1

MECANISMOS DE SEGURANÇA LÓGICA EM HOSTS COM ÊNFASE EM CONTROLES DE ACESSO

Miguel Angelo Reinhardt <miguelangeloreinhardt@gmail.com>

Universidade Luterana do Brasil (ULBRA) – Curso de Tecnólogo em Redes de Computadores – Câmpus Canoas Av. Farroupilha, 8001 · Bairro São José · Cep 92425-900 – Canoas - RS

29 de novembro de 2010

RESUMO Este artigo tem por objetivo identificar problemas relacionados á segurança da informação e quais as soluções

empregadas pelas empresas e usuários residenciais, no combate as diversas formas de invasão e vazamentos de informações. Algumas técnicas serão aplicadas neste trabalho de forma a ilustrar a situação em um cenário real. A ocorrência de vazamento de informações, homepages alteradas e com serviços fora do ar, tem causado muitos prejuízos as empresas que utilizam e-business. A quebra do sigilo do banco de dados cadastrais, dos clientes é motivo de grande preocupação, pois correm o risco de serem levados a processos judiciais. Dessa forma a proteção dos hosts, cliente e servidor, deve ser efetuada por profissionais de TI, que garantam o pleno funcionamento da rede e a segurança envolvida. Uma vez tendo invadido uma rede local, as chances de acesso aos dados sigilosos crescem muito. O resultado do experimento aplicado neste laboratório teve como ênfase as técnicas de controle de acesso que foram direcionadas ao host, pois este é um dos principais alvos dos invasores.

Palavras-chave: Segurança da Informação; Controle de Acesso; RBAC.

ABSTRACT Title: “Logical security mechanisms in hosts with an emphasis on access controls”

This article aims to identify problems related to information’s security and the solutions used by companies and residential users, combating the several forms of intrusion and data leaks. Some techniques will be applied in this paper to illustrate the situation in a real scenario. The occurrence of leaks, changed home pages and off line services, has caused many damages to the companies that use e-business. The disclosure of the cadastral database of the clients is a great concern because they risk being taken to court suit. Thus the protection of hosts, clients and server must be undertaken by professionals, to ensure the full functioning of the network and security involved. Once having invaded a local network, the chances of access to sensitive data grow too much. The result of the experiment applied in this laboratory as an emphasis on access control techniques that were directed to the host, because this is the primary target for attackers.

Key-words: Information Security, Access Control, RBAC.

1 INTRODUÇÃO Nos últimos anos temos acompanhado grandes mudanças no que diz respeito à informática nos

negócios, sejam eles de pequeno ou grande porte. Para as empresas, criar um ambiente que observe normas e padrões de segurança no uso dos recursos computacionais, já não é mais uma questão de escolha e sim de necessidade. Trata-se de prevenir as invasões, e conseqüentes perdas financeiras, de criar uma política de segurança para os negócios.

É importante lembrar que a política não envolve apenas a área de Tecnologia da Informação (TI), mas a organização como um todo.

Segundo Ferreira, Fernando N. Freitas (2008), a política deve conter os detalhes a serem observados, o que é esperado dos participantes e quais as sanções em caso de descumprimento das normas nela estipuladas. Como toda política institucional, a política de segurança deve ser aprovada pela alta gerência e divulgada a todos os funcionários e usuários de serviços de informática. A partir de então, todos os controles devem se basear nessa política.

“Convém que a direção solicite aos funcionários, fornecedores e terceiros que pratiquem a segurança da informação de acordo com o estabelecido nas políticas e procedimentos da organização.” (NBR_ISO27002 8.2.1)

Criar soluções de segurança e garantir o acesso aos clientes, já faz parte do planejamento estratégico das empresas modernas. Mas este cenário exige que os profissionais da área estejam sempre atualizados e

2

capacitados ao cumprimento desta tarefa, por vezes, muito complexa e desgastante. Cada vez mais a figura do administrador e do gerente de redes vem garantindo um importante papel no mercado de profissionais da área de TI. A solução para que se tenha um ambiente seguro não depende de um pacote fechado que possa ser comprado e instalado, mas sim de um somatório de técnicas, que só terão eficácia se forem implantadas e gerenciadas por profissionais capazes e comprometidos em tempo integral no desenvolvimento e manutenção da segurança. Estes profissionais garantem o funcionamento e a disponibilidade dos serviços prioritários para o cumprimento dos negócios da empresa.

Este artigo propõe a implementação estruturada de mecanismos de segurança e controle de acesso, voltados para hosts ou endpoints, como também são conhecidas as estações do ponto final da rede. Serão aplicados mecanismos como firewall, antivírus, Proxy e outros. No controle de acesso será usada a técnica chamada RBAC (Role-Based Access Control), que distribui permissões a grupos de usuários, por critério da função exercida dentro da organização, usando a hierarquia organizacional aplicada no ambiente. Será possível simular o uso da ferramenta em uma aplicação web, de modo a identificar algumas vantagens envolvidas nesse tipo de controle. O RBAC será usado como ferramenta auxiliar ao AD (Active Directory), instalado em um sistema operacional Windows Server 2008, usado neste experimento. O capítulo 2 apresentará a fundamentação teórica, o capítulo 3 a modelagem do projeto, no capítulo 4 estarão os passos da implantação de ferramentas e no capítulo 5 a conclusão.

2 FUNDAMENTAÇÃO TEÓRICA Falar de segurança de hosts requer uma ampla ilustração de todas as etapas envolvidas no processo.

Desde a instalação do sistema operacional, onde é necessário entender sua arquitetura, camadas, suporte à rede, protocolos e mecanismos, até as etapas de criação de contas de usuários, autenticações, permissões, atualizações, firewall, etc. É preciso prever falhas de ordem humana, conhecidas como engenharia social, e diz respeito ao uso despreocupado dos recursos de informática na empresa ou no computador de uso pessoal. Geralmente os vazamentos de informação ocorrem por negligência, dos usuários, com o sigilo de suas senhas, dados pessoais e corporativos. Também é importante salientar que uso de recursos da empresa, como e-mail, por exemplo, para fins pessoais pode ferir as normas instituídas na política de segurança, levando a um incidente de segurança.

Quanto aos protocolos das camadas de rede, o destaque no que diz respeito a invasões, é o protocolo TCP/IP. Este tem seu núcleo formado pelo Transmission Control Protocol e pelo Internet Protocol. Sua leveza e o fato de ser independente do Hardware e Software que o utiliza, o torna amplamente usado na interligação de redes, sendo a Internet o seu maior exemplo de utilização. As camadas do protocolo TCP/IP são quatro: aplicação, transporte, rede e física, demonstradas na tabela 1 que segue:

Tabela 1 – Pilha TCP

Camadas Serviços Aplicação HTTP,Telnet

Transporte TCP/UDP Rede IP Física Interface Física

Todas as camadas estão interligadas e possuem interfaces que permitem a troca de informações entre elas. Na camada de aplicação estão as aplicações e processos que utilizam a rede, como HTTP, Telnet e FTP. Já na camada de transporte estão os dois protocolos que permitem que as máquinas conversem entre si, o TCP e UDP, o primeiro é orientado a conexão e garante a entrega de pacotes, sem erros e o segundo é não orientado a conexão e trabalha sem controle de fluxo, sendo muito usado na transmissão de voz e imagem. O UDP privilegia a entrega imediata sem se preocupar com entrega sem erros. A camada de rede é a responsável pelo endereçamento dos hosts e pelo roteamento dos pacotes, seu principal protocolo é o IP. A última camada, a física é a dos dispositivos físicos da rede, interfaces, switches, hubs. Trabalha com protocolos que variam de acordo com a tecnologia de rede empregada, Frame Relay, Ethernet e outros.

