FACULDADE SALESIANA DE VITÓRIA PÓS-GRADUAÇÃO EM SEGURANÇA DE REDES DE COMPUTADORES MIRELLA NOVAES PUPOLIN - PDF
FACULDADE SALESIANA DE VITÓRIA PÓS-GRADUAÇÃO EM SEGURANÇA DE REDES DE COMPUTADORES MIRELLA NOVAES PUPOLIN
Download "FACULDADE SALESIANA DE VITÓRIA PÓS-GRADUAÇÃO EM SEGURANÇA DE REDES DE COMPUTADORES MIRELLA NOVAES PUPOLIN"
Antônio Campos Vieira
1 FACULDADE SALESIANA DE VITÓRIA PÓS-GRADUAÇÃO EM SEGURANÇA DE REDES DE COMPUTADORES MIRELLA NOVAES PUPOLIN ALTERNATIVAS DE SEGURANÇA EM REDES DE COMPUTADORES LINUX EM ARQUITETURA TCP/IP VITÓRIA 2007
2 MIRELLA NOVAES PUPOLIN ALTERNATIVAS DE SEGURANÇA EM REDES DE COMPUTADORES LINUX EM ARQUITETURA TCP/IP Monografia apresentada ao Curso de Pósgraduação em Segurança de Redes Linux da Faculdade Salesiana de Vitória, como requisito parcial para obtenção do título de Especialista em Segurança de Redes Linux. Orientador: Prof. M.Sc. Adrian Bonfá Drago. VITÓRIA 2007
3 Dados Internacionais de Catalogação-na-publicação (CIP) (Biblioteca da Faculdade Salesiana de Vitória, Espírito Santo, Brasil) Novaes, Mirella, 1979 D287s Alternativas de Segurança de Redes Linux em Arquitetura TCP/IP / Novaes, Mirella f. : il. Orientador: Adrian Bonfá Drago. Monografia (pós-graduação em Segurança de Redes de Linux) Faculdade Salesiana de Vitória. 1.Redes de Computadores - Segurança. 2. VPN. 3. FREES/WAN. I. Drago, Adrian Bonfá. II. Faculdade Salesiana de Vitória. III. Título. CDU: 004.7
4 MIRELLA NOVAES PUPOLIN ALTERNATIVAS DE SEGURANÇA EM REDES DE COMPUTADORES LINUX EM ARQUITETURA TCP/IP Monografia apresentada ao Curso de Pós-graduação em Segurança de Redes de Computadores da Faculdade Salesiana de Vitória, como requisito parcial para obtenção do título de Especialista em Segurança de Redes de Computadores. Aprovada em 14 de agosto de COMISSÃO EXAMINADORA Prof. M.Sc. Ádrian Bonfá Drago Orientador Prof. M.Sc. Sérgio Teixeira Faculdade Salesiana de Vitória Prof. M.Sc. Rodrigo Bonfá Drago Petróleo Brasileiro S.A. (PETROBRAS)
5 Eu, Mirella Novaes, dedico este trabalho a minha família por acreditarem no meu potencial e por me disponibilizar toda ajuda no decorrer do curso, e por toda minha formação acadêmica.
6 AGRADECIMENTOS Ao término deste trabalho, quereremos expressar os agradecimentos a todas as pessoas que, direta ou indiretamente, colaboraram para a sua concretização. Eu gostaria de agradecer aos meus amigos e professores da Faculdade Salesiana de Vitória, pelo convívio, aprendizado e marcante amizade. Agradeço imensamente a todos os professores os quais me transmitiram muito conhecimento ao longo de 12 meses, e principalmente aos professores Sérgio Teixeira e Adrian Bonfá Drago, que além dos contatos fornecidos foram grandes consultores.
