POLÍTICA DE SEGURANÇA EM SISTEMAS OPERACIONAIS DE ESTAÇÕES DE TRABALHO ..................................................................................... 12

1.1 INTRODUÇÃO ............................................................................................. 12 1.2 PROPÓSITO ................................................................................................ 12 1.3 ESCOPO ...................................................................................................... 13 1.4 POLÍTICA ..................................................................................................... 13 1.4.1 WINDOWS 95: ......................................................................................... 13 1.4.2 WINDOWS 98: .......................................................................................... 13 1.4.3 WINDOWS NT 4 PROFESSIONAL: .......................................................... 14 1.4.4 WINDOWS 2000 PROFESSIONAL: ......................................................... 14 1.4.5 WINDOWS XP: ......................................................................................... 15

CAPÍTULO 2 - POLÍTICA DE SEGURANÇA EM SISTEMAS OPERACIONAIS EM SERVIDORES ........................................................................................................... 17

2.1 INTRODUÇÃO ............................................................................................. 17 2.2 PROPÓSITO ................................................................................................ 19 2.3 ESCOPO ...................................................................................................... 19 2.4 POLÍTICA ..................................................................................................... 19 2.4.1 WINDOWS NT 4 SERVER ........................................................................ 19 2.4.2 SERVIDORES WINDOWS 2000/2003 SERVER ...................................... 20 2.4.3 SERVIDORES UNIX-LIKE ........................................................................ 21 2.4.4 CONFIGURAÇÕES GERAIS .................................................................... 22 2.4.5 MONITORAMENTO .................................................................................. 22

CAPÍTULO 3 - POLÍTICAS DE SENHAS .................................................................. 24 3.1 AVALIAÇÃO ................................................................................................. 24 3.2 PROPÓSITO ................................................................................................ 24 3.3 ESCOPO ...................................................................................................... 24 3.4 POLÍTICA ..................................................................................................... 24

CAPÍTULO 4 – CONSCIENTIZAÇÃO DOS USUÁRIOS ........................................... 26 4.1 PROPÓSITO ................................................................................................ 26 4.2 AFAZERES GERAIS .................................................................................... 26 4.3 DADOS ........................................................................................................ 27 4.4 COMPUTADORES PORTÁTEIS ................................................................. 27 4.5 VÍRUS .......................................................................................................... 27 4.6 E-MAILS ....................................................................................................... 28 4.7 ACESSO REMOTO...................................................................................... 28 4.8 SOFTWARE ................................................................................................. 28 4.9 PROIBIÇÕES GERAIS ................................................................................ 29 4.10 COMPUTADORES PESSOAIS.................................................................. 30

CAPÍTULO 5 – BACKUP DE DADOS ....................................................................... 31 5.1 INTRODUÇÃO ............................................................................................. 31

5.2 PROPÓSITO ................................................................................................ 31 5.3 ESCOPO ...................................................................................................... 31 5.4 POLÍTICA ..................................................................................................... 31 5.5 EXEMPLOS ................................................................................................. 32

CAPÍTULO 6 - FIREWALL ........................................................................................ 36 6.1 PROPÓSITO ................................................................................................ 36 6.2 ESCOPO ...................................................................................................... 36 6.3 POLÍTICA ..................................................................................................... 36 6.4 DMZ ............................................................................................................. 40

CAPITULO 7 - ATAQUES ......................................................................................... 41 7.1 INTRODUÇÃO ............................................................................................. 41 7.2 TIPOS DE ATAQUES .................................................................................. 42 7.2.1 TROJAN HORSE ...................................................................................... 42 7.2.2 FLOOD ...................................................................................................... 42 7.2.3 NUKE ........................................................................................................ 43 7.2.4 IP SPOOFING ........................................................................................... 44 7.2.5 DNS SPOOFING ....................................................................................... 46 7.2.6 SOURCE ROUTING ATTACK .................................................................. 47 7.2.7 SNIFFERS ................................................................................................ 48 7.2.8 VÍRUS ....................................................................................................... 49

CAPÍTULO 8 - ENGENHARIA SOCIAL .................................................................... 50 8.1 INTRODUÇÃO ............................................................................................. 50 8.2 PROPÓSITO ................................................................................................ 50 8.3 ESCOPO ...................................................................................................... 51 8.4 CONSIDERAÇÕES FINAIS ......................................................................... 51

CAPÍTULO 9 – SEGURANÇA FÍSICA ...................................................................... 52 9.1 INTRODUÇÃO ............................................................................................. 52 9.2 POLÍTICA ..................................................................................................... 53 9.3 CABEAMENTO ESTRUTURADO ................................................................ 53

CAPÍTULO 10 – CONCIDERAÇÕES FINAIS ........................................................... 55 REFERÊNCIAS BIBLIOGRÁFICAS .......................................................................... 56

LISTA ILUSTRAÇÕES Ilustração 1 – Gráfico demonstrativo anual dos incidentes relacionados à segurança (Fonte CAIS) ............................................................................................................. 11 Ilustração 2 – Unidade de Backup em Fita 8 mm Sony Backup AIT – 1 uso externo 34 Ilustração 3 – Unidade de Backup em Fita 8 mm Sony Backup AIT uso interno ...... 34 Ilustração 4 – Modelo de Rede com Firewall............................................................. 37 Ilustração 5 – Appliance Barracuda IM Firewall ........................................................ 38 Ilustração 6 – Appliance Sonic Wall Pro 4060 ........................................................... 38 Ilustração 7 – Exemplo de Script de Firewall escrito em Iptables para rodar em S.O. Linux .......................................................................................................................... 39 Ilustração 8 – Exemplo de uso de DMZ em uma rede com servidores Web ............. 40

LISTA TABELA Tabela 1 – Plataformas e seus S.O.´s ....................................................................... 18

10

INTRODUÇÃO

Atualmente todas as empresas possuem problemas com a segurança de suas

informações, principalmente desde a difusão da Internet e das tecnologias a ela

agregadas. No entanto, a utilização de políticas de segurança minimiza a

possibilidade do vazamento externo e interno de tal informação.

Este Trabalho de Conclusão de Curso propõe implantar mecanismos, a fim de

minimizar os riscos que as informações digitais de uma empresa de forma global

correm através de más ou de nenhuma política de segurança da informação. Desta

forma aplicando-se a todas as tecnologias por elas utilizadas, sejam elas já

ultrapassadas, para empresas que não disponibilizam de muitos recursos, ou

grandes empresas que investem em tecnologias mais atuais, defesas contra

usuários mal intencionados externos ou internos.

“Segurança são procedimentos para minimizar vulnerabilidades de bens (qualquer coisa de valor) e recursos, onde vulnerabilidade é qualquer fraqueza que pode ser explorada para violar um sistema ou as informações que ele contém”. (Soares 1995, p.448).

No passado uma necessidade apenas nas grandes empresas, alvos de

ataques cibernéticos dirigidos e causadores de grandes prejuízos financeiros, a

segurança da informação agora é uma preocupação das pequenas e médias.

Segurança tornou se não a maior, uma das grandes prioridades de projetos de

informática nesse segmento, englobando também atualizações em estações de

trabalho locais, servidores e regras de utilização da rede visando também sua

segurança contra ataques internos.

É possível que uma empresa tenha 100% de suas informações digitais em

segurança?

Que ela absorva, através de seu material humano, regras padronizadas

eficientes para garantir a preservação de seus dados digitais?

11

Ilustração 1 – Gráfico demonstrativo anual dos incidentes relacionados à segurança (Fonte CAIS)

Que suas redes de dados, sejam elas, ethernet, wireless, VPN ou via

satélite, tenham grande resistência a ataques externos e que também prioriza a

prevenção de vazamento de informações digitais internas?

É possível que os dados fiquem totalmente imunes a perdas por conta de

hardware defeituoso ou ainda, mau uso por parte dos usuários internos e externos.

Com políticas de segurança de dados digitais rigorosamente cumpridas, se

minimiza quase que totalmente, o risco de uso indevido ou perda destes dados tão

vitais para o bom andamento e lucratividade de uma empresa.

O controle total dos dados que adentram em suas redes minimiza o risco de

invasões e introdução de softwares maliciosos. A pós-análise de tudo que entra,

circula e sai da empresa através de suas redes de dados, ajuda na constante

melhoria da segurança, já que a internet, a rede e a valorização da informação alheia

não param de crescer.

12

CAPÍTULO 1 - POLÍTICA DE SEGURANÇA EM SISTEMAS OPERACIONAIS DE ESTAÇÕES DE TRABALHO

1.1 INTRODUÇÃO

Estações de trabalho são todos os computadores, utilizados por funcionários,

que não fazem o papel de servidor de algum tipo de dado.

