Wilson Oliveira

Segurana da Informao Tcnicas e Solues

Portugal/2001

Reservados todos os direitos por Centro Atlntico, Lda.

Qualquer reproduo, incluindo fotocpia, s pode ser feita com autorizao expressa dos editores da obra.

SEGURANA DA INFORMAO TCNICAS E SOLUES

Coleco: Sociedade da Informao Autor: Wilson Oliveira

Direco grfica: Centro Atlntico Reviso: Nuno Garcia Lopes Capa: Paulo Buchinho Centro Atlntico, Lda., 2001 Ap. 413 4764-901 V. N. Famalico Porto - Lisboa Portugal Tel. 808 20 22 21 geral@centroatlantico.pt www.centroatlantico.pt

Fotolitos: Centro Atlntico Impresso e acabamento: Inova 1 edio: Outubro de 2001 ISBN: 972-8426-44-5 Depsito legal: 170.705/01

Marcas registadas: todos os termos mencionados neste livro conhecidos como sendo marcas registadas de produtos e servios, foram apropriadamente capitalizados. A utilizao de um termo neste livro no deve ser encarada como afectando a validade de alguma marca registada de produto ou servio. O Editor e os Autor no se responsabilizam por possveis danos morais ou fsicos causados pelas instrues contidas no livro nem por endereos Internet que no correspondam s Home-Pages pretendidas.

SOBRE O AUTOR
Wilson Jos de Oliveira administrador de empresas e analista de sistemas, com larga experincia em desenvolvimento de sistemas cliente/servidor e sistemas para e-commerce utilizando principalmente as linguagens Delphi, Visual C++, C++ Builder, ASP, Java, PERL e as bases de dados Oracle, MS-SQL Server e Interbase. Actualmente o autor gestor de TI, sendo responsvel tcnico por solues de e-business, m-business e CRM, e lecciona MBA Executivo Internacional com nfase em e-business na Fundao Getlio Vargas (FGV Brasil) e Ohio University (EUA).

1 INTRODUO
Diariamente, no mundo inteiro, redes de computadores e hosts so sendo invadidos. O nvel de sofisticao destes ataques varia amplamente; enquanto geralmente se acredita que a maioria das invases tem sucesso devido a cdigos secretos fracos, h ainda um nmero grande de intruses que usam tcnicas mais avanadas para invadir. Pouco se sabe sobre a maioria das tcnicas de invaso, porque elas podem ser de diversa natureza e ento tornam-se muito mais difceis de descobrir. At dcada de 80, quando experincias iniciadas no projecto ARPANET conseguiram estabilizar um primeiro protocolo para routing de dados entre redes autnomas (BGP 4, que ainda faz parte do conjunto de padres TCP/IP), a tecnologia para interligao de computadores permitia apenas redes com hierarquia fixa, que pressupem o controlo de algum meio ou infra-estrutura de comunicao, usado para interligar os seus componentes. O projecto ARPANET foi motivado por um sentimento de insegurana e relativa parania em relao ao risco de ataque nuclear a que estava exposta a infra-estrutura de telecomunicaes das foras armadas norte-americanas, dando incio ao desenvolvimento de tecnologia para redes abertas, onde redes de computadores j operantes poderiam ser interligadas sem necessidade de reestruturao do meio de comunicao que fossem utilizar e sem necessidade de controlo centralizado no processo de routing adaptativo para o trfego de pacotes de dados. A tecnologia de redes com hierarquia aberta para transmisso de dados permitiu que interligaes entre computadores pudessem