7 Foi o tempo que dedicaste à tua rosa que fez tua rosa tão importante (Antoine de Saint-Exupéry)
8 RESUMO Esse trabalho apresenta vários aspectos importantes sobre segurança que devem ser levados em consideração no momento de proteger uma rede de computadores ligada a Internet. São apresentados mecanismos de segurança com foco principal no Firewall e em redes VPN. Por fim, é apresentada uma proposta de implementação segura de uma VPN com a utilização do protocolo IPSec e do software FRESS/WAN. Palavras-chave: Redes de Computadores Segurança, VPN, FREES/WAN.
9 ABSTRACT This work presents some important aspects about security that must be taken in consideration at the moment to protect a connected network on the internet. Mechanics of security with main focus in the Firewall and VPN networks are presented. Finally, it is presented a proposal of safe implementation of a VPN with IPSec protocol and software FRESS/WAN. Keywords: Computer networks - Security, VPN, FREES/WAN
10 LISTA DE FIGURAS Figura 1 Comunicação entre duas máquinas...24 Figura 2 - Exemplo do algoritmo RSA...30 Figura 3 - Kerberos...34 Figura 4 - Firewall...37 Figura 5 - Ficheiros de comandos...40 Figura 6 - Cenário da implementação Figura 7 - Responsáveis pelos problemas com segurança...64
11 SUMÁRIO 1 INTRODUÇÃO MOTIVAÇÃO OBJETIVO METODOLOGIA ORGANIZAÇÃO DO TRABALHO ASPECTOS GERAIS DE SEGURANÇA EM REDES DE COMPUTADORES POLÍTICAS DE SEGURANÇA AMEAÇAS E ATAQUES ATAQUES INTERNOS CAVALO DE TRÓIA SNIFFERS SPOOFING DE IP RECUSA OU IMPEDIMENTO DE SERVIÇO MECANISMOS DE SEGURANÇA CRIPTOGRAFIA ASSINATURA DIGITAL PROTOCOLO DE AUTENTICAÇÃO - KERBEROS CONTROLE DE ACESSO FIREWALLS: DUAS SOLUÇÕES NO AMBIENTE LINUX UMA PALAVRA INICIAL SOBRE FIREWALLS FIREWALLS E ACESSO REMOTO: O SECURE SHELL SEGURANÇA NA INTERNET CONCEITOS DE VPN...47
12 6.1 IMPLEMENTAÇÃO DE UMA VPN EM LINUX CENÁRIO FREES/WAN KLIPS PLUTO IMPLEMENTAÇÃO INSTALAÇÃO DO FREES/WAN CONFIGURAÇÃO DO FREES/WAN Encriptação Oportunista CONSIDERAÇÕES SOBRE A IMPLEMENTAÇÃO CONSIDERAÇÕES FINAIS E TRABALHOS FUTUROS REFERÊNCIAS BIBLIOGRAFICAS...67
13 13 1 INTRODUÇÃO Durante a primeira década de sua existência, as redes de computadores foram principalmente usadas por pesquisadores universitários para enviar mensagens de correio eletrônico, por militares e por funcionários de organizações com o objetivo de compartilhar documentos, impressoras entre outros recursos. Sob estas condições de uso restrito, a segurança nunca precisou de maiores cuidados. Mas atualmente, como milhões de pessoas estão usando as redes para executarem operações bancárias, operações de comércio eletrônico e acesso remoto à informações confidenciais, a segurança das redes está despontando como um problema em potencial (TANENBAUM, 1997). A segurança é um assunto muito amplo. Basicamente, a segurança se preocupa em garantir que pessoas indesejadas não tenham acesso a determinadas informações e possam ler, ou até alterar mensagens e documentos de suma importância. Uma outra tarefa da segurança é proibir o acesso de intrusos a determinados serviços remotos, aos quais estas pessoas não estão autorizadas a utilizar. A grande maioria dos problemas de segurança que ocorrem atualmente, são causados por pessoas que atuam em beneficio próprio ou com a intenção de prejudicar alguém. Alguns dos intrusos mais comuns são estudantes que se divertem apoderando-se de informações de empresas, para simplesmente mostrarem o seu grau de conhecimento e o seu poder de execução. Os invasores, mais conhecidos como hackers, têm o intuito de desafiar os sistemas de segurança de organizações para obter determinadas informações confidenciais. Em muitos casos, pode tratar-se de ex-funcionários que queiram se vingar por algum motivo ou espiões que buscam descobrir segredos importantes. Os muitos problemas de segurança de redes podem ser divididos em quatro áreas que estão intimamente interligadas, são elas: sigilo, autenticação, não-repúdio e controle de integridade. O sigilo é o ato de manter as informações protegidas de indivíduos indesejáveis. Consiste em manter uma gerência total sobre as informações controlando quem tem acesso a elas. Este é o sentido comum que vem à mente das pessoas quando tratamos do assunto segurança em redes de computadores.