As estações de trabalho de uma rede são itens geralmente ignorados durante

um processo de segurança, mas de vital importância. Com a grande incidência de

vírus e similares, tornam-se essenciais métodos de controle cada vez mais eficazes.

Estação de trabalho (do inglês Workstation) é o nome genérico dado a computadores situados, em termos de potência de cálculo, entre o computador pessoal e o computador de grande porte, ou mainframe. (Wikipédia)

1.2 PROPÓSITO

O Propósito desta Política é definir padrões de configuração e instalação de

atualizações básicas a serem efetuadas nas estações de trabalho da empresa a fim

de minimizar as vulnerabilidades dos Sistemas Operacionais Microsoft, assim, por

sua vez, evitando também o acesso não autorizado a recursos da rede corporativa

por softwares ou usuários mal intencionados.

As atualizações de S.O.´s e Softwares Microsoft podem ser disponibilizadas

na forma de Paths, Service Packs e Post-Service Pack Security Patches.

Paths são atualizações desenvolvidas com o objetivo de sanar algum

problema de um software, no caso, o S.O. Geralmente são disponibilizados, no caso

da Microsoft, logo após o lançamento de um S.O.

Service Packs são pacotes de Paths com atualizações desenvolvidas com o

objetivo de minimizar erros dos S.O.´s e Softwares. Atualmente o Windows NT conta

com o Service Pack 6, o Windows 2000 com o SP4 e o XP com SP2.

13

Post-Service Pack Security Patches atualizações que são disponibilizadas

logo após os Service Packs para sanar falhas que o mesmo não resolveu.

A Microsoft não fornece mais suporte e novas atualizações para os Windows

98, 98 SE (Second Edition) e Windows ME (Millenium Edition) desde 11 de Julho de

2006. O NT Workstation teve seu suporte e atualizações descontinuados em 30 de

Junho de 2004.

1.3 ESCOPO

Esta política fixa um padrão na empresa de sistemas clientes a serem

instalados na empresa, onde todos os clientes Windows incluem: Windows 95 e 98,

Windows NT4, Windows 2000 e Windows XP. Não devem ser instalados

Computadores Linux como estação de trabalho ao menos que haja uma necessidade

empresarial.

As plataformas mais indicadas para as estações de trabalho são Windows

2000 e Windows XP.

1.4 POLÍTICA

Como todos os Sistemas Operacionais Microsoft não possuem a mesma

característica foi desenvolvido um requisito mínimo para cada um deles:

1.4.1 WINDOWS 95:

a. Instale Service Pack 1 para Windows 95;

b. Instale post-Service Pack security patches;

c. Instale Service Pack e post Service Pack patches para MS Office e Internet

Explorer se os mesmos forem instalados no computador;

d. Instale antivírus e atualize-o.

1.4.2 WINDOWS 98:

a. Instale Service Pack atual para Windows 98;

14




d. Instale antivírus e atualize-o.

1.4.3 WINDOWS NT 4 PROFESSIONAL:

a. Instale Service Pack 6a para Windows NT 4;




d. Instale antivírus e atualize-o;

e. Verifique se todas as partições são formatadas como NTFS;

f. Verifique se existe uma senha forte para conta de Administrador;

g. Desabilite serviços desnecessários;

h. Desabilite ou exclua conta de usuários desnecessários;

i. Desabilite a conta de Convidado;

j. Proteja Arquivos e Diretórios;

k. Proteja o registro contra o acesso de usuários anônimos;

l. Restrinja acesso a Autoridade de Segurança Local pública (LSA);

m. Remova todos os compartilhamentos desnecessários;

n. Estabeleça o acesso necessário a arquivos compartilhados;

o. Fixe políticas de senha mais fortes conforme a Política de senhas definida na

outra seção;

p. Estabeleça política para bloqueio de contas;

q. Renomeie a conta de Administrador para dificultar o ataque;

r. Una a estação de trabalho a um domínio e não deixe configurado em um

grupo;

1.4.4 WINDOWS 2000 PROFESSIONAL:

a. Instale sempre o último Service Pack para Windows 2000;


15















outra seção;




grupo;

1.4.5 WINDOWS XP:

a. Instale sempre o último Service Pack para Windows XP;



Explorer se os mesmos forem instalados no computador.







16







outra seção;




grupo;

s. Habilite Internet Connection Firewall;

17

CAPÍTULO 2 - POLÍTICA DE SEGURANÇA EM SISTEMAS OPERACIONAIS EM SERVIDORES

2.1 INTRODUÇÃO

Este capítulo tem como objetivo propor a implementação de uma Política de

Segurança para Servidores de Dados. O acesso ao servidor é feito por clientes da

corporação. Por esse motivo, há a necessidade de uma interface que garanta a

proteção dos dados e do S.O. hospedeiro, pois não é nada seguro que usuários não

autorizados acessem o servidor e tenham liberdade irrestrita.

Existem muitos tipos de programas servidores de informação disponíveis, tais

como servidores de HTML, de Banco de Dados, etc. Todos eles possuem a mesma

funcionalidade básica: fornecer informações a partir de requisições de estações de

trabalho.

Em informática, um servidor é um sistema de computação que fornece serviços a uma rede de computadores. Esses serviços podem ser de diversa natureza, por exemplo, arquivos e correio eletrônico. (Wikipédia)

Atualmente existem varias opções de Plataformas de Hardware para

Implementação de servidores. Dentro dessas Plataformas de Hardware existem

muitas outras opções de Sistemas Operacionais, tanto proprietários quanto livres,

que podem ser usados.

A seguir relacionamos as Plataformas de Hardware mais usadas com seus

respectivos S.O.´s.

18

Plataforma S.O.´s Servidores Utilizados

Intel, AMD, ViA (x86 32 Bits) Windows NT Server, Windows 2000 Server

Family, Windows 2003 Server Family, Linux,

Solaris (Sun), FreeBSD, OpenBSD, NetBSD,

Unix, OS/2

AMD AMD64 (ISA 64 Bits) Windows NT Server, Windows 2000 Server

Family, Windows 2003 Server Family,

Windows Server 2003 x64 Editions, Linux,

Solaris (Sun), FreeBSD, OpenBSD, NetBSD,

Unix, OS/2

Intel EM64T (64 Bits) Linux, Windows Server 2003 for Itanium-based

Systems

Sun Sparc SunOS, Solaris

Risc (PowerPC) AIX (IBM), Windows NT 3.1 (Microsoft),

OS/360, OS/390, OS/400

DEC Alpha OpenVMS

PA Risc HP-UX

Tabela 1 – Plataformas e seus S.O.´s (Autoria Própria)

E são nesses S.O.´s, Microsoft e Linux, que focaremos nossa política de

segurança.

Para os S.O.´s próprios para servidores se aplicam também as atualizações

fornecidas pelo fabricante. A Microsoft não fornece mais suporte e novas

atualizações para o Windows NT 4 Server desde 31 de dezembro de 2004.

19

2.2 PROPÓSITO

O Propósito desta Política é estabelecer padrões para a configuração básica

de servidores operados por uma Empresa. Esta Política minimizará acesso sem

autorização às informações de propriedade da Empresa.

2.3 ESCOPO

Esta Política se aplica à Servidores baseados em Sistemas Operacionais

Windows NT 4 Server, Windows 2000 Server, Windows 2003 Server e Unix-Like.

2.4 POLÍTICA

2.4.1 WINDOWS NT 4 SERVER

a. Instale Service Pack 6a para Windows NT 4;
















outra seção;


20


r. Configure Mensagem no logon;

s. Habilite Segurança de Auditoria nos Logs do Sistema;

t. Una um domínio de Windows em vez de um Workgroup;

u. Não de privilégios ou senha de usuários Administradores para departamentos

de Help Desk;

v. Devem ser aplicadas atualizações críticas e medidas de segurança providas

pelo fabricante para software e serviços rodam no Sistema Operacional (por

exemplo, IIS). Recorra ao website de segurança do vendedor para detalhes.