S EGURANA DA INFORMAO TCNICAS E S OLUES - C ENTRO A TLNTICO

atingir escala mundial, ao evitar o colapso decorrente da exploso exponencial das tabelas de routing, j que tal exploso seria inevitvel em arquitecturas fechadas nesta escala, criando assim o potencial de interligao via TCP/IP atravs da infra-estrutura mundial de telecomunicaes ento disponvel. O servio de tipo "melhor esforo" para routing de pacotes IP pde utilizar-se da capacidade ociosa inerente s redes de transmisso e comutao telefnica, para fornecer ligaes de dados em escala mundial s redes de computadores j existentes, pela adeso aos protocolos de transporte TCP e UDP. Este potencial de interligao relativamente simples e barato induziu a sua prpria procura, forando mudanas em cascata no perfil da procura tecnolgica e de servios nas telecomunicaes. Estas exploses da procura, e a transformao social que engendram, ocorrem num contexto cognitivo indito para a humanidade. At aos anos 80 a forma de se conceberem redes de computadores, a nossa tradio cultural que legitima a autoridade dos discursos, a nossa organizao social que transmite e consolida valores, moldando assim a nossa percepo e aco no mundo, sempre se haviam enquadrado em modelos hierrquicos fechados de redes de comunicao. A Internet no se enquadra, e tentar enquadr-la por fora do hbito constitui aquilo que designamos por verdadeiro bug do milnio. Referncias "Internet comercial" no implicam, como o termo pode sugerir, a sua posse ou controlo por alguma empresa, mas a etapa da sua evoluo na qual empresas vendendo transporte e distribuio de trfego electrnico de dados, servios ou produtos, passam a criar associaes estratgicas para desempenhar com melhor fiabilidade e eficcia as suas funes. A Internet no tem dono, gestor, comando central ou direco. Guia-se por um mtodo de cooperao sui generis para propostas e validaes de novos padres operacionais e polticas de gesto cooperada. A Criptografia pode proteger o acesso ao valor sintctico e a integridade das cadeias de bits nas comunicaes de dados, o

C APTULO 1. INTRODUO

que apenas um dos ngulos da questo que estamos a abordar. Precisamos confiar no apenas nos controlos de acesso a essas cadeias de bits e na sua integridade, mas principalmente no significado das mensagens que estas cadeias veiculam. Precisamos confiar no significado do que se desenha no ecr do monitor e dos programas que se executam no CPU de nossas mquinas, expressos atravs dessas cadeias de bits, sendo portanto sensato associar este outro lado da questo, de natureza semntica, nossa percepo sobre origens e intenes nas comunicaes dessas cadeias. a que o alcance e os limites das tcnicas criptogrficas e as diferenas fundamentais entre redes de hierarquia fixa e aberta comeam a se manifestar. A compreenso de significados inicia-se pela identificao de referncias a significantes. E as redes fluidas apresentam srios problemas relacionados com a confiana que se pode ter em processos de identificao que nelas operam. Nenhuma rea da informtica to vasta e apreciada como a segurana da informao: o ponto principal da segurana leva a um outro ponto principal, o ser humano, isso mesmo, todo o processo de segurana se inicia e tem o seu trmino num ser humano. No adianta nada gastarmos fortunas em equipamentos e sistemas de segurana se no conhecermos quem utilizar os nossos sistemas, e quem pode ter acesso a eles mesmo sem autorizao. No ciberespao, a percepo do que ser heri ou bandido dissipa-se nos interesses pessoais, opes polticas, ideologias e vnculos ao poder, e a aco puramente sintctica da criptografia encontra enormes obstculos para realizar o papel principal que pode exercer no processo da segurana de redes fechadas. Neste livro iremos mostrar alguns mtodos para segurana de sistemas. Em vez de meramente falar sobre os problemas, vamos observar atravs dos olhos de um intruso em potencial (com os olhos de um intruso), e mostrar por que ele um intruso. Vamos mostrar que at mesmo aparentemente inofensivos servios de

10

S EGURANA DA INFORMAO TCNICAS E S OLUES - C ENTRO A TLNTICO

rede podem ser valiosas ferramentas para pesquisar os pontos fracos de um sistema, e que mesmo quando os servios operam correctamente eles so usados para ataques. Num esforo para irradiar alguma luz sobre a forma como as mais avanadas invases ocorrem, este livro descreve vrios mecanismos que os crackers usam actualmente para obter acesso a sistemas e, em complemento, algumas tcnicas que qualquer intruso suspeito pode usar, ou que usamos nas nossas prprias mquinas ou em mquinas de amigos ou com autorizao do administrador. A motivao para escrever este livro que se os administradores de sistemas frequentemente no sabem ou no sentem a presena do perigo tambm no conhecem os ataques triviais. Tambm para informar que o nvel de proteco depende do que deve ser protegido. Muitos sites parecem ter carncia de documentos para avaliar que nvel de segurana adequado para computadores e redes. Para mostrar o que os intrusos podem fazer para conseguir acesso a um computador remoto, vamos tentar montar uma ajuda para os administradores de sistemas ficarem informados de quanto os seus sites so seguros ou no. Vamos limitar a discusso a tcnicas que podem permitir a um intruso remoto ter acesso (talvez no interactivo) shell em mquinas UNIX. Deixamos claro que o objectivo deste livro testar a segurana do seu prprio site, e no invadir sistemas de terceiros. As tcnicas de invaso que vamos mostrar aqui com frequncia deixam registos nos seus ficheiros de log isto talvez seja construtivo para examinar aps tentar algumas das tcnicas de ataque, para ver o que um ataque real talvez o deixe ver. Certamente outros sites e administradores de sistemas vo ver as suas actividades se voc decidir usar estas tcnicas nas mquinas deles para testar a segurana sem a sua autorizao; pode ser que no digam nada, mas se perceberem que um ataque provvel que aces legais sejam movidas contra si.

