UNIO EDUCACIONAL MINAS GERAIS S/C LTDA FACULDADE DE CINCIAS APLICADAS DE MINASAutorizada pela Portaria no 577/2000 MEC, de 03/05/2000 ESPECIALIZAO EM SEGURANA DA INFORMAO

MARCEL FAGUNDES SOUZA

SEGURANA EM SERVIDORES DE CORREIO ELETRNICO

Uberlndia 2006

MARCEL FAGUNDES SOUZA

SEGURANA EM SERVIDORES DE CORREIO ELETRNICO

Monografia apresentada Faculdade de Cincias Aplicadas de Minas Gerais da Unio Educacional Minas Gerais (UNIMINAS), como parte das exigncias do Ttulo de Especialista em Segurana da Informao. Orientador: Prof. Msc. Gilson Marques da Silva

Uberlndia 2006

MARCEL FAGUNDES SOUZA

SEGURANA EM SERVIDORES DE CORREIO ELETRNICO

Monografia apresentada Faculdade de Cincias Aplicadas de Minas Gerais da Unio Educacional Minas Gerais (UNIMINAS), como parte das exigncias do Ttulo de Especialista em Segurana da Informao. Orientador: Prof. Msc. Gilson Marques da Silva

Banca Examinadora: Uberlndia, 13 de Maio de 2006.

________________________________________________Prof. Msc. Gilson Marques da Silva - Orientador - UNIMINAS

________________________________________________Prof. Msc. Alex Fabianne de Paulo - Faculdade Politcnica

________________________________________________Prof. Dr. Mauro Hemerly Gazzani - UNIMINAS

Uberlndia 2006

AGRADECIMENTOS

Primeiramente a Deus, pela vida. Aos meus pais, que me do amor e carinho. A UNIMINAS, pela realizao de um sonho, cursar faculdade e em seguida a especializao. Aos amigos e professores, que direta ou indiretamente participaram da realizao deste sonho.

Eu poderia viver recluso numa casca de noz e me considerar rei do espao infinito... (SHAKESPEARE, Hamlet, Ato 2, Cena 2).

RESUMO

O uso de sistema de correio eletrnico para comunicao eletrnica muito crescente o que significa que a informao trafegada de extrema importncia na maioria dos casos. Assim, necessrio que esta informao trafegada se mantenha sempre confivel, disponvel e privada entre as partes interessadas. O analista de segurana se preocupa em buscar a garantia de um bom nvel de segurana, ou seja, criar um ambiente que minimize a exposio das informaes a pessoas no autorizadas. Nesse sentido, este estudo faz a implementao de um servidor de email seguro para evitar o acesso no autorizado e envio de SPAM. No ambiente de testes foi utilizado o sistema operacional Linux Red Hat, o mailscanner Amavisd-new para verificao de anexos, o antispam SpamAssassin para a classificao das mensagems como: SPAM ou ham, e por fim o antivrus Clamav para verificao de vrus nos anexos. O acesso das mensagens foi utilizado o Dovecot com o protocolo IMAP e o SASL para autenticao SMTP.

ABSTRACT

Using e-mail system through the electronic communication is growing a lot and it means that the traffic of information is extremely important in the majority of the cases; so it becomes necessary that the traffic information always keeps safe, available and private for all intereted parties. In this case, the safety analyst makes sure that getting a good safety level, i.,e., creates an environment that minimize the information exposure to non authorized people. On this sense, this study makes the implementation of a user safety e-mail avoiding the non authorized access and sending the SPAM. On the environmental tests was used the operational system Linux Red Hat, the mailscanner Amavisd- new checking the attached subjects, the antispam Spam Assassin to the classification of the messages like: SPAM or ham, and finally the Clamav antivirus checking the virus in the enclosed subjects. To the access of the messages was utilized the Dovecot with the protocol IMAP and the SASL to the authentication SMTP.

LISTA DE ILUSTRAES

Figura 1 - Exemplo de um agente MUA Aplicativo Outlook Express da Microsoft .19 Figura 2 - Fase de autorizao..................................................................................20 Figura 3 - Fase de transao ....................................................................................20 Figura 4 - Fase de atualizao ..................................................................................21 Figura 5 - Modelo de uso do protocolo SMTP (POSTEL,1982).................................23 Figura 6 - Exemplo de envio de mensagem entre os servidores crepes.fr e hamburger.edu...................................................................................................24 Figura 7 - Modelo de Sistema de Correio (GOVERNO FEDERAL, 2003).................25 Figura 8 - Estrutura Interna de um MTA....................................................................26 Figura 9 - Lata Presunto Picante - SPAM (Hormel Foods Corporation, 2005) ..........28 Figura 10 - Exemplo de um hoax ..............................................................................30 Figura 11 - Exemplo de um Phishing SCAM .............................................................31 Figura 12 - Exemplo de uma mensagem contendo vrus ..........................................32 Figura 13 - Exemplo de uma mensagem falsa ..........................................................33 Figura 14 - Mailbomber Kaboom ...............................................................................34 Figura 15 - Estatsticas de notificaes de SPAM reportadas ao CERT.BR .............35 Figura 16 - Valores acumulados (SPAM, Proxy e Open Relay) ................................36 Figura 17 - Sintaxe do parmetro header_checks.....................................................38 Figura 18 - Configurao do parmetro header_checks ...........................................39 Figura 19 - Configurao das regras de filtragem no arquivo header_checks ..........39 Figura 20 - Sintaxe do parmetro body_checks ........................................................40 Figura 21 - Configurao do parmetro body_checks...............................................40 Figura 22 - Configurao das expresses regulares no arquivo body_checks .........40 Figura 23 - Configurao do parmetro mydestination .............................................44 Figura 24 - Sintaxe do parmetro mydestination.......................................................44 Figura 25 - Contedo do arquivo mydestination........................................................45 Figura 26 - Sintaxe do parmetro mynetworks..........................................................45 Figura 27 - Configurao do parmetro mynetworks ................................................45 Figura 28 - Sintaxe do parmetro myhostname ........................................................47 Figura 29 - Configurao do parmetro myhostname ...............................................47 Figura 30 - Sintaxe do parmetro mydomain ............................................................47 Figura 31 - Configurao do parmetro mydomain ...................................................47 Figura 32 - Sintaxe do parmetro inet_interfaces......................................................48 Figura 33 - Configurao do parmetro inet_interfaces ............................................48 Figura 34 - Arquivo de configurao Master.cf..........................................................50 Figura 35 - Criao do arquivo de log do freshsclam ................................................52 Figura 36 - Agendamento pelo Crontab ....................................................................52 Figura 37 - Configurao do Proxy............................................................................52 Figura 38 - Desativao do MTA Sendmail ...............................................................58 Figura 39 - Configurao do arquivo main.cf.............................................................59 Figura 40 - Configurao do arquivo main.cf - Continuao .....................................60 Figura 41 - Configurao do arquivo main.cf - Continuao .....................................61 Figura 42 - Configurao do arquivo master.cf .........................................................62 Figura 43 - Teste para verificao da disponibilidade do servio SMTP ...................63 Figura 44 - Configurao do arquivo amavisd.conf ...................................................64 Figura 45 - Configurao do arquivo main.cf para integrao com o Amavisd-new..65

Figura 46 - Configurao do arquivo master.cf para integrao com o Amavisd-new ...........................................................................................................................65 Figura 47 - Testando a porta 10024 do Amavisd-new...............................................66 Figura 48 - Configurao do arquivo clamav.conf .....................................................67 Figura 49 - Configurao do arquivo clamav.conf Continuao .............................68 Figura 50 - Inicializao dos servios........................................................................68 Figura 51 - Treinamento do SpamAssassin ..............................................................69 Figura 52 - Teste com a Mensagem Normal (DUCKLIN, 2003) ................................69 Figura 53 - Teste com a Mensagem EICAR (DUCKLIN, 2003).................................70 Figura 54 - Teste com a Mensagem com nvel tag2 .................................................71 Figura 55 - Configurao do arquivo dovecot.conf....................................................72 Figura 56 - Configurao do SAS no arquivo smtpd.conf .........................................72 Figura 57 - Configurao do SASL no arquivo main.cf .............................................73 Figura 58 - Configurao das blacklist RHSBL e RBLs no main.cf ...........................74

LISTA DE TABELAS

Tabela 1 - Pacotes externos e dependncias do Perl para Amavisd-new (SPENNEBERG, 2005) ......................................................................................63

LISTA DE ABREVIATURAS E SIGLAS

1. 2. 3. 4.

ARPA Advanced Research Projects Agency ARPANET Advanced Research Projects Agency Network BBN Bolt Beranek and Newman CERT BR Centro de Estudos, Resposta e Tratamento de Incidentes de Segurana no Brasil

5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. 16. 17. 18. 19. 20. 21. 22. 23. 24. 25. 26. 27. 28. 29. 30.

CHROOT Change root CIDR Classless Inter-Domain Routing DARPA Defense Advanced Research Projects Agency DNS Domain Name System DMZ DeMilitarized Zone E-MAIL Eletronic Mail FQDN Fully Qualified Domain Name GNU General Public License HTML Hypertext Markup Language IBM International Business Machines IETF Internet Engineering Task Force IMAP4 Internet Message Access Protocol version 4 IP Internet Protocol MAA Mail Access Agent MAPS Massachusetts Alliance of Portuguese Speakers MDA Mail Delivery Agent MTA Mail Transfer Agent MUA Mail User Agent MX Mail eXchanger NBSO Network Information Center BR Security Office PERL Practical Extracting and Reporting Language POP3 Post Office Protocol version 3 RBL Realtime Blackhole List RFC Request For Comments RHSBL Right-Hand-Side Backhole List SASL Simple Authentication and Security Layer

31. 32. 33. 34. 35. 36.

