red hat enterprise linux 5 deployment guide pt br

Red Hat Enterprise Linux 5Deployment Guide

Deployment, configuration and administration of Red Hat Enterprise Linux5

Edio 6

Red Hat Enterprise Linux 5 Deployment Guide 1

Nota LegalCopyright 2007, 2008, 2009, 2010 Red Hat Inc..

The text of and illustrations in this document are licensed by Red Hat under a Creative CommonsAttributionShare Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available athttp://creativecommons.org/licenses/by-sa/3.0/. In accordance with CC-BY-SA, if you distribute thisdocument or an adaptation of it, you must provide the URL for the original version.

Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section4d of CC-BY-SA to the fullest extent permitted by applicable law.

Red Hat, Red Hat Enterprise Linux, the Shadowman logo, JBoss, MetaMatrix, Fedora, the Infinity Logo,and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries.

Linux is the registered trademark of Linus Torvalds in the United States and other countries.

Java is a registered trademark of Oracle and/or its affiliates.

XFS is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United Statesand/or other countries.

MySQL is a registered trademark of MySQL AB in the United States, the European Union and othercountries.

All other trademarks are the property of their respective owners.

1801 Varsity DriveRaleigh, NC 27606-2072 USAPhone: +1 919 754 3700Phone: 888 733 4281Fax: +1 919 754 3701

2 Nota Legal

ResumoThe Deployment Guide documents relevant information reegarding the deployment, configuration andadministration of Red Hat Enterprise Linux 5.


ndiceIntroduo

1. Convenes de Documentos2. Envie-nos sua Opinio

I. Autenticao e Segurana

1. Viso Geral de Segurana1.1. Avaliao de Vulnerabilidade

1.1.1. Pensando Como o Inimigo1.1.2. Definindo Avaliao e Testes1.1.3. Avaliando as Ferramentas

1.2. Atacantes e Vulnerabilidades1.2.1. Uma Breve Histria sobre Hackers1.2.2. Ameaas Segurana da Rede1.2.3. Ameaas Segurana do Servidor1.2.4. Ameaas Segurana de Estaes de Trabalho e PCs

1.3. Exploits e Ataques Freqentes1.4. Atualizaes de Segurana

1.4.1. Atualizando Pacotes

2. Assegurando sua Rede de Trabalho2.1. Segurana de Estaes de Trabalho

2.1.1. Avaliando a Segurana de Estaes de Trabalho2.1.2. Segurana do BIOS e do Carregador de Inicializao2.1.3. Segurana da Senha2.1.4. Controles Administrativos2.1.5. Servios de Rede Disponveis2.1.6. Firewalls Pessoais2.1.7. Ferramentas de Comunicao com Segurana Aprimorada

2.2. Segurana do Servidor2.2.1. Protegendo Servios com TCP Wrappers e xinetd2.2.2. Protegendo o Portmap2.2.3. Protegendo o NIS2.2.4. Protegendo o NFS2.2.5. Protegendo o Servidor HTTP Apache2.2.6. Protegendo o FTP2.2.7. Protegendo o Sendmail2.2.8. Verificando Quais Portas esto Escutando

2.3. Single Sign-on (SSO)2.3.1. Introduo2.3.2. Iniciando seu Carto Inteligente2.3.3. Como Funciona o Registro do Carto Inteligente2.3.4. Como Funciona a Autenticao do Carto Inteligente2.3.5. Configurando o Firefox para usar o Kerberos para SSO.

2.4. Mdulos de Autenticao Plugveis (Pluggable Authentication Modules - PAM)2.4.1. Vantagens do PAM2.4.2. Arquivos de Configurao do PAM2.4.3. Formato do Arquivo de Configurao do PAM2.4.4. Exemplos de Arquivos de Configurao do PAM2.4.5. Criando Mdulos PAM2.4.6. O PAM e o Caching de Credenciais Administrativas

4 ndice

2.4.7. O PAM e a Propriedade de Dispositivos2.4.8. Recursos Adicionais

2.5. TCP Wrappers e xinetd2.5.1. TCP Wrappers2.5.2. Arquivos de Configurao do TCP Wrappers2.5.3. xinetd2.5.4. Arquivos de Configurao do xinetd2.5.5. Recursos Adicionais

2.6. Kerberos2.6.1. O que o Kerberos?2.6.2. Terminologia do Kerberos2.6.3. Como o Kerberos Funciona2.6.4. Kerberos e PAM2.6.5. Configurando o Servidor Kerberos 52.6.6. Configurando um Cliente Kerberos 52.6.7. Mapeamento Domnio-para-territrio2.6.8. Configurando KDCs Secundrios2.6.9. Configurando a Autenticao Cross-Realm - (Cross Realm Authentication)2.6.10. Recursos Adicionais

2.7. Redes Privadas Virtuais (Virtual Private Networks - VPNs)2.7.1. Como um VPN Funciona?2.7.2. VPNs e o Red Hat Enterprise Linux2.7.3. IPsec2.7.4. Criando uma Conexo IPsec2.7.5. Instalao do IPsec2.7.6. Configurao Host-a-Host do IPsec2.7.7. Configurao Rede-a-Rede do IPsec2.7.8. Iniciando e Parando uma Conexo IPsecConnection

2.8. Firewalls2.8.1. Netfilter 62.8.2. Configuraes Bsicas de Firewall2.8.3. Usando IPTables2.8.4. Filtros de IPTables Comuns2.8.5. Regras FORWARD e NAT2.8.6. Software Malicioso e Endereos IP Falsificados (spoofed)2.8.7. IPTables e Rastreamento de Conexo2.8.8. IPv62.8.9. Recursos Adicionais

2.9. IPTables2.9.1. Filtragem de Pacotes2.9.2. Diferenas entre IPTables e IPChains2.9.3. Opes de Comando para o IPTables2.9.4. Salvando Regras do IPTables2.9.5. Scripts de Controle do IPTables2.9.6. IPTables e IPv62.9.7. Recursos Adicionais

3. Segurana e SELinux3.1. Mecanismos de Controle de Acesso (ACM)

3.1.1. Controle de Acesso Discricionrio (DAC)3.1.2. Controle de Acesso Obrigatrio (MAC)3.1.3. Controle de Acesso baseado na Funo (RBAC)3.1.4. Segurana de Nvel Mltiplo (MLS)


3.2. Introduo ao SELinux3.2.1. Viso Geral do SELinux3.2.2. Arquivos Relacionados ao SELinux3.2.3. Recursos Adicionais

3.3. Breves Fundamentos e Histria do SELinux3.4. Segurana de Nvel Mltiplo (MLS)

3.4.1. Porque Nvel Mltiplo?3.4.2. Nveis de Segurana, Objetos e Assuntos.3.4.3. Poltica MLS3.4.4. Certificao LSPP

4. Padronizando a Poltica do SELinux4.1. Apresentao

4.1.1. Poltica modular

4.2. Construindo um Mdulo de Poltica Local4.2.1. Usar o audit2 permite a Construo de um Mdulo de Poltica Local.4.2.2. Analisando o Arquivo T ipo Enforcement (TE)4.2.3. Carregando o Pacote de Poltica

5. Referncias

A. Revision History

6. Colophon

6 ndice

IntroduoBem-vindo ao Guia de Implementao do Red Hat Enterprise Linux .

O Guia de Implementao do Red Hat Enterprise Linux contm informaes sobre como padronizar seusistema do Red Hat Enterprise Linux para melhor se adequar s suas necessidades. Se voc estiver procura de um guia compreensivo e prtico para configurar e padronizar seu sistema, este manual seadequa perfeitamente voc.

Este guia presume que voc possui um entendimento bsico de seu sistema Red Hat Enterprise Linux.Se voc precisar de ajuda para instalar o Red Hat Enterprise Linux, consulte o Guia de Instalao doRed Hat Enterprise Linux .