14 14 A autenticação, em geral, é o processo de identificar com quem está se trocando informações sigilosas, ou seja, é o processo de confirmação se quem você esta falando é realmente a pessoa com quem você queria falar. Já o não repudio trata das assinaturas. Ela é utilizada para comprovar possíveis desencontros de informações que venham a ocorrer, como quando um cliente insiste em dizer que o preço do contrato assinado foi um valor muito abaixo do real, como provar isso em um ambiente onde a transação toda foi feita por meio digital? Como se pode ter certeza que uma mensagem recebida é original e não uma informação com o intuito de lhe prejudicar? As pessoas identificam outras através de suas feições e de sua caligrafia, e as comprovações são feitas através de assinaturas em papel timbrado, com símbolos em alto relevo e através de outras formas de reconhecimento. Geralmente as falsificações são detectadas por especialistas em caligrafia, papel e tinta. Infelizmente estas opções não estão disponíveis no mundo digital, por isso está muito claro que são necessárias outras soluções. Todos estes pontos abordados também ocorrem nos sistemas mais tradicionais, mas com as suas devidas peculiaridades. Basicamente as redes de computadores não são seguras. Existem muitas soluções para se implementar segurança em uma rede. Pode-se escolher dentre varias opções; ações implementadas desde ao nível da camada física até ao nível da camada de transporte, pois existem possibilidades variadas de tecnologias para segurança. Uma das soluções mais adotadas visando manter o sigilo das informações enviadas em uma rede de dados, consiste no uso da criptografia, ou seja, as informações são embaralhadas de tal maneira que só os computadores autorizados consigam resgatar a informação na sua forma original. Nesta monografia, no próximo capítulo serão abordados os aspectos básicos de segurança de redes linux, apontando suas características, formas de identificar ataques, política de segurança e exemplos de alguns ataques.
15 MOTIVAÇÃO Com o dinamismo da tecnologia, a cada dia surgem novas formas de conectividade e comunicação entre os diversos elementos de um ambiente cooperativo. Neles são utilizados diversos protocolos, sistemas operacionais, ferramentas, aplicativos, estruturas físicas, entre outros. Porém, o surgimento de uma nova tecnologia pode representar uma nova possibilidade de ataque contra a organização. A pergunta chave que orientou esta pesquisa foi: Quais técnicas e tecnologias utilizar para garantir um nível eficaz de proteção em um ambiente coorporativo utilizando tecnologias Linux? Implantar segurança em um ambiente coorporativo com servidores e tecnologias Linux é uma tarefa complexa, pois no mesmo ocorrem muitas interações com o meio interno e externo. Para que a implantação da segurança seja eficaz são necessários profissionais qualificados, apoio dos executivos da organização e a utilização de uma série de técnicas e ferramentas tecnológicas. Entre as principais técnicas e ferramentas estão a: adoção de uma boa política de segurança, utilização de um firewall, implantação de sistemas de detecção e prevenção de intrusos, criptografia, autenticação, VPN para ambientes Linux e configuração correta do sistema. Também são incluídos nesta lista, o monitoramento e verificação de integridade do sistema, definição de políticas de contingência, backup, além de diversos outros elementos, possibilitando assim a proteção da informação em diversos níveis. Empregando estes e outros recursos da maneira correta, a empresa atingirá um alto nível de segurança. Este projeto se justifica pela necessidade e complexidade dos sistemas de segurança da informação nas empresas, que passaram a ser vistos como parte essencial do negócio. Além disso, a falta de informação e conhecimento sobre as ameaças existentes nas redes também constitui uma ameaça às organizações. Com a disseminação do conhecimento sobre ameaças, formas de defesa e a realização de pesquisas, as redes poderão se tornar mais seguras. Assim, a sociedade ganhará, pois terá à sua disposição serviços mais confiáveis e seguros.