SPAM SPiced hAM SPF Sender Policy Framework TCP Transport Control Protocol TELNET Terminal Emulator Link Over Network UCE Unsolicited Commercial E-mail WWW World Wide Web

SUMRIO

RESUMO................................................................................................................................................. 5 ABSTRACT............................................................................................................................................. 6 1 INTRODUO ................................................................................................................................... 14 1.1 O SURGIMENTO DA INTERNET ........................................................................................................ 14 1.2 OBJETIVOS DO TRABALHO .............................................................................................................. 15 1.3 JUSTIFICATIVA PARA A PESQUISA ................................................................................................... 15 1.4 ORGANIZAO DO TRABALHO ........................................................................................................ 17 2 SISTEMAS DE CORREIO ELETRNICO ........................................................................................ 18 2.1 MUA (MAIL USER AGENT) ............................................................................................................. 19 2.1.1 Protocolo POP3 (Post Office Protocol Version 3) ............................................................ 20 2.1.2 Protocolo IMAP4 (Internet Message Access Protocol Version 4) .................................... 21 2.2 MTA (MAIL TRANSFER AGENT) ...................................................................................................... 22 2.2.1 Protocolo SMTP (Simple Mail Transfer Protocol)................................................................ 22 2.3 MDA (MAIL DELIVERY AGENT) ....................................................................................................... 24 2.4 FUNCIONAMENTO DO CORREIO ELETRNICO .................................................................................. 24 3 TIPOS DE VULNERABILIDADES E TIPOS DE ATAQUES............................................................. 27 3.1 SPAM SPICED HAM................................................................................................................... 27 3.2 CARACTERSTICAS E TIPOS DE SPAM............................................................................................. 29 3.2.1 Boatos - Hoaxes .................................................................................................................. 29 3.2.2 Fraudes e Golpes - SCAM .................................................................................................. 30 3.2.3 Vrus, worms e cdigos maliciosos ..................................................................................... 31 3.2.4 Fake mail ............................................................................................................................. 32 3.2.5 Mail Bomber......................................................................................................................... 33 3.3 PROBLEMAS RELACIONADOS AO SPAM .......................................................................................... 34 4 FERRAMENTAS DE SEGURANA DA INFORMAO ................................................................. 37 4.1 MTA POSTFIX ............................................................................................................................... 37 4.1.1 Controle de mensagens comerciais no solicitadas ........................................................... 38 4.2 CONFIGURAO DO ARQUIVO MAIN.CF ............................................................................................ 43 4.2.1 Parmetro - Mydestination .................................................................................................. 43 4.2.2 Parmetro - Mynetworks ..................................................................................................... 45 4.2.3 Parmetro - Myhostname .................................................................................................... 46 4.2.4 Parmetro - Mydomain ........................................................................................................ 47 4.2.5 Parmetro - inet_interfaces ................................................................................................. 48 4.2.6 Configurao do arquivo master.cf...................................................................................... 48 4.3 ANTIVRUS CLAMAV (CLAM ANTIVRUS).......................................................................................... 50 4.3.1 Configurao da atualizao do banco de dados ............................................................... 51 4.4 ANTISPAM SPAMASSASSIN .......................................................................................................... 52 4.4.1 Determinao da Pontuao pelo SpamAssassin .............................................................. 54 4.5 MAILSCANNER AMAVISD-NEW (A MAIL VIRUS SCANNER NEW) .................................................. 54 4.5.1 Determinao da Pontuao pelo Amavisd-new ................................................................ 55 4.5.2 rea de quarentena............................................................................................................. 56 5 IMPLEMENTAO DO SERVIDOR DE E-MAIL SEGURO ............................................................. 58 5.1 SISTEMA OPERACIONAL ................................................................................................................. 58 5.2 CONFIGURAO DO MTA POSTFIX ................................................................................................. 58 5.3 CONFIGURAO DO MAILSCANNER AMAVISD-NEW .......................................................................... 63 5.4 CONFIGURAO DO ANTIVRUS CLAMAV ........................................................................................ 66 5.5 FINALIZANDO A CONFIGURAO E TESTANDO .................................................................................. 69

5.6 CONFIGURAO DO DOVECOT IMAP ............................................................................................... 71 5.7 CONFIGURAO DO SASL (SIMPLE AUTHENTICATION AND SECURITY LAYER ).................................. 72 5.8 CONFIGURAO DAS BLACKLIST RHSBL E RBLS ............................................................................ 73 6 CONCLUSO .................................................................................................................................... 75 6.1 TRABALHOS FUTUROS ................................................................................................................... 76 REFERNCIAS BIBLIOGRFICAS..................................................................................................... 77

14

1 INTRODUO

1.1 O Surgimento da Internet

A Internet surgiu na dcada de 60 com objetivo inicial de atender necessidades militares do governo americano. A Internet constituda por uma srie de redes interligadas atravs de backbones1. Em 1968 foi desenvolvido pela ARPA (Advanced Research Projects Agency) o primeiro projeto de backbone. O objetivo desse projeto era interligar as universidades e tambm as bases militares. A DARPA (Defense Advanced Research Projects Agency) que deu lugar a ARPA comeou a desenvolver os protocolos TCP/IP (Transmission Control Protocol /Internet Protocol) no ano de 1975 (TANENBAUM, 1997). Na dcada de 80 a DARPA cedeu os direitos do cdigo dos protocolos TCP/IP Universidade da Califrnia para que fosse distribudo junto com o sistema operacional UNIX (Unics Uniplexed Information and Computing System). A DARPA solicitou que todos os computadores que estavam conectados a ARPANET (Advanced Research Projects Agency Network) para que utilizassem os protocolos TCP/IP. Com isso, esses protocolos se difundiram rapidamente, visto que no eram aplicativos comerciais. Com o passar dos anos, a Internet vem se popularizando e se tornando um dos meios de comunicao mais eficazes do planeta. Sua utilizao abrange desde fins pessoais e comerciais at fins no-legais (TANENBAUM, 1997). De carona neste meio de to fcil acesso e utilizao, o servio de correio eletrnico um dos servios mais utilizados na Internet. O pr-requisito para utilizao do correio eletrnico possuir um software que permite ao usurio conectar-se ao seu servidor de correio e verificar as mensagens recebidas. Possuir um endereo eletrnico que hoje em dia uma grande vantagem, pois alm de possibilitar a simples troca de mensagens, ele permite a utilizao de outros servios da Internet. _____________O termo backbone (traduzindo para o portugus, espinha dorsal) designa o esquema de ligaes centrais de um sistema mais amplo, tipicamente de elevado dbito relativamente periferia.1

15

Atualmente, a segurana da informao extremamente importante porque medida que aumenta o nmero de ataques e as descobertas de novas vulnerabilidades vm aumentando as falhas na segurana. O negcio de uma empresa deve ser protegido por uma boa poltica de segurana calcada nos pilares da segurana da informao: autenticidade, confidencialidade, disponibilidade, integridade e irrevogabilidade.

1.2 Objetivos do Trabalho

Este trabalho tem como objetivo principal, implementar um servidor de e-mail (eletronic mail) seguro, conforme as boas prticas de segurana para evitar acesso no autorizado ou a utilizao do servidor de e-mail para envio de mensagens no solicitadas, isto , SPAM (SPiced hAM). A finalidade deste trabalho apresentar um estudo sobre segurana em servidor de e-mail destacando a importncia do uso de configuraes e procedimentos para melhoria na segurana para preveno de ameaas e contribuindo para a garantia da continuidade do negcio da empresa. Este trabalho tem como objetivos especficos: descrever o funcionamento de um servidor de e-mail; apontar as principais vulnerabilidades existentes, as principais tcnicas de ataques utilizadas; abordar as principais ferramentas de segurana da informao e por fim a implementao de um servidor de e-mail seguro conforme as boas prticas de segurana. 1.3 Justificativa para a Pesquisa

O servio de correio eletrnico um dos servios de comunicao eletrnica mais usados na Internet. Este servio em geral prov pouco suporte segurana e privacidade, permitindo facilmente diversos tipos de fraudes e usos indevidos e envio de SPAM e por alguns tipos de vermes. Os vermes utilizam-se do pouco suporte na segurana para se multiplicar, causando inmeros prejuzos.

16

Sendo assim, para garantir um nvel ideal de segurana, o servidor tem que estar bem configurado e atualizado, possibilitando menor exposio a fraudes, uso indevido da informao, ataques bem sucedidos e a proliferao de SPAM. Estudos realizados por institutos de pesquisa demonstram o aumento significativo do volume de mensagens indesejadas que trafegam na Internet, como mostra a seguir:Este estudo da empresa britnica MessageLabs revela que mais de 86% dos e-mails analisados em seus Datacenters distribudos nos 4 continentes, em junho de 2004, so SPAM (MESSAGELABS ANTI-SPAM, 2004). Na sua configurao por padro, muitos servidores SMTP vm com o open relay, permitindo que eles sejam usados para enviar mensagens de e para qualquer rede ou domnio, independente dos endereos envolvidos serem da sua rede ou no. Estes servidores so amplamente explorados para envio de SPAM (NBSO, 2003). Este estudo mostra que grande parte dos SPAMs est ligada ao open relay, e que a soluo proposta foi configurao segura do relay amarrado a uma autenticao. Outro ponto descrito no estudo foi agregar uma ferramenta na infra-estrutura de rede, o antispam para o combater SPAMs, fechando o cerco no campo tecnolgico (D'vila, 2005).

Diante disso, se a implementao de um servidor de correio eletrnico no seguir as boas prticas de segurana este permitir a exposio das informaes privadas pessoas no autorizadas, isto , no garantir que a troca de informaes seja segura, confivel e disponvel, restritas as partes interessadas. E se a configurao do relay estiver aberta e sem autenticao este permitir o envio de SPAM por pessoas no autorizadas e contribuir com a ploriferao de vermes. Os analistas de segurana conhecem bem a famosa lei de Murphy, Se alguma coisa pode dar errado, dar. E mais, dar errado da pior maneira, no pior momento e de modo que cause o maior dano possvel. Mas no bem assim, as pesquisas mostram que as tcnicas de invaso bem sucedidas esto cada vez aumentando proporcionalmente com as vulnerabilidades. O analista de segurana na verdade trabalha na preveno e na correo destas vulnerabilidades. Como garantir que o envio da mensagem seja entregue sem ser violada ou alterada, que a mensagem seja a mesma que a pessoa enviou e no permitindo negar que a enviou e que esta mensagem estar sempre disponvel? A investigao desta hiptese ser feita atravs da implementao de um servidor de

17

e-mail, configurado de forma segura com objetivo de simular um ambiente real, para dificultar a ao de um hacker ou de algum tipo de verme que tente aproveitar uma brecha de segurana no servio de e-mail.

1.4 Organizao do Trabalho

Este trabalho est organizado da seguinte maneira: o captulo 1 apresenta, de modo geral, os dados e informaes que sero tratados no decorrer da pesquisa, ressaltando os objetivos e resultados esperados com este trabalho. O captulo 2 descreve o sistema de correio de eletrnico, os componentes e o seu funcionamento. No captulo 3 as principais vulnerabilidades no servidor de e-mail, como o Open Relay2, Open Proxy e o SPAM so apontados. Problemas relacionados ao SPAM e alguns mecanismos para impedir o envio de e-mail SPAM. Ainda no captulo 3 so descritas as caractersticas do SPAM que utilizam recursos fraudulentos para enganar o usurio. No captulo 4 apresentado um estudo das principais ferramentas de segurana da informao usadas para minimizar a proliferao de SPAM. No captulo 5 discutida a implementao do servidor de email seguro, conforme as boas prticas de segurana. No captulo 6 a concluso, os resultados obtidos e as sugestes de trabalhos futuros pela pesquisa so apresentados.

_____________2

O Open relay um MTA que aceita conexes de qualquer rede e permitindo o envio de e-mails.

