Unidade i Introdução a Segurança de Redes2

Faculdade Maurício de Nassau

Segurança de RedesProf.º: Luciano de Aguiar Monteiro

[email protected]

Unidade I – Introdução a Segurança de Redes

• Histórico e Motivação.

• Riscos da Internet.

• Códigos Maliciosos.

• Formas de Ataques.

• Preparação para um ataque (Footprint)

Por que se preocupar com Segurança?

•Interesses em:

Senhas, números de cartões de crédito;

Conta de acesso à internet;

Dados pessoais e comerciais;

Danificação do sistema;

Uso de seus equipamentos para atas ílicitos;

Chantagens, etc;

Por que se preocupar com Segurança?

•Pode ser utilizado para realizar atividades:

ilícitas.(pedofilismo por exemplo).

Realizar ataques contra outros computadores.

Disseminar vírus.

Enviar SPAMs.

Furtar dados.

Vandalismo.

E quanto as senhas?

●De posse delas pode-se:

– Ler e enviar e mails em seu nome.

– Obter informações pessoais suas.(Número do cartão de crédito)

– Esconder a real identidade de um atacante

– Obter Acesso a sistemas de sua empresa,etc

Como quebrar senhas?

Técnicas mais utilizadas:

– Engenharia Social.

– Papéis abandonados.

– Dicionários e força bruta

(password crackers).

Como criar senhas seguras?

● Uma boa política é evitar: – Palavras completas e derivadas, mesmo em outra língua.

– Palavras que podem ser obtidas do próprio arquivo de hashes.

– Padrões como 123456, qwerty, asdfg, aaaaaa etc...

– Verbetes enciclopédicos: Atlantis, Socrates, Rhodes etc...

– Licença de carro, número de casa, telefones, datas etc...

– Nomes próprios, sobrenomes, concatenações, abreviações, siglas etc...

– Variações como: Maria, MARIA, MariA, Maria1, Maria2006, airaM, airam etc...

– Senhas com menos de 6 caracteres.

– Senhas com caracteres somente alfabéticos ou somente numéricos.

– Pseudo-cifragens como: v@1i$&r&, qu@tr!1h0, 0r@c1&, m@r1@...

– Senhas que exigem digitação lenta.

– Reuso de senhas em varios sistemas (Senha Viciada“)

Equívocos comuns...

•Prefiro esse produto pois ele usa uma chave de 512 bits!O tamanho da chave é somente um dos fatores, entre vários.

•Optamos por esse produto porque ele usa um algoritmo proprietário.

Segurança por obscuridade só tem valor se atuar apenas como coadjuvante.

•A criptografia foi eu mesmo que fiz, assim ninguem saberá como quebrá-la.

A história mostra que quase nunca é uma boa política, pois geralmente é baseada apenas em segurança por obscuridade.

Preocupação Contínua com Segurança

Entender a natureza dos ataques;Novas tecnologias trazem novas vunerabilidades;Novas formas de ataques são criadas;Aumento da conectividade resulta em novas possibilidades

de ataques;Existência tanto de ataques direcionados quanto e ataques

oportunísticos;A defesa é mais complexa que o ataque;Aumento dos crimes digitais.

O que é “segurança” afinal?

•Segurança: termo sobrecarregado demais • Significa diferentes coisas para diferentes pessoas em diferentes

situações

•Pode ser : Dificultar/impedir ocorrência de eventos indesejados • Mas... que eventos indesejados?

•Perguntar se algo “é seguro” não faz sentido! • Seguro contra o que? • Seguro contra quem ? • Seguro em que condições ?

Algumas definições!

•Ameaça• Uma definição:• Fator ou condição que, por existir, pode viabilizar a ocorrência

de um evento (normalmente indesejável).

•Ex: • Existência de alguem armado aqui na sala de aula;• Existência de nuvens acima de você;• Existência de um link entre seu computador e a internet;


•Risco•Definição clássica:• Probabilidade da ocorrência de um evento indesejável,

multiplicada pelo prejuízo que esta ocorrência possa vir a causar;• Risco = % de ocorrência X prejuízo

•Ex:• Risco de chover:• Supõe existir uma ameaça => nuvens• Prejuízo: se chover, o que vc perde ?• Quanto mais nuvens e mais carregadas, maior a ameaça, e

portanto a probabilidade de sua ocorrência.