1. Convenes de DocumentosNeste manual, certas palavras so representadas em fontes diferentes, tipo de letras, tamanhos epesos. Este realce sistemtico pois palavras diferentes so representadas no mesmo estilo paraindicar sua incluso em uma categoria especfica. Os tipos de palavras que so representados destaforma incluem o seguinte:

command

Os comandos Linux (e outros comandos de sistema de operao, quando usados) sorepresentados desta forma. Este estilo deve lhe indicar que voc pode digitar a palavra oufrase na linha de comando e pressionar Enter para invocar um comando. As vezes, umcomando contm palavras isoladas que poderiam aparecer com um estilo diferente (comonomes de arquivos). Nestes casos, eles so considerados como parte do comando, portanto afrase inteira apresentada como um comando. Por exemplo:

Use o comando cat testfile para visualizar o contedo de um arquivo, chamado testfile, no diretrio de trabalho atual.

file name

Nomes de arquivos, nomes de diretrios, caminhos e nomes de pacotes RPM sorepresentados desta forma. Este estilo indica que um arquivo em particular ou diretrio existemcom aquele nome no seu sistema. Exemplos:

O arquivo .bashrc em seu diretrio home contm definies de janelas bash e aliases paraseu prprio uso.

O arquivo /etc/fstab contm informaes sobre diferentes dispositivos de sistemas esistemas de arquivo.

Instale o RPM webalizer se voc deseja usar um programa de anlise de arquivo de registrode um servidor da Web.

application

Este estilo indica que o programa um aplicativo de usurio final (oposto ao software desistemas). Por exemplo:

Use Mozilla para navegar na Web.

key


Uma tecla do teclado apresentada neste estilo. Por exemplo:

Para usar a concluso Tab, para listar arquivos especficos em um diretrio, digite ls seguidode umcaractere e finalmente pressione a tecla Tab. Seu terminal mostrar a lista de arquivosno diretrio que comear com esta letra.

key+combination

A combinao de teclas representada da seguinte forma:

A combinao das teclas Ctrl+Alt+Backspace sai da sesso grfica e retorna para suatela de registro grfico ou para o console.

text found on a GUI interface

Um ttulo, palavra ou frase, encontrada em uma tela ou janela de interface GUI so exibidosneste estilo. O texto exibido neste estilo indica uma tela ou um elemento GUI em especfico emuma tela GUI (tal como o texto associado caixa de seleo ou campo). Exemplo:

Selecione o tem Requer Senha se voc quiser que seu descanso de tela requeira umasenha antes de parar.

top level of a menu on a GUI screen or window

Uma palavra neste estilo indica que a palavra o nvel mais alto de um menu suspenso. Sevoc clicar em uma palavra na tela GUI, dever aparecer o restante do menu.

Dentro de um Arquivo em um terminal GNOME, a opo Nova Aba permite que voc abramltiplas janelas de comando, na mesma janela.

As instrues para inserir uma sequncia de comandos a partir do menu GUI, se parecem como exemplo a seguir:

Go to Applications (the main menu on the panel) > Programming > Emacs Text Editor tostart the Emacs text editor.

button on a GUI screen or window

Este estilo indica que um texto pode ser encontrado em um boto clicvel em uma tela GUI. Porexemplo:

Clique no boto Retornar para retornar ltima pgina da web vista.

computer output

O texto neste estilo indica o texto exibido para uma janela de comando, tais como mensagensde erro e respostas comandos. Por exemplo:

O comando ls exibe o contedo de um diretrio. Por exemplo:

Desktop about.html logs paulwesterberg.pngMail backupfiles mail reports

A sada retornou em resposta ao comando (neste caso, o contedo do diretrio) apresentado neste estilo.

8 Introduo

prompt

A prompt, which is a computer's way of signifying that it is ready for you to input something, isshown in this style. Examples:

$

#

[stephen@maturin stephen]$

leopard login:

user input

O texto que o usurio digita, tanto na linha de comando quanto na caixa de texto em uma telaGUI, exibida neste estilo. No seguinte exemplo, text exibido neste estilo:

Para inicializar seu sistema no texto baseado no programa de instalao, voc deve digitar nocomando text no prompt boot:

Text used in examples that is meant to be replaced with data provided by the user is displayedin this style. In the following example, is displayed in this style:

The directory for the kernel source is /usr/src/kernels//, where is the version and type of kernel installed on this system.

Alm disso, utilizamos de diferentes estratgias para chamar sua ateno sobre algumas informaesespecficas. Em ordem de urgncia, estes tens so marcados como uma nota, dica, importante, atenoou aviso. Por exemplo:

Nota

Lembre-se que o Linux diferencia entre maisculas e minsculas. Em outras palavras, uma rosano uma ROSA e nem uma rOsA.

Tip

O diretrio /usr/share/doc/ contm documentao adicional para pacotes instalados em seusistema.

Importante

Se voc modificar o arquivo de configurao DHCP, as mudanas no surtem efeito at que vocreinicie o daemon DHCP.


Ateno

No realize as tarefas de rotina com uma conta de usurio root , use uma conta de usurioregular, a no ser que voc precise usar a conta root para realizar tarefas de administrao desistemas.

Aviso

Tenha cuidado para remover somente parties necessrias. A remoo de outras partiespoderia resultar em perda de dados ou um ambiente de sistemas corrompido.

2. Envie-nos sua OpinioSe voc encontrar um erro de digitao no Guia de Implementao do Red Hat Enterprise Linux ou sepensou em algo que possa melhorar este manual, ns adoraramos saber! Por favor submeta umrelatrio no Bugzilla (http://bugzilla.redhat.com/bugzilla/) sobre o componente Deployment_Guide.

Se voc tiver alguma sugesto para melhorar a documentao, tente ser o mais especfico possvel. Seencontrou um erro, por favor inclua o nmero da seo e alguns trechos do texto prximo ao erro paraque possamos encontr-lo facilmente.

10 Introduo

Parte I. Autenticao e SeguranaA Red Hat Enterprise Linux oferece uma variedade de ferramentas e mtodos para servir como parte deuma estratgia de segurana compreensiva, no importando se os administradores de sistemaprecisam assegurar seus sistemas de misso crtica, servios ou dados.

Este captulo oferece uma apresentao geral da segurana e especificamente a partir do ponto devista do Red Hat Enterprise Linux. Ele oferece informao conceitual nas reas de avaliao desegurana, exploits comuns e resposta intruso e incidentes. Tambm oferece informao sobreconfigurao especfica e conceitual para incrementar a segurana de implementaes Workstation,Server, VPN, firewall, dentre outras, utilizando o SELinux.

Este captulo presume que os usurios j possuam um conhecimento bsico de segurana de TI econseqentemente oferece somente cobertura mnima de prticas de segurana comum, tais como,controle de acesso fsico, polticas e procedimentos profundos de contabilidade, auditoria, etc. Quandoapropriado, a consulta realizada nos recursos externos para esta e qualquer outra informaorelacionada.


Captulo 1. Viso Geral de SeguranaIndstrias de segurana de computadores pessoais e de rede formaram-se devido ao aumento nadependncia de computadores potentes, em rede, para auxiliar na administrao de negcios e mantercontrole sobre informaes pessoais. Empresas angariaram o conhecimento e a percia deespecialistas em segurana para conduzir a auditoria de sistemas de forma adequada e fornecersolues sob medida para as exigncias operacionais da organizao. Devido natureza dinmica damaioria das organizaes, com funcionrios acessando recursos de TI, tanto dentro da empresaquanto remotamente, houve uma maior demanda de ambientes seguros de computao.

Infelizmente, a maioria das organizaes (assim como indivduos) consideram aspectos de seguranatarde demais, ignorando este processo em favor de mquinas mais velozes, e por questes deprodutividade e oramentrias. Protocolos de segurana adequados so normalmente efetivadospostmortem aps a ocorrncia de uma intruso no autorizada. Especialistas em seguranaconcordam que a tomada de medidas corretas antes de conectar um site uma rede no confivel,como a internet, uma forma eficiente de frustrar a maioria das tentativas de intruso.

1.1. Avaliao de VulnerabilidadeDados o tempo, os recursos e a motivao necessrios, um cracker pode violar praticamente qualquersistema. No final das contas, todos os procedimentos e tecnologias de segurana atualmentedisponveis no podem garantir que quaisquer sistemas estejam protegidos contra intrusos.Roteadores ajudam a proteger suas portas de comunicao (gateways) com a Internet. Firewallsajudam a proteger os limites da rede. Redes Privadas Virtuais podem transferir dados com seguranaatravs de informaes criptografadas. Sistemas de deteco de intruso podem alert-lo sobreatividades malficas. No entanto, o sucesso de cada uma destas tecnologias depende de diversasvariveis, incluindo:

A percia dos funcionrios responsveis pela configurao, monitorao e manuteno dastecnologiasA habilidade em consertar e atualizar servios e kernels eficiente e rapidamenteA habilidade dos responsveis em manter viglia constante sobre a rede

Dado o dinamismo de sistemas e tecnologias de dados, proteger recursos corporativos pode serbastante complexo. Devido essa complexidade, geralmente difcil encontrar peritos para todos osseus sistemas. Enquanto possvel ter pessoal com conhecimento em muitas reas de segurana dainformao em um alto nvel, difcil reter funcionrios que so peritos em mais do que algumas reas.Isto ocorre principalmente porque cada rea de segurana da informao requer constante ateno efoco. A segurana da informao no para.