O endereçamento IPv4 trabalha com um número de 32 bits que é atribuído a cada interface da rede e está dividido em duas partes, sendo uma o número da rede e a outra o número da máquina. Pode ainda ter três classes A, B e C que tratam da quantidade endereços de redes e hosts possíveis de representar. A classe

3

“A” tem o primeiro byte para rede e os três últimos para hosts endereçando até 128 redes de 16 milhões de equipamentos, a classe “B” é dividida em dois bytes para rede e dois para hosts e endereça até 16 mil redes de 64 mil máquinas, e por última a classe “C” que tem três bytes para rede e um apenas para hosts e endereça então, 2 milhões de redes de 254 equipamentos cada. Além do endereço a rede deve ter uma máscara que serve para indicar quantos bits são para a rede e quantos para endereçar equipamentos. Tanto a máscara, quanto os endereços IP, são representados na forma decimal e têm o tamanho de 32 bits.

Atualmente já existe a implementação de IPv6 trabalhando em paralelo ao IPv4, ou seja pacotes podem transitar pela internet passando por roteadores, que já estão preparados para essa nova era de endereçamentos, contando até mesmo com a possibilidade de passar pacotes IPv6 compactados, por dentro de uma rede que seja exclusivamente IPv4. Esse novo conceito de endereçamento conta com uma divisão de 64 bits para rede e outros 64 bits para hosts, ampliando exponencialmente a quantidades de endereços IP, e solucionando de vez o problema de esgotamento de endereços. Para os equipamentos essa mudança não apresenta incompatibilidades, e os sistemas operacionais modernos já possuem suporte para o protocolo.

Outro protocolo muito usado nas redes é o ICMP, que usa o protocolo IP para enviar mensagens de erro e de informações da rede. Mensagens como tempo excedido, pacote não pode ser entregue, equipamento ativo, entre outras. Esse protocolo é conhecido como o protocolo de mensagens da internet.

A função do protocolo TCP, em uma conexão, é oferecer um serviço de transferência confiável. Estes serviços são representados por meio de portas, que identificam qual via está sendo usada na conexão, por exemplo, a porta 21 é para FTP, a 23 para Telnet e a 25 para SMTP. É nestes serviços que devemos focar a proteção da rede e criar técnicas que impeçam invasões e vazamentos de informação.

A implementação da segurança da informação, tem por objetivo, reduzir os riscos com vazamentos, fraudes, erros, uso indevido, sabotagens, roubo de informações e diversos outros problemas. Assim, conseqüentemente aumentar a produtividade dos usuários através de um ambiente mais organizado, maior controle sobre os recursos de informática e, finalmente, viabilizar aplicações críticas das empresas. Para tanto é necessário observar as recomendações contidas na norma ABNT NBR ISO/IEC 27002. Nela estão normatizadas as políticas e os princípios básicos da segurança que são a autenticidade, confidencialidade, integridade e disponibilidade das informações.

A autenticidade diz respeito à identificação do usuário ou computador. O serviço de autenticação deve garantir ao receptor que a mensagem realmente procede da origem informada em seu conteúdo. A criação de contas de usuários e autenticação por senhas é a pratica mais comum de autenticação. Uma invasão por personificação (spoofing) consiste em um usuário externo assumir a identidade de um usuário interno, atuando no sistema no lugar deste usuário legítimo. Para garantir segurança da informação, neste contexto, medidas simples podem ser tomadas, como por exemplo, a troca freqüente da senha e o bloqueio de acesso após um determinado número de insucessos no login.

Segundo Gasparini (2004), os usuários precisam ter ciência de suas responsabilidades no acesso dos sistemas e dos riscos da divulgação das senhas pessoais, pois uma vez havendo prejuízos causados pelo uso indevido da informação, o usuário deve arcar com as conseqüências.

A confidencialidade baseia-se na proteção da informação contra leitura e/ou cópia por alguém que não tenha sido explicitamente autorizado pelo proprietário daquela informação. Programas de captura de pacotes proporcionam uma interface com um dispositivo de hardware que é executado no modo promíscuo (sniffer), ou seja, copiando todos os pacotes que chegam até ele, independentemente do endereço de destino contido no pacote. Se um sniffer for instalado em alguma parte da rota entre dois hosts de uma rede, senhas e informações confidenciais podem ser capturadas, causando transtornos e prejuízos. Tal ação pode proporcionar, também, a ocorrência de futuros ataques contra autenticidade, usando senhas, usernames e endereços de host capturados por sniffers. A proteção deve prever o isolamento dos meios físicos e também monitoramento do tráfego da rede, para evitar tais práticas.

A integridade consiste em proteger a informação contra modificação sem a permissão explicita do proprietário daquela informação. Está muito ligada a autenticidade, pois modificações no conteúdo da informação ou até mesmo a exclusão desta, deverão estar associadas a um usuário ou estação de trabalho autorizado, e naturalmente, considerado responsável pelas alterações.

Quanto à disponibilidade da informação, esta deve ser encarada como uma continuidade dos serviços. Desastres podem gerar enormes perdas de dados e ter impactos devastadores nos negócios. No

4

entanto, a disponibilidade significa mais do que ter medidas de recuperação de desastre efetivas. Embora não tão sério como os efeitos físicos de um furacão ou incêndio, uma hora de inatividade nos sistemas de armazenamento pode ter efeitos dramáticos em um negócio e causar despesas significativas. Por isso, as organizações devem se assegurar de que seus usuários tenham acesso contínuo às informações importantes. O foco nestes casos então são os ataques de negação de serviços, onde o acesso a um sistema/aplicação é interrompido ou impedido, deixando de estar disponível.

Os ataques provenientes das redes públicas dispensam um grande esforço de bloqueio por parte dos administradores de rede, porém existem ainda os ataques internos gerados com a integração das corporações, matriz, filiais, fornecedores, vendedores e parceiros comerciais, todos interligados, criando mais um alvo de ataques (ET Nakamura, PL de Geus 2007). A complexidade dos sistemas torna ainda mais complexa à tarefa dos administradores das redes. A necessidade de prover segurança e ao mesmo tempo garantir o acesso as informações àqueles que estão autorizados, se transformou num grande desafio, pois à medida que aumenta a proteção, diminui o desempenho geral do sistema e da rede. Em contrapartida os hakers acabam tendo ainda mais pontos de vulnerabilidade para explorarem.

Segundo Tanenbaum (2004), a maior parte dos problemas de segurança é intencional e causada por pessoas de má índole, que pretendem obter algum lucro, chamar a atenção ou ainda prejudicar alguém.

Para evitar ou prevenir ataques, é preciso definir um modelo de segurança, que contemple, políticas de acesso, prever e evitar falhas de ordem humana, e gerar logs para auditar o comportamento da utilização dos recursos da rede, pelos usuários. Este artigo propõe a utilização de mecanismos de segurança, voltados para hosts, que serão citados a seguir, com ênfase nas técnicas de controle de acesso. O conjunto dessas técnicas tem o propósito de melhorar a proteção contra o cenário de ameaças já descrito anteriormente, oferecendo maior segurança ao host.

2.1 Técnicas de segurança 2.1.1 Firewall O firewall protege a rede local, que está conectada à Internet, contra acessos indevidos, externos e internos. Tem como função controlar o tráfego de entrada e saída da rede, para isso, possui um arquivo que contém diversas regras que permitem ou negam algum serviço. No host, o firewall tem um papel importante para preservação das informações, pois estando configurado de forma correta, também deve auxiliar na prevenção de invasões. Uma vez ativo, irá monitorar o acesso a serviços, permitindo ou descartando pacotes. Com o firewall ativado é possível bloquear todas as conexões de entrada, incluindo as que estejam na lista de programas permitidos, ou ainda, avisar quando bloquear um programa novo. Um firewall também pode ajudar a impedir o computador de enviar software mal-intencionado para outros computadores.