Vulnerabilidade• Uma definição:• Fraqueza existente que pode ser explorada por um

acidente ou incidente, uma vez que está exposta a uma ameaça.

• Ex:• Você está com o sistema imunológico deprimido, e

eventualmente exposto a um ambiente biologicamente hostil (p. ex. vírus e bactérias);

• Você não possui um no-break e vez por outra falta energia;

Interação Risco, Ameaça e Vulnerabilidade

Princípios Básicos

•Confidencialidade•Autenticidade;•Integridade;•Disponibilidade.

Confidencialidade

Significa proteger informações contra sua revelação para alguém não autorizado - interna ou externamente...

•Especificamente:• Consiste em proteger a informação contra leitura e/ou cópia por

alguém que não tenha sido explicitamente autorizado pelo proprietário daquela informação.

• No caso da rede, isto significa que os dados, enquanto em trânsito, não serão vistos, alterados, capturados por dispositivos ilicitos, ou extraídos da rede por pessoas não autorizadas.

Autenticidade

•Trata de assegurar que a counicação seja autêntica. Assegura que a entidade que esta trocando informações sigilosas é realmente quem deveria ser

•O serviço de autenticação em um sistema deve assegurar ao receptor que a mensagem é realmente procedente da origem informada em seu conteúdo. Normalmente, isso é implementado a partir de um mecanismo de senhas ou de assinatura digital.

Autenticidade (2)

A verificação de autenticidade é necessária após todo processo de identificação, seja de um usuário para um sistema, de um sistema para o usuário ou de um sistema para outro sistema;Ela é a medida de proteção de um serviço/informação contra a personificação por intrusos.

•Não-Repudio• Termo relacionado a impossibilidade de um autor de

determinada ação negar que tenha realizado esta ação

Integridade

A integridade consiste em proteger a informação contra modificação sem a permissão explícita do proprietário daquela informação.• A modificação inclui ações como escrita, alteração de

conteúdo, alteração de status, remoção e criação de informações.

• Deve-se considerar a proteção da informação nas suas mais variadas formas, como por exemplo, armazenada em discos ou fitas de backup.

Integridade (2)

A integridade é assegurada evitando-se alteração não detectada de mensagens (ex. tráfego bancário) e o forjamento não detectado de mensagem (aliado, muitas vezes, à violação de autenticidade) • O principio deve garantir que o dado que foi tranmitido ou

armazenado não foi/esta corrompido.• O Serviço de integridade pode possuir algum

mecanismo automaticos de recuperação ou violação.

Disponibilidade

Consiste na proteção dos serviços prestados pelo sistema de forma que eles não sejam degradados ou se tornem indisponíveis sem autorização, assegurando ao usuário o acesso aos dados sempre que deles precisar.

• Isto está intimamente relacionado à continuidade dos serviços.

• Desta forma é interessante desenvolver ações preventivas que visem tratar, também, de aspectos estruturais como: energia eletrica, desastres, acidentes, etc)

• Atualmente existem uma grande variedades de ataques, que podem resultar na perda ou redução da disponibilidade.

Princípios!

Através da correta aplicação desses princípios, a segurança da informação pode-se trazer benefícios como:

• aumentar a produtividade dos usuários através de um ambiente mais organizado,

• maior controle sobre os recursos de informática

•e, finalmente:garantir a continualidade e a funcionalidade das aplicações críticas

da empresa.

Códigos Maliciosos

Envolvem basicamente a exploração de vulnerabilidades em aplicativos e protocolos na camada de aplicação da pilha TCP/IP.

• Vírus: programas capazes de infectar (fazer cópias de si mesmo) outros programas e aplicativos;

• worm: programa capaz de se propagar automaticamente através da rede, que diferentemente dos vírus não precisam ser explicitamente executados;

• Cavalo de Tróia (trojan horse): programa que executa funções normalmente maliciosas sem que o usuário tome conhecimento.

Ataques (Exploits, Backdoor e Rootkits)

•Exploit (explorador de falhas): Programa ou parte de um programa malicioso projetado para explorar uma vulnerabilidade existente em um software de computador.• Ex: Bug no Kernel Linux 2.6.17 até 2.6.24.1 syscall

vmspliceBackdoor (porta dos fundos):

•Backdoor (Portas dos Fundos): Consiste em garantir acesso a um determinado sistema de forma não-convencional, pode trabalhar com portas ocultas atrás de serviços triviais ou simplesmente é escondida com se utiliza pelo seu criador.