1.1.1. Pensando Como o Inimigo

Suppose that you administer an enterprise network. Such networks are commonly comprised ofoperating systems, applications, servers, network monitors, firewalls, intrusion detection systems, andmore. Now imagine trying to keep current with each of these. Given the complexity of today's softwareand networking environments, exploits and bugs are a certainty. Keeping current with patches andupdates for an entire network can prove to be a daunting task in a large organization withheterogeneous systems.

Com a combinao da necessidade de contar com peritos e a tarefa de manter-se sempre atualizado,torna-se inevitvel que incidentes adversos ocorram, sistemas sejam violados, dados corrompidos eservios interrompidos.

Para aprimorar as tecnologias de segurana e auxiliar na proteo de sistemas, redes e dados, vocdeve pensar como um cracker e medir a segurana de seus sistemas verificando suas fraquezas.Avaliaes preventivas de vulnerabilidades em seus prprios sistemas e recursos de rede podem

12 Captulo 1. Viso Geral de Segurana

revelar questes potenciais a serem consideradas antes de um cracker explor-las.

Se tivesse que executar uma avaliao de vulnerabilidade da sua casa, voc provavelmente verificariacada uma das portas para certificar-se de que elas esto fechadas e trancadas. Voc tambm checariacada janela, assegurando que esto completamente fechadas e corretamente travadas. O mesmoconceito se aplica aos sistemas, redes e dados eletrnicos. Usurios maldosos so os ladres evndalos de seus dados. Foque em suas ferramentas, mentalidade e motivaes, e voc poder reagirrapidamente s suas aes.

1.1.2. Definindo Avaliao e Testes

As avaliaes de vulnerabilidade podem ser divididas em dois tipos: De fora olhando para dentro e dedentro olhando ao redor.

When performing an outside looking in vulnerability assessment, you are attempting to compromise yoursystems from the outside. Being external to your company provides you with the cracker's viewpoint. Yousee what a cracker sees publicly-routable IP addresses, systems on your DMZ, external interfaces ofyour firewall, and more. DMZ stands for "demilitarized zone", which corresponds to a computer or smallsubnetwork that sits between a trusted internal network, such as a corporate private LAN, and anuntrusted external network, such as the public Internet. Typically, the DMZ contains devices accessibleto Internet traffic, such as Web (HTTP ) servers, FTP servers, SMTP (e-mail) servers and DNS servers.

Ao executar uma avaliao de vulnerabilidade de dentro olhando ao redor, voc est, de certa maneira,em vantagem j que voc interno e seu status elevado a confivel. Esse o ponto de vista que voce seus colegas de trabalho tm ao se autenticarem em seus sistemas. Voc v servidores deimpresso, servidores de arquivos, bancos de dados e outros recursos.

H diferenas notveis entre estes dois tipos de avaliao de vulnerabilidade. Quando voc est dentrode sua empresa, voc possui privilgios mais elevados que qualquer entidade externa. Ainda hoje emalgumas empresas, a segurana configurada de modo a manter os intrusos fora. Muito pouco feitopara proteger os internos da empresa (tais como firewalls departamentais, controles de acesso no nvelde usurio, procedimentos de autenticao para recursos internos e outros). Geralmente, h muito maisrecursos quando estamos dentro olhando ao redor dado que a maioria dos sistemas so internos uma empresa. Uma vez que voc se coloca fora da empresa, imediatamente ter o status no confivel.Os sistemas e recursos disponveis a voc externamente so freqentemente muito limitados.

Considere a diferena entre as avaliaes de vulnerabilidade e testes de penetrao. Pense em umaavaliao de vulnerabilidade como o primeiro passo de um teste de penetrao. As informaes obtidasna avaliao sero utilizadas nos testes. Enquanto a avaliao verifica deficincias e vulnerabilidadespotenciais, os testes de penetrao tentam explorar os resultados.

O processo de avaliao da infra-estrutura de rede dinmico. A segurana de ambos, da informao efsica, dinmica. Executar uma avaliao traz uma viso geral, que pode incluir falsos positivos efalsos negativos.

Administradores de segurana so to bons quanto as ferramentas que usam e o conhecimento quepossuem. Pegue qualquer uma das ferramentas de avaliao disponveis, execute-as em seu sistema,e quase certo que haja pelo menos alguns falsos positivos. O resultado o mesmo, seja por erro doprograma ou do usurio. A ferramenta pode encontrar vulnerabilidades que na realidade no existem(falsos positivos) ou, pior ainda, ela pode no detectar vulnerabilidades que realmente existem (falsosnegativos).

Agora que a diferena entre avaliao de vulnerabilidade e teste de penetrao est definida, recomendvel revisar os resultados da avaliao cuidadosamente antes de conduzir um teste depenetrao como parte de sua nova ttica para as melhores prticas.


Ateno

Tentar explorar vulnerabilidades em recursos de produo pode resultar em efeitos adversos naprodutividade e eficincia de seus sistemas e rede.

A lista a seguir examina alguns dos benefcios em executar avaliaes de vulnerabilidade.

Cria foco pr-ativo na segurana da informaoEncontra exploits potenciais antes que os crackers os encontremResulta em sistemas sendo mantidos atualizados e consertadosPromove o crescimento e ajuda a desenvolver as habilidades dos funcionriosReduz perdas financeiras e publicidade negativa

1.1.2.1. Estabelea uma Metodologia

Para auxiliar na seleo de ferramentas para a avaliao de vulnerabilidade, til estabelecer umametodologia de avaliao de vulnerabilidade. Infelizmente, no h nenhuma metodologia pr-definida ouaprovada pelo setor no momento, porm bom senso e as melhores prticas podem agir suficientementecomo guias.

Qual o alvo? Ns estamos verificando um servidor, ou verificando nossa rede inteira e tudo que hnesta rede? Somos internos ou externos empresa? As respostas estas questes so importantes,pois ajudam a determinar no apenas quais ferramentas selecionar, mas tambm a maneira como soutilizadas.

Para aprender mais sobre o estabelecimento de metodologias, consulte os seguintes sites:

http://www.isecom.org/projects/osstmm.htm The Open Source Security Testing MethodologyManual (O Manual de Metodologia de Testes de Segurana Open Source)http://www.owasp.org/ The Open Web Application Security Project (O Projeto Livre de Segurana deAplicaes Web)

1.1.3. Avaliando as Ferramentas

Uma avaliao pode comear com o uso de alguma forma de ferramenta de coleta de informaes. Aoavaliar a rede inteira, primeiramente mapeie o layout para encontrar mquinas que estejam rodando.Aps localiz-las, examine cada mquina separadamente. O exame de cada uma destas mquinasrequer um outro conjunto de ferramentas. Saber quais ferramentas utilizar pode ser o passo crucialpara encontrar vulnerabilidades.

Assim como em qualquer aspecto do cotidiano, h muitas ferramentas diferentes que desempenham amesma funo. Este conceito tambm se aplica execuo das avaliaes de vulnerabilidade. Hferramentas especficas para sistemas operacionais, para aplicaes e at mesmo para redes(baseadas nos protocolos utilizados). Algumas ferramentas so gratuitas e outras no. Algumasferramentas so intuitivas e fceis de utilizar, enquanto outras so enigmticas e mal documentadas,mas possuem funcionalidades que outras no possuem.

Encontrar as ferramentas corretas pode ser uma tarefa desalentadora, e no final das contas, aexperincia conta. Se possvel, monte um laboratrio de testes e experimente quantas ferramentaspuder, anotando os pontos fortes e fracos de cada uma. Examine o arquivo README ou a pgina manda ferramenta. Alm disso, procure na Internet por mais informaes, como artigos, manuais passo-a-passo ou at mesmo listas de discusso especficas da ferramenta.

As ferramentas explanadas abaixo so apenas uma pequena amostra das ferramentas disponveis.