18

2 SISTEMAS DE CORREIO ELETRNICO

O correio eletrnico foi criado em 1971 por um engenheiro de computao americano chamado Ray Tomlinson, que trabalhava na Bolt Beranek and Newman (BBN), a empresa que fra contratada pelo Departamento de Defesa dos EUA para implantar a ARPANET (WINKMEDIA, 2005). Nessa poca, a rede tinha apenas 15 computadores interligados, e Tomlinson desenvolvera um programa chamado SNDMSG que j continha os princpios bsicos do correio eletrnico: enviava um texto para uma caixa postal de outra pessoa. Essa caixa postal era, na verdade, tambm um arquivo de texto e a nova mensagem apenas acrescentavam um novo trecho ao texto ao arquivo que l se encontrava antes, sem a permisso de apagar ou sobrescrever. Mas o SNDMSG funcionava apenas no mbito local, e Tomlinson decidiu adapt-lo para funcionar entre diferentes ns da rede. Para distinguir os endereos locais dos externos, o engenheiro decidiu que estes ltimos teriam que ter o smbolo @ entre o nome do usurio e o nome do computador onde se situava a sua caixa postal. O primeiro e-mail (eletronic mail) enviado na histria foi um teste de Tomlinson. Seu texto foi algo como QWERTYUIOP e a mensagem foi enviada por Tomlinson para ele mesmo, atravs da ARPANET. Mas, fisicamente, os dois computadores estavam lado a lado: eram duas mquinas da BBN que apenas tinham conexo atravs da ARPANET para, assim, facilitar os testes. Aps dois anos, cerca de 75% do trfego da ARPANET fazia a utilizao do servio de e-mail (WINKMEDIA, 2005). O sistema de correio eletrnico o segundo servio mais utilizado na Internet, ficando atrs apenas das pginas Web (WWW - World Wide Web). O email atualmente extremamente importante como forma de comunicao, interligando e facilitando a comunicao de milhes de pessoas espalhadas pelo mundo. Os agentes so como componentes do correio e cada um tm funes

19

especficas que so descritas em detalhe a seguir (SCRIMGER, 2002):

2.1 MUA (Mail User Agent)

O agente usurio de correio uma interface para acessar o MTA (Mail Transfer Agent). Sua funo enviar ou receber as mensagens, assim como interagir na compreenso do formato das mensagens colocando-a em modo amigvel. O MUA possui vrias funes como enviar, excluir, recuperar responder, encaminhar e tambm interage na verificao da ortografia e a gramtica do texto, o que facilita a manipulao da mensagem, conforme ilustrado na Figura 1. O MUA usa o protocolo SMTP (Simple Mail Transfer Protocol) para envio de mensagens, IMAP (Internet Message Access Protocol) para recuperao e arquivamento de mensagens ou o POP (Post Office Protocol) para recuperao de mensagens. Sendo este ltimo com algumas caractersticas diferentes que sero abordadas a seguir.

Figura 1 - Exemplo de um agente MUA Aplicativo Outlook Express da Microsoft

20

2.1.1 Protocolo POP3 (Post Office Protocol Version 3)

O protocolo POP3, referenciado na RFC (Request for coments)1939, um protocolo de correio simples e com poucas funcionalidades. O agente usurio acessa os e-mails conectando ao servidor de correio na sesso TCP3 porta 110 onde esto armazenadas as suas mensagens. Esta conexo possui trs fases: autorizao, transao e atualizao. A autorizao feita atravs de uma senha e em seguida solicita seus e-mails. As mensagens so transferidas para o computador do usurio, podendo ser apagadas do servidor atravs de uma solicitao do usurio (MYERS; ROSE, 1996). A Figura 2 ilustra a fase de autorizao. Para autorizao foi utilizada a sesso Telnet4 diretamente a um servidor de correio. telnet 110 +OK POP3 server ready user alice +OK pass hungry +OK user sucessfully logged on

Figura 2 - Fase de autorizao

Na fase de transao, o usurio pode configurar o POP3 para ler e apagar, ou para ler e guardar, as mensagens. Para o comando ler e apagar o usurio emite os seguintes comandos list, retr e dele. O exemplo da Figura 3 mostra que o usurio tem duas mensagens em sua caixa postal, onde C: significa cliente e S: significa o servidor de correio.

C: S: S: S:

list 1 498 2 912 .Figura 3 - Fase de transao

_____________3 4

Transport Control Protocol um protocolo da camada de transporte orientado a conexo. Terminal Emulator Link Over Network um programa que permite fazer conexo remota com outro computador.

21

O agente usurio solicita para o servidor informar o tamanho de todas as mensagens armazenadas. Em seguida as mensagens so recuperadas utilizando o comando retr e para deletar as mensagens 1 e 2 foi utilizado o comando dele. O comando quit finaliza a sesso com o servidor POP3 e remove as mensagens 1 e 2 da caixa postal, conforme mostrado na Figura 4.

C: S: S: C: C: S: S: C: C: S:

retr (Teste de Envio 1 ... .... Teste de Envio 1) dele 1 retr 2 (Teste de Envio 2 ... .... Teste de Envio 2) dele 2 quit +OK POP3 server signing off

Figura 4 - Fase de atualizao

O problema no POP3 est no modo ler e apagar, o usurio pode se deslocar e querer acessar em um outro computador. Este modo espalha as mensagens por onde o usurio realizou o acesso. No modo ler e guardar o usurio deixa as mensagens guardadas no servidor aps l-las, assim podendo ler novamente as mensagens em mquinas diferentes.

2.1.2 Protocolo IMAP4 (Internet Message Access Protocol Version 4)

O protocolo IMAP, definido na RFC 2060, foi criado para resolver as deficincias do protocolo POP3. O IMAP permite acessar mensagens armazenadas em um servidor como se estivessem armazenadas em um computador local. Esta versatibilidade permite o usurio acessar as mesmas mensagens em diversos computadores ao mesmo tempo. O protocolo IMAP trabalha em uma arquitetura cliente/servidor usando a porta TCP 143, podendo estar em um dos seguintes estados (CRISPIN, 1996):

Estado no-autenticado: o estado onde o usurio fornecer o usurio e a senha para liberao dos comandos.

22

Estado autenticado: o estado onde o usurio poder selecionar a pasta para utilizar os comandos. Estado selecionado: o estado onde o usurio poder utilizar os comandos que afetam as mensagens (recuperar, mover, apagar, recuperar parte de uma mensagem). Estado de logout: usado para encerrar a sesso.

Na poca que o protocolo IMAP foi concebido, os projetistas no se preocupavam com a segurana das mensagens. Qualquer troca de mensagem realizada entre o cliente e servidor no utilizava criptografia, o que permitir qualquer um capturar o trfego (NORTHCUTT; NOVAK; MCLACHLAN, 2001). 2.2 MTA (Mail Transfer Agent)

um agente de transferncia de mensagens que tem funes de encaminhamento e de transferncia de mensagens entre um servidor de correio de origem a um servidor de correio de destino. O encaminhamento e transferncia de mensagens feito pelo protocolo SMTP na porta 25.

2.2.1 Protocolo SMTP (Simple Mail Transfer Protocol)

O protocolo SMTP usado para enviar e-mail do servidor de correio de origem para o servidor de correio de destino final, ou seja, o cliente SMTP conecta com o servidor SMTP e instrui o mesmo usando comandos para que o email seja enviado ao destinatrio final. A Figura 5 ilustra o fluxo de funcionamento do protocolo SMTP. Inicialmente estabelecida a conexo entre SMTP-Emissor e o SMTP-Receptor, onde o SMTP-Receptor pode ser o destino final ou somente um encaminhador da mensagem; O SMTP-Emissor envia a identificao do remetente da mensagem e em seguida SMTP-Receptor envia como resposta o OK; Identifica-se o destinatrio da mensagem e o SMTP-Receptor verifica se este existe;

23

E finalmente identificado o destinatrio, o SMTP-Emissor comea a transmisso da mensagem.

SMT P Emissor

Comandos/respostas e e-mails

SMT P Receptor

Figura 5 - Modelo de uso do protocolo SMTP (POSTEL,1982)

A Figura 6 mostra um exemplo de envio de uma mensagem, Do you like ketchup? How about pickles?, do servidor de correio crepes.fr para o servidor hamburger.edu (KUROSE; ROSS, 2003): O servidor crepes.fr envia comando HELO para estabelecer uma sesso TCP na porta 25 com o servidor hamburger.edu; Em seguida o servidor crepes.fr envia o comando MAIL para o servidor hamburger.edu para iniciar a transao, e a seguir envia o comando DATA para informar ao servidor que a mensagem vem em seguida; O servidor hamburger.edu reconhece a mensagem enviando o comando OK; A mensagem armazenada no servidor SMTP at que seja transferida para o servidor hamburger.edu.

24

S: C: S: C: S: C: S: C: S: C: C: C: S: C: S:

220 hamburger.edu HELO crepes.fr 250 Hello crepes.fr, pleased to meet you MAIL FROM: alice@crepes.fr 250 alice@crepes.fr ... Sender ok RCPT TO: bob@hamburger.edu 250 bob@hamburger.edu ... Recipient ok DATA 354 Enter mail, end with . on a line by itself Do you like ketchup? How about pickles? . 250 Message accepted for delivery QUIT 221 hamburger.edu closing connection

Figura 6 - Exemplo de envio de mensagem entre os servidores crepes.fr e hamburger.edu

2.3 MDA (Mail Delivery Agent)

o agente de entrega de correio, este agente recebe o e-mail do agente MTA e o deposita na caixa de correio do usurio. 2.4 Funcionamento do Correio Eletrnico

A Figura 7 ilustra o caminho percorrido para a entrega de uma simples mensagem, ou seja, o e-mail. A mensagem criada pelo MUA. Em seguida a mensagem encaminhada para um servidor de correio MTA, onde consultada a informao em um servidor DNS5 (Domain Name System) para verificar se a mensagem local ou se de outro servidor, caso a mensagem seja de outro servidor a mensagem enviada para o MTA de destino.

_____________5

DNS a sigla para Domain Name System ou Sistema de Nomes de Domnios. uma base de dados hierrquica, distribuda para a resoluo de nomes de domnios em endereos IP e vice-versa.

25

MUA 1

MUA 2 Web mail

SMTP

POP IMAP

SMTP

MTA 1

MTA 2

Figura 7 - Modelo de Sistema de Correio (GOVERNO FEDERAL, 2003)

O transporte das mensagens entre os MTAs feito pelo protocolo SMTP, o que permite conexes de outros servidores de correio ou MUAs. Se a mensagem for para entrega local, a correspondncia passada para um MDA que armazena a correspondncia da caixa de correio do usurio. O MUA busca a mensagem disponvel no MTA de destino e exibindo-a em modo amigvel. A busca e entrega das mensagens da caixa de correio feito pelo MAA (Agentes de Acesso ao Correio), este termo usado para representar o modelo tradicional MTA, MDA, MUA. O MUA conecta a um MAA utilizando um protocolo de correio IMAP ou POP, conforme mostra a Figura 8.