2.4.2 SERVIDORES WINDOWS 2000/2003 SERVER

a. Instale sempre o ultimo Service Pack para Windows Server 2000/2003;
















outra seção;



21


grupo;

s. Habilite o Internet Connection Firewall;

t. Configure Mensagem de Logon;

u. Devem ser aplicadas atualizações críticas e medidas de segurança providas


exemplo, IIS). Recorra ao website de segurança do vendedor para detalhes;

2.4.3 SERVIDORES UNIX-LIKE

a. Os mais recentes patches de segurança devem ser aplicados ao sistema.

b. Instale software de antivírus e atualizações conforme a Política de Antivírus;

c. Devem ser desabilitados todos os serviços desnecessários;

d. Verifique se somente serviços exigidos estão rodando no sistema;

e. Portas que não fazem parte à aplicação de negócio da Empresa devem ser

fechadas;

f. Aplique senhas de acordo com a política de senhas da Empresa;

g. Desabilite qualquer serviço desnecessário que são levantados durante a

inicialização do sistema;

h. Remova todos os grupos de usuários que não estão mais em operação;

i. Remova os hosts desnecessários de hosts.equiv exclua ou remove arquivo se

rsh ou rlogin;

j. Fixe as permissões apropriadas em todos os arquivos e pastas;

k. Assegure-se que a senha de root só está disponível a um grupo operacional

que é responsável pela administração do sistema. A senha de root também

deve ser uma senha forte como definida na política de senhas da empresa;

l. Assegure que o arquivo /etc/ftpusers contém todas as contas de sistema

como também a conta root;

m. Limpe o arquivo de /etc/hosts.lpd. Se está funcionando como um servidor de

impressora modifique o /etc/hosts.lpd para incluir só hosts que exigem

imprimir ao servidor de impressão;

22

n. Devem ser aplicadas atualizações críticas e medidas de segurança providas


exemplo, Apache). Recorra ao website de segurança do vendedor para

detalhes.

2.4.4 CONFIGURAÇÕES GERAIS

a. Devem ser incapacitados serviços que não serão usados, contanto que isto

não introduza efeitos colaterais nem prejudica serviços exigidos (teste

primeiro). Exemplos são IIS, APACHE o SMTP;

b. Não instale aplicações que não são requeridas (por exemplo, os clientes de

mapi);

c. Implementação de patches tem que depender do estado crítico do patches e o

papel do servidor no ambiente da Empresa. Deve ser estudado e testado

antes de qualquer atualização;

d. Devem ser instalados patches de segurança críticos no sistema dentro de 7

dias de publicação, são permitidas Exceções baseado em necessidades de

negócio e requerem própria justificação. Exceção deve ser documentada e

deve ser seguida para níveis superiores de gerencia;

e. Evite usar contas que têm mais privilégios que o necessário para executar tal

tarefa;

f. Caso haja necessidade de conexão remota a mesma deve ser executado em

cima de canais seguros, como conexões de rede codificadas que usam SSH

ou IPSec (VPN).

2.4.5 MONITORAMENTO

a. Devem ser gravados todos os eventos de segurança relacionados em

sistemas críticos ou sensíveis e devem ser examinados rastros como segue:

i. Todos logs de segurança deverão ser mantidos on-line para um mínimo

de 1 semana;

23

ii. Deverá ser feito backup dos logs todos os dias com incremento durante 1

mês;

iii. Os backups Mensais serão guardados por 1 ano.

b. Serão relatados os incidentes como:

i. Ataques de Port Scan;

ii. Evidência de acesso sem autorização para contas privilegiadas;

iii. Anomalias de ocorrências que não são relacionadas às aplicações

específicas do Host.

24

CAPÍTULO 3 - POLÍTICAS DE SENHAS

3.1 AVALIAÇÃO Senhas são muito importantes para uma empresa, no entanto cada usuário de

computador é designado em estabelecer sua senha de acordo com a Política e as

mesmas não deverão ser informadas para nenhum outro usuário em exceto senhas

de documentos, deverão ser armazenadas em cofres de propriedade da empresa.

3.2 PROPÓSITO O Propósito desta Política é estabelecer um padrão para criação de senhas

fortes, a proteção e a freqüência de mudança das mesmas.

3.3 ESCOPO O Escopo desta Política inclui todo o pessoal que tem ou é responsável por

uma conta (ou qualquer forma de acesso que apóia ou requer uma senha) em

qualquer sistema que reside em qualquer facilidade da Empresa e tenha acesso à

rede da Empresa.

3.4 POLÍTICA a. Configure a estação de trabalho para bloquear a estação em intermédio de

proteção de tela protegido de senha após 5 minutos de inatividade.

b. Escolha uma senha que seja difícil de adivinhar:

i. Deve ter 8 ou mais caracteres;

ii. Deve ser alfanumérica (contendo números e letras);

iii. Não use seu próprio nome, sobrenome, nome de pais, data de

aniversários, etc;

iv. A senha deve conter caracteres especiais (~!@#$%*&{}?);

v. Nunca use senha igual ao Id de usuário.

c. Altere sua senha em imediato caso suspeite de algo;

d. Senhas em documentos (Zip, Word, Excel) deverão ser armazenadas em

cofres;

25

e. As senhas deverão ser expiradas em um prazo de 90 dias;

f. Caso a conta fique sem acesso por 60 dias às mesmas deverão ser

bloqueadas.

g. Implante em sua Workstation e em seu Computador Doméstico senha de

inicialização ao computador e proteções de tela protegidas com senhas.

h. Escolha uma senha que seja difícil de ser adivinhar, onde:

i.Contenha pelo menos 8 caracteres.

ii.Seja alfanumérica (contendo letras e números).

iii.Misture bem letras e números

iv.Não contenha nenhum nome inicial, ou palavras comuns, como as

contidas em um dicionário.

v.Tenha, mas não início, caracteres especiais (~! @ #$% * & {}?).

vi.Seja significativamente diferente de seu UserID e senhas anterior.

i. Mude sua senha rapidamente caso suspeitar de extravio da mesma, e informe

o responsável pela segurança da rede.

j. Comunique qualquer alteração de senhas em arquivos individuais (Excel,

Word, Zip) ao responsável pela segurança da rede.

k. Caso a empresa precise de contas anonymous habilitadas, estabeleça regras

como:

l. Não permita direitos de gravação a nenhum diretório.

m. Não permita direitos de leitura em outros diretórios a não ser que aos

diretórios estipulados pela própria conta.

Ao final deste capítulo concluem-se necessárias Polícias de Segurança mais

severas em relação aos Servidores, sejam eles em plataforma Windows, Unix-Like,

com devida atenção às atualizações (Service Packs e Pathes) sem também,

obviamente, desvalorizar a devida importância às senhas de usuários usadas nos

terminais que dão acesso aos dados da empresa.

26

CAPÍTULO 4 – CONSCIENTIZAÇÃO DOS USUÁRIOS

4.1 PROPÓSITO

Este capítulo tem por objetivo ajudar os usuários a aderir à Política de

Segurança e ajudá-lo a compreender o que é considerado “uso aceitável” dos

recursos tecnológicos da empresa, os quais são disponibilizados pelas estações de

trabalho da empresa, assim minimizando o acesso não autorizado à rede e recursos.

Os usuários das Estações de Trabalho devem compreender:

a. Que são individualmente responsáveis por proteger os dados e a informação

em mãos. A segurança é responsabilidade de todos.

b. Que os dados são sensíveis. Se você não souber o que é, não altere.

c. Se não tem acesso ao recuso, é porque as informações lá contidas não são

associáveis a sua função ou cargo.

d. Devem usar os recursos da empresa somente para o benefício da própria

empresa.

e. A empresa se reserva ao direito de examinar periodicamente todas as

estações de trabalho.

f. Os inícios de uma sessão de acesso, o uso dos recursos é monitorado e

examinado periodicamente.

g. Que se observar quaisquer inconformidades em seus dados, como dados

faltantes ou outros problemas do acesso dos dados, deve-se informar ao seu

superior ou ao responsável pela segurança da informação da empresa.

4.2 AFAZERES GERAIS

a. Finalizar a sessão ou travar suas telas e teclado antes que você saia de sua

estação de trabalho.

b. Proteger e controlar a saída de dados impressos confidenciais, ou em meios

de armazenamento removível de circulação interna.

27

c. Relatar incidentes, fraquezas ou falhas da segurança ao responsável assim

que detectá-las.

4.3 DADOS

a. Armazenar dados importantes, como os de negócios e transações, em

servidores centrais.

b. Remover arquivos não usados, como rascunhos ou qualquer tipo de pré-

documento. Armazenar somente arquivos necessários à execução de

trabalhos da empresa.

c. Assegurar-se de que todos os dados importantes em seu computador e nos

sistemas centrais estejam devidamente atualizados em equipamentos moveis

usados pelo mesmo usuário.

d. Não armazenar dados confidencias em PDA´s ou em meios de

armazenamento removíveis, tais como PenDrives e dispositivos de memória

removíveis.

4.4 COMPUTADORES PORTÁTEIS

a. Habilite, se possível, senhas no Sistema Operacional e BIOS de seu laptop.

Solicite ajuda ao responsável se necessitar.

b. Feche seu portátil quando você o deixa só.

c. Copie dados empresariais regularmente de seu laptop para servidores de

arquivo centrais. Solicite ajuda ao responsável se necessitar.