Os firewalls na sua maioria são programados para trabalhar como filtros de pacotes, porém ações maliciosas podem se aproveitar de vulnerabilidades nos serviços por ele habilitados. É necessário usar outros mecanismos que detectem intrusões ou tentativas de intrusões, estes mecanismos são chamados de IDS (Intrusion Detection System) e serão comentados a seguir neste artigo.

2.1.2 Atualizações Automáticas Atualizações automáticas de sistema operacional e aplicações são itens indispensáveis na segurança

da informação, pois vulnerabilidades são incansavelmente exploradas por invasores, que podem tomar informações sigilosas de algum banco de dados. É importante ressaltar que os sistemas operacionais fazem suas atualizações sem necessidade da intervenção do usuário.

2.1.3 Invasões

Ferramentas como, IDS/IPS (Intrusion Detection System)/ (Intrusion Prevention System), que monitoram comportamentos de uso de serviços em hosts, quando configuradas e atualizadas corretamente, oferecem um bom subsidio no controle e detecção de invasão.

“A necessidade de existir um monitoramento mais eficiente e ininterrupto das atividades pertinentes a uma rede fez com que surgissem programas denominados IDS...”(Snort Brasil - 2010).

O IDS/IPS quando aplicado a hosts é denominado HIDS/HIPS, e tem a função de detecção e prevenção de intrusos através de monitoramento e comportamento do uso do equipamento na qual está instalado. A premissa é de que o comportamento do atacante será diferente do comportamento do usuário

5

legítimo. As ferramentas de IDS possuem níveis de configuração para seus alertas e dependem do método de detecção que está sendo empregado, se baseado em assinaturas ou em anomalias. Quando baseado em assinaturas, trabalha procurando regras pré-estabelecidas no tráfego da rede e quando baseado em anomalias, utiliza um banco de dados de padrões de comportamento da rede.

Alguns erros podem ocorrer no sistema de IDS, são os chamados falsos positivos e falsos negativos. O falso positivo ocorre quando os sensores classificam um tráfego normal como sendo um ataque, mas esses alertas ocorrem com freqüência, sendo necessário algumas vezes alterar os níveis de sensibilidade dos mesmos. Já os falsos negativos referem-se a não detecção de ataques verdadeiros que passam despercebidos pelos sensores. Esses ataques são motivo de maior preocupação, pois se referem a invasões verdadeiras que não foram identificados.

Uma técnica também aplicada é a de permitir o acesso do intruso, para uma avaliação posterior a invasão. Esta invasão permitida, conhecida como honeypot, naturalmente, fica reduzida a uma área estrategicamente liberada, que depois poderá ser analisada e investigada para colher informações de comportamento e intenções do invasor.

“O IDS não deverá substituir o firewall na tarefa de proteger as redes de dados, devendo agir em conjunto com ele e outras ferramentas de segurança de maneira a garantir a execução da política de segurança corporativa.“ Julio Steffen Junior (2003).

2.1.4 Antivírus Os sistemas de antivírus são instalados para efetuar verificações em tempo real, atualizações

automáticas, mas com mínima interação do usuário, trabalhando em background, tendo apenas alarmes para informar detecções e ações a serem tomadas, como exclusão, ou quarentena no caso de arquivos de sistema que possam ser recuperados futuramente com atualizações do antivírus.

“[...] O estudo revelou que empresas desse porte (10 a 49 funcionários para pequenas empresas e 50 a 499 para médias empresas) avaliam a proteção dos dados como prioridade em TI, ao contrário do que acontecia há 15 meses, quando uma elevada porcentagem das companhias não contava nem com soluções básicas de proteção e recuperação das informações.” MOUNTAIN VIEW, Califórnia – 07 de junho de 2010 (Pesquisa encomendada pela Symantec ao Instituto Applied Research).

Atualmente há uma preocupação com a proteção das extremidades da rede os endpoints, e a indústria do antivírus já trás soluções que unificam prevenção de invasões (IPS), funções de firewall, antispyware e antivírus, controle de aplicativos e de dispositivos, tudo integrado. Empresas conhecidas como Symantec e McAfee, entre outras, possuem soluções que contemplam esse tipo de prevenção. Outra preocupação existente, e que deve ser tratada com atenção, são os meios físicos de acesso, como portas USB, FireWire, Bluetooth e outras interfaces que podem acarretar no vazamento de informações e ataques a rede ou até servirem como porta de entrada para invasores.

Segundo Northcutt et al, (2002), todas as técnicas de segurança combinadas é que podem reduzir as chances de invasões e vazamentos de informações, e fazem ainda uma analogia, comparando a defesa da rede a uma cebola, ao destacar as camadas externas, “muitas camadas permanecem por baixo dela”. Um dos aspectos, destacados no estudo desses autores foi a possibilidades de se pôr todo o trabalho de segurança a perder em simples atitudes de descuido, como por exemplo, ter configurado firewall, Proxy, IDS e antivírus em um servidor de Web e não se preocupando com a segurança do servidor DNS. O uso de VPN, mesmo sendo seguro, pode ser causador de incidentes de segurança, pois na rede interna as defesas estão todas ativadas, mas quando o usuário remoto estiver acessando o servidor de um quarto de hotel, por exemplo, se o firewall não estiver ativado no host, este pode ser vitima de algum hacker e comprometer os servidores da rede. A defesa do host se torna um passo importante da defesa em profundidade da rede.

2.1.5 NAT Um serviço chamado NAT (Network Address Translation) que surgiu, inicialmente, para minimizar

o problema de escassez de endereços IP, também auxilia na segurança porque os endereços locais são traduzidos para o endereço válido que acessa a Internet. Deste modo o endereço IP da máquina não fica disponível na Internet.

2.1.6 Proxy

6

Como filtro de conteúdo também é possível utilizar o serviço de Proxy. Este serviço também é usado como um facilitador no acesso a URL’s, pois vai mantendo um caching das páginas mais acessadas na rede evitando muitas vezes um novo acesso externo. O usuário que requisitou a URL estará navegando na internet de forma rápida e algumas vezes seu acesso será local. Por outro lado o Proxy canaliza o acesso da internet e faz um controle de permissões de conteúdo das páginas acessadas, protegendo a rede e auxiliando assim o antivírus a combater trojans e worms. Seus filtros são muito eficazes no controle de acesso a conteúdo pornográfico, que é uma potencial porta de entrada de vírus.

2.1.7 Checklist Ferramentas para checklist como o MBSA (Microsoft Baseline Security Analyser) atuam como

ferramenta de exame de avaliação de vulnerabilidades. Esta ferramenta não é nativa do Windows, e deve ser baixada do site da Microsoft e depois instalada. Com ela é possível verificar atualizações de segurança não instaladas no Windows Server, no Microsoft Office, no Microsoft Exchange, no Microsoft SQL Server. É possível também verificar se o firewall do Windows está habilitado, se o recurso atualizações automáticas está habilitado e se senhas fortes estão sendo utilizadas. O MBSA realiza uma tarefa importante que auxilia o administrador da rede, emitindo relatórios com informações detalhadas sobre vulnerabilidades encontradas e links contendo downloads para suas correções. Pode também identificar falhas de configuração e indicar o que deve ser feito para corrigi-las.