26

MTA Permite conexo Entrega a de MUAs ou de mensagem a outros MTAs outros MTAs

SMTP

SMTP

POP

MDA

MAAIMAP

IMAP

Caixa de CorreioAcesso Direto ao MUA

Figura 8 - Estrutura Interna de um MTA

27

3 TIPOS DE VULNERABILIDADES E TIPOS DE ATAQUES

A insegurana de alguns servios que, se mal configurados, podem permitir que usurios no autorizados utilizem destes recursos indevidamente. A configurao incorreta destes servios pode causar vrios problemas indesejveis. O exemplo o proxy e o relay, se mal configurados, podem permitir que usurios externos abusem dos recursos da rede, ainda que isso no implique na ocorrncia de uma invaso. Dois destes servios so o e-mail e os proxies de Web (NBSO, 2003). A configurao incorreta destes servios pode causar vrios efeitos indesejveis. Um deles que recursos computacionais da organizao, link Internet, CPU, discos e memria dos servidores, so consumidos por terceiros sem que eles paguem por esse uso. Em muitos casos, esses recursos so exauridos de forma que usurios legtimos no possam utilizar o servio. Alm disso, servidores mal configurados so muitas vezes usados para disseminar contedo ilegal.

3.1 SPAM SPiced hAM

O termo SPAM surgiu da marca de um tipo de presunto picante enlatado da Hormel Foods Corporation, conforme mostra a Figura 9, uma empresa americana que vende o produto deste 1937. A palavra foi utilizada em um quadro do grupo de humoristas ingleses chamado Monty Phyton para especificar o envio de e-mails a uma grande quantidade de pessoas de uma vez e conhecido tambm pela sigla inglesa UCE (Unsolicited Commercial Email), ou Mensagem Comercial No-Solicitada (INFOGUERRA, 2003).

28

Figura 9 - Lata Presunto Picante - SPAM (Hormel Foods Corporation, 2005)

O primeiro e-mail SPAM enviado de que se tem notcia foi um anncio da DEC, fabricante de computadores, que falava sobre a nova mquina DEC-20, no ano de 1978. A mensagem, que foi enviada na ARPANET6, dava detalhes sobre o novo produto e convidava as pessoas para apresentaes na Califrnia o que gerou polmica na rede por violar as regras de uso da ARPANET (INFOGUERRA, 2003). A maioria dos e-mails de fraudes so enviados no formato HTML (Hypertext Markup Language), o que permite adicionar recursos visuais como imagens, cores e fontes que ajudam a chamar a ateno e dissimular o contedo enganoso. s vezes a mensagem inclui um link para uma home page falsa que no tem nenhuma relao com o remetente. Alm disso, quase sempre o link aponta para um arquivo executvel, normalmente com as seguintes extenses: *.exe, *.com, *.scr, *.cpl, *.bat, *.pif, entre outras, ou ainda o arquivo pode estar compactado *.zip contendo arquivo executvel. O recomendvel que sempre se verifique o endereo de destino de um link antes de clicar no anexo.

_____________6

Advanced Research Projects Agency Network, rede de pesquisa avanada do Departamento de Defesa dos EUA, que deu origem Internet.

29

3.2 Caractersticas e tipos de SPAM

O analista de segurana tem que se preocupar com a preveno do Open Relay, para no permitir que pessoas de outras redes sejam autenticadas no servidor de e-mail. Esta vulnerabilidade muito usada pelos Spammers, Vrus e Worms para envio de e-mails SPAM.

3.2.1 Boatos - Hoaxes

Os boatos, tambm chamados de hoaxes, so e-mails que possuem contedos falsos e tem objetivo de iludir ou alarmar, para que as pessoas divulguem para o maior nmero de pessoas (HAMBRIDGE, 2005). A histria deste pseudovrus da Figura 10 conta que o vrus alojaria num arquivo do Windows para destruir as informaes do computador no dia vinte e cinco. O e-mail passa instrues para deletar o pseudovrus. Este boato surgiu em 2001 no Brasil, e logo foi divulgado pelo mundo, onde deixou muita gente preocupada. A verdade que o arquivo sulfnbk.exe no um vrus, ele um programa do sistema operacional Windows que possibilita a manipulao de arquivos com nomes extensos, isto , arquivos cujos nomes tenham acima de oito caracteres. Para verificar se o e-mail um boato, existem sites como o caa boatos, http://HoaxBusters.ciac.org/, onde se encontram listas contendo os boatos que esto circulando pela Internet e seus respectivos contedos (NBSO, 2003).

30

Procure em seu computador pelo arquivo: sulfnbk.exe V ao iniciar, procurar (ou localizar) e localize este arquivo e delete-o imediatamente (caso seja encontrado, ele se aloja no c:\windows\command). Aps isto esvazie a lixeira ! Trata-se de um vrus que vem atravs de e-mails sem voc perceber e pretende destruir seu computador no dia 25. Este alerta foi passado pelo setor de computao da FEG/UNESP. Elimine o tal programa, mas de qualquer forma, seria bom no dia 24 antes de desligar o micro, certificar-se de que ele no entrou novamente.

Figura 10 - Exemplo de um hoax

3.2.2 Fraudes e Golpes - SCAM

O SCAM7 um tipo de SPAM que utiliza recursos fraudulentos usados para ludibriar o destinatrio com objetivo de ganho financeiro. Este tipo de fraude tem sido denominado SCAM ou phishing scam, a palavra inglesa fishing que significa pescaria, o phishing o ato de enviar um e-mail a algum, alegando falsamente ser uma entidade de uma empresa ou organizao para tenta fazer que a vtima entregue informaes onde sero utilizadas para fins escusos, como por exemplo, o roubo de informaes pessoais. O e-mail fraudulento tem um link que direciona o usurio a visitar uma pgina Internet onde ser solicitado a atualizar as informaes pessoais: senhas, cartes de crdito, contas de banco e outros dados que uma organizao legtima possui, conforme ilustrado na Figura 11.

_____________7

SCAM um tipo de SPAM que utilizam recursos fraudulentos usados para ludibriarem o destinatrio com objetivo de ganho financeiro.

31

Figura 11 - Exemplo de um Phishing SCAM

Pela facilidade de se forjar uma pgina da web para que fique semelhante com a pgina original. Muitos usurios so vtimas por este tipo de ataque. Ao enviar os e-mails para um nmero grande de usurios, o atacante ou neste caso, o phisher, acaba conseguindo um bom nmero de informaes que servem aos seus propsitos.

3.2.3 Vrus, worms e cdigos maliciosos

O fato que certos vrus e worms8 se propagam por e-mail e para convencer o usurio a executar o arquivo anexo, ou seja, o cdigo malicioso. Os recursos usados so semelhantes aos usados pelos Spammers: estimular a curiosidade. Um exemplo comum mostrado na Figura 12, o e-mail com anexo ou um link de acesso a uma URL infectado com vrus e tambm com uma estria ou frase qualquer para tentar estimular a curiosidade do usurio para abri-lo.

_____________8

Tambm conhecido como verme. semelhante ao vrus, no caso do Worm no depende de interveno para ser ativado.

32

Por que no responde. H tempo observo voce, sei que me conhece e nunca me manifestei, porque fico com um pouco de receio. Refiz a hospedagem da mensagem e da foto. Coloquei novamente na UOL com a senha 102030a. Espero que goste, mas por favor mantenha discrio. Mas caso no goste, esquea tudo isso.Adoro voc, tchau .... Arquivo em anexo(s) fotos.jpg (179KB)

Figura 12 - Exemplo de uma mensagem contendo vrus

3.2.4 Fake mail

O Fake mail significa e-mail falso, uma tcnica para envio de mensagens falsas, como mostra a Figura 13. A pessoa conecta-se a um servidor SMTP para forjar um e-mail fingindo-se passar por uma pessoa importante e estratgica na empresa. Esta tcnica pode ser bastante efetiva, pois uma vez que o remetente pode enviar um e-mail onde ele consegue forjar tanto um e-mail legtimo como tambm um e-mail que no existe, por isso, desta forma de ataque atinge a maioria dos usurios inexperientes.

33

telnet 25 helo a resposta deve ser a seguinte 250 OK mail from: a resposta deve ser a seguinte 250 OK mail from < o endereo falso de correio > rcpt to: a resposta deve ser a seguinte 250 OK Recipient data a resposta deve ser a seguinte 354 Send data. Finalizar com CRTF. CRLF To: < endereo da vtima > From: Suject: . a resposta deve ser a seguinte 250 OK quit

Figura 13 - Exemplo de uma mensagem falsa

3.2.5 Mail Bomber

O Mail bomber um ataque que envia uma grande quantidade de email para inundar a caixa de correio do alvo. Este ataque exige um servidor SMTP com open relay para ser utilizado para o envio do mail bomber. Um dos softwares que pode ser usado para esse ataque o Kaboom, mostrado na Figura 14. O atacante escolhe a sua vtima e um servidor SMTP vulnervel para enviar uma grande quantidade de e-mails. Este ataque inunda a caixa de correio da vtima e pode causar a parada um servidor de e-mail caso a caixa de correio no possuir uma cota.

34

Figura 14 - Mailbomber Kaboom

3.3 Problemas relacionados ao SPAM

Muitos servidores vm com o open relay na configurao padro, o que permite que seja utilizado para enviar mensagens a qualquer endereo desejado, e tambm pode ser usado para envio de SPAM. Outra motivao do open relay, o Spammer pode ter o anonimato que torna difcil s chances de punio por este abuso. Em muitos casos possvel fechar o relay mesmo quando a rede possui roaming users (usurios ambulantes), usando mecanismos como POPbefore-SMTP e SMTP AUTH. Os mecanismos POP-before-SMTP e SMTP AUTH exigem que sejam feitas autenticaes no servidor de e-mail para evitar o uso no autorizado do servidor, mas permitindo que clientes realizem o envio de mensagens a partir de servidores remotos. Estas implementaes exigem dos clientes autenticar-se no servidor POP ou IMAP antes de realizar o envio de mensagens, comprovando que ele est na mquina e que deseja realizar o envio. Outra vulnerabilidade que pode ser utilizada se mal configurada o

35

Proxy de Web, tambm pode ser utilizada se no forem tomadas devidas precaues. Um proxy mal configurado pode ser usado por pessoas no autorizadas para acessar os recursos anonimamente para envio de mensagens falsas ou fraudulentas ou at mesmo SPAM. A configurao recomendada no Proxy Web que somente permite o acesso aos endereos IPs (Internet Protocol) dos usurios autorizados que pertence rede. A diferena entre os mecanismos open relay e o open proxy que o open relay est presente somente em servidores de e-mail, normalmente devido a uma m configurao por falta de conhecimento do analista de segurana. Realizar a preveno do servidor com o open relay e do open proxy extremamente importante. Os Spammers podem utilizar o servidor de e-mail para o envio de e-mails SPAM e com pouco tempo o domnio poder ser cadastrado em listas negras. O problema preocupante, pois o nmero de e-mails SPAM vem crescendo a cada ano que passa. A Figura 15 representa a quantidade de vulnerabilidades reportadas de 2003 at maro de 2006 que comprova este fato.

Figura 15 - Estatsticas de notificaes de SPAM reportadas ao CERT.BR

A Figura 16 mostra a evoluo das notificaes de SPAM reportadas ao CERT.BR (Centro de Estudos, Resposta e Tratamento de Incidentes de

36

Segurana no Brasil) pelos principais provedores de servios de Internet.