4.5 VÍRUS

Informe ao responsável pela segurança da rede imediatamente se você

suspeitar da presença de softwares maliciosos em sua Workstation, pois a mesma

pode estar infectada por vírus. Tome os seguintes cuidados:

a. Tenha certeza que toda mídia inserida em sua Workstation tenha sido

analisada pelo software antivírus presente na mesma.

28

b. Utilize o software antivírus em todo o material recebido de fontes externas,

como e-mails e seus respectivos anexos, para isso certifique-se que seu

software Anti-Vírus esteja devidamente atualizado, para ter certeza disto entre

em contato com o responsável pela segurança da rede.

c. Verifique e mantenha sempre seu antivírus atualizado.

4.6 E-MAILS

a. Assegure-se que os endereços dos destinatários estejam corretos antes de

enviar os e-mails. Devem-se ter a mesma cautela com os e-mails tão quanto

com os documentos normais escritos.

b. Tenha em mente que na maioria dos países, uma mensagem de e-mail tem o

mesmo valor legal que um documento oficialmente assinado.

c. Apague de sua conta de quaisquer e-mails que permanecem inativos (novos e

não lidos) que tenham 60 dias ou mais, a menos que seja desaconselhado por

seu superior eu responsável pela segurança da rede.

4.7 ACESSO REMOTO

Dê a sua conexão de acesso remoto a mesma consideração em relação à

segurança de sua conexão de local de trabalho.

É de sua total responsabilidade assegurar-se que uma conexão distante para

a rede da empresa não seja usada por não-empregados a fim de ganhar acesso a

informações da empresa e recursos dos sistemas computacionais. Permaneça

constantemente atento à conexão remota, e saiba que a mesma é uma extensão da

rede local, o que provê um caminho em potencial para vazamento de informações

importantes da empresa.

4.8 SOFTWARE

a. Não duplique qualquer software licenciado ou documentação relacionada, a

menos que seja autorizado pelo desenvolvedor. Duplicação de software sem

29

autorização pode o sujeitar a empresa a penalidades civis e criminais pela

violação da lei de direitos autorais.

b. Não use Shareware (software que baixou da Internet com prazo de utilização

ou em revistas, Kazaa etc.).

c. Não instale nenhum software em sua máquina onde altere sua segurança ou

configuração. Isto deve ser executado pelo departamento responsável pela

rede.

d. Todo o software adquirido pela empresa deve ser comprado pelo

departamento de TI. Entregas de Software devem ser feitas diretamente ao

departamento de TI para que o responsável possa completar as inscrição e

exigências de inventário. Software deve ser registrado no nome da Empresa e

rotulado ao departamento no qual será usado. Depois de todas as exigências

de inscrição forem satisfeitos o software será instalado para o usuário pelo

departamento responsável (TI).

e. Não traga software de casa e instale sobre computadores da Empresa. Se

você precisa usar software que não tenha em seu computador consulte seu

departamento responsável (TI) para determinar as verdadeiras necessidades

e licenças apropriadas para tal aplicativo.

f. Não compartilhe ou empreste qualquer software provido pela empresa a

outros.

4.9 PROIBIÇÕES GERAIS

a. Não dê a outros a oportunidade de olhar sobre seu ombro se você está

trabalhando com informações de suma importância.

b. Não remova seu equipamento pertencente à empresa sem prévia autorização

do departamento de segurança da informação ou administração.

c. Não instale componentes de hardware adicionais em nenhum computador da

empresa. Esta atividade deve ser executada pelo responsável da manutenção

com prévia autorização do responsável pela segurança da rede.

30

d. Não tente desabilitar ou incapacitar qualquer ferramenta de segurança, como

Anti-Virus sem prévia autorização do departamento de segurança da

informação.

4.10 COMPUTADORES PESSOAIS

Embora o uso de equipamentos pessoais para acesso às redes esteja proibido

nessa política, gostaríamos preservar segurança aos computadores pessoais dos

funcionários:

a. Habilite software de firewall pessoal e faça uso de senhas em seu computador

doméstico.

b. Instale todas as atualizações do Sistema Operacional em uso em seu

computador a fim de corrigir vulnerabilidades de segurança conhecidas pelo

fabricante do S.O., por exemplo, executando a Atualização do Windows.

c. Instale software antivírus em seu computador doméstico e atualize-o

diariamente.

d. Crie uma senha forte ao usuário Administrador, e desabilite o usuário o

Convidado.

e. Habilite criptografia de 128bit WEP e escolha senhas fortes caso tenha uma

rede sem fio em sua casa. Fixe o SSID para propagação anônima, aplique

restrições de acesso à rede sem fio, liberando os acessos ao Access Point

somente aos endereços MAC dos adaptadores de rede Wireless usados em

sua rede.

f. Jamais utilize em sua casa as mesmas senhas utilizadas na empresa.

31

CAPÍTULO 5 – BACKUP DE DADOS

5.1 INTRODUÇÃO

Existem várias causas involuntárias para a perda de informações em um

computador. Uma criança usando o teclado como se fosse um piano, quedas de

energia, fenômenos naturais. E algumas vezes o equipamento simplesmente falha.

Por isso é importante termos cópias de todo tipo de dado que é importante, a

essa cópia chamamos simplesmente de Backup.

5.2 PROPÓSITO

Esse capítulo propõe a implantação de políticas de segurança englobando

seus métodos.

5.3 ESCOPO

Esta política fixa um padrão a ser seguido nas Cópias de Segurança

realizadas na empresa em sistemas clientes e servidores, onde são Windows e

Sistemas Baseados em Linux.

5.4 POLÍTICA

a. Os Backups deverão ser armazenados em locais onde estão seguros contra

roubo e riscos ambientais;

b. As mídias deverão ser armazenas em locais seguros, dentro e fora da

empresa;

c. Backup de Sistemas Operacionais e aplicações devem ser armazenados pelo

menos uma vez por ano. Backup de dados e informações deverão ser

armazenados semanalmente;

d. Backup deve ser feito diariamente;

e. As mídias deverão ser claramente etiquetadas e um registro deverá ser feito

para o melhor controle;

32

f. Testes de restauração devem ser feitos pelo menos uma vez ao ano ou após

atualizações em sistema operacionais, software de backup ou softwares que

trabalham em conjunto com a operação;

g. Deverá ser estudado qual software responsável pelo backup, e levar em

consideração software que fazem cópias de arquivos abertos como:

documentos, banco de dados e arquivos de sistema;

h. Deverá ser feita uma documentação completa do procedimento de backup e a

mesma deverá ser armazenada dentro e fora da empresa.

5.5 EXEMPLOS

Na prática existem inúmeros softwares pagos e gratuitos para criação de

backup e a posterior reposição.

Para uso doméstico destacamos, em plataformas Windows, o Backee, que é

um software de backup local (armazenado em CD, DVD, HD ou na rede) ou on-line

através do serviço On-line Backup, com interface amigável e fácil de ser utilizada. É

indicado para usuários que precisam realizar o backup de seus arquivos, sem

precisarem ser grandes conhecedores de softwares de backup.

Com ele você define a freqüência com que seus backups devem ser

realizados: a cada determinado número de dias, em determinados dias da semana

ou em determinado dia do mês a cada “x” horas.

Para aumentar mais ainda mais a segurança, a InterFactory e a Human Bios

GmbH desenvolvedores deste software oferecem também o Serviço On-line Backup

pago. Este serviço foi criado para os usuários de Backee e com ele é possível

programar backups a serem feitos on-line em um datacenter na Suíça. Como

benefícios você tem a economia de mídia e a segurança de armazenar seus dados

em um datacenter internacional.

Em plataformas Windows corporativas destacamos o Symantec Backup Exec

for Windows Servers, projetado servidores, fornecendo operações de backup e

33

restauração abrangentes, com custo-benefício relativamente bom, de alto

desempenho e certificadas, inclusive proteção de dados contínua. A administração

centralizada oferece um gerenciamento escalonável do backup distribuído e dos

servidores remotos. Agentes e opções de alto desempenho fornecem uma proteção

flexível e gradual dos servidores de dados.

Principais recursos:

a. Proteção de dados contínua, simples e fácil de usar;

b. Oferece proteção completa de disco-para-disco-para-fita em uma única

solução;

c. Solução totalmente flexível, com gerenciamento centralizado e suporte SAN

(Storage Area Network) para empresas em crescimento;

d. Oferece proteção minuciosa a uma ampla variedade de aplicativos, incluindo

Microsoft SQL e Exchange com agentes de chaves.