2.1.8 Controle de Acesso Ao contrário das permissões por grupo de usuários, o controle de acesso trata das aplicações de

forma a criar níveis de permissão dentro de um mesmo grupo, com papéis diferentes para seus usuários. Assim é possível acessar o mesmo sistema com permissões diferentes e papéis diferentes por usuário. Podemos dizer que os grupos são um aglomerado de usuários, enquanto que os papéis são uma coleção de usuários associada a uma coleção de permissões.

Existem três etapas fundamentais no controle de acesso, que são a autenticação (identificação do usuário), a autorização (após ser identificado, o que o usuário pode fazer) e a auditoria (acompanhar os eventos do sistema).

Para efetuar controle de acesso podem-se utilizar listas de controle de acesso (Access Control List - ACL) matrizes com sujeitos e objetos do sistema. Este controle é adequado a pequenas redes, mas se torna complexo à medida que estas aumentam sua estrutura.

É possível simplificar o controle de acesso, e os três modelos mais conhecidos atualmente são MAC (Mandatory Access Control), DAC (Discretionary Access Control) e RBAC(Role-Based Access Control), descritos a seguir:

• MAC: usuários não são donos do objeto e não podem definir suas permissões de acesso, atendo-se à política implantada pelo administrador, utilizado principalmente em ambientes restritos como militares, financeiros;

• DAC: usuários são donos de um recurso e tem o controle sobre quem deve acessá-lo e com que permissões, muito utilizado em sistemas comerciais (UNIX, Windows, etc.);

• RBAC: controle de acesso por hierarquia de papéis. Muito mais simples, onde os papéis são definidos como o conjunto de atividades e responsabilidades associadas a um cargo ou função em uma organização. Quando um funcionário muda de função dentro da empresa, é feita apenas a troca de permissões, trocando os papéis associados a ele. (Edemilson dos Santos da Silva - PUC Paraná Dezembro, 2004).

O controle de acesso baseado em funções permite que uma tarefa seja dividida em diversas sub-tarefas, que envolvem usuários com níveis de permissões diferentes, evitando assim, vazamento e fraudes na manipulação de informações privilegiadas.

Controles como o RBAC, podem ser utilizados em instituições financeiras, por exemplo, para o provimento de acessos, com maior ou menor privilégio. A literatura destaca com freqüência, um cenário onde o caixa de banco necessita o endosso de um supervisor, para pagamento de cheques com valores superiores e ao final da sessão o endosso é extinto, ou seja, um usuário com papel de supervisor utiliza seu perfil de permissões para autorizar o pagamento do cheque na sessão do usuário caixa, e ao final da sessão a

7

autorização perde a validade e não é possível nova operação.

É possível ainda usar como exemplo, uma aplicação web para cadastro de clientes de um banco que possua funcionários de carreira, e terceirizados. Neste cenário, a preocupação com o sigilo das informações de clientes fica evidente, e também com relação aos privilégios que possam ser concedidos aos clientes de forma descontrolada. O sistema proposto possuiria abas para inclusão de dados pessoais, fonte pagadora, faixa salarial e nível de relacionamento entre outros dados. Um funcionário terceirizado seria encarregado de incluir os dados, mas seu perfil de acesso não permite inclusão de salário, nem o nível de carteira do cliente, parâmetros que por certo, poderiam expandir as linhas de crédito concedidas a este cliente. Este nível de perfil ficaria atrelado a um funcionário de carreira com função de gerente ou supervisor, para que as linhas de crédito concedidas a esta carteira não excedessem a capacidade de pagamento do novo cliente cadastrado. Neste mesmo sentido percebemos que as alterações cadastrais teriam de ter as mesmas preocupações. A tabela 2 a seguir, demonstra como seriam configurados os papéis, as funções e permissões para esta situação.

Tabela 2 – Permissões por funções Usuário Papel /

Função Permissão/ Nível

Necessita Autorização

Contexto Sessão

Atendente Terceirizado Básico Não Cadastro/ Salário

Consulta

Atendente Terceirizado Básico Não Cadastro/ Simples

Inclusão/Alteração

Atendente Terceirizado Básico Sim Cadastro/ Salário

Inclusão/Alteração

Este nível de atribuição de controle poderia ser efetuado com o Authorization Manager em conjunto com as diretivas de grupo e usuários do AD. A relação entre as funcionalidades do RBAC e as diretivas de grupo, está exatamente na impossibilidade das diretivas do AD concederem uma permissão de leitura ao grupo “Terceirizado”, em um determinado momento, em seguida converter em permissão de escrita e logo em seguia permitir que o grupo, receba uma autorização para inclusão/alteração de um item. A soma das duas técnicas amplia a segurança do controle de acesso, sem torná-la complexa.

Para que seja compreendido o conceito de controle de acesso à um software com o RBAC, é necessário conhecer como outras técnicas de controle de acesso são aplicadas. As matrizes de controle de acesso, por exemplo, não passam de listas contendo sujeitos e objetos, onde cada sujeito possui direitos do tipo READ/WRITE/EXECUTE para cada um dos objetos relacionados a ele. A localização dos direitos concedidos a objetos é uma tarefa fácil e rápida, mas em contrapartida, os sujeitos que podem acessar um determinado objeto, já necessita uma pesquisa mais elaborada e lenta. No caso do RBAC, tarefas como essa, possuem funções de revisão que podem ser do tipo:

• AssignedRoles – conjunto de papéis associados a um determinado usuário;

• AssignetUser – conjunto de usuários associados a um determinado papel;

• UserPermissions – conjunto de permissões que o usuário pode executar com seus papéis;

• RolesPermission – conjunto de permissões atribuídas a um papel.

2.1.9 Backup

Quanto ao backup é importante destacar algumas técnicas que devem ser levadas em consideração, fazer cópias de dados e garantir a restauração, se necessário é ponto crucial na segurança da informação. O backup deverá estar nas rotinas diárias para evitar perdas irreparáveis. As cópias de controladores de domínio podem ser efetuadas em prazos curtos, entre o domínio principal e domínios secundários, de forma que possam ser substituídos em poucos minutos sem perda de informações do AD. Uma importante estratégia pode ser tomada com relação à base de dados, a divisão do disco rígido em mais partições permite maior organização nas cópias de volumes inteiros ou de partes de volumes com menos diretivas de backup.

Podemos usar também técnicas de RAID, e garantir o conteúdo todo dos discos rígidos do servidor

8

sem que haja perdas, pois as características dessa técnica permitem que se tenha duplicação total por espelhamento de discos ou por níveis mais elaborados que garantem cópias de dados espalhadas em três ou mais discos de um servidor. É importante salientar que ainda assim cópias em mídias ou fitas magnéticas não devem ser dispensadas, pois danos no hardware podem às vezes causar perda total de conteúdo de discos.

A soma de todas as ferramentas de segurança disponíveis, com uma boa auditoria auxilia o trabalho de administração da rede, mas é importante lembrar que todos os esforços para impedir as invasões nunca serão o suficiente, portanto é necessário sempre estar atualizado no que diz respeito à segurança.

3 MODELAGEM DO PROJETO Este projeto propõe modelar um cenário, conforme mostra a figura 1, e contará com um servidor de

autenticação, que também fará o papel de servidor DNS, Firewall, Proxy e IIS. A internet utilizada será DSL Brturbo 1Mbps com modem router ligado ao switch que fará distribuição dos recursos de internet a todos os usuários. As instalações contarão também com um serviço de IDS e um honeypot que simulará servidores de Telnet e Web. O serviço de DHCP e NAT, serão providos pelo modem, dispensando configurações no servidor.