Figura 16 - Valores acumulados (SPAM, Proxy e Open Relay)

A RFC 2142 define uma srie de e-mails padro que devem existir em todas as redes e que podem ser usados para contatar aos analistas responsveis. Dentre os endereos padro, existem dois que esto relacionados com segurana: abuse e security. O endereo abuse usado para reportar abusos de recursos na rede. O endereo security, por sua vez, utilizado para comunicar incidentes e alertar sobre problemas de segurana (CROCKER, 1997). Para todo e qualquer incidente relacionado ao SPAM, deve ser feita uma reclamao aos responsveis da rede e em seguida encaminhada entidade responsvel o NBSO (Network Information Center BR Security Office). Com isso o NBSO manter dados estatsticos de incidncia de SPAM e apontar s redes com servidores que no esto configuradas adequadamente (NBSO, 2003).

37

4 FERRAMENTAS DE SEGURANA DA INFORMAO

Os pilares da segurana da informao, confidencialidade, integridade e disponibilidade representam as principais propriedades que garantem a segurana de um sistema de informao. O no-repdio tambm se faz necessrio, principalmente com o avanar do comrcio eletrnico e o crescimento das transaes comerciais atravs de redes eletrnicas pblicas ou privadas.

4.1 MTA Postfix

O MTA Postfix foi escrito e atualizado por Wietse Zweitze Venema e atualmente distribudo com licena GNU (General Public License). Inicialmente, o Postfix era conhecido como VMailer e foi lanado no final de 1998 pela IBM (International Business Machines) com o nome de IBM Secure Mailer. A partir de ento, Venema e a IBM liberaram o cdigo, onde o VMailer assumiu o nome de Postfix como conhecido at hoje (IBM; VENEMA, 1998). A proposta do Postfix era ser um servidor de e-mail, com uma coleo de pequenos programas, relativamente simples e rpidos, que trabalhariam juntos para fazer o trabalho que o Sendmail j fazia. Diferentemente do Sendmail que um grande programa monoltico, com uma linguagem de configurao ou programao bastante complexa (IBM; VENEMA, 1998). O Postfix foi criado para ser uma alternativa vivel ao Sendmail. Assim o Postfix foi desenvolvido para ser semelhante ao MTA Sendmail, mas internamente completamente diferente, mas sendo compatvel com o Sendmail para facilitar a migrao de usurios. A construo do Postfix foi com dispositivos que ajudam garantir a segurana. O conceito de jaula foi implementado, ou seja, permite que os daemons sejam configurados para serem enjaulados no chroot (change root), para que estes daemons executem com privilgios fixo, obtendo maior proteo do sistema contra invasores. Outro dispositivo de segurana o Controle de UCE, que faz a restrio dos clientes no autorizados fazer o relay. O Postfix implementa recursos de controle de e-mails SPAM tais como: listas negras, procuras na RBL (Realtime

38

Blackhole List), lookups DNS de remetentes/HELO, e uma filtragem de contedo, o que sero detalhadas posteriormente.

4.1.1 Controle de mensagens comerciais no solicitadas

O Postfix fornece grande flexibilidade na configurao de parmetros que podem ajudar a diminuir a quantidade de recebimento de mensagens comerciais no solicitadas. Assim, o Postfix pode ser configurado para aceitar somente mensagens originadas ou com o destino da rede ou domnio que so foram previamente liberados. Dessa forma, evita que o relay fique aberto para que sejam acessados por pessoas no autorizadas. Algumas das restries podem ser implementadas em um MTA Postfix no auxlio no combate ao SPAM que esto descritas nas subsees a seguir.

4.1.1.1 Filtragem de cabealhos

Esta opo de filtragem permite recusar mensagens baseando-se no contedo dos campos do cabealho da mensagem: From, Address, Location, Date, Subject. Entretanto, esta regra verifica a presena de uma string especfica em qualquer um dos campos do cabealho da mensagem. Para configurar esta opo de filtragem, insira o parmetro header_checks no arquivo de configurao o main.cf, onde este arquivo ser abordado com mais detalhes. A sintaxe para esse parmetro a seguinte, conforme mostra a Figura 17. header_checks = [mapa]:[arquivo_de_regras]

Figura 17 - Sintaxe do parmetro header_checks

Onde o parmetro [mapa] o tipo de mapa de lookup que utiliza o arquivo [arquivo_de_regras], contendo as regras de filtragem.

39

O Postfix suporta vrios mapas de lookup. Os mais utilizados para filtragem de contedo usando o parmetro header_checks so os mapas regexp e o mapa pcre. A verificao de quais mapas o Postfix suporta, feito pelo comando: postconf m. O mapa pcre suporta expresses regulares na sintaxe do Perl (Practical Extracting and Reporting Languaje)9 para criao de suas regras de filtragem. Agora o mapa regexp oferece suporte ao uso de expresses regulares comuns. As regras de filtragem ficam no arquivo /etc/postfix/header_checks. O exemplo desta regra fica assim, como mostrado na Figura 18: header_checks = regexp:/etc/postfix/header_checks

Figura 18 - Configurao do parmetro header_checks

Aps definir o parmetro no arquivo main.cf, preciso criar as regras de filtragem no arquivo especificado pelo parmetro header_checks. Os parmetros do arquivo header_checks ficaram conforme a Figura 19.

/^From:.*spammer@spammer\.com\.br/ REJECT /^Subject:.*Ganhe Dinheiro fcil/ REJECT /^Subject: Great News for All Music Fans/ REJECT /^Subject: MORTGAGE BAD CREDIT/ REJECT

Figura 19 - Configurao das regras de filtragem no arquivo header_checks

4.1.1.2 Filtragem do corpo de mensagens

Esta outra opo de filtragem permite recusar mensagens baseando-se no contedo dos campos do corpo da mensagem. Os mesmos mapas de lookup e _____________Perl uma linguagem de programao muito prtica para extrair informao de arquivos de texto e gerar informes a partir do contedo dos arquivos.9

40

as expresses regulares podem ser usados. A sintaxe para esse parmetro mostrada na Figura 20.

body_checks = [mapa]:[arquivo_de_regras]Figura 20 - Sintaxe do parmetro body_checks

O exemplo desta regra fica conforme mostrada na Figura 21. body_checks = regexp:/etc/postfix/body_checks

Figura 21 - Configurao do parmetro body_checks

Os parmetros do arquivo body_checks ficaram como na Figura 22.

/^Ol como est=3F$/ REJECT /(usa\.net|hotmail\.com|yahoo\.com)\?subject=remove/ REJECT /^[ ]*name=.*\.(exe|bat|jar|asp|aspx|dll|eml|vbs)/ REJECT /.*www\.removeyou\.com.*/ REJECT /.*waterforge\.com.*/ REJECT /.*capitalwave\.com\?subject=Please*/ REJECT /\.virtmundo\.com/ REJECT /trabalhe em casa.*renda extra/ REJECT /GUARANTIDO!/ REJECT

Figura 22 - Configurao das expresses regulares no arquivo body_checks

4.1.2.3 Filtragem por deteco de clientes MTAs que violam as regras de negociao do protocolo SMTP

Os softwares de mailing normalmente no cumprem algumas regras de negociao do protocolo SMTP. Os Spammers utilizam estes recursos para agilizarem o processo de entrega de SPAM. Essas violaes de especificaes do protocolo SMTP podem ser usadas na deteco e combate a SPAM. Alguns

41

exemplos de macros esto listados a seguir: check_helo_access, access e

check_client_access, Estas

check_recipient_ verificam a

check_sender_access:

macros

respectiva informao (identificao de mquina ou HELO, endereo IP ou hostname, destinatrios e remetentes) em uma fonte de dados/mapeamento; reject_unknown_sender_domain e reject_unknown_recipient

_domain: As macros verificam se o domnio do remetente ou destinatrio existem, ou seja, se possuem um registro DNS ou MX (Mail eXchanger) vlido; reject_non_fqdn_sender/recipient: Impede o uso de abreviaes para remetentes e destinatrios. O servidor por padro adiciona o hostname quando o domnio do remetente ou destinatrio est em branco; reject_unknown_client: Impede que clientes sem o DNS reverso acessem o servidor; reject_invalid_hostname, reject_non_fqdn_hostname e reject _unknown_hostname: Obriga o uso de comandos HELO/EHLO vlidos no incio da sesso SMTP. Estas macros mostram-se bastante teis no combate ao SPAM, uma vez que a maioria dos Spammers usa hostnames falsos ou nao-completamente-qualificados non_fqdn no comando HELO. A macro reject_unknown_hostname causa mais prejuzo do que benefcio, pois ela procura o endereo fornecido no DNS, onde existe uma grande quantidade usando nomes que no podem ser resolvidos pelo DNS.

4.1.2.4 Requisio de endereos de envelope no estilo estritamente compatvel com a RFC 821. Esta filtragem permite detectar ou obrigar o uso de sintaxes especificadas na RFC 821. As configuraes possveis no arquivo main.cf so: strict_rfc821_envelopes = yes: Obriga que o endereo informado

42

na sesso seja um endereo de e-mail vlido entre os caracteres menor e maior , respectivamente. Por exemplo, opes invlidas: MAIL FROM: teste@dominio.com Apenas a , forma MAIL MAIL FROM: FROM:

;

vlida; smtpd_helo_required = yes: Exige que se passe um comando HELO/EHLO antes de passar os dados da sesso.

4.1.2.5 RBLs (Realtime Blackhole List)

As RBLs foram criadas em 1997 por Paul Vixie no projeto MAPS (Massachusetts Alliance of Portuguese Speakers). Na poca este era o nico servio de bloqueio de SPAM. As RBLs so servios de bloqueio de SPAM baseados em listas negras de DNS. Estes servios so configurados nos servidores de e-mail para utilizao de consulta a blacklists (lista negra) rejeitando as mensagens caso ela faa parte da lista negra. Este servio faz publicao de listas contendo endereos IPs de servidores que so utilizados para a propagao de SPAM e as disponibilizam para consultas, (MAPS MAIL ABUSE PREVENTION SYSTEM, 2004). Para (reject_rbl_client usar RBLs no do Postfix, basta adicionar na as macros

endereo

dominio.da.rbl)

configurao

smtpd_client_restrictions.

4.1.2.6 RHSBL (Right-Hand-Side Blackhole List)

A RHSBL uma evoluo as RBLs, que consiste na consulta de domnios e para obter o hostname do servidor ao invs de IPs (MAPS MAIL ABUSE PREVENTION SYSTEM, 2004). Para configurao no Postfix basta acrescentar a macro

(reject_rhsbl_sender endereo do dominio.da.rhsbl) e a macro (reject_rhsbl_client endereo do dominio.da.rhsbl) nas configuraes de smtpd_sender_restrictions e smtpd_client_restrictions respectivamente.