1.1.3.1. Escaneando hosts com Nmap

Nmap uma ferramenta popular includa no Red Hat Enterprise Linux que pode ser usada paradeterminar o layout de uma rede. O Nmap j existe h muitos anos e provavelmente a ferramenta maisutilizada na coleta de informaes. H uma pgina man excelente que oferece uma descrio detalhadade suas opes e usos. Administradores podem usar o Nmap em uma rede para encontrar sistemashost e portas abertas nestes sistemas.

O Nmap um primeiro passo eficaz na avaliao de vulnerabilidade. Voc pode mapear todas asmquinas dentro de sua rede, e inclusive passar uma opo que permite ao Nmap tentar identificar osistema operacional rodando numa determinada mquina. O Nmap uma boa base para estabelecernormas de uso de servios seguros e para parar servios no usados.

1.1.3.1.1. Usando o Nmap

O Nmap pode ser executado a partir de um prompt do shell, digitando nmap seguido do nome ouendereo IP da mquina que voc deseja escanear.

nmap foo.example.com

Os resultados do scan (que podem levar at alguns minutos, dependendo de onde o host estlocalizado) devem se parecer com o seguinte:

Starting nmap V. 3.50 ( www.insecure.org/nmap/ )Interesting ports on localhost.localdomain (127.0.0.1):(The 1591 ports scanned but not shown below are in state: closed)Port State Service22/tcp open ssh25/tcp open smtp111/tcp open sunrpc443/tcp open https515/tcp open printer950/tcp open oftep-rpc6000/tcp open X11

Nmap run completed -- 1 IP address (1 host up) scanned in 71.825 seconds

O Nmap testa as portas de comunicao mais comuns numa rede por servios de escuta ou de espera.Esse conhecimento pode ser til a um administrador que deseja encerrar servios desnecessrios ouno usados.

Para mais informaes sobre o uso do Nmap, consulte o site oficial no seguinte endereo:

http://www.insecure.org/

1.1.3.2. Nessus

O Nessus um scanner de segurana 'full-service'. Sua arquitetura plug-in permite que usurios opersonalizem para seus sistemas e redes. Assim como qualquer scanner, o Nessus to bom quantoo banco de dados de assinaturas com o qual ele conta. Felizmente, o Nessus freqentementeatualizado e conta com relatrio completo, escaneamento do host e buscas de vulnerabilidades emtempo real. Lembre-se que podem haver falsos positivos e falsos negativos, mesmo numa ferramentato poderosa e freqentemente atualizada como o Nessus.


Nota

O Nessus no est includo no Red Hat Enterprise Linux e no suportado. Foi includo nestedocumento como uma referncia para usurios que possam se interessar por esta aplicao toconhecida.

Para mais informaes sobre o Nessus, consulte o site oficial no endereo:

http://www.nessus.org/

1.1.3.3. Nikto

O Nikto um excelente scanner de scripts CGI. O Nikto no tem apenas a capacidade de verificarvulnerabilidades CGI, mas tambm de faz-lo de maneira evasiva, para enganar sistemas de detecode intruso. Acompanha uma documentao excelente que deve ser revisada cuidadosamente antes deexecutar o programa. Se voc tem servidores Web servindo scripts CGI, o Nikto pode ser um excelenterecurso para checar a segurana destes servidores.

Nota

O Nikto no est includo no Red Hat Enterprise Linux e no suportado. Foi includo nestedocumento como uma referncia para usurios que possam se interessar por esta aplicao toconhecida.

Mais informaes sobre o Nikto podem ser encontradas no seguinte endereo:

http://www.cirt.net/code/nikto.shtml

1.1.3.4 . VLAD the Scanner

O VLAD um scanner de vulnerabilidades desenvolvido pela equipe RAZOR na Bindview, Inc., queverifica a lista das dez questes mais comuns de segurana da SANS (questes do SNMP,compartilhamento de arquivos, etc.). Vale a pena investigar o VLAD, apesar de no ter tantasfuncionalidades quanto o Nessus.

Nota

O VLAD no est includo no Red Hat Enterprise Linux e no suportado. Foi includo nestedocumento como uma referncia para usurios que possam se interessar por esta aplicao toconhecida.

Mais informaes sobre o VLAD podem ser encontradas no site da equipe RAZOR no seguinteendereo:

http://www.bindview.com/Support/Razor/Utilities/

1.1.3.5. Antecipando suas Necessidades Futuras

Depending upon your target and resources, there are many tools available. There are tools for wirelessnetworks, Novell networks, Windows systems, Linux systems, and more. Another essential part ofperforming assessments may include reviewing physical security, personnel screening, or voice/PBXnetwork assessment. New concepts, such as war walking scanning the perimeter of your enterprise'sphysical structures for wireless network vulnerabilities are some emerging concepts that you can


investigate and, if needed, incorporate into your assessments. Imagination and exposure are the onlylimits of planning and conducting vulnerability assessments.

1.2. Atacantes e VulnerabilidadesPara planejar e implementar uma boa estratgia de segurana, comece entendendo algumas dasquestes que atacantes determinados e motivados exploram para comprometer sistemas. Mas antesde detalhar estas questes, precisamos definir a terminologia utilizada ao identificar um atacante.

1.2.1. Uma Breve Histria sobre Hackers

O significado moderno da palavra hacker tem origem nos anos 60 no Tech Model Railroad Club doInstituto de Tecnologia de Massachusetts (MIT), que desenvolveu modelos de trens de alta fidelidade ecom detalhes complexos. Hacker era o nome usado para os membros do clube que vinham a descobrirum novo truque ou uma nova forma de resolver um problema.

Desde ento o termo hacker descreve de tudo, desde entusiastas a programadores talentosos. Umaspecto comum dentre a maioria dos hackers a vontade de explorar detalhadamente as funes dossistemas e redes de computador com pouco ou nenhum estmulo exterior. Desenvolvedores desoftware de cdigo aberto geralmente consideram-se hackers e utilizam esta palavra como um termorespeitvel.

T ipicamente, os hackers seguem uma espcie de tica hacker, que dita que a misso por conhecimentoe informao essencial, e compartilhar este conhecimento o dever dos hackers para com acomunidade. Durante esta misso em busca do conhecimento, alguns hackers entretem-se comdesafios acadmicos, como driblar controles de segurana em sistemas de computadores. Por estarazo, a imprensa freqentemente usa o termo hacker para descrever aqueles que acessam sistemase redes ilicitamente com intenes inescrupulosas, maldosas ou criminosas. O termo mais correto paraeste tipo de hacker cracker um termo criado por hackers em meados dos anos 80 para diferenciaras duas comunidades.

1.2.1.1. Tonalidades de Cinza

Within the community of individuals who find and exploit vulnerabilities in systems and networks areseveral distinct groups. These groups are often described by the shade of hat that they "wear" whenperforming their security investigations and this shade is indicative of their intent.

O hacker de chapu branco aquele que testa redes e sistemas para examinar a performance e avulnerabilidade potenciais intruses. Geralmente, hackers de chapu branco violam seus prpriossistemas ou sistemas de um cliente que os empregou especificamente para executar uma auditoria desegurana. Pesquisadores acadmicos e profissionais da rea de consultoria de segurana so doisexemplos de hackers de chapu branco.

Um hacker de chapu preto sinnimo de um cracker. Em geral, crackers so menos focados emprogramao e no aspecto acadmico de violar sistemas. Eles geralmente contam com programas dequebra de segurana e exploram vulnerabilidades conhecidas em sistemas para descobrir informaesimportantes para ganho pessoal ou para danificar o sistema ou rede alvos.

O hacker de chapu cinza, por outro lado, tem as habilidades e intenes de um hacker de chapubranco na maioria dos casos, mas por vezes utiliza seu conhecimento para propsitos menos nobres.Um hacker de chapu cinza pode ser descrito como um hacker de chapu branco que s vezes vesteum chapu preto para atingir seus prprios objetivos.

Hackers de chapu cinza tipicamente se enquadram em outro tipo de tica, que diz ser aceitvel violarsistemas desde que o hacker no cometa roubo ou viole a privacidade. Alguns argumentam, no entanto,que o ato de invadir um sistema por si s j anti-tico.

Independentemente da inteno do intruso, importante saber quais as fraquezas que um cracker


geralmente tentar explorar. O resto do captulo concentra-se nestas questes.

1.2.2. Ameaas Segurana da Rede

Desateno ao configurar os seguintes aspectos de uma rede podem aumentar os riscos de umataque.