16 OBJETIVO O objetivo desse trabalho é propor alternativas de segurança em redes linux, com a utilização de softwares livres, por meio da utilização de Firewall e redes VPN, utilizando o protocolo IPSec e o software FRESS/WAN. 1.3 METODOLOGIA A metodologia utilizada nesta monografia foi baseada em pesquisa bibliográfica em livros específicos da área de Segurança de redes e no acesso a sites reconhecidos na área de segurança. Além disso, foram pesquisados livros e sites recomendados por profissionais da área de segurança. Foram selecionados vários livros e sites com conteúdo pertinente ao assunto. Dentre os sites e livros pesquisados, foram selecionados os que possuíam o conteúdo mais adequado para o desenvolvimento do trabalho proposto. 1.4 ORGANIZAÇÃO DO TRABALHO A proposta do presente trabalho é fazer uma reflexão sobre o tema sobre as Alternativas de Segurança em Redes de Computadores Linux em Arquitetura TCP/IP O Capítulo 2 apresenta alguns conceitos básicos sobre segurança, possibilitando que o leitor tenha uma visão mais abrangente sobre o assunto contendo informações relevantes a respeito da segurança e políticas de segurança de dados, onde serão abordados os principais tipos de ataques e defesas, as ameaças existentes e alguns métodos de invasão. Nesse capitulo a criptografia é apresentada de forma mais detalhada como um mecanismo de proteção que busca garantir uma segurança maior para a informação. No capítulo 3 são feitas apresentações sobre alguns mecanismos de seguranças e uma avaliação de métodos e contramedidas que podem ser empregados com o propósito de prevenir maiores incidentes e elevar o nível de segurança em redes.
17 17 O capítulo 4 mostra a organização de uma forma eficiente de defesa de redes, desenvolvendo técnicas para auxílio do firewall. A defesa se tornará mais eficaz com o uso de um agente auxiliar que vigiará o comportamento da defesa. São apresentadas também as novas regras no próprio firewall para que seu comportamento seja mais inteligente e preventivo (geralmente os firewalls apenas barram os acessos préconfigurados como inválidos). Com as novas regras, será possível dificultar tentativas de varreduras de portas de comunicação, envio de requisições falsas, ataques camuflados, dentre outros. Estas regras já são avanços nos sistemas de defesa de redes. No capitulo 5 apresenta dados atuais e significativos, que cada vez mais as empresas estão se apressando para usar a Internet por motivos comerciais e as questões relacionadas à segurança que estão presentes nessas conexões são consideradas extremamente relevantes, mas nem sempre tratadas de forma adequada. Já foi possível testemunhar centenas de ataques a sistemas conectados à Internet, sendo que muitos deles foram bem sucedidos nos seus objetivos. A não inclusão de controles de segurança adequados para conexões com a Internet pode fazer com que uma empresa se torne vulnerável a ataques que poderão deixá-la em uma situação embaraçosa e causar imensos prejuízos financeiros. Este capítulo aborda a adoção de medidas para a segurança de conexões com a Internet exige investimentos significativos em termos de tempo e esforço. Por fim, o capítulo 6 abordará os conceitos de uma VPN no ambiente Linux e como será implementada em caráter experimental, onde serão observadas as suas principais características, as vantagens e desvantagens de sua implementação, além dos principais protocolos, onde será dando ênfase a implementação do FreeS/WAN.