43

4.1.2.7 SPF (Sender Policy Framework)

O SPF foi iniciado por Meng Weng Wong em julho de 2004, com o propsito de ser um padro da IETF (Internet Engineering Task Force) (KNIGHT, 2005). O SPF faz a validao de fontes legtimas de e-mails de um determinado domnio. Esta validao feita atravs de entradas DNS que definem um protocolo no qual os proprietrios de domnios fazem a autorizao dos hosts que usem o nome do domnio na saudao SMTP, MAIL FROM ou o HELO. O controle do SPAM do SPF se baseia no domnio do remetente da mensagem, e isso uma vantagem porque a reputao do nome de domnio mais confivel que a reputao do endereo IP ou host. O SPF torna mais difcil para os Spammers enviarem SPAM, porque geralmente os Spammers forjam o endereo de e-mail do remetente para enviar SPAM. Agora no SPF isso no possvel, pois os SPAM vo ser barrados pelos servidores de e-mail que usarem o servio.

4.2 Configurao do arquivo main.cf

O principal arquivo de configurao do Postfix o main.cf, onde est localizado no diretrio /etc/postfix. neste arquivo onde a maior parte das configuraes dos parmetros feita. Aps alterar os parmetros, o Postfix precisa reler o arquivo de configurao main.cf para que sejam aplicadas as novas configuraes. A sintaxe do comando postfix reload. Este comando evita que o servidor seja reiniciado, ou seja, evita que os usurios percam o acesso ao servidor de e-mail momentaneamente.

4.2.1 Parmetro - Mydestination

Quando uma mensagem chega na fila de mensagens de um MTA. O Postfix verifica se a mensagem deve ser entregue no servidor local ou deve ser encaminhada para outro MTA. As mensagens so verificadas pelo parmetro aps o smbolo da arroba, o que significa a qual domnio que a mensagem pertence. Esta verificao feita consultando o servidor DNS, atravs da informao recebida pelo

44

registro do tipo MX, do MTA responsvel pelo domnio da mensagem. De posse desta informao, o MTA encaminha a mensagem para o outro MTA responsvel por este domnio. O parmetro mydestination indica os domnios o MTA e o destino final, ou seja, para quais domnios iro receber as mensagens. Quando uma mensagem entra na fila de mensagens do Postfix, o parmetro mydestination verificado para saber se o domnio de destino da mensagem est configurado para aceitar as mensagens. Caso o domnio esteja listado no parmetro mydestination, a mensagem repassada para o transporte local do Postfix, que por sua vez se encarrega de entregar a mensagem na caixa de mensagens do usurio. Este repasse feito pelo parmetro local_transport que est configurado no arquivo main.cf. Se o domnio no estiver listado no parmetro mydestination, uma outra consulta ao servidor DNS feita para verificar o MTA responsvel pelo domnio e em seguida a mensagem repassada para o MTA de destino. O uso do parmetro mydestination vantajoso, pois neste caso, no seria necessria a consulta ao servidor DNS para descobrir o MTA responsvel pelo domnio, tornando a entrega da mensagem mais rpida. A sintaxe do parmetro mydestination mostrada na Figura 23.

mydestination = dominio1.com.br, dominio2.com.br, dominio3, com.br Figura 23 - Configurao do parmetro mydestination

Como alternativa, pode ser criado um arquivo contendo os domnios desejados, como mostra a Figura 24.

mydestination = /etc/postfix/mydestinationFigura 24 - Sintaxe do parmetro mydestination

O arquivo /etc/postfix/mydestination tem o seguinte contedo, conforme mostra a Figura 25.

45

dominio1.com.br, dominio2.com.br, dominio3.com.brFigura 25 - Contedo do arquivo mydestination

4.2.2 Parmetro - Mynetworks

Este parmetro, por padro, vem com o open relay, ou seja, recebe e aceita em sua fila mensagens enviadas para qualquer destino, seja ele local ou no. O que no recomendvel no ponto de vista de segurana. Caso o ambiente possua vrias redes e o servidor de e-mail possua vrias interfaces de rede, neste exemplo sero compreendidas trs interfaces, uma interface de rede na rede interna A, uma interface de rede interna B e outra privada do tipo DMZ (DeMilitarized Zone)10, o Postfix capaz de fazer relay para todas as redes nas quais as interfaces de rede so pertencentes. Sendo assim, atravs do parmetro mynetworks, indica-se para quais redes ou endereos IPs o relay ficar aberto, ou seja, restritas somente as redes ou endereos informados. A configurao feita usando a seguinte sintaxe, conforme mostrada na Figura 26.

mynetworks = rede/mscara, IP/mscara, rede/mscara, IP/mscara Figura 26 - Sintaxe do parmetro mynetworks

O exemplo fica conforme mostra a Figura 27.mynetworks = 127.0.0.0/8, 1.2.3.4/32, 192.168.1.0/24, 5.6.7.8/32 Figura 27 - Configurao do parmetro mynetworks

_____________10

DMZ um segmento de rede separado e com acesso altamente restrito.

46

No exemplo anterior, o Postfix foi configurado para fazer relay para a rede da interface loopback, para o endereo IP 1.2.3.4, para toda a rede interna 192.168.1.0 com a mscara de rede 255.255.255.0, 24 bits usados para a rede, por isso a notao /24, conhecida como notao CIDR (Classless Inter-Domain Routing), e para o endereo IP 5.6.7.8. A notao /32, ou melhor, notao CIDR, usada para os endereos IPs. Esta notao significa que todos os bits de rede esto sendo usados para a mscara de rede, ou seja, trata-se de um nico endereo IP e no de uma rede inteira.

4.2.3 Parmetro - Myhostname

Todo o host numa rede possui um nome. Um host dedicado usado como servidor de e-mail deve ter um nome. Sendo assim, os hosts que fornecem o servio de troca de mensagens tem a necessidade de um hostname (nome do host configurado), uma vez que a integrao entre o MTA e o servio de resoluo de nomes, o DNS passa ser essencial para o funcionamento correto do servio de entrega das mensagens. O parmetro myhostname o que define o nome de domnio totalmente qualificado, ou seja, FQDN (Fully Qualified Domain Name), do host local onde o Postfix encontra-se em execuo. Apesar de parecer irrelevante, uma vez que o Postfix j assume, por padro, como valor para o parmetro myhostname o nome do host local, a necessidade de se especificar explicitamente o hostname onde o Postfix est em execuo importante e, s vezes necessria. H casos onde essa configurao extremamente importante, seno necessria, seria caso o nome da mquina no estivesse em formato totalmente qualificado (hostname + nome de domnio) ou esta voc estivesse executando o Postfix em uma interface virtual. A sintaxe do parmetro myhostname mostrada na Figura 28.

47

myhostname = hostname.domainFigura 28 - Sintaxe do parmetro myhostname

Por exemplo, caso o servidor de e-mail e possusse o nome de mx1 e fizesse parte do domnio exemplo.com.br, o parmetro myhostname seria definido como mostra a Figura 29.

myhostname = mx1.exemplo.com.brFigura 29 - Configurao do parmetro myhostname

4.2.4 Parmetro - Mydomain

O parmetro mydomain no necessita ser definido explicitamente. O Postfix assume como valor o nome do domnio padro do host no qual o mesmo est sendo executado. No exemplo citado, hostname.mx1.exemplo.com.br, o Postfix assumiria como valor para o parmetro mydomain, caso o mesmo no fosse explicitamente definido, o valor exemplo. com.br. Para definir o parmetro mydomain, a seguinte sintaxe deve ser usada, como mostra a Figura 30.

mydomain = domnioFigura 30 - Sintaxe do parmetro mydomain

Usando domnio de exemplo, exemplo.com.br, a definio do parmetro mydomain fica conforme mostrado na Figura 31.

mydomain = exemplo.com.brFigura 31 - Configurao do parmetro mydomain

48

4.2.5 Parmetro - inet_interfaces

A configurao padro do Postfix ouvir em todas as interfaces de rede que o host possui instalada, comum utilizar o parmetro inet_interfaces para definir em quais interfaces de rede o servio SMTP ser escutado. Para isso, deve-se definir o parmetro inet_interfaces no Postfix. A sintaxe mostrada na Figura 32.

inet_interfaces = hostname.dominio, hostvirtual.dominiovirtualFigura 32 - Sintaxe do parmetro inet_interfaces

No exemplo da Figura 33, os parmetros so definidos como valor para o parmetro mydestination.

inet_interfaces = $myhostname, localhost.$mydomainFigura 33 - Configurao do parmetro inet_interfaces

Esta configurao faz com que o Postfix aceite as requisies de clientes SMTP na porta 25 no endereo IP da interface de rede que resolva para o nome mx1.exemplo.com.br, onde este valor do parmetro myhostname especificado, e na porta 25 da interface de rede loopback. Sendo assim para funcionar corretamente os hostnames dessas interfaces de rede devem estar corretamente configurados no arquivo /etc/hosts atribuindo os hostnames aos endereos IPs de cada interface de rede existente.

4.2.6 Configurao do arquivo master.cf

O arquivo master.cf, Figura 34, simplesmente uma tabela que o processo mster faz a leitura para comandar os outros sub-processos. O Postfix tem a funcionalidade de enjaular um processo. Para que seja habilitada a funcionalidade basta apenas mudar o flag chroot para y, isto , yes, a jaula e

49

atribuda dentro do diretrio de spool. A coluna maxproc permite limitar o nmero mximo de instncias simultneas de um processo que podem ficar executando. Assim pode-se observar a possibilidade de aumentar ou diminuir o limite de um tipo especfico de um sub-processo de acordo com as necessidades. Por padro, ele vem preparado para limitar 50 instncias de cada processo. A coluna unpriv informa se o processo roda como usurio postfix, com privilgios padro, ou como usurio root. A coluna wakeup serve para sub-processos que rodam em base regular, independente de eventos no sistema. A coluna private informa se mais de um processo pode acessar a mesma instncia do servio. O mecanismo chroot uma abreviao para change root, e ele foi criado para alterar a raiz do filesystem para o ambiente ao qual ser aplicado. Isto significa que a barra inicial (/) em qualquer nome de caminho tornada relativa ao caminho chrooted. Por exemplo, se um arquivo chamado

/var/spool/postfix/local_das_mensagens, diretrio onde o Postfix armazena as mensagens, se for enjaulada os diretrios /var/spool/postfix, o arquivo no ambiente da jaula ser somente o local_das_mensagens (GROSSMANN, 2001). O objetivo de fazer chroot para criar uma "jaula" de proteo teoricamente impenetrvel, protegendo o que est no chroot para poder ler ou modificar qualquer arquivo fora do ambiente do chroot. O mecanismo unpriv define que todo processo que rodar dentro da jaula ter privilgios de usurio padro. Portanto, o processo ficar preso dentro da jaula com privilgios de usurio.