• Exemplo : Backdoor no passwd• uucp:x:0:0:uucp:/var/spool/uucp:/bin/sh

Ataques (Exploits, Backdoor e Rootkits) (2)

• Rootkit: Um invasor, ao realizar uma invasão, pode utilizar mecanismos para esconder e assegurar a sua presença no computador comprometido. O conjunto de programas que fornece estes mecanismos é conhecido como rootkit.

• Um invasor, após instalar o rootkit, terá acesso privilegiado ao computador previamente comprometido, sem precisar recorrer novamente aos métodos utilizados na realização da invasão, e suas atividades serão escondidas do responsável e/ou dos usuários do computador.

Ataques (Exploits, Backdoor e Rootkits) (2)

• Funcionalidades Rootkits:– programas para esconder atividades e informações deixadas pelo invasor

(normalmente presentes em todos os rootkits), tais como arquivos, diretórios, processos, conexões de rede, etc;

– backdoors , para assegurar o acesso futuro do invasor ao computador comprometido (presentes na maioria dos rootkits);

– programas para remoção de evidências em arquivos de logs;– sniffers, para capturar informações na rede onde o computador está

localizado, como por exemplo senhas que estejam trafegando em claro, ou seja, sem qualquer método de criptografia;

– scanners, para mapear potenciais vulnerabilidades em outros computadores;– outros tipos de malware, como cavalos de tróia, keyloggers, ferramentas de

ataque de negação de serviço, etc.

Tipos de Ataques

• Mais importante do que saber quem são os responsáveis pelos ataques aos sistemas computacionais é conhecer quais os métodos e tecnologias empregados para se comprometer os mesmos.

• A seguir, segue algumas estatísticas que justificam a necessidade de se obter o tipo de conhecimento em questão:

Tipos de Ataques - Estatísticas

Incidentes Reportados ao CERT.br -- Janeiro a Dezembro de 2013


Tipos de Ataques - Estatísticas

Estatísticas de Notificações de Spam Reportadas ao CERT.br


Tipos de Ataques (4)

• Ataque Físico

– roubo equipamentos, fitas magnéticas, cds, etc..(solução: autenticação e criptografia);

• Packet Sniffing

– Constiste na captura de pacotes que circulam pela rede, através do uso de um sniffer de rede. (tcpdump, whireshark, etc);

• Port Scanning

– Análise de um sistema com o intuito de descobrir os serviços que estão disponíveis no mesmo, através da análise das portas de serviço TCP e UDP. (nmap , retina, etc...)


• Scanning de Vulnerabilidades

– Como visto anteriormente, um port scanner é capaz de identificar portas e serviços disponíveis em um sistema, porém isso ainda não é suficiente para comprometer a segurança de um sistema. Para isso, precisa-se encontrar alguma vulnerabilidade nessas portas e serviços. Esses softwares executam uma série de testes no alvo, procurando falhas de segurança em serviços, protocolos, aplicativos e sistemas operacionais. (Ex.: Nessus)


• Denial of Service– Os ataques DoS ou negação de serviço consistem na

obtenção de perda de desempenho proposital de serviços ou sistemas, de forma a impossibilitar o acesso ao mesmo.

– Existem diversas técnicas para fazer um ataque de negação de serviço, dentre elas podemos citar: SYN Flooding e Smurf.

Teste de Invasão (Ataque)

• Atividade Técnica Controlada;• Teste de segurança;• Simulação de Tentativas de Invasão e ataque

para obter acesso não autorizado a ativos de informação.

Preparação p/ um Ataque: Pentest (Teste de Penetração)

• Pentest:– Simulação de um ataque real a uma infra-

estrutura de TI;– Analisar e mitigar ameaças e vulnerabilidades

antes que alguém as explore;– É melhor ser Pró-Ativo.

Pentest: Anatomia

Distribuições

• Backtrack (V5.0)• Distro baseada em debian-linux desenvolvida com grande

parte das melhores ferramentas livres para realização de pentesters

• http://www.backtrack-linux.org/• Independentemente do seu Sistema Operacional instalado no seu computador,

Backtrack pode ser inicializado de um LiveDVD ou usando o seu Pendrive, SDCard ou outros dispositivos móveis.