Figura 1 – Escopo do Projeto

Na instalação do servidor é preciso criar contas de usuários com autenticação por senhas seguras, com cotas de disco por usuário, gerenciar serviços, ativar firewall, antivírus, IDS/IPS e fazer auditorias regulares. Manter backup sempre atualizado, atualizações de sistema, registrar logs e controlar o acesso de aplicações com técnicas de distribuição de funções.

Uma boa política de criação de senhas deve ser aplicada para tornar o trabalho de quebra de senhas dos hakers, mais difícil. A senha inicial deve ser trocada na primeira inicialização do usuário e será solicitada nova troca a cada trinta dias, o comprimento mínimo da senha será de sete caracteres, o número de tentativas de logon limitado a três, com conseqüente bloqueio da conta após a terceira tentativa inválida. O histórico de senhas deverá conter as últimas vinte senhas utilizadas. Esta medida garante que uma senha antiga só possa ser empregada novamente após outras vinte novas terem sido criadas.

As cotas de disco terão um tamanho máximo a ser definido pelo administrador da rede e deverá ser configurado para emitir aviso de cota excedida aos noventa por cento de ocupação.

Convém prevenir invasões, que tenham por objetivo, colher informações sobre nomes de domínio, endereços IP específicos, listas de controle de acesso, nomes de usuários e grupos, tabelas de roteamento e sistemas de detecção de intrusos.

9

Um servidor de domínio deve disponibilizar os sistemas e garantir que o acesso seja efetuado pelos proprietários de contas cadastradas nas listas de controle de acesso. Deve haver uma distribuição de serviços e dispositivos controlada. Para cada grupo ou conta de usuário haverá permissões distintas, em um mesmo enlace os usuários podem acessar um sistema, mas não os mesmos dados, respeitando assim a hierarquia organizacional da empresa ou instituição.

Para facilitar a distribuição de contas e serviços, convém criar grupos por departamento e atribuir permissões a partir do conjunto, para facilitar a administração.

Controlar a distribuição de recursos pela rede é uma tarefa que necessita de serviços como DHCP e DNS, para tanto é preciso que o servidor ou servidores estejam configurados para prestar estes serviços. A distribuição de endereços IP vai ocorrer dinamicamente, pois o servidor DHCP através de broadcast alcança todos os hosts de um mesmo enlace e os mapeia na tabela ARP e o servidor DNS por sua vez resolve os nomes associados a esses endereços IP. As gravações em disco necessitam estar disponíveis também quando o servidor estiver off-line, dessa forma será preciso uma replicação dos arquivos mais usados nas estações e um serviço que faça a sincronização das alterações no momento em que o servidor volte a responder. Mas a preocupação maior é com o vazamento de informações que pode comprometer todo o negócio, ou ainda, causar grandes prejuízos a organização. Bloquear acessos indesejados é uma tarefa que deve levar em conta os diversos tipos de invasões.

Alguns invasores podem tentar se passar por um usuário do enlace, utilizando o endereço IP deste, o que chamamos de ataque spoofing. Esta técnica faz com que a origem pense que está enviando a informação a um IP de destino confiável. Sniffing, é outra técnica que explora segmentos de rede, interceptando todo o tráfego ali existente. Funciona como um farejador capaz de decodificar o conteúdo trocado entre as estações. Os ataques podem ter o intuito apenas de prejudicar a comunicação de dados, negando serviço, Denial of service (DoS). Este ataque pode causar prejuízos, mas não se caracteriza como invasão, pois a intenção é de inundar uma rede, saturando servidores e negando serviços.

Os vírus podem comprometer os serviços de uma rede causando atrasos e prejuízos, pois sua remoção geralmente é lenta e individualizada a cada uma das estações e servidores. Durante o processo de remoção os usuários ficam impedidos de trabalhar. Os vírus podem estar inseridos em arquivos executáveis, macros de documentos e planilhas, quando executados ativam o vírus e muitas vezes carregam na memória infectando os demais arquivos do disco.

Contra todos estes ataques o sistema deve prever defesas, não somente nos servidores, mas também nas estações. A configuração do servidor conta com proteção de portas por firewall e o auxilio de antivírus, proxy e outras técnicas de varredura e auditoria para identificar as invasões e sua origem. A identificação dos invasores também é possível através de um sistema que disponibiliza uma isca, (honeypot), que servirá para identificar os hábitos e interesses dos invasores.

Convém, manter um registros de operação e falhas, com datas e horários de inicio e fim dos eventos, correções adotadas e a identificação de onde se originou a operação ou a falha. O visualizador de eventos deverá ser configurado para substituir os logs mais antigos ao atingirem um tamanho de arquivo igual a 2MB. As informações registradas mostrarão a data e a hora em que um evento ocorreu, o endereço IP de origem e destino, o protocolo (UDP,TCP,ICMP) e também as portas de origem e destino. Deverá haver uma ferramenta de checklist que fará a analise de vulnerabilidades do sistema e aplicações do host servidor. Esta ferramenta será executada pelo administrador da rede, não devendo ser aplicada uma rotina automática, pois necessitarão de avaliação prévia de registros obtidos no visualizador de eventos e de horários em que esta análise possa ser acompanhada e analisada para aplicação posterior das correções sugeridas.

Para reforçar a proteção do endpoin, é necessária uma ferramenta que exija do usuário privilégios e permissões específicas para cada tipo de acesso. Uma rede pode ser invadida, mas para acessar os dados de determinadas áreas, o invasor teria que conhecer também as contas e as senhas pessoais de um usuário com estas permissões, pois de nada adiantaria invadir a rede sem ter como acessar os dados de maior importância. Dessa forma, o controle de acesso deverá ser feito com uma ferramenta que se baseia na hierarquia de papéis dentro da empresa, como o RBAC (Role-Based Access Control), sua função será de identificar que níveis de acesso cada conta terá direito. Esta tarefa será executada pelo IIS (Internet Information Services), servidor Web e pelo Authorization Manager, gerenciador de autorizações da Microsoft que é ferramenta nativa do

10

Server 2008. Seu funcionamento pode ser analisado no diagrama que segue, note que o RBAC atua no mesmo nível que o AD, apenas adicionando maior gerencia nas permissões, conforme mostra a figura 2:

Figura 2 – Diagrama de Acesso a Aplicações Web com RBAC

4 IMPLANTAÇÃO A prevenção de danos aos dados de uma rede, através de invasões maliciosas, começa nas bases da

instalação do sistema operacional. Mas não para por aí, atualmente há uma grande preocupação com o controle de acesso às redes corporativas, bem como com as facilidades oferecidas aos usuários, de carregarem consigo mídias removíveis, muitas vezes contendo informações importantes dos seus locais de trabalho, e que podem acabar expondo as estratégias e planos de negócios. A implantação dos mecanismos propostos na modelagem do projeto seguirá a seguinte estruturação:

O capítulo 4.1 tratará da instalação do Windows Server 2008-Enterprise Edition, recomendações de configuração, precauções com usuário administrador e AD (Active Directory) no servidor de testes.

O capítulo 4.2 tratará das diversas técnicas de segurança a serem aplicadas no host servidor. O capítulo 4.3 tratará das diversas técnicas de segurança a serem aplicadas no host cliente.

O capítulo 4.4 tratará das técnicas de controle de acesso.