2 TERMOS TCNICOS
De incio vamos fornecer alguns dos principais termos tcnicos que sero utilizados no decorrer desta obra, sendo muito interessante que o leitor os verifique para ter um melhor entendimento global da mesma. Access Control Lists (ACL): Lista de permisses de acesso configuradas em dispositivos de rede, principalmente routers e firewall. Ameaa: A tentativa de atacar um sistema explorando as suas vulnerabilidades. Qualquer elemento humano ou da natureza que pode causar dano confidencialidade, integridade e disponibilidade dos sistemas. As ameaas podem ser intencionais ou no intencionais, internas ou externas. Ataque CGI: Ataque que explora vulnerabilidades do Common Gateway Interface. Backdoor: Programa implementado secretamente num computador com o objectivo de obter informaes e dados armazenados, interferir com a operao ou obter controlo total do sistema.

12

S EGURANA DA INFORMAO TCNICAS E S OLUES - C ENTRO A TLNTICO

BSI - British Standard Institute: rgo britnico responsvel pela publicao de normas, entre as quais as normas de segurana para informtica BS 7799. CERT - Computer Emergency Response Team: rgo destinado a investigar os ataques e a melhorar a segurana na Internet. Detector de Intrusos: Sistema inteligente de anlise e deteco automtica de ataques ou eventos suspeitos na rede ou nos servidores. DIG - Domain Information Gopher: Ferramenta utilizada para procurar informaes em servidores DNS. DMZ (de-militarized zone): Termo que designa a rede localizada entre a rede interna e a Internet. Na DMZ normalmente esto localizados os servidores de acesso pblico. DNS - Domain Name Service: Servio de replicao que interpreta os nmeros pelos quais os servidores ligados Internet so identificados e os apresenta ao utilizador como um nome textual. Por exemplo, 10.10.10.10 como www.nome.com.pt . DoS; DDoS - Denial of Service e Distributed Denial of Service: Ataques cujo objectivo a retirada de servio de um site, servidor ou outro dispositivo ligado Internet. O termo Distributed refere-se a um aperfeioamento da tcnica do ataque, na qual a sua origem distribuda por at milhares de computadores.

NDICE
AGRADECIMENTOS SOBRE O AUTOR INTRODUO TERMOS TCNICOS SEGURANA DA INFORMAO SEGURANA Necessidades de Segurana PADRES DE S EGURANA NA INTERNET ALVOS DOS HACKERS NA INTERNET TCNICAS U TILIZADAS QUAIS SO AS AMEAAS O que DoS e DdoS? SEGURANA EM E-BUSINESS Criptografia Routers Um aliado na sua segurana Firewall Regras de filtragem em screening router Operaes de Packet Filter Vantagens e Desvantagens dos Packet Filters Aces Screening Router Riscos na filtragem Mltiplos routers BASTION HOST Tipos Especiais Criar um Bastion Host Proxy Systems Funcionamento do Proxy Server Vantagens e Desvantagens SCREENED HOST SCREENED S UBNET 5 5 7 11 17 20 23 23 23 24 24 25 27 27 31 32 38 39 40 40 41 43 43 45 46 48 49 50 52 53

216

S EGURANA DA INFORMAO TCNICAS E S OLUES - C ENTRO A TLNTICO

Estratgias de Segurana Criar uma screened subnet Arquitectura firewall baseada em proxy Arquitectura Baseada em Firewall Central SET SSL Sistemas de Deteco de Intrusos (IDS) Segurana de Servidores GESTO R ISCO IP SECURITY ARQUITECTURA IP SECURITY INTRODUO ARQUITECTURA BSICA IPSEC Objectivos e Plataforma Bsica PROTOCOLOS AH E ESP GESTO DE C HAVES FUNCIONAMENTO Onde pode ser implementado ASSOCIAO DE S EGURANA AH ESP CONCLUSO O QUE/QUEM SO HACKERS, CRACKERS, ETC. D EFINIES COMO SE TORNAR NUM HACKER O UNIVERSO COMPUTACIONAL SEGURANA FSICA SEGURANA LGICA CDIGOS SECRETOS Regras para utilizadores e cdigos secretos PROTEGER-S E CAVALO DE TRIA OU TROJAN HORSE BACKDOORS O que so realmente os Backdoors O que so os Sockets de Troie