18 18 2 ASPECTOS GERAIS DE SEGURANÇA EM REDES DE COMPUTADORES 2.1 POLÍTICAS DE SEGURANÇA A política de segurança é um mecanismo preventivo de proteção dos dados e processos importantes de uma organização que defini um padrão de segurança a ser seguido pelo corpo técnico e gerencial e pelos usuários, internos e externos. Pode ser usada para definir as interfaces entre usuários, fornecedores e parceiros e para medir a qualidade e a segurança dos sistemas atuais. A política de segurança de informações deve estabelecer princípios de como a instituição irá se proteger, controlar e monitorar seus recursos de informática. É importante que a política defina responsabilidades das funções relacionadas à segurança e discrimine as principais ameaças, riscos e impactos envolvidos. A política de segurança deve-se integrar às metas de negócio da organização e ao plano de informática. A política de segurança gera impacto em todos projetos de informática, tais como plano de desenvolvimento de novos sistemas, plano de contingências, planejamento de capacidade, entre outros. É importante lembrar que a política não envolve apenas a área de informática, mas todas as informações da organização. Como toda política institucional, deve ser aprovada pela alta gerência e divulgada a todos os funcionários envolvidos com segurança de informações e usuários de informática. A partir de então, todos os controles devem se basear nessa política de segurança, aprovada pela alta gerência e difundida pela organização. O principal objetivo da implantação de uma política de segurança é preservar a informação quanto a sua integridade, disponibilidade e confidencialidade. Para seu bom funcionamento, algumas premissas devem ser atingidas: Definição do público alvo Hoje em dia o público alvo de uma política de segurança não é somente para os funcionários da empresa. Percebemos que todos os usuários de informação deverão seguir esta política. Quando dizemos usuários de informação, falamos a respeito de todos aqueles que direta ou indiretamente têm contato com alguma informação da empresa.
19 19 Nesse contexto não podemos deixar de fora as pessoas terceirizadas, os fornecedores e clientes da empresa. Implantação da gestão de segurança Deve-se indicar um responsável pela gerência de segurança, que acompanhará à implementação da política de segurança e participará de suas revisões. Uma boa política de segurança deve abranger os seguintes tópicos: Propriedade da Informação - Toda informação deve possuir um proprietário (owner), responsável por definir os usuários que terão acesso á informação e o setor de informática será o custo diante da mesma, ou seja, é o responsável pelas operações de manutenção da informação. Classificação da Informação - As informações devem ser classificadas quanto aos princípios da disponibilidade, integridade e confidencialidade pelo seu gestor. Controle de Acesso - Deve atender ao princípio de menor privilégio. Todo pedido de acesso deve ser documentado, com a justificativa de acesso. Deve-se atentar para que haja segregação de função, ou seja, não deixar que um único usuário tenha acesso a todas as informações de um processo, por exemplo, um funcionário não deve ter acesso à geração de pagamentos e liberação do mesmo. É muito importante que se mantenha as trilhas de auditorias. Gerência de Usuários e Senhas - As senhas devem ser únicas e individuais e seguir critérios de qualidade. A responsabilidade da senha é do usuário proprietário da mesma. Segurança Física - Os acessos a áreas de servidores devem ser consentidos mediante autorização. Deve-se haver controle sobre a entrada e saída de equipamentos. Gestão de Segurança - Deve ser criado um comitê de segurança e uma administração de segurança responsável por revisões periódicas na política de segurança e sanções em caso de violação da mesma. Desenvolvimento de Sistemas - É importante que se tenha uma metodologia interna.