1.2.2.1. Arquiteturas Inseguras

Uma rede mal configurada um ponto de entrada bsico para usurios no autorizados. Deixar umarede local baseada na confiana aberta e vulnervel uma rede altamente insegura como a Internet, omesmo que deixar uma porta entreaberta em uma vizinhana perigosa talvez nada acontea por umperodo, mas eventualmente algum explorar a oportunidade.

1.2.2.1.1. Redes de Transmisso

Administradores de sistemas freqentemente no percebem a importncia do hardware de rede emseus esquemas de segurana. Simples componentes de hardware como concentradores e roteadoresbaseiam-se no princpio da difuso ou no-comutao, ou seja, sempre que um n transmitir dadosatravs da rede para um n receptor, o concentrador ou roteador difunde os pacotes de dados at queo n receptor os receba e processe. Este mtodo o mais vulnervel falsificao (spoofing) deendereos ARP (Address Resolution Protocol - Protocolo de Resoluo de Endereo) e MAC (MediaAccess Control - Controle de Acesso a Mdia), tanto por parte de intrusos externos quanto por parte deusurios no autorizados em hosts locais.

1.2.2.1.2. Servidores Centralizados

Outra potencial armadilha na rede o uso da computao centralizada. Uma forma comum de corte degastos em muitas empresas consolidar todos os servios em apenas uma mquina potente. Isto podeser conveniente, pois mais fcil e bem mais barato gerenciar uma nica mquina do queconfiguraes em servidores mltiplos. Entretanto, um servidor centralizado tambm significa um pontonico de falha na rede. Se o servidor central for comprometido, pode danificar a rede ou inutiliz-la, oupior ainda, torn-la vulnervel manipulao ou roubo de dados. Nestas situaes, um servidor centraltorna-se uma porta aberta permitindo acesso toda a rede.

1.2.3. Ameaas Segurana do Servidor

Server security is as important as network security because servers often hold a great deal of anorganization's vital information. If a server is compromised, all of its contents may become available forthe cracker to steal or manipulate at will. The following sections detail some of the main issues.

1.2.3.1. Servios No Utilizados e Portas Abertas

Uma instalao completa do Red Hat Enterprise Linux contm mais de mil pacotes de aplicaes ebibliotecas. No entanto, a maioria dos administradores de servidor optam por no instalar todos ospacotes da distribuio; preferindo ao invs disso instalar os pacotes bsicos, incluindo diversasaplicaes para servidor.

1.2.3.2. Servios Desatualizados

A maioria das aplicaes de servidor inclusas em uma instalao padro so slidas unidades desoftware testadas exaustivamente. Tendo sido utilizadas em ambientes de produo por muitos anos,seus cdigos vem tendo sido constantemente refinados e muitos dos erros (bugs) foram encontrados econsertados.

Entretanto, no existe software perfeito e sempre h espao para mais aprimoramento. Alm disso,programas mais novos freqentemente no so rigorosamente testados como se espera, porquechegaram recentemente a ambientes de produo ou porque talvez no sejam to populares quanto


outros programas de servidor.

Desenvolvedores e administradores de sistemas freqentemente encontram erros explorveis emaplicaes de servidor e publicam a informao em sites de rastreamento de erros e relacionados segurana, como a lista de discusso 'Bugtraq' (http://www.securityfocus.com) ou o site do CERT,'Computer Emergency Response Team' (http://www.cert.org). Apesar destes mecanismos seremmaneiras efetivas de alertar a comunidade sobre vulnerabilidades de segurana, responsabilidadedos administradores atualizarem seus sistemas prontamente. Isto porque os crackers tm acesso aosmesmos servios de rastreamento de vulnerabilidades e utilizaro estas informaes para violarsistemas desatualizados sempre que puderem. Uma boa administrao de sistemas requer vigilncia,constante rastreamento de erros, e manuteno apropriada para assegurar um ambiente computacionalmais seguro.

Refer to Seo 1.4, Atualizaes de Segurana for more information about keeping a system up-to-date.

1.2.3.3. Administrao Desatenta

Administrators who fail to patch their systems are one of the greatest threats to server security.According to the System Administration Network and Security Institute (SANS), the primary cause ofcomputer security vulnerability is to "assign untrained people to maintain security and provide neitherthe training nor the time to make it possible to do the job." [ ] This applies as much to inexperiencedadministrators as it does to overconfident or amotivated administrators.

Alguns administradores no atualizam seus servidores e estaes de trabalho, enquanto outros nomonitoram as mensagens de registro do kernel do sistema ou trfego de rede. Outro erro comum deixar senhas ou chaves padro de servios inalteradas. Por exemplo, alguns bancos de dados tmsenhas de administrao padro porque seus desenvolvedores assumem que o administrador desistemas ir alter-las imediatamente aps a instalao. Se um administrador de banco de dados deixarde alterar esta senha, at mesmo um cracker inexperiente pode utilizar uma senha padro conhecidapara obter privilgios administrativos ao banco de dados. Estes so apenas alguns dos exemplos decomo uma administrao desatenta pode levar ao comprometimento de servidores.

1.2.3.4 . Servios Essencialmente Inseguros

At a empresa mais atenta pode ser vtima de vulnerabilidades se os servios de rede que elasoptarem por usar forem essencialmente inseguros. Por exemplo, h muitos servios desenvolvidos soba suposio de que sero utilizados atravs de redes confiveis, mas essa suposio deixa de serverdadeira a partir do momento em que o servio for disponibilizado atravs da Internet que por si s essencialmente no confivel.

Uma categoria de servios de rede inseguros e composta por aqueles servios que requerem nomesde usurio e senha no criptografados para autenticao. Telnet e FTP so dois exemplos deste tipode servio. Se um software de farejamento de pacotes est monitorando o trfego entre o usurioremoto e um destes tipos de servio, dados como nomes de usurio e senhas podem ser interceptadosfacilmente.

Inherently, such services can also more easily fall prey to what the security industry terms the man-in-the-middle attack. In this type of attack, a cracker redirects network traffic by tricking a cracked nameserver on the network to point to his machine instead of the intended server. Once someone opens aremote session to the server, the attacker's machine acts as an invisible conduit, sitting quietly betweenthe remote service and the unsuspecting user capturing information. In this way a cracker can gatheradministrative passwords and raw data without the server or the user realizing it.

Another category of insecure services include network file systems and information services such asNFS or NIS, which are developed explicitly for LAN usage but are, unfortunately, extended to includeWANs (for remote users). NFS does not, by default, have any authentication or security mechanismsconfigured to prevent a cracker from mounting the NFS share and accessing anything contained therein.

1


NIS, as well, has vital information that must be known by every computer on a network, includingpasswords and file permissions, within a plain text ASCII or DBM (ASCII-derived) database. A crackerwho gains access to this database can then access every user account on a network, including theadministrator's account.

1.2.4 . Ameaas Segurana de Estaes de Trabalho e PCs

Workstations and home PCs may not be as prone to attack as networks or servers, but since they oftencontain sensitive data, such as credit card information, they are targeted by system crackers.Workstations can also be co-opted without the user's knowledge and used by attackers as "slave"machines in coordinated attacks. For these reasons, knowing the vulnerabilities of a workstation cansave users the headache of reinstalling the operating system, or worse, recovering from data theft.

1.2.4 .1. Senhas Inadequadas

1.2.4 .2. Aplicaes Cliente Vulnerveis

Although an administrator may have a fully secure and patched server, that does not mean remote usersare secure when accessing it. For instance, if the server offers Telnet or FTP services over a publicnetwork, an attacker can capture the plain text usernames and passwords as they pass over thenetwork, and then use the account information to access the remote user's workstation.

Mesmo ao utilizar protocolos seguros, como o SSH, um usurio remoto pode estar vulnervel adeterminados ataques se ele no mantiver suas aplicaes cliente atualizadas. Por exemplo, clientesSSH v.1 (verso 1) so vulnerveis a um ataque X-forwarding de servidores SSH malficos. Uma vezconectado ao servidor, o atacante pode capturar, sem ser percebido, quaisquer teclas pressionadas ecliques de mouse efetuados pelo cliente atravs da rede. Este problema foi consertado na verso SSHv.2, mas ainda assim depende do usurio monitorar aplicaes com tais vulnerabilidades e atualiz-lasquando necessrio.

1.3. Exploits e Ataques FreqentesTabela 1.1, Exploits Freqentes details some of the most common exploits and entry points used byintruders to access organizational network resources. Key to these common exploits are theexplanations of how they are performed and how administrators can properly safeguard their networkagainst such attacks.