Em ambiente Linux, uma das formas mais comuns e conhecidas para realizar

o Backup é com o auxílio do comando TAR, tanto para uso doméstico quanto ao uso

corporativo. Velho conhecido dos Sistemas Operacionais Unix-Like bastante flexível

na realização e manutenção de conjuntos de backup, mas sua implementação se

complica quando as necessidades de backup saem dos limites de uma máquina e,

mais ainda, quando estas necessidades esbarram em limites geográficos, tais como

uma matriz e suas filiais, interligadas através de linhas dedicadas e com uma única

unidade de fita, como as ilustrações 1 e 2, com custo de aquisição elevado

(geralmente acima dos R$ 2.500,00), para a realização das cópias.

34

Ilustração 2 – Unidade de Backup em Fita 8 mm Sony Backup AIT – 1 uso externo (Fonte Sony)

Ilustração 3 – Unidade de Backup em Fita 8 mm Sony Backup AIT uso interno (Fonte Sony)

Neste cenário acima, a realização dos backups das filiais tomaria um grande

tempo do responsável pela segurança, além de consumir recursos dos meios de

comunicação entre os pontos.

Existem algumas soluções de backup para Linux que permitem o recurso de

backups centralizados nas, em sua maioria, são ferramentas pagas que, na maior

parte dos casos, custa muito mais do que o próprio sistema operacional. Dentro da

filosofia Free Software, a Universidade de Maryland criou e distribui o software

A.M.A.N.D.A. (Advanced Maryland Network Disk Archiver).

35

O Amanda oferece recursos para a realização de "backups centralizados" de

máquinas que estejam distantes, incluindo recursos de limitação de acordo com o

uso dos meios de comunicação durante a transmissão dos dados do backup (afim

evitar o esgotamento do canal de tráfego), backups incrementais, cópia dos dados

em disco antes de enviar para a fita, backups de plataformas Windows (em conjunto

com o Samba), entre outros. As principais características oferecidas pelo Amanda

são:

a. Totalmente Free Software;

b. Compatível com diversos Unix-Like (HP-UX, AIX, Solaris, FreeBSD, Linux,

etc.);

c. Backups totais e incrementais;

d. Facilidade para a definição de uma política de backup;

e. Realização de backups em máquinas remotas sem interferência externa;

f. Utiliza e é compatível com ferramentas Free Software;

g. Possui todo o seu código fonte disponível, o que permite que, com o devido

conhecimento, que se façam alterações.

36

CAPÍTULO 6 - FIREWALL

6.1 PROPÓSITO

Firewall é um recurso da rede (computador, roteador ou softwares) onde sua

função é filtrar o acesso externo a uma rede de computadores que precisam de

proteção, assim as redes corporativas ou domésticas ficam seguras contra acessos

não autorizados, em contra partida permite o acesso à externa (Internet) de usuários

da rede local de forma segura.

6.2 ESCOPO

Esta política fixa um padrão a ser seguido na implementação de Firewalls

realizadas na empresa, em sistemas ou equipamentos dedicados para esse fim.

6.3 POLÍTICA

O Firewall examina todo trafego autorizado em tempo real onde a seleção é

feita de acordo com a regra “o que não for expressamente proibido é permitido”.

Alguns Firewalls focam mais o bloqueio do tráfego, enquanto outros enfatizam

permissão do tráfego. O importante é configurar o Firewall de acordo com a política

adotada pela empresa onde será implantado, estabelecendo assim o tipo de acesso

que será permitido ou negado.

Os Firewalls utilizam endereços IP de origem e destino e portas UDP e TCP

para tomar suas decisões no controle do acesso. O projeto do Firewall consiste em

uma lista composta de máquinas e serviços que estão autorizados ou não a

transmitir nos possíveis sentidos (entrando ou saindo da rede interna). Um exemplo

simples e seguro de política é a liberação do acesso LAN para Internet das portas

80, 21, 20, 110 e 25 (web, ftp, pop, smtp) liberando assim o acesso básico do usuário

à Internet, ftp e envio e recebimento de mensagens de correio eletrônico. Caso o

usuário tente acessar outros serviços na Internet, que não esteja relacionado nesta

lista, seu acesso será negado caindo no “fogo” do Firewall.

37

O Firewall protege a rede de acessos não autorizados e libera os respectivos

serviços aos usuários autorizados vindo da rede interna como demonstrado na

ilustração 5:

Ilustração 4 – Modelo de Rede com Firewall (Autoria Própria)

Com as regras de Firewall definidas ele pode ser implementado em um

computador com dois ou mais adaptadores de rede, conectando-se a diferentes

redes privadas e um de seus adaptadores de rede ligado diretamente à Internet.

Servindo assim como uma barreira para acessos externos não autorizados à rede

interna, além de fornecer dados sobre eventuais tentativas de acessos não

autorizados que tentem burlar tal bloqueio. A esse recurso chamamos de Auditoria.

Os Firewalls podem ser encontrados em diversas plataformas. Podem ser

escritos em regras sobre Iptables, Ipfw ou Ipchais no caso de plataformas Unix-Like

ou em softwares como o Microsoft ISA Server no caso das plataformas Windows.

Existem também equipamentos (hardware) que fazem o serviço de Firewall, que são

conhecidos como Appliances. Como exemplos podemos citar o Barracuda IM

Firewall e o SonicWALL Pro 4060 mostrados nas ilustrações 4 e 5, que além de

firewall, implementam VPN, Anti-Span, Proxy Web, Web Filter e QoS.

38

Ilustração 5 – Appliance Barracuda IM Firewall (Fonte Barracuda Networks)

Ilustração 6 – Appliance SonicWall Pro 4060 (Fonte SonicWall)

Todo Firewall deve ser implementado ou configurado, no caso de Appliances,

de acordo com as regras definidas na política da empresa.

Como um exemplo do funcionamento de um Firewall, escrevemos um script

de exemplo baseado em regras sobre Iptables rodando sobre plataforma Linux, onde

é liberado somente aquilo que será utilizado (web, ftp, pop, smtp) e o que não for é

negado:

#!/bin/bash # Script escrito por :Roberson Afonso Naves e Willian Ricardo Pires # [email protected] | [email protected] # Limpando as regras iptables -F iptables -t nat -F iptables -X # Habilitando repasse e nat de pacotes ipv4 echo 1 > /proc/sys/net/ipv4/ip_forward iptables -t nat -A POSTROUTING -s 192.168.0.1/255.255.255.0 -o eth1 -j MASQUERADE # cria 2 chains, para inspeção de estados e o Firewall iptables -N STATEFULL iptables -N FIREWALL

39

# Trafego pela loopback é OK iptables -A INPUT -i lo -j ACCEPT # Manda os pacotes para analise de estados iptables -A INPUT -j STATEFULL # Vou confiar em eth0 (LAN) porque voce mandou! iptables -A INPUT -i eth0 -j ACCEPT # O resto vai pro fogo! iptables -A INPUT -j FIREWALL iptables -A FORWARD -j STATEFULL # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 80 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p UDP --dport 80 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 21 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p UDP --dport 21 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 20 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p UDP --dport 20 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 25 -j ACCEPT # de: LAN para: EXT iptables -A FORWARD -i eth0 -o eth1 -p TCP --dport 110 -j ACCEPT #DNAT – Redirecionamento de portas externas para servidores dentro da rede interna iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 80 -j DNAT --to-destination 192.168.0.2:80 iptables -A FORWARD -i eth1 -d 192.168.0.2/32 -p TCP --dport 80 -j ACCEPT iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 21 -j DNAT --to-destination 192.168.0.2:21 iptables -A FORWARD -i eth1 -d 192.168.0.2/32 -p TCP --dport 21 -j ACCEPT iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 25 -j DNAT --to-destination 192.168.0.3:25 iptables -A FORWARD -i eth1 -d 192.168.0.3/32 -p TCP --dport 25 -j ACCEPT iptables -t nat -A PREROUTING -i eth1 -p TCP --dport 110 -j DNAT --to-destination 192.168.0.3:110 iptables -A FORWARD -i eth1 -d 192.168.0.3/32 -p TCP --dport 110 -j ACCEPT # Se você chegou até aqui, é porque você não é aceito, então vai pro fogo! iptables -A FORWARD -j FIREWALL iptables -A STATEFULL -m state --state ESTABLISHED,RELATED -j ACCEPT iptables -A STATEFULL -m state --state INVALID -j FIREWALL iptables -A FIREWALL -j LOG --log-level debug --log-prefix 'FIREWAL: ' iptables -A FIREWALL -j REJECT Ilustração 7 – Exemplo de Script de Firewall escrito em Iptables para S.O. Linux (Fonte Auroria Própria)

40

6.4 DMZ

A DMZ (DeMilitarized Zone) ou “Zona desmilitarizada” é uma rede que fica

entre uma rede confiável e outra não confiável, como por ex.: Internet.