20 20 Capacitação e Conscientização - Deve-se haver uma divulgação da política para que haja conscientização da mesma. Continuidade de Negócios A elaboração de um plano de continuidade de negócios é um tópico dos mais importantes na política de segurança. Para a implantação da política de segurança, destacamos as principais fases: 1. Identificação dos recursos críticos. 2. Classificação das informações. 3. Definição dos objetivos de segurança a serem atingidos. 4. Análise das necessidades de segurança (identificação das possíveis ameaças, análise de riscos e impactos). 5. Elaboração de proposta da política. 6. Discussões abertas com os envolvidos. 7. Apresentação de documento formal à gerência superior. 8. Aprovação. 9. Implementação. 10. Revisão. Uma vez implantada a política de segurança, é hora de definir quais tecnologias serão utilizadas na manutenção.
21 AMEAÇAS E ATAQUES Pode-se dizer que ameaça é uma possível violação da segurança de um sistema. As principais ameaças às redes de computadores são: Destruição de informação ou de outros recursos; Modificação da informação; Roubo, remoção ou perda de informações e de outros recursos; Interrupções de serviços As ameaças poder ser divididas em acidentais e intencionais. Ameaças acidentais são as que não estão ligadas a uma intenção premeditada. Ameaças intencionais vão desde a observação de dados com ferramentas simples de monitoramento de redes a ataques sofisticados baseado no funcionamento do sistema. A formalização de uma ameaça intencional gera um ataque. Alguns dos principais ataques que podem ocorrer em um ambiente de rede são: Ataques internos: ocorrem quando usuários legítimos comportam-se de modo não autorizado; Cavalos de tróia: uma entidade executa funções não autorizadas, em adição a que está autorizada a executar; Recusa ou impedimento de serviço: ocorre quando uma entidade não executa sua função corretamente ou atua de forma que impeça que outras entidades executem suas funções; Sniffers: programas que permitem monitorar a atividade da rede registrando nomes (username e senhas) sempre que estes acessam outros equipamentos da rede; Spoffing: é uma técnica sofisticada de autenticar uma máquina para outra, forjando pacotes de um endereço de origem confiável; Vírus: é um programa executável auto-replicante que se propaga e se anexa a outros executáveis, como drivers ou modelos de documento, assim infectado o host ou o arquivo do alvo.
22 22 A seguir, serão discutidos os principais ataques a rede, observando-se como e quando a segurança de uma rede é quebrada e também uma proposta de como detectar e prevenir-se de invasões inesperadas. 2.3 ATAQUES INTERNOS Os ataques internos são mais predominantes do que os ataques remotos por várias razões. Uma razão muito simples é esta: atacar uma rede de computadores de dentro é mais fácil. (ANÔNIMO) Muitas vezes, os funcionários assumem o papel de principal inimigo. Muito administradores de rede utilizam ultrapassadas estratégias de segurança, restringindo apenas o acesso externo e negligenciando os riscos de sabotagem por empregados insatisfeitos ou mal intencionados. Um usuário interno tem um acesso muito maior do que um usuário remoto, visto que ele pode obter muitas informações sem deixar nenhum rastro na rede. Como método de prevenção é de extrema importância uma educação aos usuários em relação à segurança, como por exemplo, instituir uma política de segurança na empresa, que será discutido em outro tópico, que combata por exemplo a divulgação de senhas entre diversos usuários ou ainda utilizar senhas de fácil dedução. Outra questão a ser analisada é o controle de acesso aos sistemas, onde a maioria se baseia em sistema de privilégio ou permissões, que no caso do Linux, envolvem permissões para leitura, gravação e execução, que é implementado pelo super usuário (root). Existem ainda outros modos de controle de acesso: criptografia, que veremos mais adiante, bloqueio e monitoração das portas de comunicação de dados entre os outros. 2.4 CAVALO DE TRÓIA Um cavalo de Tróia pode ser um programa que faz algo útil ou meramente algo interessante. Ele sempre faz algo inesperado, como roubar senha ou copiar arquivos sem seu conhecimento. (ANÔNIMO)