Tabela 1.1. Exploits FreqentesExploit Descrio NotasSenhas emBranco ou Padro

Deixar senhas administrativas embranco ou usar a senha padroprovida pelo fabricante. Isto maiscomum em hardware, como roteadorese firewalls, porm alguns dos serviosque rodam no Linux podem contersenhas padro de administrador(apesar do Red Hat Enterprise Linux 5no inclu-las).

Freqentemente associadas comhardware de rede como roteadores,firewalls, VPNs, e equipamentosNetwork Attached Storage (NAS).

Freqente em vrias verses antigasde sistemas operacionais,especialmente aquelas que agrupamservios (como UNIX e Windows).

Administradores s vezes criamcontas de usurio privilegiadas spressas e deixam a senha com valornulo, o que apresenta um perfeitoponto de entrada para usuriosmaliciosos que venham a descobrir talconta.

ChavesCompartilhadasPadro

Servios seguros s vezes incluemchaves de segurana padro com afinalidade de facilitar o exerccio dedesenvolvimento ou testes deavaliao. Se estas chavespermanecerem inalteradas e estiveremlocalizadas em um ambiente deproduo na Internet, quaisquerusurios com as mesmas chavespadro tem acesso quele recurso dechave compartilhada assim como aquaisquer informaes importantes lcontidas.

Mais comum em pontos de acesso deredes sem fio e equipamentos deservidor seguros preconfigurados.

Falsificao(Spoofing) do IP

Uma mquina remota age como um nna sua rede local, encontravulnerabilidades em seus servidores, einstala um programa do tipo backdoorou cavalo de tria para obter o controledos seus recursos de rede.

Falsificao do IP um tanto quantodifcil, uma vez que requer que oatacante preveja os nmeros TCP/IPSYN-ACK para coordenar conexes aosistema alvo, entretanto algumasferramentas esto disponveis paraassistir crackers em explorar talvulnerabilidade.

Requer que sistemas alvo rodemservios (tais como rsh, telnet, FTPe outros) que usem tcnicas deautenticao baseadas na fonte, o queno recomendado quandocomparado ao PKI ou outras formas deautenticao criptografada usadas no ssh ou SSL/TLS.

Eavesdropping Coleta no autorizada de dados quetrafegam entre dois ns ativos em umarede atravs da prtica doeavesdropping na conexo entre estesdois ns.

Esta forma de ataque funcionapredominantemente com protocolos base de transmisso de texto semformatao, como Telnet, FTP e HTTP.


O atacante remoto deve obter acessoa um sistema comprometido em umaLAN de modo a perpetrar tal ataque;normalmente o cracker usou umataque ativo (como a falsificao do IPou o man-in-the-middle) paracomprometer um sistema na LAN.

Medidas preventivas incluem servioscom troca de chave criptogrfica,senhas de uso nico, ou autenticaocriptografada para prevenir quesenhas fiquem vulnerveis pratica dosnooping. O uso de criptografia de altonvel durante a transmisso tambm recomendado.

Vulnerabilidadesem Servios

Um atacante encontra uma falha ouuma deficincia em um servioexecutado atravs da Internet; atravsdesta vulnerabilidade, o atacantecompromete o sistema inteiro equaisquer dados que este possaconter; e pode possivelmentecomprometer outros sistemas na rede.

HTTP-based services such as CGI arevulnerable to remote commandexecution and even interactive shellaccess. Even if the HTTP service runsas a non-privileged user such as"nobody", information such asconfiguration files and network mapscan be read, or the attacker can start adenial of service attack which drainssystem resources or renders itunavailable to other users.

Servios s vezes podem tervulnerabilidades que passamdespercebidas durante as fases dedesenvolvimento e teste; estasvulnerabilidades (tais como estouro debuffer, onde atacantes induzem a panede um servio atravs do uso devalores arbitrrios que enchem o bufferde memria de uma aplicao, dandoao atacante uma linha de comandointerativa de onde ele pode executarcomandos arbitrrios) podem darcompleto controle administrativo a umatacante.

Administradores devem ter certeza deque servios no sejam executadoscomo usurio root, e devem ficaralertas atualizaes e erratas deprovedores ou organizaes desegurana tais como CERT e CVE.

Vulnerabilidadesem Aplicaes

Atacantes encontram falhas emaplicaes de computadores pessoaise estaes de trabalho (como clientesde e-mail) e executam cdigo arbitrrio,implantam cavalos de tria paracomprometimento futuro, ou causam a

Estaes de trabalho e computadorespessoais so mais propensos explorao porque os funcionrios notm a mesma percia ou experinciapara prevenir ou detectar umcomprometimento; essencial informar


pane de sistemas. Exploraesadicionais podem ocorrer se a estaode trabalho comprometida tiverprivilgios administrativos sobre orestante da rede.

comprometimento; essencial informarindivduos sobre os riscos que corremao instalar software no autorizado ouabrir arquivos anexos de e-mails nosolicitados.

possvel implementar medidas desegurana para garantir que umsoftware cliente de e-mail no abra ouexecute anexos automaticamente. Almdisso, a atualizao automtica desoftware de estaes de trabalhoatravs do Red Hat Network ou outrosservios de gerenciamento desistemas podem aliviar as sobrecargasoriundas de implantaes desegurana em ambientes multiusurio.

Ataques deNegao deServio (DoS)

Attacker or group of attackerscoordinate against an organization'snetwork or server resources bysending unauthorized packets to thetarget host (either server, router, orworkstation). This forces the resourceto become unavailable to legitimateusers.

O caso de negao de servio maisrelatado nos EUA ocorreu no ano de2000. Diversos sites comerciais egovernamentais de alto trfego foramtirados do ar por um ataquecoordenado de envio em massa decomandos ping usando vriossistemas comprometidos comconexes de largura de banda altaagindo como zombies, ou ns dedifuso redirecionados.

Pacotes oriundos da fonte sonormalmente adulterados (assim comoredifundidos), dificultando umainvestigao em busca da verdadeirafonte do ataque.

Avanos em ingress filtering (IETFrfc2267) usando iptables esistemas de deteco de intruso(IDSes) de rede como o snortassistem administradores emdescobrir e prevenir ataquesdistribudos de negao de servio.

1.4. Atualizaes de SeguranaConforme as vulnerabilidades de segurana so descobertas, o software afetado deve ser atualizadopara limitar quaisquer potenciais riscos de segurana. Se o software parte de um pacote de umadistribuio da Red Hat Enterprise Linux atualmente suportada, a Red Hat, Inc. compromete-se a lanar,assim que possvel, pacotes atualizados que consertem as vulnerabilidades. Freqentemente,comunicados referentes a um exploit de segurana so acompanhados de um conserto (ou cdigo-fonte que conserte o problema). Este conserto ento aplicado ao pacote Red Hat Enterprise Linux,testado pela equipe de controle de qualidade da Red Hat e lanado como uma atualizao de errata.Entretanto, se um comunicado no inclui um conserto, um desenvolvedor da Red Hat trabalha junto como mantedor do software para resolver o problema. Aps o problema ser resolvido, o pacote testado e


lanado como uma atualizao de errata.

Se for lanada uma atualizao de errata para um software utilizado em seu sistema, altamenterecomendvel que voc atualize os pacotes afetados assim que possvel para minimizar o tempodurante o qual o seu sistema fique potencialmente vulnervel.

1.4 .1. Atualizando Pacotes

Ao atualizar o software de um sistema, importante fazer o download da atualizao de uma fonteconfivel. Um atacante pode facilmente reconstruir um pacote com o mesmo nmero de verso daqueleque deveria resolver o problema, mas com um exploit de segurana diferente no pacote, e depois lan-lo na Internet. Se isto acontecer, o uso de medidas de segurana como checar os arquivos contra oRPM original no servem para detectar o exploit. Portanto, muito importante que se use apenas fontesconfiveis, como a Red Hat, para downloads de RPMs, e que se cheque a assinatura do pacote paraverificar sua integridade.

A Red Hat oferece duas maneiras de encontrar informaes sobre as atualizaes de errata:

1. Listadas e disponveis para download no Red Hat Network2. Listadas mas sem link no site de Erratas da Red Hat

Nota

A partir da linha de produtos Red Hat Enterprise Linux, os pacotes atualizados podem serbaixados somente do Red Hat Network. Embora o site de Erratas da Red Hat contenhainformaes atualizadas, ele no contm os pacotes para download.