Sua função é manter permitir e manter todo serviço que possui acesso externo

separado da rede local, limitando assim danos em caso de comprometimento de

algum serviço presente nela por algum invasor. Para Garantir este serviço todos os

computadores instalados na DMZ não podem obter nenhum tipo de rota para a rede

local.

A DMZ é instalada na terceira placa de rede de um firewall como mostrada na

figura abaixo:

Ilustração 8 – Exemplo de uso de DMZ em uma rede com servidores Web (Fonte Autoria Própria)

Geralmente a DMZ é composta por servidores do tipo: HTTP, SMTP, DNS,

VPN, serviços que são expostos na Internet para uso de terceiros. Assim caso o

invasor consiga quebrar a segurança e cair em algum servidor dentro da DMZ ele

jamais conseguirá chegar até a rede local mantendo assim servidores e

computadores locais livres de ameaças.

41

CAPITULO 7 - ATAQUES

7.1 INTRODUÇÃO

Um ataque, ao ser planejado, segue um plano de estratégia sobre o alvo

desejado, e uma pessoa experiente em planejamento de ataque sempre traça um

roteiro a ser seguido a fim de alcançar o objetivo. Um exemplo de roteiro organizado

para atacar é exemplificado a seguir:

a. Localizar o alvo desejado;

b. Concentrar o máximo de informações possíveis sobre o alvo, geralmente

utilizando alguns serviços da própria rede, ou até mesmo, ferramentas

utilizadas na administração e gerenciamento da rede alvo;

c. Disparar o ataque sobre o alvo, a fim de invadir o sistema, explorando a

vulnerabilidade do sistema operacional, servidores e serviços oferecidos pela

rede. O invasor pode até mesmo abusar um pouco da sorte tentando adivinhar

uma senha na máquina alvo, fazendo combinações possíveis;

d. Não deixar pistas da invasão, pois geralmente as ações realizadas pelos

invasores são registradas no sistema alvo em arquivos de log, possibilitando

que o administrador do sistema invadido possa vir a descobrir a invasão, a

não ser que o invasor se preocupe em eliminar todos e quaisquer vestígios

que o incriminem;

e. O invasor deve conseguir não somente senhas de usuários comuns, pois os

privilégios destes usuários são limitados, não dando acesso a recursos mais

abrangentes no sistema. Com isso, é de grande importância que o invasor

consiga uma senha de administrador, pois terá todos os recursos de

gerenciamento do sistema disponíveis, para alterações e até mesmo gerar

bug no sistema. Instalar ferramentas que façam a captura de senhas de forma

clandestina aos olhos do administrador, para isso existem programas que

conseguem rodar em segundo plano sem que a vítima perceba, podendo ser

colocados na pasta usada pela vítima;

42

f. Criar caminhos alternativos de invasão, logo que a administradora do sistema

encontrar uma “porta aberta” que permita a invasão esta será fechada, mas se

o invasor gerar outras maneiras de invadir o sistema, certamente terá outra

chance de invasão, já que teve a preocupação de criar novas rotas

alternativas;

g. Utilizar a máquina invadida como “portão de entrada” para invasão de outras

máquinas da rede e até mesmo do computador central.

7.2 TIPOS DE ATAQUES

7.2.1 TROJAN HORSE

O trojan horse ou cavalo de tróia, é um programa com poder de infectar muitos

computadores, tendo capacidade de dar acesso sem restrições ao invasor

possibilitando executar qualquer ação no computador da vítima, como exemplo

podemos citar o NetBus e o B.O. (Back Orifice) são alguns dos mais conhecidos,

embora existam outros que realizam essas tarefas. Normalmente, a distribuição

destes programas é feita via email, e executadas por usuários desavisados, que não

tem antivírus para proteger o sistema, ou quando o antivírus está desatualizado,

passando assim despercebido.

De modo a facilitar as invasões, os trojam horses abrem portas que serão

utilizadas na invasão do sistema.

7.2.2 FLOOD

O Flood é uma técnica utilizada para gerar lentidão ou até mesmo derrubar um

serviço, ainda mais se o servidor alvo for de pequeno porte. Essa técnica consiste

em enviar, sem interrupções, diversos disparos de pacotes para o servidor com

objetivo de causar um “congestionamento”.

43

7.2.3 NUKE

Nuke é o nome que é dado para pacotes TCP (Protocolo de Controle de

Transmissão), UDP (Protocolo Utilização de Datagrama), ICMP (Protocolo de

Controle de Mensagens de Erro) ou IP (Protocolo de Identificação) com anomalias,

onde este tipo de pacote pode fazer com que o servidor alvo se torne lento ou até

mesmo chegue a travar devido à dificuldade em conseguir identificar ou tratar

corretamente o pacote.

Exemplificando, podemos imaginar a seguinte situação em que o servidor

recebe um pacote alterado com uma solicitação de conexão, onde o endereço de

origem deste pacote é o mesmo endereço do servidor que recebeu o pacote, sendo

assim o servidor tentará estabelecer uma conexão consigo mesmo, possivelmente

entrando em um loop, que caso não seja detectado pelo servidor, fatalmente

resultará na queda do serviço, onde essa queda pode ser a chance que o invasor

esperava para entrar no sistema.

Basicamente todos os programas de nuke utilizam o mesmo princípio:

a. Definir o alvo dos pacotes (Cliente ou Servidor);

b. Definir o tipo de mensagem de erro enviada (opcional);

c. Definir o host do cliente;

d. Definir o host do servidor;

e. Definir as portas a serem “nukadas” no cliente;

f. Definir as portas a serem “nukadas” no servidor;

g. Definir o intervalo (delay) entre cada pacote enviado (opcional).

Uma vez determinados esses parâmetros o programa inicia o envio de

pacotes de erro. Quanto mais rápida for a conexão com a Internet, menor o intervalo

entre os pacotes e mais rápido a vítima vai ser atingida. No lugar da porta do

servidor, o mais óbvio é começar a varredura a partir da porta 6667, que é a porta de

conexão default para a maioria dos servidores de IRC.

44

7.2.4 IP SPOOFING

Disfarce. É isto que este ataque faz. Muitas comunicações entre

computadores na Internet se baseiam em “parceiros” confiáveis. Um computador X

pode manter uma comunicação comum com um computador Y de forma que não

seja necessária a constante verificação de autenticação entre eles. O invasor, então,

se disfarça, dizendo para o computador X que “ele” é o computador Y. Desta forma o

computador X vai aceitar seus comandos tranqüilamente, enquanto ele usufrui dos

serviços disponíveis do sistema.

Detalhando um pouco mais, os pacotes IP possuem um endereço destino e

um endereço de origem, onde normalmente o endereço de origem reflete a

realidade, mas nada impede que este endereço seja alterado pelo invasor para que o

pacote pareça ter vindo de um outro lugar. Só que não basta apenas isso, além de

enganar o computador de destino, neste caso o X, é necessário que se

sobrecarregue o computador Y, para que ele não responda às mensagens de X, o

que faria com Y dissesse: “Mas eu não te perguntei nada !!!”, e então X cancelaria a

conexão.

Faz-se necessário ainda, uma “previsão” do número de seqüência mandado

por X, onde este número é enviado por X ao originar a conexão (supostamente o Y).

Mas Y não irá responder, devido a sobrecarga explicada anteriormente. Com

isso, o invasor deve prever o número de seqüência mandado por X para que seja

enviado um novo pacote com estes números de seqüência, fingindo novamente ter

sido enviado por Y, e assim forjando a autenticação.

A previsão deste número de seqüência é um processo demorado e criativo.

Durante a negociação da conexão, os computadores trocam informações para

efetuarem o “handshake”, que seria o “aperto de mão” entre as máquinas. Dentre

essas informações trocadas estão os números de seqüência, que devem ser

repetidos para o destino, para que este se certifique da autenticação da conexão. O

que o invasor pode fazer é o seguinte:

45

a. Enviar, através de um pacote legítimo, com o endereço de origem

verdadeiro, vários pedidos de conexão à X;

b. X responde com um número de seqüência, para que o invasor o repita

e efetue a conexão, mas a máquina de origem (do invasor) não tem

privilégios e não lhe interessa fechar esta conexão;

c. Então o invasor não responde a estes pacotes de X, apenas os guarda

e verifica seu número de seqüência.

Após vários pedidos de conexão com X, o invasor pode aprender como gerar

seus números e então mandar um pedido de conexão, desta vez com endereço de

origem sendo Y (o computador confiável). Obviamente, o invasor não vai receber os

pacotes de X com os números de seqüência, pois estes irão para o endereço de

origem (computador Y, que, a esta altura, precisa estar sobrecarregado para não

responde-los), mas com base nos cálculos anteriores, o invasor prevê e manda o

número de seqüência correto para o computador X, fechando a conexão.