23 23 Ele pode entrar em um sistema de qualquer forma, pode ser um utilitário que se destina a indexar diretórios de arquivos ou desbloquear códigos de registro em software, pode ser ainda um processador ou um utilitário de rede. Alguns exemplos de cavalo de Tróia: The quota Trojan: em 1996, alguém distribuiu uma versão de cavalo de Tróia quota, uma ferramenta Linux que verifica cotas de disco em usuários. Entre outras coisas, o cavalo de Tróia quota copia senhas e mapas de NIS e os remete para o autor do cavalo de Tróia; Vírus ILOVEYOU : em maio de 2000, além de ser um vírus, passado pelo correio eletrônico em que atinge caixas de s, apaga arquivos, funciona também como um cavalo de Tróia, faz com que os micros infectados se conectem a um site onde um programa rouba todas as senhas arquivadas no computador do usuário. 2.5 SNIFFERS Sniffers são dispositivos que capturam pacotes reais de redes, colocando a interface de rede Ethernet em modo promíscuo, ou seja, o padrão de rede Ethernet envia um pacote para todas as máquinas de um mesmo segmento, sendo que o cabeçalho deste contém o endereço da máquina destino. Supõe-se que somente a maquina que tenha o endereço contido no pacote receba-o. Diz-se que um computador está em modo promíscuo quando o mesmo captura todos os pacotes, onde geralmente farejam somente bytes de cada pacote que é onde está contido a senha e o nome do usuário, independentemente de serem ou não destinados a ele. Em um ambiente de rede normal as senhas e nomes dos usuários são passadas através da rede e em alguns casos em textos que não estão criptografados, logo não é difícil uma máquina em modo promíscuo obter qualquer senha, inclusive a do root, usando um sniffer. A figura I mostra o processo de conversação entre duas máquinas remotas, onde a identificação do usuário passa abertamente pela rede de uma máquina para outra. Neste exemplo a transferência de arquivos é via FTP (File Transfer Protocol), onde a máquina A inicia a conexão com a máquina B, que solicita identificação do usuário. Este ao se autenticar na máquina remota B tem sua senha ou informações confidenciais capturadas pelo sniffer de plantão.
24 24 Figura 1 Comunicação entre duas máquinas A detecção de sniffers pode ser tornar uma tarefa muito difícil. Sniffers são aplicações passivas, não geram nada que possa ser sentido facilmente pelos usuários ou administradores, em geral não deixam rastros. Em uma única máquina é teoricamente possível localiza-lo, já em uma rede grande acaba-se tornando difícil, visto que existem poucas ferramentas para isso. Uma maneira de detectar um sniffer em uma máquina é verificar todos os processos em execução. Isto não é totalmente confiável, mas é um bom ponto de partida. Em uma máquina Linux, por exemplo, o sniffer aparecerá em uma lista do comando ps (comando que lista todos os processos do sistema que estão em aberto), a menos que este ps seja um cavalo de tróia. Outra alternativa, seria procurar pro um sniffer conhecido. Existe uma grande chance de o atacante utilizar uma versão freeware. Obviamente, existe também a possibilidade do atacante escrever o seu próprio sniffer e neste caso a busca fica mais difícil. O princípio básico para se evitar invasões inesperadas é prevenir através de algumas regras básicas: Hubs ativos e switches devem enviar pacotes somente para a máquina destino, tomando a ação no sniffer sem efeito, isto somente funciona em circuitos 10 base T; Pacotes de redes devem ser criptografados, evitando assim que senhas trafeguem às claras.