50# ====================================================================== #service type private unpriv chroot wakeup maxproc command + args # (yes) (yes) (yes) (never) (50) # ====================================================================== smtp inet n y smtpd #smtps inet n y smtpd \ -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes #submission inet n y -o smtpd_enforce_tls=yes -o smtpd_sasl_auth_enable=yes #628 pickup cleanup #qmgr qmgr rewrite bounce defer flush smtp showq error local virtual lmtp inet fifo unix fifo fifo unix unix unix unix unix unix unix unix unix unix n n n n n n n n n n y y y y y y y y y y y n n n 60 300 300 1000? 1 0 1 1 0 0 0 smtpd \ qmqpd pickup cleanup qmgr nqmgr trivial-rewrite bounce bounce flush smtp showq error local virtual lmtp

Figura 34 - Arquivo de configurao Master.cf

4.3 Antivrus ClamAV (Clam Antivrus)

O antivrus ClamAV uma ferramenta de antivrus GPL para ambientes UNIX, desenvolvida para verificar e-mails nos gateways, permitindo a varreduras dos anexos dos e-mails. O pacote oferece um servidor multitarefa bastante flexvel, um scanner de linha de comando, e uma ferramenta para atualizao automtica pela Internet (KOJM, 2002). O banco de dados ClamAV sempre atualizado, garantindo que seja feito atualizao pelo servidor. O ClamAV possui vrias caractersticas importantes entre elas (KOJM, 2002): scanner rpido e multitarefa; suporte a vrios tipos de arquivos compactados nas extenses (Zip, RAR -2.0, Tar, Gzip, Bzip2, MS OLE2, MS Cabinet Files, MS CHM -

51

Compiled HTML, MS SZDD - compression format); scanner de linha de comando; atualizao do banco de dados de vacinas; deteco de mais de 35000 vrus, worms, e trojans, incluindo Microsoft Office e MacOffice vrus de macro; suporte nas principais plataformas de sistemas operacionais (GNU/Linux, Solaris, FreeBSD, OpenBSD 2, AIX 4.1/4.2/4.3/5.1, HPUX 11.0, SCO UNIX, IRIX 6.5.20f, Mac OS X, BeOS, Cobalt MIPS boxes, Cygwin, Windows Services for Unix 3.5 (Interix)).

4.3.1 Configurao da atualizao do banco de dados

O ClamAV usa a ferramenta freshclam que faz a atualizao do banco de dados no endereo database.clamav.net. Esse endereo possui vrios servidores associados, onde servidor DNS utiliza o algoritmo round-robin para o balanceamento de carga, ou seja, seleciona automaticamente um banco de dados geograficamente localizado mais prximo ao cliente, para realizao de donwloads de updates. O ClamAV pode ser atualizado de duas formas: Modo interativo ou linha de comando: a atualizao feita pelo comando freshclam d; ou atravs do crontab11 onde feita a configurao para realizao da atualizao automtica. Mas antes de fazer a atualizao deve realizar a seguinte configurao. recomendvel ter um arquivo de log, para o registro dos updates do ClamAV. No diretrio /var/log, insira a permisso 600 no arquivo freshclam.log, e com o usurio do ClamAV como proprietrio do arquivo, conforme mostra a Figura 35. A outra recomendao indicar o local e nome do arquivo de log criado na diretiva UpdateLogFile do arquivo de configurao freshclam.conf. Com estas recomendaes seguidas, pode-se executar o programa FreshClam no modo interativo no comando freshclam d.

_____________11

Crontab um programa de agendamento de tarefas.

52 # touch /var/log/freshclam.log # chmod 600 /var/log/freshclam.log # chown clamav Figura 35 - Criao do arquivo de log do freshsclam

A outra opo a forma automtica. O crontab configurado para realizar a atualizao automtica e silenciosa. Basta acrescentar uma linha ao crontab do root ou do usurio do ClamAV, para verificar se h atualizao a cada hora, conforme mostra a Figura 36.

N * * * * /usr/local/bin/freshclam --quiet

Figura 36 - Agendamento pelo Crontab

O caractere N deve ser um nmero entre 0 e 59. O recomendado no escolher mltiplos de 10, devido ao grande nmero de clientes que j usam este intervalo de tempo. Caso a rede tenha servidor proxy para acesso a Internet, no arquivo de configurao existe variveis que devem ser preenchidas no arquivo freshclam.conf, conforme mostra a Figura 37.

HTTPProxyPassword is enabled. HTTPProxyServer myproxyserver.com HTTPProxyPort 1234 HTTPProxyUsername myusername HTTPProxyPassword mypass Figura 37 - Configurao do Proxy

4.4 Antispam SpamAssassin

O antispam SpamAssassin, foi escrito e atualizado por Junstin Mason a apartir de 2004 o SpamAssassin se tornou um projeto da Apache Software Foundation. Antes de existir o SpamAssassin, existia o filtro filter.plx criado por Mark Jeftovics. Este filtro de SPAM baseado em context/keyword, que utilizava as tcnicas bsicas de antispam: pontuao de SPAM, regras para pontuao, marcao de SPAM, entre outras. O Junstin Mason decidiu fazer alguns

53

melhoramentos e reescrever todo o cdigo e da originou o SpamAssassin, (MASON, 2004). A tcnica usada pelo filtro Bayesiano faz anlise de todo o contedo da mensagem em busca de padres suspeitos e, com base na identificao de determinados padres, utiliza estatstica e probabilidade para fazer uma classificao do que ou no SPAM. Mas esta filtragem depende de aprendizagem por estatstica, e por isso ter sempre um risco, mesmo que gradativamente menor, de classificao incorreta, isto , da ocorrncia de eventuais falso-positivos e falsonegativos (D'vila, 2004). O funcionamento do SpamAssassin basicamente assim: O SpamAssassin usa uma variedade de mecanismos incluindo anlises de texto e cabealho, filtro Bayesiano, listas de DNS bloqueados, e filtros de banco de dados colaborativos, para filtrar os SPAMs antes que sejam entregues a caixa de correio do usurio (MASON, 2004). O SpamAssassin uma soluo que possui um conjunto poderoso de ferramentas para pontuar e determinar se uma mensagem ou no um SPAM. Entre as verificaes primrias, encontram-se:

anlise de cabealho: este filtro verifica se o Spammer est mascarando a sua identidade para esconder o servidor de origem de suas mensagens; anlise do corpo do e-mail: o SpamAssassin tenta identificar, baseado em ocorrncias comuns de palavras, com esta informao o SpamAssassin classifica a mensagem como SPAM ou HAM, isto , considerada como e-mail legtmo. anlise da Blacklist: o SpamAssassin suporta consultas a listas negras como mailabuse.org e ordb.org; anlise de listas RBLs: o SpamAssassin faz o bloqueio de SPAM baseados em listas negras de DNS.

54

4.4.1 Determinao da Pontuao pelo SpamAssassin

O Mailscanner Amavisd-new encaminha as mensagens para o SpamAssassin para que as mensagens sejam analisadas. O SpamAssassin realiza vrios testes para determinar uma pontuao de SPAM para a mensagem. Quanto maior for esta pontuao maior a chance da mensagem ser considerada como um SPAM. Em seguida, o SpamAssassin retorna a mensagem para o Amavisd-new, para que se decida o que fazer com a mesma. Os nmeros negativos ou pequenos, prximo de zero, indicam que uma mensagem legtima, ou seja, classificada como ham.

4.5 Mailscanner Amavisd-New (A MAil VIrus Scanner New)

O Mailscanner Amavisd-new foi criado por Mark Martinec, na Eslovnia. O Amavisd-new uma verso aperfeioada em relao verso anterior. O Amavis que surgiu em 1997 e foi mantido at 2000 (MARTINEC, 2005). O Amavisd-new atua entre um servidor de correio e um ou mais verificadores de contedo de e-mail: como antivrus, ou o SpamAssassin. Sendo assim o Amavisd-new, desempacota ou descompacta, caso seja necessrio, todos os anexos que fazem parte da mensagem e em seguida encaminha aos servios de controle de SPAM, SpamAssassin, e o antivrus, ClamAV, para que o contedo seja verificado. Aps todas as verificaes, caso a mensagem caso seja considerada legtima e sem vrus, ela entregue ao Amavis-new que em seguinda entrega a mensagem para a caixa de correio do usurio. A comunicao entre o dispositivo de verificao de contedo e o MTA, Amavisd-new e o Postfix feita atravs do protocolo SMTP LMTP (Local Mail Transfer Protocol).

55

4.5.1 Determinao da Pontuao pelo Amavisd-new

Aps o SpamAssassin pontuar a mensagem, a mensagem retornada ao Amavisd-new, este ir determinar se a mensagem ser considerada como legtima ou SPAM. O Amavisd-new compara a pontuao do SPAM com trs nveis de valores numricos, tag, tag2 e kill. Estes valores podem ser diferentes para cada recipiente, o que ocasiona aes futuras diferentes para cada recipiente. Se necessrio, o processo de checagem do e-mail quebrado em mais de uma transao para acatar as diferentes preferncias de cada recipiente. As pontuaes dos nveis sero abordadas a seguir (MARTINEC, 2005): Nvel tag: Se a pontuao de SPAM da mensagem for igual ou maior que o nvel tag, campos de cabealho de SPAM (X-SPAMStatus, X-SPAM-Level) so inseridos para os recipientes locais; undef interpretado como menor que qualquer pontuao de SPAM; Nvel tag2: Se a pontuao de SPAM da mensagem for igual ou maior que o nvel tag2, os campos de cabealho de SPAM (X-SPAMStatus, X-SPAM-Level, X-SPAM-Flag e XSPAM-Report) so inseridos para os recipientes locais, e (X-SPAM-Flag e X-SPAM-Status) recebem o valor YES; Nvel kill: Se a pontuao de SPAM da mensagem for igual ou maior que o nvel kill, a mensagem bloqueada; e o remetente recebe uma notificao de que a mensagem no pode ser entregue. Esta notificao pode ser personalizada.

Quando o nvel de pontuao alcanar a pontuao kill pode acarretar em (MARTINEC, 2005): a mensagem enviada para rea de quarentena; o administrador de SPAM recebe uma notificao; contador Contentspammmsgs incrementado; o remetente recebe uma notificao se o warnspamsender est como true (verdadeiro) e $final_spam_destiny est como D_PASS; se a mensagem no for entregue, o remetente recebe uma notificao de que a mensagem no pode ser entregue devido a

56

restries.

Caso o nvel de pontuao atinja o nvel tag2 so adicionadas algumas marcas na mensagem, nas quais o receptor ou o MUA podem decidir sobre o destino da mensagem, como exemplo (MARTINEC, 2005): o campo de cabealho de assunto modificado; os campos de cabealhos X-SPAM-Flag e X-SPAM-Status recebem um Yes; e o log de e-mail indica Passed SPAM ao invs de Passed CLEAN. Caso o receptor ou seu MUA decida descartar um e-mail baseado na marcao do tag2, no existe maneira de recuperar este e-mail da quarentena, o remetente nunca ser notificado, nem o administrador de SPAM. Para o MTA e o Amavisd-new, a mensagem foi entregue com sucesso. Qualquer coisa que o MUA fizer com o e-mail de sua prpria responsabilidade.