Esta conexão é unidirecional, pois todas as respostas de X serão destinadas

ao computador Y, e não ao computador do invasor. Então o invasor age “às cegas”,

pois não recebe nenhum tipo de retorno de X, pelo menos enquanto configura X para

aceitar conexões do seu próprio computador. Ao terminar, o invasor tira o “disfarce”

desfazendo a conexão falsa com X, fazendo uma conexão legítima logo em seguida,

agora que X pode aceitar conexões confiáveis através do computador do invasor

com todos os privilégios possíveis.

Há dois inconvenientes neste ataque:

a. O trabalho de achar um padrão nos números de seqüência;

b. Falta de retorno do computador invadido.

Entretanto, existe uma outra categoria de spoofing, que apesar das condições

pouco comuns, é muito mais eficiente. Neste tipo de ataque, um computador de

pouca importância em uma rede é invadido por um método simples qualquer

46

(infelizmente, os computadores que não guardam informações importantes

geralmente são esquecidos no projeto de segurança) e, estando localizado no

mesmo meio físico, onde ocorre uma conexão entre duas máquinas importantes, ele

poderá captar todo tráfego deste meio físico. Com isso, ele saberá os números de

seqüência de ambos os lados, podendo assim interceptar este diálogo, pondo-se no

lugar de um dos computadores de conexão confiável, tendo total acesso aos dados

mais sigilosos.

Este tipo de ataque só pode ser eficazmente prevenido através de um controle

apurado de todos os computadores da rede local, que compartilham o mesmo meio

físico, através de uma comunicação confiável baseada em aplicativos de criptografia.

7.2.5 DNS SPOOFING

A idéia básica deste tipo de invasão é fazer com que o servidor DNS permita

que máquinas não autorizadas, que neste caso são as máquinas do invasor, passem

a ser vistas pelo servidor DNS como máquinas confiáveis à rede. Para este objetivo

ser alcançado, o invasor deve ter controle do host servidor de DNS, e saber o nome

de uma máquina que o alvo confia, desta forma, altera-se o registro do DNS que

mapeia o endereço IP da máquina confiável para o seu nome, modificando-o para

que tenha o endereço da máquina do invasor. A partir de então, o invasor terá

acesso aos serviços baseados em autenticação feita por nome.

Grande parte dos sistemas já possui métodos que identificam este tipo de

ataque, utilizando para isso uma técnica conhecida como cross-check, com esta

técnica o nome retornado pela consulta é novamente submetido ao serviço de

nomes.

Se o endereço retornado pela consulta for diferente do endereço cross-check,

a conexão é imediatamente abortada e é apontada uma violação de segurança. Esta

técnica pode ser instalada no servidor de nomes e nos servidores de serviços com

autenticação baseada em nomes.

47

7.2.6 SOURCE ROUTING ATTACK

Esse ataque se utiliza dos mecanismos de roteamento disponíveis e da opção

loose source route do protocolo IP para induzir a máquina alvo a acreditar que o

ataque é, na realidade, uma operação legítima de uma outra máquina confiável. A

opção loose source route disponibiliza um mecanismo para que a origem de um

datagrama possa fornecer informações de roteamento usadas pelos gateways para

direcioná-lo ao destino. Deste modo um processo pode iniciar uma conexão TCP

fornecendo um caminho explícito para o destino, sobrescrevendo o processo usual

de roteamento.

O protocolo IP especifica que pacotes contendo informações de roteamento

devem retornar à sua origem utilizando o caminho reverso das rotas indicadas por

ele.

Um ataque pode desativar um computador que possui relação de confiança

com o computador alvo (utilizando um ataque como Flood, Nuke, etc.) e definir em

seu computador o IP do computador desativado.

Sejam três máquinas, X, A e B. Seja a situação em que o intruso em X lança

um Source Route Attack em A que confia em B. Os passos de ataque serão os

seguintes:

a. O intruso, com algum tipo de ataque desestabiliza B, ou espera até que

ela esteja desligada;

b. O intruso configura X para que contenha o endereço IP de B. Neste

momento o atacante está personificando a máquina confiável;

c. Neste momento X acessa A. Para isso deve utilizar pacotes IP com

opção loose source route ativada e corretamente configurada, contendo

um caminho válido de X para A;

d. “A” aceita as requisições de X pensando que são de B. A partir deste

momento X obtém uma conexão legítima com A;

48

7.2.7 SNIFFERS

Na grande maioria das redes, os pacotes são transmitidos para todos os

computadores conectados ao mesmo meio físico, e cada máquina é programada

para somente tratar os pacotes destinados a ela. Entretanto, é possível reprogramar

a interface de rede de uma máquina para que ela capture todos os pacotes que

circulam pelo meio, não importando o destino. A interface de rede que opera deste

modo é dito em modo promíscuo, e esta técnica é denominada snifing.

Os ataques baseados em monitoria têm software específico chamado “sniffer”,

instalado pelos atacantes. O sniffer busca gravar os 128 bytes de cada sessão login,

telnet e seções FTP vista naquele segmento de rede local, comprometendo todo

tráfego da rede de/para qualquer máquina naquele segmento, bem como o tráfego

que passar por aquele segmento. Os dados capturados incluem o nome do host

(máquina) destino, a identificação do usuário (username) e a senha (password). A

informação é gravada no arquivo que posteriormente será recuperado pelo atacante

que acessa outras máquinas. Em muitos casos os invasores obtêm acesso inicial

aos sistemas usando uma das seguintes técnicas:

a. Obtém o arquivo de senhas via FTP em sistemas impropriamente

configurados;

b. Obtém acessos ao sistema de arquivos locais via pontos exportados

para montagem com NFS, sem restrições;

c. Usam um nome de login e password capturada por um sniffer rodando

em outro sistema.

Já que em um ambiente de rede normal trafegam muitas informações em

sigilo, como, por exemplo, nomes de usuários e senhas, fica fácil para um programa

sniffer obter estas informações. Naturalmente o volume de dados a tratar é enorme,

mas o trabalho pode ser simplificado através de regras simples de filtragem, e pelo

fato de ser extremamente fácil detectar o início de uma conexão TCP.

49

A utilização de sniffer é difícil de ser detectada. Se ele estiver somente

coletando dados e não respondendo a nenhuma informação, a única maneira é

percorrer fisicamente todas as conexões da rede. Uma maneira de detectar um

sniffer em operação é através dos imensos arquivos gerados por ele. Nota-se ainda

que, novamente, um sniffer normalmente requer recursos somente disponíveis para

usuários administrativos, o que impede o seu uso por usuários normais de um

sistema.

Diversas medidas podem ser adotadas contra sniffers, mas a maioria delas

requer o uso de hardware específico, como hubs ativos, que enviam a uma rede ou

sub-rede somente os pacotes destinados às máquinas localizadas nestas redes, ou

então interfaces de rede que não possuam modo promíscuo. No lado dos aplicativos,

podem ser utilizados programas que utilizem criptografia ou então realizem

autenticação com métodos criptográficos.

7.2.8 VÍRUS

Vírus são programas como outros quaisquer, com a diferença de que foram

escritos com o único objetivo de atormentar a vida do usuário. Para "pegar" um vírus,

você deve obrigatoriamente executar um programa infectado ou acessar um disquete

que tenha um vírus escondido. Não há outra forma de contaminação. Por isto, é

difícil pegar vírus através de e-mail, por exemplo. Mesmo que você tenha um

programa infectado, caso você não o execute, o vírus não irá contaminar o seu

micro, ou seja, o vírus não é de e-mail e sim de um arquivo que esta no e-mail.

Na verdade, o micro não "pega" vírus nem "fica" com vírus. Os vírus ficam

alojados secretamente dentro de programas ou da área de boot de disquetes ou do

disco rígido. Por este motivo, é impossível que você compre alguma peça de

computador "com vírus"; eles necessitam estar armazenados em algum lugar,

normalmente disquetes e discos rígidos. Como são programas, com o micro

desligado os vírus não podem fazer nada, mesmo que o micro esteja infectado.

50

CAPÍTULO 8 - ENGENHARIA SOCIAL

8.1 INTRODUÇÃO

A engenharia social é um dos meios de ataques mais utilizados na obtenção

de informações sigilosas. Engenharia social é a exploração de falhas humanas. O

atacante faz uso da ingenuidade de terceiros para descobrir qualquer tipo de

informação.

Qual a melhor maneira de descobrir uma senha se não for perguntando-a? O

atacante com a lista de ramais de uma empresa em mãos pode se passar pelo

diretor de tecnologia e questionar aos funcionários suas senhas de acesso, como a

de root (usuário administrador padrão de servidores Unix-Like) de seus servidores na

pior das hipóteses, conseguindo assim fácil acesso a qualquer recurso da rede de

computadores. O enganador para conseguir a informação pode-se passar por outra

pessoa para conseguir a informação desejada.

