Hardening de Servidores O que é Mitm? Hardening - PDF
Download "Hardening de Servidores O que é Mitm? Hardening"
Rosângela Cabral Azeredo
1 Hardening de Servidores O que é Mitm? O man-in-the-middle (pt: Homem no meio, em referência ao atacante que intercepta os dados) é uma forma de ataque em que os dados trocados entre duas partes, por exemplo você e o seu banco, são de alguma forma interceptados, registados e possivelmente alterados pelo atacante sem que as vitimas se apercebam. 1 Numa comunicação normal os dois elementos envolvidos comunicam entre si sem interferências através de um meio, aqui para o que nos interessa, uma rede local à Internet ou ambas. Durante o ataque man-in-the-middle, a comunicação é interceptada pelo atacante e retransmitida por este de uma forma discricionária. O atacante pode decidir retransmitir entre os legítimos participantes os dados inalterados, com alterações ou bloquear partes da informação. Como os participantes legítimos da comunicação não se apercebem que os dados estão a ser adulterados tomam-nos como válidos, fornecendo informações e executando instruções por ordem do atacante. Hardening Hardening (Técnica de blindagem de sistema ) é um processo de mapeamento das ameaças, mitigação dos riscos e execução das atividades corretivas em um sistema. Seu foco é a infraestrutura e seu objetivo é tornar um sistema mais seguro para enfrentar tentativas de ataques e invasões. Na tabela 1 a seguir apresentam-se as técnicas de Hardening mais utilizadas segundo as pesquisas realizadas. A técnica de Hardening pode ser utilizada em qualquer sistema operacional, implementando medidas e ações com o objetivo de fortalecer a segurança e proteger o sistema de possíveis invasores. A implementação das diretivas de segurança devem ser seguidas antes, durante e após a instalação e configuração do sistema operacional em uso.são boas práticas de segurança implementadas em um sistema utilizando as Técnicas de Hardening apresentadas na Tabela a seguir: Técnicas de Hardening mais utilizadas Item Técnica [1] [2] [3] [4] Citações 1 Acesso Remoto * * * * 4 2 Adoção de Sistemas de Detecção e Prevenção * * 2 de Intrusão 3 Antivírus * * * * 4 4 Ativar a instalação da (DEP) * 1 5 Atualizações e Patches * * * * 4 6 Criptografia * * * 3 7 Fechar Portas da Rede * * * * 4
2 8 Firewall * * * * 4 9 NetBios * * * * 4 10 Particionamento de Discos * * 2 11 Remoção de Logins e Usuários desnecessários * * * * 4 12 Remoção de Programas e Serviços * * * * 4 desnecessários 13 Segurança e Auditoria de Senhas * * * * 4 14 SMB (Bloco de Mensagem de Servidor) * * 2 15 Zona Desmilitarizada DMZ * * * * 4 REFERÊNCIA FONTE [1] Bernardo Maia Rodrigues, 2008 [2] Revista Inframagazine, 2011 [3] Guia do Hacker (Noob Saibot), 2010 [4] The Center for Internet Security, 2010 Quando se utiliza a técnica de Hardening existem três grandezas que devem ser consideradas e analisadas: a segurança, os riscos e a flexibilidade do sistema. Métodos de Proteção: Para promover a integridade na comunicação, método de encriptação das mensagens, certificados, usa de SSL e outros meios devem ser utilizados, sem isso não há um modo de evitar DNS Spoofing qualquer que seja o sistema operacional. Para usuários Linux existe uma ferramenta chamada Arpwatch que monitora a atividade em uma rede ethernet, mantendo atualizada uma tabela com endereços ethernet (MAC) e seus respectivos IPs. Essa ferramenta tem a capacidade de reportar via certas mudanças. É importante na detecção de ataques Arp poisoning, Man-in-the-Middle e DNS spoofing. Proteção do servidor DNS Ações recomendadas: A primeira barreira de defesa contra o DNS spoofing é usar sempre a versãop mais recente do DNS disponível. Consultas recursivas devem ser limitadas ao servidor DNS Local. Isso irá evitar sistemas externos enviem consultas suspeitas. Algumas observações de segurança sobre o servidor DNS: - Servidores DNS local separado físicamente do servidor externo - Desabilitar serviços desnecessários no servidor DNS - Utilizar um servidor dedicado específico para o DNS - Esconder a versão do BIND utilizada no servidor DNS