1.4 .1.1. Usando o Red Hat Network

O Red Hat Network permite que a maior parte do processo de atualizao seja automatizado. Eledetermina quais pacotes RPM so necessrios para o sistema, faz o download destes a partir de umrepositrio seguro, verifica-lhes a assinatura para assegurar que os mesmos no foram corrompidos, eos atualiza. A instalao de pacotes pode ser feita imediatamente ou pode ser agendada durante umdeterminado perodo de tempo.

O Red Hat Network requer um Perfil do Sistema para cada mquina a ser atualizada. O Perfil doSistema contm informao sobre o hardware e o software do sistema. Essa informao mantidaconfidencialmente, sendo usada somente para determinar quais atualizaes de errata so aplicveis acada sistema. Sem o perfil, o Red Hat Network no pode determinar se um sistema precisa deatualizaes. Quando uma errata de segurana (ou qualquer tipo de errata) lanada, o RHN envia umemail com a descrio da errata assim como uma lista de sistemas afetados por ela. Para aplicar aatualizao, use o Agente de Atualizaes Red Hat ou agende a atualizao do pacote pelo sitehttp://rhn.redhat.com.

Tip

O Red Hat Enterprise Linux inclui a Ferramenta de Notificao de Alertas Red HatNetwork, um cone conveniente no painel que exibe alertas quando h uma atualizao para umsistema Red Hat Enterprise Linux registrado. Consulte a seguinte URL para mais informaessobre este applet:https://rhn.redhat.com/rhn/help/quickstart.jsp


Importante

Before installing any security errata, be sure to read any special instructions contained in theerrata report and execute them accordingly. Refer to Seo 1.4.1.5, Aplicando as Alteraes forgeneral instructions about applying the changes made by an errata update.

1.4 .1.2. Usando o Site de Erratas da Red Hat

Quando relatrios de erratas de segurana so lanados, so publicados no site de Erratas da RedHat disponvel em http://www.redhat.com/security/. A partir desta pgina, selecione o produto e a versode seu sistema, e ento selecione segurana no topo da pgina para exibir apenas os Relatrios deSegurana do Red Hat Enterprise Linux. Se a sinopse de um dos relatrios descreve um pacote usadoem seu sistema, clique na sinopse para ver mais detalhes.

A pgina de detalhes descreve o exploit de segurana e quaisquer instrues especiais a seremexecutadas para atualizar o pacote e consertar a brecha na segurana.

Para fazer o download do(s) pacote(s) atualizado(s), clique no link para se logar no Red Hat Network,clique no(s) nome(s) do(s) pacote(s) e salve-os no disco rgido. altamente recomendvel que voccrie um novo diretrio como /tmp/updates e salve ali todos os pacotes baixados.

1.4 .1.3. Verificando Pacotes Assinados

Todos os pacotes do Red Hat Enterprise Linux so assinados com a chave GPG da Red Hat, Inc. GPGsignifica GNU Privacy Guard, ou GnuPG, um pacote de software livre usado para garantir aautenticidade de arquivos distribudos. Por exemplo, uma chave privada (chave secreta) mantida pelaRed Hat chaveia o pacote enquanto a chave pblica abre e verifica. Se a chave pblica distribuda pelaRed Hat no confere com a chave privada durante a verificao do RPM, o pacote pode ter sido alteradoe, portanto, no confivel.

O utilitrio RPM do Red Hat Enterprise Linux tenta automaticamente verificar a assinatura GPG de umpacote RPM antes de instal-lo. Se a chave GPG da Red Hat no estiver instalada, instale-a a partir deuma localidade segura e esttica, como o CD-ROM de instalao do Red Hat Enterprise Linux.

Assumindo que o CD-ROM esteja montado em /mnt/cdrom use o seguinte comando para import-lapara o chaveiro (um banco de dados do sistema com chaves confiveis):

rpm --import /mnt/cdrom/RPM-GPG-KEY-redhat-release

Para exibir uma lista com todas as chaves instaladas para verificao de RPMs, execute o seguintecomando:

rpm -qa gpg-pubkey*

Para a chave da Red Hat, o resultado na tela inclui o seguinte:

gpg-pubkey-37017186-45761324

Para exibir detalhes sobre uma chave especfica, use o comando rpm -qi seguido do output docomando anterior, conforme este exemplo:

rpm -qi gpg-pubkey-37017186-45761324

extremamente importante verificar a assinatura dos arquivos RPM antes de instal-los para tercerteza de que eles no foram alterados depois do lanamento dos pacotes pela Red Hat, Inc. Para


verificar todos os pacotes baixados de uma s vez, submeta o seguinte comando:

rpm -K /tmp/updates/*.rpm

For each package, if the GPG key verifies successfully, the command returns gpg OK. If it doesn't, makesure you are using the correct Red Hat public key, as well as verifying the source of the content.Packages that do not pass GPG verifications should not be installed, as they may have been altered bya third party.

Aps verificar as chaves GPG e fazer o download de todos os pacotes associados ao relatrio daerrata, instale os pacotes como root em uma janela de comandos.

1.4 .1.4 . Instalando Pacotes Assinados

A instalao da maioria dos pacotes pode ser feita com segurana (exceto pacotes do kernel) atravsdo seguinte comando:

rpm -Uvh /tmp/updates/*.rpm

Para pacotes do kernel, use o seguinte comando:

rpm -ivh /tmp/updates/

Replace in the previous example with the name of the kernel RPM.

Aps reinicializar a mquina com sucesso usando o novo kernel, o kernel antigo deve ser removidousando o seguinte comando:

rpm -e

Replace in the previous example with the name of the older kernel RPM.

Nota

No necessrio remover o kernel antigo. O gerenciador de inicializao padro, GRUB, permiteque mltiplos kernels sejam instalados e depois escolhidos atravs de um menu durante ainicializao da mquina.

Importante

Before installing any security errata, be sure to read any special instructions contained in theerrata report and execute them accordingly. Refer to Seo 1.4.1.5, Aplicando as Alteraes forgeneral instructions about applying the changes made by an errata update.

1.4 .1.5. Aplicando as Alteraes

Aps fazer o download e instalar as erratas de segurana atravs da Red Hat Network ou do site deerratas da Red Hat, importante parar de usar o software antigo e passar a usar o novo. O modo comoisso feito depende do tipo de software que foi atualizado. A lista a seguir aponta as categorias geraisde software e oferece instrues para usar as verses atualizadas aps uma atualizao de pacotes.


Nota

Em geral, reinicializar o sistema a maneira mais certa de garantir que a verso mais recente deum pacote de software seja usada; entretanto, esta opo nem sempre est disponvel aoadministrador do sistema.

Aplicativos

Aplicativos em espao de usurio so quaisquer programas que possam ser iniciados por umusurio do sistema. Geralmente, estes aplicativos so usados somente quando um usurio,um script ou um utilitrio de tarefas automatizadas os lana, e no persistem por longosperodos.

Aps tal aplicao em espao de usurio ser atualizada, pare todas as instncias da aplicaono sistema e lance o programa novamente a fim de usar a verso atualizada.

Ncleo

O kernel o componente central do software do sistema operacional Red Hat Enterprise Linux.Ele gerencia o acesso memria, ao processador, e a perifricos, e tambm agenda todas astarefas.

Devido sua funo central, o kernel no pode ser reiniciado sem tambm parar o computador.Portanto, uma verso atualizada do kernel no pode ser usada at que o sistema sejareinicializado.

Bibliotecas Compartilhadas

Bibliotecas compartilhadas so unidades de cdigo, como a glibc, que so usadas pordiversos aplicativos e servios. Os aplicativos que utilizam uma biblioteca compartilhadageralmente carregam o cdigo compartilhado quando o aplicativo iniciado, portanto todos osaplicativos que usam a biblioteca compartilhada devem ser parados e relanados.

Para determinar quais aplicativos esto relacionados a uma determinada biblioteca, use ocomando lsof, conforme o exemplo a seguir:

lsof /usr/lib/libwrap.so*

Este comando retorna uma lista de todos os programas sendo executados que usam TCPwrappers para controle de acesso ao host. Portanto, quaisquer programas listados devem serparados e relanados se o pacote tcp_wrappers for atualizado.

Servios SysV

Servios SysV so programas persistentes de servidor lanados durante o processo deinicializao. Exemplos de servios SysV incluem sshd, vsftpd e xinetd.