Na Internet existem softwares programados para ataques de Engenharia

Social. São aqueles que, por exemplo, simulam páginas de bancos e forçam o

usuário a digitar sua senha e em seguida enviando-a para o programador mal

intencionado.

Outro caso que podemos citar são e-mails enviados por usuários mal

intencionados que se fazem passar por empresas, como SERASA, que tem como

intuito fazer com que o usuário abra ou baixe da Internet softwares trojans (ladrões

de informações ou facilitadores de invasão).

Os ataques baseados em Engenharia Social podem ser praticados também

com o que a empresa joga fora no lixo, o atacante vasculha em busca de papeis

contendo informações que podem ajudar em futuro ataque.

8.2 PROPÓSITO

51

Alertar e educar os usuários da rede para esse tipo de ataque, evitando

assim, o roubo de informações. Pois o enganador pode se passar por outra pessoa

pra conseguir qualquer tipo de dados.

8.3 ESCOPO

Esta política fixa um padrão a ser seguido na educação de todos os usuários

dos sistemas da rede.

8.4 CONSIDERAÇÕES FINAIS

Grandes, médias e pequenas empresas investem em segurança e tecnologia

mais se esquecem desta grande falha humana. A melhor forma de se proteger

destes ataques é prevenir-se com simples instruções, ou seja, fazer com que o

funcionário conheça o problema e que, por exemplo, jamais passe informações para

qualquer pessoa por telefone e que sempre tiver dúvidas anote um número de

telefone e retorne a chamada em seguida.

52

CAPÍTULO 9 – SEGURANÇA FÍSICA

9.1 INTRODUÇÃO

A segurança em tecnologia da informação pode ser compreendida por dois

principais aspectos: segurança lógica, onde já tratamos anteriormente, e segurança

física.

A segurança física desempenha um papel tão importante quanto a segurança

lógica, porque é a base para a proteção de qualquer investimento feito por uma

organização.

Investir em diferentes aspectos da segurança sem observar suas devidas

prioridades pode ocasionar uma perda de todos os recursos investidos em virtude de

Sua falha nos sistemas mais vulneráveis.

Qualquer acesso às dependências da organização, desde as áreas de

trabalho até aquelas consideradas críticas (onde ocorre o processamento de

informações críticas e confidenciais) deve ser controlado sempre fazendo necessária

sua formalização.

Os sistemas de segurança devem ser implementados para garantir que em

todos os locais da organização o acesso seja realizado apenas por profissionais

autorizados. Quanto maior for a sensibilidade do local, maiores serão os

investimentos em recursos de segurança para serem capazes de impedir o acesso

não autorizado.

A norma NBR/ISO/17799 sugere diversos requisitos de segurança de terceiros

dentro da organização, principalmente no tocante a contratos, entre os quais

destacamos necessidade de serem incluídos nos contratos os requisitos de

segurança física.

53

9.2 POLÍTICA

Alguns aspectos de segurança física são fundamentais e defendidos nessa

política proposta, são eles:

a. Monitoramento por circuito de TV;

b. Segurança Ambiental - Rede elétrica e energia alternativa (geradores,

nobreaks, estabilizada);

c. Ar condicionado;

d. Prevenção e combate a incêndio;

e. CPD sob piso falso e tetos suspensos;

f. Alarme ligado a central de monitoração;

g. Locais de armazenamento de mídias de backup devem ser em cofres anti-

chamas;

h. Racks trancados com chaves;

i. Servidores agrupados em locais seguros;

j. Não permitir a entrada de pessoas não autorizadas;

k. Equipe de segurança e portaria.

9.3 CABEAMENTO ESTRUTURADO

Entende-se por rede interna estruturada aquela que é projetada de modo a

prover uma infra-estrutura que permita evolução e flexibilidade para serviços de

telecomunicações, sejam de voz, dados, imagens, sonorização, controle de

iluminação, sensores de fumaça, controle de acesso, sistema de segurança,

controles ambientais (ar-condicionado e ventilação) e considerando-se a quantidade

e complexidade destes sistemas, é imprescindível a implementação de um sistema

que satisfaça às necessidades iniciais e futuras em telecomunicações e que garanta

a possibilidade de reconfiguração ou mudanças imediatas, sem a necessidade de

obras civis adicionais.

Um sistema de cabeamento estruturado permite o tráfego de qualquer tipo de

sinal elétrico de áudio, vídeo, controles ambientais e de segurança, dados e

54

telefonia, convencional ou não, de baixa intensidade, independente do produto

adotado ou fornecedor.

Este tipo de cabeamento, possibilita mudanças, manutenções ou

implementações de forma rápida, segura e controlada, ou seja, toda alteração do

esquema de ocupação de um edifício comercial é administrada e documentada

seguindo-se um padrão de identificação que não permite erros ou dúvidas quanto

aos cabos, tomadas, posições e usuários.

Para estas características sejam conseguidas, existem requisitos mínimos

relativos à distâncias, topologias, pinagens, interconectividade e transmissão,

permitindo desta forma que atinja-se o desempenho esperado.

Tendo base que um sistema de cabeamento estruturado, quando da

instalação, está instalado em pisos, canaletas e dutos, este sistema deve se ter uma

vida útil de no mínimo 10 anos, este é o tempo médio da vida útil de uma ocupação

comercial.

55

CAPÍTULO 10 – CONCIDERAÇÕES FINAIS

O desenvolvimento de uma organização também depende da imagem que ela

transmite ao mercado. A administração da segurança tem papel fundamental na

implementação de controles que minimizem os riscos que possam ser inerentes ao

negócio da organização.

O papel da área de segurança nos negócios tem se tornado diferencial

competitivo, pois embora alguns acreditem ser burocracia, podemos considerar que

os controles aumentam de forma significativa a capacidade da organização não estar

tão exposta a perdas financeiras provenientes de fraudes, erros de processamentos,

entre outras possibilidades.

O estabelecimento da Política de Segurança da Informação é somente o

estágio inicial do processo de mudança de cultura quando ao tema, sendo assim, a

preparação de políticas para estabelecimento de um ambiente seguro somente se

efetiva por meio de comprometimento de seus profissionais e o desenvolvimento de

processos que utilizam tecnologias e práticas aderentes à política.

Todos devem perceber que tem a sua parcela de contribuição.

O Conteúdo mínimo da política de segurança deve contemplar a definição de

aspectos gerais da política de forma concisa e objetiva, estabelecendo diretrizes para

o desenvolvimento das normas.

Por fim consideramos que o sucesso na implementação de uma política de

segurança esta atrelado a uma estratégia que, apoiada pela alta administração, deve

considerar três aspectos fundamentais: Pessoas, Tecnologia e Processos.

56

REFERÊNCIAS BIBLIOGRÁFICAS

MENNEL. Definição de Sistemas http://www.mennel.com.br/desenvolvimento.php?opcao=sistemasweb Acessado em 09/04/2006

Segurança Mínima – Nilton Stringasci Moreira Editora Axcel Books Política de Segurança da Informação Guia prático para elaboração e Implementação – Fernando Nicolau Freitas Ferreira e Marcio Tadeu de Araújo

Microsoft - Noções Básicas Sobre Backup http://www.microsoft.com/brasil/athome/security/update/backup.mspx Acessado em 01/06/2006

Wikipedia - Backup http://pt.wikipedia.org/wiki/Backup Acessado em 01/06/2006 Backee http://www.backee.com Acessado em 01/06/2006 Backup em Sistema Linux : Uma Solução de Peso http://dicaslinux.linuxsecurity.com.br/?modulo=ferramentas&acao=ver&registro=2 Acessado em 02/06/2006 Symantec Backup Exec for Windows Servers http://www.symantec.com/Products/enterprise?c=prodinfo&refId=57&ln=pt_BR Acessado em 03/06/2006 Barracuda Networks http://www.clm.com.br/barracuda/imfirewall.asp Acessado em 10/06/2006 SonicWALL Internet Security http://www.sonicwall.com/products/pro4060.html Acessado em 10/06/2006 Network Word http://www.networkworld.com/news/2004/1206microoffer.html Acessado em 15/06/2006 Allen Informática http://www.allen.com.br/noticia.asp?cd=54&tipo=8 Acessado em 15/06/2006

57

Rede Nacional de Ensino e Pesquisa - Centro de Atendimento a Incidentes de Segurança http://www.rnp.br/cais/estatisticas/ Acessado em 27/09/2006

TCC Roberson Naves e Willian Pires

Documents

Transcript of TCC Roberson Naves e Willian Pires