4.5.2 rea de quarentena

O e-mail colocado na rea de quarentena quando est infectado ou que foi banido ou a sua pontuao de SPAM para pelo menos um recipiente est acima ou igual ao nvel kill. O parmetro *quarantine_to para cada recipiente (quando no est vazio), juntamente com o correspondente global

*_quarantine_method determina o local da quarentena (MARTINEC, 2005). O parmetro *_quarantine_method pode ser considerado um ajuste esttico, geralmente controla o formato e a localizao da rea de quarentena no sistema. O parmetro *quarantine_to pode ser considerado a parte dinmica da localizao da rea de quarentena, possivelmente afetada pelas configuraes de cada recipiente, ou seja, servindo para especificar a localizao final, ex.: um arquivo ou um mailbox no sistema. Dependendo da categoria do correio, as seguintes variveis especificam o mtodo da quarentena: $virus_quarantine_method,

57

$SPAM_quarantine_method,

$banned_files_quarantine_method

e

o

$bad_header_quarantine_method. Uma maneira de desabilitar globalmente a quarentena especificar estas variveis como undef ou como uma string vazia. Os mtodos locais e o smtp: so usados para quarentena. O smtp: atualmente no usado para quarentena ( usado em envio e notificaes). Dependendo do mtodo especificado (local/bsmtp/smtp) o ajuste do *quarantine_to para cada recipiente adota diferentes semnticas e sintaxes, possivelmente modificadas pela varivel de configurao $QUARANTINEDIR. O *quarantine_to atualmente limitado em sua funcionalidade, sendo usado apenas para desligar a rea de quarentena para alguns usurios ou subdomnios locais. Em configuraes comuns a localizao da quarentena (ex.: um diretrio ou uma mailbox dedicada) a mesma para todos os recipientes. Se ao menos um recipiente especificar o *quarantine_to, a mensagem ser posta em quarentena no local especificado, no importando o nmero de recipientes.

58

5 IMPLEMENTAO DO SERVIDOR DE E-MAIL SEGURO

A proposta deste captulo apresentar uma soluo segura de um servidor de e-mail. Dessa forma, este captulo implementa um servidor e-mail com o MTA Postfix e com as ferramentas de anlise de contedo. Estas ferramentas so: ClamAV, ferramenta de antivrus, SpamAssassin, ferramenta antispam e o Amavisd-new, ferramenta de Mailscanner para verificao de contedo de e-mail. O sistema operacional utilizado no estudo o Linux da distribuio Redhat verso 8. O acesso s mensagens ser feito atravs do Dovecot utilizando o protocolo IMAP4. Sendo assim, o estudo no abordar nenhuma instalao dos pacotes: Linux Redhat, Postfix, Amavisd-new, ClamAV e SpamAssassin e Dovecot, mas somente a sua configurao e comentrios.

5.1 Sistema Operacional

O estudo utilizou o sistema operacional Linux da distribuio Redhat 8.0. A abordagem das prximas sees parte do princpio de que as instalaes dos programas j foram efetuadas, e que o servidor esteja conectado na rede protegida com firewall, com acesso Internet e as configuraes bsicas do sistema operacional tenham sido realizadas previamente. 5.2 Configurao do MTA Postfix

Antes de realizar a configurao do Postfix deve ser feito a desativao do MTA Sendmail, que vem instalado por padro no sistema operacional. A desativao do servio feita atravs da edio do arquivo /etc/rc.conf , conforme mostrado na Figura 38.sendmail_enable=NONE sendmail_submit_enable=NO sendmail_outbound_enable=NO sendmail_msp_queue_enable=NO

Figura 38 - Desativao do MTA Sendmail

59

A configurao do Postfix realizada em dois arquivos, master.cf e o main.cf, que normalmente esto localizados no diretrio /etc/postfix/. A Figura 39 mostra os parmetros que foram alterados com os respectivos comentrios no arquivo main.cf .#___________________________________main.cf________________________________ #### CAMINHOS # Diretrio para a fila do Postfix e a Jaula. queue_directory = /var/spool/postfix # Diretrio dos arquivos executveis do Postfix command_directory = /usr/bin # Diretrio dos daemons do Postfix daemon_directory = /usr/libexec/postfix #### PRIVILGIOS DOS USURIOS # Usurio proprietrio ao qual inicializa os daemons. mail_owner = postfix #### NOME DO SERVIDOR E DO DOMNIO # Nome do servidor myhostname = srv-mail.exemplo.com.br # Domnio do servidor mydomain = exemplo.com.br #### ENVIO DAS MENSAGENS # Domnio das mensagens enviadas. myorigin = $mydomain #### RECEBIMENTO DAS MENSAGENS # Interface de rede que recebe e-mails. inet_interface = all # Domnios de recebimento de e-mails. mydestination = $mydomain, $myhostname, localhost #### USURIOS DESCONHECIDOS # Cdigo de erro retornando quando recebe e-mail com destinatrio # desconhecido. 450 = tente novamente, 550 = e-mail rejeitado. unknow_local_recipient_reject_code = 550

Figura 39 - Configurao do arquivo main.cf

Normalmente o parmetro relay fica aberto por padro, o analista de segurana deve ficar atento com esta configurao para obter maior garantia de segurana, conforme mostrado na Figura 40.

60

#___________________________________main.cf________________________________ #### CONFIGURAO DE RELAY # Redes que podem fazer relay no servidor. mynetworks = 192.168.0.0/24, 127.0.0.0/8 #### TAXA DE ENTRADA # Pausa antes de aceitar uma nova mensagem quando a taxa de entrega # excede a taxa de entrega. #in_flow_delay = 1s #### ALIASES # Arquivo de aliases (apelidos, redirecionamento local). # Quando o arquivo for modificado deve-se executar newsaliases. alias_maps = hash:/etc/aliases #### CONFIGURAES DIVERSAS # O servidor Biff envia notificaes de mensagens novas. biff = no # Banner exibido quando se conecta ao servidor de e-mail. smtpd_banner = $myhostname ESMTP $mail_name #### MAILBOX # Parmetro opcional que especifica o home do usurio #home_mailbox = Mailbox # Diretrio onde ficam as caixas de mensagens #mail_spool_directory = /var/mail # Programa externo opcional para fazer a entrega local. #mailbox_command = /local/do/procmail # Tamanho mximo em bytes das caixas de correio. #mailbox_size_limit = 51200000 #### LIMITES DE TAMANHO # Tamanho da mensagem original que retornada quando da notificao de #erro na entrega. #bounce_size_limit = 50000

Figura 40 - Configurao do arquivo main.cf - Continuao

Como descrito no captulo 4, o Postfix possui controle de mensagens comerciais no solicitadas. A continuao do arquivo main.cf contempla a configurao RBL e RHSBL que ser melhor abordado posteriormente, como mostra a Figura 41.

61

#___________________________________main.cf________________________________ # Tamanho mximo do cabealho da mensagem. O tamanho excedente ser # descartado #header_size_limit = 102400 # Tamanho mximo do e-mail, em bytes. #message_size_limit = 10240000 #### FILTRO ANTISPAM # Limite de destinatrios por mensagem. #smtpd_recipient_limit = 1000 # Restringe a conexo de determinados IPs. smtpd_client_restrictions = reject_rbl_client relays.ordb.org, reject_rbl_client sbl-xbl.spamhaus.org, reject_rbl_client bl.spamcop.net, # Restringe a conexo de determinados hostnames. reject_rhsbl_client blackhole.securysage.com, permit # Restringe o envio por determinados remetentes. smtp_sender_restrictions = reject_unknow_sender_domain, reject_rhsbl_sender blackhole.securitysage.com, permit # Restringe o envio para determinados destinatrios. smtp_recipient_restrictions = permit_mynetworks, reject_unauth_destination, permit #### CONFIGURAES DE INSTALAO # Caminho completo do commando sendmail, para compatibilidade. sendmail_path = /usr/sbin/sendmail # Caminho completo do commando newsaliases do Postfix. newaliases_path = /usr/bin/newsaliases # Caminho completo de comando mailq do Postfix. mailq_path = /usr/bin/mailq # Grupo usado para submisso de e-mail e gerenciamento de filas. setgid_group = postdrop # Diretrio das manpages. manpage_directory = /usr/local/man # Diretrio dos exemplos de configurao. sample_directory = /etc/postfix # Diretrio dos arquivos README. readme_directory = no

Figura 41 - Configurao do arquivo main.cf Continuao

62

O arquivo master.cf, neste momento, no exigir mudanas para o funcionamento bsico do Postfix, este arquivo ser melhor abordado quando for feita a configurao do Amavisd-new e o restante das configuraes, conforme mostrado na Figura 42.#_________________________________master.cf________________________________ # ========================================================================= # service type private unpriv chroot wakeup maxproc command + args # (yes) (yes) (yes) (never) (100) # ========================================================================= smtp inet n n smtpd #smtps inet n n smtpd # -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes #submission inet n n smtpd # -o smtpd_enforce_tls=yes -o smtpd_sasl_auth_enable=yes #628 inet n n qmqpd pickup fifo n n 60 1 pickup cleanup unix n n 0 cleanup #qmgr fifo n n 300 1 qmgr qmgr fifo n n 300 1 nqmgr #tlsmgr fifo n 300 1 tlsmgr rewrite unix n trivial-rewrite bounce unix n 0 bounce defer unix n 0 bounce flush unix n n 1000? 0 flush proxymap unix n proxymap smtp unix n smtp relay unix n smtp # -o smtp_helo_timeout=5 -o smtp_connect_timeout=5 showq unix n n showq error unix n error local unix n n local virtual unix n n virtual lmtp unix n lmtp

Figura 42 - Configurao do arquivo master.cf

Aps estas configuraes, poder ser realizado a inicializao do Postfix, utilizando-se o seguinte comando: service postfix start Aps a inicializao do Postfix recomendvel verificar o contedo do arquivo de log, /var/log/mail se houve erros. O teste para verificar disponibilidade do daemon do Postfix feito pelo Telnet na porta 25, conforme mostra a Figura 43. Este teste comprova se o servio SMTP est ativo e operante na porta 25.

63

# telnet localhost 25 Trying 127.0.0.1... Connected to localhost. Escape character is ^]. 220 srv-mail.examplo.com.br ESMTP Postfix quit 221 Bye Connection closed by foreign host.

Figura 43 - Teste para verificao da disponibilidade do servio SMTP

5.3 Configurao do Mailscanner Amavisd-new

A instalao do Amavisd-new necessita que alguns pacotes externos sejam previamente instalados para auxiliar no desarquivamento, descompactao e decodificao das mensagens caso estejam nestes formatos. Estes pacotes esto descritos na Tabela 1 com os respectivos links para download.Dependncias: Programas Externos arc nomarch bzip2 file lha compress unarj unrar zoo Dependncias: Mdulos Perl Archive::Tar Archive::Zip Compress::Zlib Convert::TNEF IO::stringy libnet MailTools MIME::Base64 MIME::tools Unix::Syslog Net::Server Time::HiRes Digest::MD5 Mail::SpamAssassin Razor Digest::SHA1 Digest::HMAC Net::DNS Nome do pacote RPM arc nomarch bzip2 file lha ncompress unarj unrar zoo Nome do pacote RPM perl-Archive-Tar perl-Archive-Zip perl-Compress-Zlib perl-Convert-TNEF perl-IO-stringy perl-libnet Verso do Pacote RPM arc-5.21e-1.62rm.src.rpm file-3.33-0.1.62rm.src.rpm bzip2-1.0.2-5.i38