3 - Restringir o processo de update dinâmico do DNS, quando possível - Uso do TSIG - Restringir zonas de transferências para servidores secundários - Configurar o servidor DNS de modo a permitir recursividade somente para as estações de seu domínio. - Configurar o servidor DNS de modo a permitir recursividade somente para as estações de seu domínio. - Configurar regras anti-spoofing no firewall e/ou no roteador de borda. - Implementar uma topologia de redes que permita abrigar o servidor DNS em uma DMZ (Zona Desmilitarizada) (ProjetoRedes). - Considerar as melhores práticas para configuração segura do servidor DNS citradas no documento divulgado pelo CERT/CC, disponível em: Possiveis Ferramentas utilizadas no Ataque Ettercap Ettercap é um sniffer, interceptador e logger de rede. Apresenta uma interface gráfica amigável, suporta operação passiva e ativa dos protocolos. Possui diversos filtros e plugins que possibilitam vários tipos de ataques, entre eles o ataque DNS spoofing(ettercap). O ettercap proporciona ataques ao protocolo ARP atrás do ataque do homem do meio e assim, uma vez efetivado o ataque é possível entre outras ações: - infestar, deletar e corromper dados em uma conexão. - Descobrir senehas de acesso em protocolos FTP, HTTP, POP, SSHl, entre outros. - Falsificar certificados SSL numa sessão HTTP(openmaniak). Toda vez que o ettercap é iniciado, ele desabilita o encaminhamento de pacotes IP no kernel e começa a fazer ele próprio o encaminhamento. Isso deixará a conexão entre dois hosts mais lenta(openmaniak). Linux 2.0.x
4 Linux 2.2.x Linux 2.4.x Linux 2.6.x FreeBSD 4.x 5.x OpenBSD 2.[789] 3.x NetBSD 1.5 Mac OS X (Darwin 6.x 7.x) Windows 2000/XP/2003 Solaris 2.x Hping É um software que envia requisições de pacotes utilizando diferentes tipos de payloads e headeres, uma ferramenta extremamento útil para spoofing e injeção de pacotes em redes. Hping além de ser usado como ferramenta de segurança no passado, pode ser usado para testar redes e estações de trabalho(hpimg). - Testes em firewall - Port scanning avançado - Teste de rede utilizando diferentes protocolos - Descoberta manual do MTU - Traceroute avançado sob todos os protocolos avançado. - Detecção do sistema operacional remoto - Descoberta de uptime remote - Útil no aprendizado do TCP/IP - Linux - FreeBSD - NetBSD - OpenBSD
5 - Solaris Nemesis -Mac Os X - Windows Nemesis é uma ferramenta que usa linhas de comando para criar e injetar pacotes na rede, um utilitário usado para Windows e sistemas baseados em Unix. Também é utilizado para testar intrusões na rede, firewalls, e uma variedade de outras tarefas. Nemesis pode fazer a injeção dos seguintes pacotes: ARP, DNS, Ethernet, ICMP, IGMP, IP, OSPF, RIP, TCP e UDP (nemesis). - BSD - Linux - Solaris - Mac Os X - Windows Dsniff O Dsniff é um conjunto de ferramentas para testes de auditoria e invasão de redes. Essas ferramentas estão dividas em: - Ferramentas passivas de monitoramento do tráfego da rede (dsniff, filesnarf, msgsnarf, urlsnarf e webspy). - Ferramentas passivas de monitoramento do tráfego da rede (dsniff, filesnarf, msgsnarf, urlsnarf e webspy). - Ferramentas para interceptação de tráfego por parte do atacante(arpsspoof, dnsspoof e macof). - Ferramentas para implementação de ataques do tipo Man-in-the-Middle contra sessões contra SSH e HTTPS(scribd).