55 57 58 59 60 61 65 65 66 67 69 69 69 70 70 71 72 73 74 75 77 78 80 81 82 85 87 87 88 88 89 91 92 95 95 96

NDICE

217
97 98 100 103 103 105 105 106 108 109 109 111 112 113 113 114 114 114 114 115 115 115 116 117 117 117 117 118 118 119 120 121 121 121 121 121 122 123

Como limpar o Back Oriffice e as Backdoors FECHAR AS PORTAS Um pouco mais do NetStat DESMISTIFICAR O DDOS INTRODUO D ESMISTIFICAR O ATAQUE Os personagens O ataque FERRAMENTAS DE DD OS TRIN00 TFN Tribe Flood Network Stacheldraht TFN2K - Trible Flood Network 2000 COMO SE PREVENIR? Incrementar a segurana do host Instalar patches Aplicar filtros "anti-spoofing" Limitar banda por tipo de trfego Prevenir que a sua rede seja usada como "amplificadora" Estabelecer um plano de contingncia Planeamento prvio dos procedimentos de resposta COMO DETECTAR? Auditoria Ferramentas de deteco especficas Sistemas de deteco de intruso COMO REAGIR? Se ferramentas DDoS forem instaladas nos seus sistemas Se os seus sistemas forem vtimas de ataque DDoS CONSIDERA ES FINAIS VRUS O QUE UM VRUS ? COMO OPERAM OS VRUS Vrus de disco Vrus de ficheiro Vrus Multi-partite Vrus Tipo DIR-II PORQUE SO ESCRITOS OS VRUS ? O QUE UM VRUS DE MACRO

218

S EGURANA DA INFORMAO TCNICAS E S OLUES - C ENTRO A TLNTICO

PREVENIR-SE DA INVAS O MENOR PRIVILGIO CONTAS DE UTILIZADOR ADMINISTRADOR D ETECTAR O PROBLEMA ELIMINAR O PROBLEMA PLANO DE RESPOSTA A A TAQUES D ETECO E CORRECO DE VULNERABILIDADES ROTAS E LINKS DE ACESSO AO INTERNET BANKING MONITORIZAO PERMANENTE ATAQUES FASES DE UM ATAQUE Planeamento / Recolha de dados Aproximao Invaso Explorao ESTRATGIAS PARA SEG URANA PROTOCOLOS DE SEGURANA SSL Vantagens do uso do SSL Desvantagens do uso do SSL Anlise de segurana do SSL SET PROTOCOLOS DE DINHEIRO ELECTRNICO iKP - Internet Keyed Payment Protocol SEPP - Secure Eletronic Payment Protocol Secure Courier STT Secure Transaction Technology AUTENTICAO DE UTILIZADORES CONCEITOS BSICOS SISTEMAS BASEADOS EM ALGO CONHECIDO: CDIGOS SECRETOS PRIVACIDADE PRIVACIDADE NAS VISITAS AOS SITES O QUE SO C OOKIES ? PRIVACIDADE DOS E- MAILS SPAM

127 128 129 129 132 133 133 134 135 137 137 137 138 139 140 141 145 146 152 153 153 153 157 157 159 160 160 163 163 164 167 167 168 169 170

NDICE

219
170 171 171 173 174 174 174 175 175 177 177 180 182 183 189 213 215

HOAX OS SEUS DADOS PESSOAIS FORMULRIOS, COMRCIO ELECTRNICO E H OME-BANKING INFRA-ESTRUTURA DE SEGURANA DA INFORMAO D ETECO DE INTRUSOS Network Intrusion Detection System (NIDS) Host Intrusion Detection Tool System Integrity Verifiers (SIV) Log File Monitors (LFM) UM POUCO MAIS DE CRIPTOGRAFIA INTRODUO CRIPTOGRAFIA SIMTRICA TDES FUNES HASH TERMOS TCNICOS BIBLIOGRAFIA NDICE