Backtrack v5

Árvore de Ataque

Preparação para um Ataque - Footprint

• Um cracker inicia seu trabalho antes mesmo da invasão ocorrer através do footprint, ou seja,com a utilização de todas as técnicas de levantamento de informações para uma posterior invasão, como: engenharia social, fingerprint, leitura de banners de servidores, consulta à base de DNS do alvo, consulta à base whois.

• Conhecer o alvo é o objetivo desta fase.

Preparação para um Ataque – Footprint (2)

• Alguns alvos comuns de footprint:– Nome de domínio e responsáveis;– Servidores que fazem parte do domínio;– Fingerprint (identificação do S.O)– Serviços TCP e UDP disponíveis;– Topologia da Rede;– Nome de usuários e grupos;– Servidores ocultos por NAT;– Endereços de emails (principalmente administradores);– SMTP, FTP e outros serviços– Estrutura de segurança (firewall e/ou IDS. etc...)

Preparação para um Ataque – Footprint (2)

• Alguns alvos comuns de footprint:– Nome de domínio e responsáveis;– Servidores que fazem parte do domínio;– Fingerprint (identificação do S.O)– Serviços TCP e UDP disponíveis;– Topologia da Rede;– Nome de usuários e grupos;– Servidores ocultos por NAT;– Endereços de emails (principalmente administradores);– SMTP, FTP e outros serviços– Estrutura de segurança (firewall e/ou IDS. etc...)

Footprint – Obtendo Informações

• Whois;

• Buscas na Internet;

• Buscas locais (replicação de website);

• Entradas de DNS;

• Engenharia Social;

Obtendo Informações - Whois

• Determina o dono de um domínio, endereço de rede ou IP (RFC 3912);

• Descoberta de:– Nomes;– Endereços;– Contatos;– Servidores de DNS.

$ whois “domínio” $ whois “IP”

Obtendo Informações – Google Hacking

• Buscas na Internet envolvendo o alvo:– Identificação de servidores;– Servidores negligenciados;– Listagem de diretórios;– Senhas;– Banco de dados– Relatório de segurança– Informação sensíveis– Relatórios de acessos a internet, etc

Obtendo Informações – Google Hacking (2)

• Uso de Curingas:– inclusão/exclusão (+-)– Asterisco (*)– Sinônimos (~)

• Restrições:– Site:– Filetype: (ou ext:)– Link:

Obtendo Informações – Google Hacking (3)

• Operadores especiais:– Inurl: – Intitle:– Intext:

• Versão especial da pagina– Cache:

• “Dorks” - Padrões de busca de material sigiloso previamente indexado

• Google hacking database– http://johnny.ihackstuff.com/ghdb/

Google Hacking - Exemplo

Obtendo Informações – DNS

• Ferramenta DIG:

– Testar Transferencia de Zona:dig -t axfr domínio.com.br nameserver_do_dominio.dominio.com.br

– Rastreando o caminho:$ dig +trace www.site.com.br

– Consulta Registro MX:$ dig -t mx "domínio.com.br"

Obtendo Informações – DNS

• Ferramenta host:

– Colhendo entrada de DNS:

$ host www.uol.com.br

• Nomes Tradicionais:

– www, www2 ,pop, pop3, gw, fw, etc...

Outras Ferramentas

• Ferramenta HPING– O hping3 é um software poderoso para avaliação de

desempenho e até mesmo para ataques de DoS, para o entermos melhor é necessário conhecermos a relação cliente/servidor (three-way handshake).

– O cliente envia uma requisição de conexão: pacote com flag syn com um determinado número de sequência x. O servidor recebe o pacote e responde com uma mensagem de reconhecimento: flag syn-ack com um número de sequência x+1 e y. O cliente reconhece o pacote syn-ack com y+1 e a conexão está estabelecida.

Outras Ferramentas

• Ferramenta HPING– O hping3 é um software poderoso para avaliação de desempenho e

até mesmo para ataques de DoS, para o entermos melhor é necessário conhecermos a relação cliente/servidor (three-way handshake.