4.1 Instalação do Server 2008 A instalação do Windows Server 2008 seguiu as mesmas características de instalação do Windows

Seven,das estações, pois sua interface é bastante similar. É recomendável ter um cuidado especial, quando da solicitação de alteração de senha antes do primeiro logon da conta Administrador. A senha deve ser complexa, contendo números e caracteres especiais, conforme a que foi aplicada em nosso experimento (!qweasd1). O Windows Server 2008 apresenta uma instalação modular, com um núcleo básico e serviços essenciais. Já na sua primeira inicialização apresenta um console de administração para instalação dos serviços adicionais desejados. Após a instalação do núcleo básico e serviços essenciais, foi então instalado o serviço de diretório que no Windows chama-se AD, para gerenciamento de contas de usuários, clientes, servidores e aplicações, bem como, efetuar a sincronização com diretórios existentes, reduzindo assim tarefas redundantes.

Após instalar o AD, foi criado o DC (Domain Controllers) TCC.ulbra. O DC é o servidor responsável pela administração centralizada dos equipamentos e usuários da rede, através do AD.

A seguir, instalado e configurado o DNS (Domain Name System) para resolução de nomes, uma vez que, toda a comunicação entre os equipamentos da rede é feita por numero de IP e sem o DNS os usuários teriam que decorar os números de IP da rede para acessar seus recursos. O DNS ficou integrado ao AD, evitando assim um tráfego desnecessário na rede e redução de eficiência. O serviço de DNS está disponível no painel de controle, em adicionar e remover programas, networking services, mas está presente, também no console de instalação de serviços do Windows Server 2008.

Quanto a estrutura do AD, foram criadas algumas UO’s(Unidades Organizacionais), que serviram

11

como subdivisões do domínio TCC.ulbra.br, para melhorar a organização dos objetos do ambiente corporativo. Os nomes escolhidos no emprego de UO tiveram ligação com os parâmetros de controle de acesso, para fins didáticos e vieram a facilitar a distribuição de permissões dos usuários nelas contidos. Assim criamos uma UO com nome de Depto1, outra de Depto2 e por fim Depto3.

A UO é um container, que contém contas de usuários, grupos e outros objetos. Ela é criada no Active Directory User and Computers, escolhendo o domínio desejado. As contas de usuário foram criadas dentro de UO’s, pois a criação de usuários no nível de domínio só aumentaria a complexidade de seu gerenciamento, sendo possível ainda após sua criação, trocar as contas de containers. A prática de criação de grupos, por sua vez, simplifica a administração da concessão de permissões aos usuários, as permissões são concedidas de uma vez só a todas as contas de um determinado grupo. Os nomes utilizados na criação das contas, também com fins didáticos, foram: Alice, Bob e Miguel. As senhas e suas características de segurança foram aplicadas no editor de gerenciamento da diretiva de grupo.

Os grupos ou conjunto de usuários prevêem duas variações: grupos de segurança e grupos de distribuição. Os grupos de segurança foram criados para negar ou permitir direitos a usuários ou computadores. Mensagens de correio eletrônico podem ser enviadas a um grupo de segurança, mas nos casos em que se utilizam aplicativos de distribuição como o Exchange Server, esse envio será feito por grupos de distribuição. É importante compreender que um grupo de distribuição não tem finalidade de segurança. Não havendo a necessidade de segurança no grupo, preferencialmente utilizam-se grupos de distribuição, pois estes melhoram o desempenho do logon.

Quanto ao escopo os grupos podem ser globais e locais, a estratégia de seu uso deve seguir as recomendações da Microsoft. Primeiro as contas de usuários são colocadas em grupos globais, depois os grupos globais são colocados em grupos de domínio local e por fim são concedidas permissões de recurso ao grupo local. O objetivo é organizar e reduzir a complexidade na gerência de permissões de acesso a recursos da rede.

As cotas de disco foram estabelecidas usando o gerenciador de servidores do Windows Server 2008, onde também foi atribuído o compartilhamento de pastas e seu acesso off-line.

Outro serviço ativado, no gerenciador de servidores, foi o Backup do Windows Server, e nele foram estabelecidas a freqüência e as pastas a serem copiadas em cada evento de backup, bem como o horário em que este seria efetuado. O console oferece opções de cópias completas, personalizadas ou incremental, de acordo com a política estabelecida pelo administrador da rede.

4.2 Técnicas de Segurança para o host Servidor Após a instalação do sistema operacional no servidor, foram efetuadas as atualizações recomendadas

pela Microsoft, mantendo ativado o serviço, para que sejam efetuadas regularmente e automaticamente. As invasões podem aproveitar vulnerabilidades do sistema, a correção dessas vulnerabilidades ocorre através de atualizações regulares disponibilizadas pelo fabricante. Para facilitar o trabalho do administrador da rede foi também instalado serviço WSUS (Windows Server Update Services), que serve como um gerenciador de atualizações, buscando as atualizações no Microsoft Update e depois distribuindo a todas as estações da rede, evitando tráfego desnecessário na rede, pois as atualizações são baixadas somente uma vez.

A escolha para política de filtragem do firewall aplicada foi Deny Everything (negar tudo), ou seja, o serviço ou endereço, que não for especificamente permitido será negado. Neste cenário, deve haver uma regra para cada tipo de tráfego que entrar no perímetro de defesa. Não havendo regra o pacote é descartado. O Windows Firewall with Advanced Security, é nativo do Windows Server 2008, e a exemplo do Windows Seven, é executado a partir da guia de busca, digitando a palavra firewall. Para permitir conexão remota, por exemplo, foi necessário ativar a regra de firewall para a porta 2383 TCP. A prática de usar o desbloqueio de portas no firewall pode oferecer um risco maior ao controle de invasões, pois a porta liberada ficará vulnerável a ataques externos. A melhor alternativa é o bloqueio de aplicações, que não deixa margens para que o hacker invada a LAN. O acesso remoto, para estações com Windows Seven, contou com um novo recurso, o DierctAccess, que fornece o acesso aos sistemas corporativos sem necessidade de uma VPN e um software cliente. Para usar o acesso remoto, foi necessário, através do gerenciador do servidor, instalar o serviço de função do Terminal Server. Testes de acesso a área de trabalho remoto foram realizados com Terminal Server, que se mostrou uma ótima ferramenta para ativação remota de serviços e funções adicionais ao servidor.

12

O Proxy foi instalado no servidor para compartilhar o acesso a internet entre as estações de rede local, os hosts da rede só podiam navegar na internet através do Proxy. Mas este serviço além de criar um fluxo de trafego controlado, também inclui um buffer que mantém as páginas acessadas na internet otimizando assim o uso de banda. Em conjunto com firewall, o Proxy tem papel importante no controle de acesso a páginas de internet.

O antivírus foi instalado e configurado no servidor e também nas estações, suas atualizações ocorriam em horários pré-determinados, à noite, para evitar baixas de desempenho na rede. A solução antivírus utilizada foi o Symantec Endpoint Protection, que contava com prevenção de invasões (IPS), funções de firewall, antispyware e antivírus, controle de aplicativos e de dispositivos. Possui também a característica de verificação proativa de ameaças identificando bons e maus comportamentos de aplicativos desconhecidos, defendendo assim contra ataques de dia zero e ameaças desconhecidas. Característica que ajuda a reduzir a incidência de falsos positivos. Possui ainda bloqueio de endpoints contra dispositivos USB evitando assim vazamento de informações e infecções provenientes de dispositivos periféricos.