25 SPOOFING DE IP O Spoofing de IP (Internet Protocol) pode ser visto como uma técnica altamente sofisticada onde uma máquina é autenticada por outra através da falsificação de pacotes IP indicando ser de uma fonte segura. O que acontece, por exemplo um computador X pode manter uma comunicação com um computador Y de forma que não seja necessária a constante verificação de autenticidade entre eles. O hacker, então, se disfarça dizendo para o computador X que "ele" é o computador Y. Além de enganar o destino, neste caso o computador X, é necessário que se sobrecarregue o computador Y, para que ele não responda às mensagens de X. Faz-se necessária, ainda, uma "previsão" do número de seqüência mandado por X. Este número é enviado por X ao originador da conexão, supostamente o Y. Mas Y não irá responder, devido à sobrecarga explicada anteriormente. Então o hacker deve prever o número de seqüência mandado por X para que seja enviado um novo pacote com estes números de seqüência, fingindo novamente ter sido enviado por Y e forjando a autenticação. A previsão deste número de seqüência é um processo demorado e criativo. Durante a negociação da conexão, os computadores trocam informações para efetuarem o "aperto de mão". Dentre as informações trocadas estão os números de seqüência, que devem ser repetidos para o destino, para que este se certifique da autenticidade da conexão. O que o hacker pode fazer é o seguinte: enviar, através de um pacote legítimo, com o endereço de origem verdadeiro, vários pedidos de conexão à X. Este responde com um número de seqüência para que o hacker o repita e efetue a conexão, mas a máquina de origem (o hacker) não tem privilégios e não lhe interessa fechar esta conexão. Então ele não responde a estes pacotes de X, apenas os guarda e verifica seu número de seqüência. Após vários pedidos de conexão com X, o hacker pode "aprender" como X gera seus números e então mandar um pedido de conexão, desta vez com o endereço de origem sendo Y (o computador confiável). Obviamente, o hacker não vai receber os pacotes de X com os números de seqüência, pois estes irão para o endereço de origem, mas, com base nos cálculos
26 26 anteriores, o hacker prevê e manda o número de seqüência correto para o computador X, fechando a conexão. Esta conexão é unidirecional, pois todas as respostas de X serão destinadas ao computador Y, e não ao computador do hacker. Então o hacker age "às cegas", pois não recebe nenhum tipo de retorno de X, pelo menos enquanto configura X para aceitar conexões do seu próprio computador não necessitando de nenhuma autenticação, que é o grande objetivo desse ataque. Para se evitar esse tipo de ataque é importante configurar a rede para rejeitar pacotes da Internet que simulam originar-se de um endereço local, que é feito no nível do roteador que protege apenas contra pacotes recebidos de simulações originárias de dentro da rede interna. Outra maneira de detectar um ataque spoofing é por meio de procedimentos de registo em log, por exemplo, fazendo uma comparação entre hosts confiados, ao estarem em uma sessão, se um deles não apresentarem processos. 2.7 RECUSA OU IMPEDIMENTO DE SERVIÇO O DoS (Denial of Service, negação de serviço) é um ataque que visa travar ou deixar momentaneamente inoperante um serviço, servidor ou um equipamento ligado em rede. Uma variação do DoS é o DDoS (Distributed Denial of Service, recusa de serviço distribuído) em que se baseia no envio de um número absurdo de requisições a um único servidor (site alvo do ataque), ou seja, é uma forma distribuída e coordenada de ataques do tipo DoS. Existem várias formas de ataque que podem paralisar um serviço ou um servidor. De uma maneira geral, em um ataque DoS, utilizando o protocolo TCP (Transmission Control Protocol), os endereços que originam o pacote são forjados. Isso é possível devido à forma como o protocolo foi definido, já que existe uma negociação inicial para que uma conexão seja estabelecida. Os tipos mais comuns de DoS se valem da prerrogativa que o cliente tem de dar o aceite da conexão e da limitação do servidor de atender a um número de conexões por vez. Assim, se vários clientes requisitarem início de conexão até o limite do servidor e não enviarem o aceite, o servidor fica momentaneamente impossibilitado de atender outras requisições.