– O cliente envia uma requisição de conexão: pacote com flag syn com um determinado número de sequência x. O servidor recebe o pacote e responde com uma mensagem de reconhecimento: flag syn-ack com um número de sequência x+1 e y. O cliente reconhece o pacote syn-ack com y+1 e a conexão está estabelecida.

– A conexão é fechada quando o cliente ou servidor envia um pacote com flag fin ou de forma abrupta com uma flag rst.

Three-way Handshake

•Cliente: Cambio servidor, mensagem 200 (Numero de seqüência do cliente), o senhor está disponível (SYN)?

•Servidor: Positivo cliente! Mensagem 1450 (Numero de seqüência do servidor) Prossiga com a mensagem (ACK=201), cambio.

•Cliente: Positivo servidor! Mensagem 201 (numero de sequencia), confirmando número da próxima mensagem: 1451, cambio!

HPING – Sintaxe e Exemplos

• Instalação (sistemas debian e derivados):– apt-get install hping3

• Sintaxe:– hping3 <host> <parâmetros>

• Exemplos:• hping3 23.23.23.2 -p 80 -S -c 3

HPING 23.23.23.2 (eth0 23.23.23.2): S set, 40 headers + 0 data bytes len=44 ip=23.23.23.2 ttl=64 DF id=0 sport=80 flags=SA seq=0 win=32792 rtt=0.2 ms len=44 ip=23.23.23.2 ttl=64 DF id=0 sport=80 flags=SA seq=1 win=32792 rtt=0.1 ms len=44 ip=23.23.23.2 ttl=64 DF id=0 sport=80 flags=SA seq=2 win=32792 rtt=0.1 ms

Nesta linha disparamos: -p 80 -c 3 (-p aponta a porta de envio dos pacotes e -c –count seta a quantidade de pacotes). Desta maneira podemos avaliar as respostas do alvo.

Traceroute - Sintaxe e Exemplos

• Instalação (sistemas debian e derivados): – apt-get install traceroute

• Sintaxe:– traceroute <host destino>

• Opções (principais) :– n : não resolver nomes– m : altera o ttl (time to live)

• Ex: Saltos até um destino em uma porta específica:$ traceroute -n www.uol.com.br -p 80

Obtendo Informações via SNMP

Protocolo de monitoramento e gerenciamento de dispositivos via

rede;

• Muito utilizado em empresas de médio/grande porte;

• Embora crítico, a segurança é comumente negligenciada.

•Exemplo:

snmpwalk -c public -v1 "ip_alvo"

SNIFFER de Rede - TCPDUMP

• Tcpdump é uma ferramenta utilizada para monitorar os pacotes trafegados numa rede de computadores. Ela mostra os cabeçalhos dos pacotes que passam pela interface de rede. Com ele podemos realizar análises de tráfego, e conseqüentemente detectar possíveis tentativas de ataques.

• Sintaxe:– tcpdump [ opções ] [ expressão ]

TCPDUMP - Exemplos

• Para iniciarmos a utilização do tcpdump precisamos especificar a interface de rede que queremos analisar com o parâmetro -i seguido da interface desejada, por exemplo, se quisermos analisar todo o tráfego que passa pela interface eth0, executaríamos a seguinte linha de comando:

# tcpdump -i eth0

• Conexões de origem podem ser monitoradas utilizando o parâmetro src host, um exemplo simples seria monitorarmos o tráfego que vem de 192.168.0.9 para nosso computador, com o ip 192.168.0.2. A linha de comando ficaria da seguinte forma:

# tcpdump -i eth0 src host 192.168.0.9 • Se quisermos monitorar as conexões especificando um host de destino,

poderíamos fazê-lo com o parâmetro dst host, o exemplo abaixo mostra todo o tráfego do host 192.168.0.2 com 192.168.0.1, no caso, 192.168.0.1 é nosso gateway.

# tcpdump -i eth0 dst host 192.168.0.1•

Outros Sniffers

• Wireshark (ferramenta gráfica) –ambiente linux e windows• www.wireshark.org

• TCPSTAT

• Dsniff

• O Dsniff é outro utilitário que pode ser usado para a captura de dados em uma rede.

• Ele facilita a captura de e-mails, mensagens instantâneas(ICQ) e senhas.

• Dsniff, na verdade, é um conjunto de várias ferramentas que nós iremos visualizar.