Para estudar o comportamento dos hakers foram instaladas ferramentas auxiliares que utilizam técnicas de honeypot, um dos mecanismos usados pelos IDS/IPS. A ferramenta escolhida para o ambiente experimental foi: Valhala Honeypot - Free OpenSource Honeypot for Windows System, que tem a habilidade de simular servidores WEB, FTP, TFTP, POP3, ECHO, Daytime, SMTP, Finger e Port Forwarding e ainda portas de trojans conhecidos como o NETBUS. Foram configurados neste estudo apenas os servidores WEB e Telnet, conforme mostra a figura 3, com um detalhamento das configurações aplicadas no servidor Telnet. O invasor é levado a um ambiente paralelo a rede e nele são disponibilizadas as informações estabelecidas pelo administrador. Toda a invasão é monitorada e registrada, com a finalidade de estudar o comportamento do invasor. A ferramenta possui alertas que podem ser disparados até mesmo por e-mail, para que se possa acompanhar a invasão em tempo real se interessar.

Figura 3 – Configurações Honeypot

Como ferramenta de checklist foi utilizada a Microsoft MBSA (Microsoft Baseline Security Analyser), disponibilizada no site da Microsoft para download, e que apresenta uma console amigável com

13

um grande leque de funcionalidades. A ferramenta oferece recursos como:

• Verificar diretivas de segurança do AD, considerando, itens como senhas seguras e prazo para renovação;

• Verificar vulnerabilidades referentes ao sistema operacional e pacotes como o Office;

• Oferecer atualizações para correção das falhas encontradas;

• Links para downloads e documentação sobre como corrigir;

• Relatórios detalhado;

• Recomendações sobre softwares instalados. Os relatórios obtidos são bem completos como podemos ver, numa pequena amostra, na figura 4,

que segue:

Figura 4 – Console MBSA Relatório

Os arquivos de log também auxiliam no checkup do sistema, neles ficam registrados eventos de erro que podem levar a solução de problemas, para tanto foi ativado o visualizador de eventos nativo do Windows. A análise do conteúdo dos logs pode ser de grande utilidade para o administrador da rede, pois ajuda a prevenir falhas no sistema e evitar invasões resultantes de alguma vulnerabilidade existente. Infelizmente, às vezes é necessária a leitura de um log para rastrear informações de algum evento de invasão já ocorrido, na intenção de identificar qual host ou quais hosts foram os responsáveis e também quais métodos foram utilizados na invasão.

4.3 Técnicas de Segurança para o host Cliente As estações testadas continham Windows Seven e para segurança local foi instado o antivírus Avast

Free 5.0.677 .O antivírus contém proteção contra vírus, spyware e outras formas de software malicioso. Possui anti-rootkit em tempo real que atua no kernel, detectando e parando os rootkits antes que executem ações maliciosas. Além disso, está equipado com um emulador de código, que ao detectar um executável suspeito emula o código do programa em um ambiente isolado. Sua interface é bem simples e não oferece dificuldade de configuração. Em seus módulos residentes, permite ajustes de sensibilidade, visualização de relatórios e gráficos de histórico de tráfego. As varreduras podem ser completas ou rápidas e ainda oferece

14

opção para pastas e mídias removíveis.

O acesso nas estações ficou limitado ao domínio TCC.ulbra.br, e para o acesso local, era necessário a senha de administrador local, impedindo assim que usuários conseguisse acessar o domínio para efetuar desativação das ferramentas de proteção no host. Todas as instalações de aplicativos novos necessitavam de senha do administrador do domínio. Esse procedimento de segurança serviu para evitar que auto-executáveis se instalassem indevidamente, a até mesmo instalações manuais trouxessem consigo algum trojan ou malware comprometendo assim a segurança de toda a rede local.

A Proteção dos dispositivos de entrada como portas USB, tem um papel importante na segurança da informação. As portas USB foram travadas com senha através de software, chamado USB Blocker, que impede que dispositivos não cadastrados possam inserir programas maliciosos, worms e vírus no endpoint.

Foram inibidas também as ferramentas administrativas, painel de controle, configurações de rede, impressoras, conexão de mídias removíveis e as propriedades do sistema de modo a impedir alterações originadas pelo usuário através do console de gerenciamento de políticas de grupo (GPO). Foi desativado o editor de registros com o comando gpedit.msc, para que o registro do Windows não pudesse ser alterado pelo usuário ou usuários do host cliente.

O firewall nas estações foi configurado de maneira a bloquear todas as conexões e programas que não estejam na lista de programas permitidos. Foram desativados todos os avisos referentes a notificações de novos bloqueios, evitando assim que os usuários optassem em desbloqueá-los. A prática de desbloqueio de programas no firewall torna o ambiente menos seguro, porém é importante perceber que o risco maior está no desbloqueio de portas de serviços, pois estas portas poderiam facilitar o acesso de hakers no sistema tornando todas as outras técnicas de segurança vulneráveis.

Entre as proteções, nativas, disponíveis no sistema operacional Windows Seven, está também um recurso que ajuda o usuário a manter os discos locais protegidos com criptografia. Trata-se da ferramenta BitLocker, que quando ativada criptografa a unidade de disco toda, e sempre que algum arquivo novo é incluído ou copiado nesta unidade, recebe também a criptografia. Esse procedimento torna o conteúdo do disco imune aos hakers que queiram obter informações sobre senhas ali gravadas. Ao criptografar a unidade de sistema, a ferramenta verifica, na inicialização do sistema, se há algum tipo de risco que possa comprometer a segurança. Se detectado risco a unidade é bloqueada e solicita a senha previamente cadastrada na ativação do BitLocker. É possível desativar a ferramenta a qualquer momento, sem comprometer os dados do disco. Este item da segurança foi adicionado às estações em seu domínio local e os usuários não tiveram necessidade de nenhum tipo de orientação sobre o uso dele.

As atualizações de sistema são importantes para evitar ou corrigir problemas e melhorar o funcionamento do computador, o agendamento dessas atualizações foi incluído no Windows Server Update Services do servidor de domínio TCC.ulbra.br, para que sejam efetivadas de uma só vez sem intervenção do administrador da rede.

4.4 Técnicas de Controle de Acesso Foi ativado o IIS 7.0 em conjunto com o Authorization Manager, como ferramenta RBAC,

observando três níveis de função no ambiente experimental. As funções seguiram níveis de permissão, onde o menor nível era o da função Técnico e o maior o da função Gerente. Foram criados três níveis de papéis: Técnico, Supervisor e Gerente, e também três contas de usuários, Alice, Bob e Miguel. A figura 5 mostra esta disposição das funções por usuário.

Figura 5 – Escopo usuários X funções

Alice

Técnico

Permissão1

Bob

Supervisor

Permissão2

Miguel

Gerente

Permissão3

15

A configuração do RBAC deste cenário trouxe facilidades na administração das permissões por usuário. Para efetuar alterações de função dentro da hierarquia, era necessário apenas copiar a conta de usuário para a nova função e excluir da função anterior, sem necessidade de mudanças nas permissões.

As configurações de permissões por funções foram efetuadas no IIS 7.0, obedecendo a critérios pré-estabelecidos, conforme mostra a Tabela 2 e de acordo com a criação de grupos e contas no AD.

Tabela 2 – Permissões por funções

Aplicação Papel Permissão Negação

AppWeb Técnico Acesso a URL (Todos)

AppWeb Supervisor Acesso a URL (Todos)

AppWeb Gerente Acesso a URL (Todos) Miguel (Algumas URL’s)

Todos os passos de ativação que seguem serviram para demonstrar uma das muitas possibilidades de uso do RBAC em uma plataforma Windows Server 2008.

Foi necessário instalar as funções de Servidor Web IIS 7.0 e vários serviços de função, sendo os principais:

• Desenvolvimento de aplicativos (ASP, ASP.NET, Extensibilidade.NET);

• Segurança (Autorização de URL).

Após as instalações, foram realizadas configurações no console de autorização do IIS onde estava o diretório virtual “tcc” no Default Web Site que continha a aplicação web para testes. Nas regras adicionadas, a atribuição era possível de ser ativada tanto para os usuários, quanto para suas funções. Nas figuras 6 e 7 seguem algumas das implementações de regras que foram utilizadas no experimento.

16

Figura 6 – Permissão Concedida a Todos os Usuários O exemplo da figura 6 mostra que para o diretório compartilhado “tcc” a permissão de acesso foi concedida as funções “Supervisor e Gerente”, e negada à função “Técnico”, todos também cadastrados como grupos no AD. Já na figura 7 acrescenta uma restrição de acesso ao usuário “Miguel”, com função de gerente, para a operação de “Consulta Listagem de Clientes” URL chamada ListaClientesFiltro.asp. Os resultados obtidos estão representados nas figuras 8 e 9.

Figura 7 – Restrição de Acesso à uma URL

A coluna “Verbos” pode ser utilizada por desenvolvedores ASP e ASP.NET, entre outras linguagens, para a inclusão de regras por módulos isolados, permitindo ou negando acessos nas URL’s. Não fazia parte deste estudo de caso, criar filtros mais elaborados que utilizem linguagens de programação, e sim mostrar algumas das facilidades oferecidas pelo controle de acesso RBAC.

17

Figura 8 – Resultado Obtido no Teste de Controle de Acesso RBAC

Figura 9 – Resultado Obtido no Teste de Controle de Acesso RBAC

No console do Gerenciador de Autorização as possibilidades de configuração são muito amplas, oportunizando um grande número de definições de regras. É possível criar regras por definição de função, de tarefa ou de operação. Na figura 10, que segue, podemos ver um exemplo de atribuição de função, onde o usuário tinha permissão apenas de leitura na aplicação WebApp, mesma atribuição que seria possibilitada pelo AD, mas aqui sendo gerenciada pelo Authorization Manager.

18

Figura 10 – Console do Authorization Manager

Entre as políticas de segurança é importante ressaltar que a autenticação gerenciada pelo AD no servidor de dados usado no desenvolvimento de bloqueios, auxilia muito na proteção dos dados. As configurações do Gerenciador de Autorizações, também garantem proteção, dificultando muito o trabalho do hacker. Em casos de incidentes de segurança, que fatalmente ocorrem, as chances da invasão causar alguma perda de informações, devem ser previstas e calculadas, ou seja, um acesso que ocorra através de conta de usuário que possua baixo nível de permissão, não terá grande impacto a corporação.

Os recursos do RBAC podem ser ampliados ainda mais, não apenas no que diz respeito a acessos de usuários de um domínio, mas também em cenários de virtualização de servidor, um dos assuntos em destaque no mundo de TI, na atualidade. O surgimento de equipamentos multiprocessados com tecnologia x64, permitiu que fosse desenvolvido o Windows Server 2008 Hyper-V, que possibilita o uso do RABC na gerencia de autorizações. No caso do Hyper-V, através do Authorization Manager, também é possível estabelecer permissões nos níveis de função, tarefa ou operação, quais sejam, tarefas como controle total ou somente leitura, controle avançado de tarefas como permitir acessos de entrada ou saída de máquinas virtuais, permissão para criação de nova VM (Virtual Machine) entre outras opções. Configurações voltadas à permissão de acesso a grupos ou indivíduos, também são facilitadas no Gerenciador de Autorização, a console é bastante amigável tornando a tarefa muito simples para o administrador da rede. Não fez parte do escopo desse projeto a implementação de virtualização de servidores, ficando assim a possibilidade de testes mais aprofundados dessa técnica em trabalho ou estudos futuros.

5 CONCLUSÃO Este artigo apresentou como podem ser aplicadas diversas formas de prevenção aos dados e sistemas,

sejam eles das empresas ou pessoais, de forma a evitar perdas e prejuízos desnecessários. Destacou também a importância da implantação de políticas de segurança, que ajudem a estabelecer normas e responsabilidades aos colaboradores.

Dentre as técnicas aplicadas neste trabalho, um destaque especial foi dado ao controle de acesso RBAC, regido por funções ou papéis desempenhados dentro das empresas, fortalecendo ainda mais as defesas contra invasões e perdas relevantes. Foi possível concluir que com o controle de acesso do IIS no Server 2008, o administrador da rede pode subdividir as tarefas entre os usuários e grupos do AD, controlando ainda os níveis de acesso por funções desempenhadas na empresa. Com apenas um bloqueio de acesso a URL, conforme demonstrado neste artigo, foi possível controlar quais gerentes de um departamento

19

poderiam acessar toda a aplicação ou parte dela, ampliando assim os recursos do AD.

Ao final dos estudos ficou claro que a segurança da informação depende de um conjunto estruturado de boas práticas e não de uma ferramenta padrão, que possa ser aplicada em todos os casos que se necessite de segurança de TI. Um grande destaque deve ser dado ao comportamento dos usuários dos serviços disponibilizados, no local de trabalho, pois a engenharia social continua abrindo portas para hakers, crackers e outros indivíduos que fazem parte do universo de invasores maliciosos, e suas técnicas de destruição do patrimônio alheio.

Os hosts finais ou endpoints, sempre serão motivo de preocupação por parte dos administradores das redes, pois uma simples ação indevida de um dos usuários pode comprometer todo o trabalho de segurança desenvolvido e nenhuma técnica disponível será suficiente para impedir um incidente.

REFERÊNCIAS Ferreira, Fernando Nicolau Freitas - Araújo, Márcio Tadeu de. Política de Segurança da Informação - Guia Prático para Elaboração e Implementação Rio de Janeiro: Editora Ciência Moderna Ltda., 2ª edição 2008.

BATTISTI, Júlio. Windows Server 2003 Curso Completo. Rio de Janeiro: Axcel Books do Brasil Editora, 2003.

Gasparini, A. (2004) Infra Estrutura, Protocolos e Sistemas Operacionais de LANs – Redes Locais, São Paulo, Érica.

Snort Brasil - The Open Source Network Intrusion Detection System < http://www.snort.com.br>

ET Nakamura, PL de Geus - Berkley Brasil: São Paulo - novateceditora.com.br Segurança de Redes em Ambientes Cooperativos 2007 <http://www.novateceditora.com.br/livros/segred/capitulo9788575221365.pdf >

TANENBAUM, Andrew S. - Computer Networks - 4a edição EDITORA CAMPUS

DA SILVA, Edemilson dos Santos - PUC Paraná. Dezembro, 2004 – Dissertação de Pós Graduação - biblioteca.pucpr.br < http://www.biblioteca.pucpr.br/tede/tde_arquivos/14/TDE-2005-09-15T065633Z-183/Publico/edemilson%20dos%20santos%20da%20silva.pdf >

JUNIOR, Julio Steffen – Instituto de Ciências Exatas e Tecnológicas do Centro Universitário FEEVALE – Junho,2003 – Monografia Bacharel em Ciência de Computação - Intrusion Detection Systems – IDS.

Northcutt, Stephen; Zeltser, Lenny; Winters, Scott; Frederick, Karen k.; Ritchey, Ronald W. Desvendando Segurança de Redes - Rio de Janeiro: Campus 2002

Norma Brasileira ABNT NBR ISO/IEC 27002:2005 MOUNTAIN VIEW, Califórnia – 07 de junho de 2010 Symantec Corp. (Nasdaq: SYMC) <http://geekstorm.com.br/seguranca/estudo-da-symantec-revela-que-pequenas-e-medias-empresas-avaliam-protecao-das-informacoes-como-prioridade-de-ti/#ixzz149CABi4X>