Dsniff

Ferramenta dsniff – mailsnarf : Captura e-mails na rede.●Usomailsnarf > /tmp/log.emails

Ferramenta dsniff – msgsnarf : Captura mensagens instantâneas como ICQ●UsoMsgsnarf |tee /tmp/log.msn

Ferramenta dsniff – tcpkill : matar qualquer conexão com o serviço www (80) e o ip.src 192.168.0.188

●Uso tcpkill -i wlan0 -9 port 80 and host 192.168.0.188

Obtendo Informações: Detecção do SO

• Detecção de Serviços

• Algumas portas são reservadas para determinados

serviços

$ cat /etc/services | grep PORTA

• Mas na prática podemos usar qualquer uma!

Obtendo Informações: Detecção do SO


• Identificação de protocolos de aplicação;

• Banners;

• Respostas específicas.

Obtendo Informações: Detecção do SO - Fingerprint


• Algumas portas são reservadas para determinados

serviços

$ cat /etc/services | grep PORTA

• Mas na prática podemos usar qualquer uma!

Obtendo Informações: Varredura de Portas

Nmap - Exemplos

1. Em todas as portas UDP, manipulando o TTL com o objetivo de enganar o sistema passivo:

$ nmap –sU –p –ttl 128 192.168.0.1-35

2. Verificando máquinas ativas na rede, envio de icmp$ nmap –sP 192.168.0.0/24

3. Varredura TCP SYN em todas as portas$ nmap –sS –p1-65535 192.168.0.1

Identificando Vulnerabilidades

• Identificação de serviços vulneráveis;

• Varredura por vulnerabilidades;

• Senhas padrão;

• Enumeração de vulnerabilidades encontradas.

Top 20: Controles de Segurança Críticos - SANS

Critical Control 1: Inventory of Authorized and Unauthorized Devices Critical Control 2: Inventory of Authorized and Unauthorized Software Critical Control 3: Secure Configurations for Hardware and Software on Mobile Devices, Laptops, Workstations, and Servers Critical Control 4: Continuous Vulnerability Assessment and Remediation Critical Control 5: Malware Defenses Critical Control 6: Application Software Security Critical Control 7: Wireless Device Control Critical Control 8: Data Recovery Capability Critical Control 9: Security Skills Assessment and Appropriate Training to Fill Gaps Critical Control 10: Secure Configurations for Network Devices such as Firewalls, Routers, and Switches Critical Control 11: Limitation and Control of Network Ports, Protocols, and Services Critical Control 12: Controlled Use of Administrative Privileges Critical Control 13: Boundary Defense Critical Control 14: Maintenance, Monitoring, and Analysis of Audit Logs Critical Control 15: Controlled Access Based on the Need to Know Critical Control 16: Account Monitoring and Control Critical Control 17: Data Loss Prevention Critical Control 18: Incident Response and Management Critical Control 19: Secure Network Engineering Critical Control 20: Penetration Tests and Red Team Exercises

•.

Varredura Automática >> Nessus

• Varredor de vulnerabilidades;

• Grande variedade de plugins;

• Atualizações constantes

• Versões 3+ não são mais GPL.

Varredura Automática >> Nessus

• Neste contexto, o teste de segurança denominado “Análise de Vulnerabilidades” a ferramenta Nessus torna-se a melhor opção no mundo do software livre para esta tarefa.

• Instalação a partir do pacote pré compilado:• Acessar o site: www.nessus.org/download• Fazer o download de acordo com o S.O utilizado.

Nessus - Instalação

Nessus – Instalação (2)

• Instalando pacote .deb:# cd /home/cet/Desktop

# dpkg –i Nessus-5.2.5-debian6_i386.deb

• Fazer registro site do Nessus: http://www.nessus.org/register

– Fazer opção pela licença Free (HOME)

Nessus – Instalação (4)

• Em seguida, iniciar o deamon do Nessus:/etc/init.d/nessusd start

Utilizando o Nessus

• Acessar por:https://<IP_SERVIDOR>:8834

Utilizando o Nessus (2)

Nessus: Scan

• Scan Targets – Exemplos:

– Único IP: 192.168.0.1– Range: 192.168.0.1-192.168.0.255– Sub-rede com CIDR notação:192.168.0.0/24– Nome host: www.nessus.org

Perguntas? Dúvidas?

Documents

Unidade i Introdução a Segurança de Redes2