Como estes programas geralmente persistem na memria enquanto a mquina inicializada,cada servio SysV atualizado deve ser parado e relanado aps a atualizao do pacote. Istopode ser feito usando a Ferramenta de Configurao de Servios ou se logando a umajanela de comandos root e submetendo o comando /sbin/service como no exemploseguinte:

/sbin/service restart


In the previous example, replace with the name of the service, such as sshd.

Servios xinetd

Os servios controlados pelo super servio xinetd rodam somente quando h uma conexoativa. Exemplos de servios controlados pelo xinetd incluem Telnet, IMAP e POP3.

Como novas instncias destes servios so lanadas pelo xinetd cada vez que um novopedido recebido, as conexes que ocorrem depois de uma atualizao so feitas pelosoftware atualizado. Entretanto, se houverem conexes ativas no momento em que o serviocontrolado xinetd atualizado, elas so feitas pela verso antiga do software.

Para terminar instncias antigas de um servio em particular controlado pelo xinetd, faa aatualizao do pacote do servio e ento pare todos os processos sendo executados.Primeiro, determine se o processo est rodando, usando o comando ps e ento use ocomando kill ou killall para parar as instncias atuais do servio.

Por exemplo: se os pacotes da errata de segurana imap so lanados, faa a atualizaodos pacotes e ento digite o seguinte comando como root em uma janela de comandos:

ps -aux | grep imap

Este comando retorna todas as sesses IMAP ativas. Sesses individuais podem ento serterminadas com o seguinte comando:

kill

Se este comando falhar em terminar a sesso, use o seguinte comando em seu lugar:

kill -9

In the previous examples, replace with the process identification number (found in thesecond column of the ps command) for an IMAP session.

Para terminar todas as sesses IMAP ativas, submeta o seguinte comando:

killall imapd

So urce: http ://www.sans.o rg /security-reso urces/mistakes.p hp[1]


Captulo 2. Assegurando sua Rede de Trabalho

2.1. Segurana de Estaes de TrabalhoA segurana de um ambiente Linux comea pela estao de trabalho. Na proteo de sua mquinapessoal ou sistema corporativo, uma boa poltica de segurana comea pelo computador individual.Afinal de contas, uma rede de computadores to segura quanto seu n mais vulnervel.

2.1.1. Avaliando a Segurana de Estaes de Trabalho

Ao avaliar a segurana de uma estao de trabalho do Red Hat Enterprise Linux, considere osseguintes fatores:

Segurana do BIOS e do Carregador de Inicializao Um usurio no autorizado pode acessarfisicamente a mquina e inicializ-la como um usurio simples ou no modo de recuperao sem umasenha?Segurana de Senhas At que ponto as senhas de conta de usurio na mquina esto seguras?Controles Administrativos Quem possui uma conta no sistema e qual o controle administrativo queestas contas possuem?Servios de Rede Disponveis Quais os servios disponveis para solicitaes advindas da rede?Eles deveriam mesmo estar ativos?Firewalls Pessoais Caso seja necessrio, que tipo de firewall devo escolher?Ferramentas de Comunicao com Segurana Aprimorada Quais ferramentas devem serutilizadas para a comunicao entre estaes de trabalho e quais devem ser evitadas?

2.1.2. Segurana do BIOS e do Carregador de Inicializao

A proteo de senhas para o BIOS (ou componente equivalente) e para o carregador de inicializao,pode evitar que usurios no autorizados, sem acesso fsico a sistemas, inicializem a mquina commdia removvel ou obtenham privilgios root atravs do modo de usurio simples. As medidas desegurana a serem tomadas para proteger o sistema contra ataques deste tipo, dependem daconfidencialidade das informaes que a estao de trabalho armazena e da localizao da mesma.

For example, if a machine is used in a trade show and contains no sensitive information, then it may notbe critical to prevent such attacks. However, if an employee's laptop with private, unencrypted SSH keysfor the corporate network is left unattended at that same trade show, it could lead to a major securitybreach with ramifications for the entire company.

Por outro lado, se a estao de trabalho estiver localizada em um lugar onde somente pessoasconfiveis e autorizadas possuem acesso, ento proteger o BIOS ou o carregador de inicializao podeno ser necessrio.

2.1.2.1. Senhas do BIOS

As duas razes principais para proteger o BIOS de um computador atravs do uso de uma senha so[ ]:

1. Impedir Alteraes na Configurao do BIOS Se um intruso tem acesso ao BIOS, o mesmopode configur-lo para ser iniciado por um disquete ou CD-ROM. Isto possibilita que ele entre nomodo de recuperao ou de usurio simples, o que por sua vez permite que ele inicie programasarbitrariamente no sistema ou copie informaes confidenciais.

2. Impedir a Inicializao do Sistema Alguns BIOS permitem que voc proteja o processo deinicializao da mquina com uma senha. Quando ativado, um atacante forado a inserir umasenha antes do BIOS executar o carregador de inicializao.

2


Because the methods for setting a BIOS password vary between computer manufacturers, consult thecomputer's manual for specific instructions.

Se voc esquecer a senha do BIOS, ela pode ser restaurada com jumpers na placa-me ou desligandoa bateria do CMOS. Por esta razo, aconselhvel prevenir (por exemplo, chavear) o acesso aoscomponentes internos do computador, se possvel. Entretanto, consulte o manual do computador ou daplaca-me antes de tentar desligar a bateria do CMOS.

2.1.2.1.1. Segurana de Plataformas No-x86

Outras arquiteturas usam programas diferentes para executar tarefas de nvel baixo, mais ou menosequivalentes quelas do BIOS em sistemas x86. Por exemplo, computadores baseados na IntelItanium usam o shell EFI (Interface de Firmware Extensivo).

For instructions on password protecting BIOS-like programs on other architectures, refer to themanufacturer's instructions.

2.1.2.2. Senhas do Carregador de Inicializao

Veja a seguir as principais razes para proteger um carregador de inicializao Linux com senha:

1. Impedir Acesso ao Modo de Usurio Simples Se os atacantes puderem inicializar o sistema nomodo de usurio simples, eles sero autenticados automaticamente como o usurio root sem queprecisem digitar a senha root.

2. Impedir Acesso ao Console do GRUB Se uma mquina utilizar o GRUB como um carregador deinicializao, um atacante poder usar a interface do editor para mudanas de configurao oupara obter informaes atravs do comando cat.

3. Impedir Acesso Sistemas Operacionais No-Seguros Em sistemas de inicializao dupla, umatacante pode selecionar um sistema operacional na hora da inicializao (como o DOS, porexemplo), que ignora controles de acesso e permisses de arquivo.

O Red Hat Enterprise Linux para a plataforma x86 vem com o carregador de inicializao GRUB. Parainformaes detalhadas sobre o GRUB, consulte o Guia de Instalao Red Hat.

2.1.2.2.1. Senha para Proteo do GRUB

You can configure GRUB to address the first two issues listed in Seo 2.1.2.2, Senhas do Carregadorde Inicializao by adding a password directive to its configuration file. To do this, first choose a strongpassword, open a shell, log in as root, and then type the following command:

/sbin/grub-md5-crypt

Quando solicitado, digite a senha do GRUB e pressione Enter. Isto retornar um hash MD5 da senha.

Em seguida, edite o arquivo de configurao do GRUB /boot/grub/grub.conf. Abra o arquivo e,abaixo da linha de comando timeout na seo principal do documento, adicione a seguinte linha:

password --md5

Replace with the value returned by /sbin/grub-md5-crypt[ ].

De agora em diante, durante a inicializao do sistema, o menu do GRUB no permitir acesso ao editorou interface de comandos sem que primeiro a tecla p seja pressionada, seguida da senha do GRUB.

Infelizmente, esta soluo no impede que um atacante inicialize um sistema operacional no seguroem um ambiente de inicializao dupla. Para lidar com este cenrio, outra parte do arquivo /boot/grub/grub.conf deve ser editada.

3

30 Captulo 2. Assegurando sua Rede de Trabalho

Procure a linha title do sistema operacional ao qual voc deseja adicionar segurana, e adicioneabaixo desta uma linha contendo a diretiva lock.

Para um sistema DOS, a estrofe deve comear da seguinte forma:

title DOS lock

Ateno

Para que este mtodo funcione adequadamente, uma linha password deve constar na seoprincipal do arquivo /boot/grub/grub.conf. Do contrrio, um atacante poder acessar ainterface de edio do GRUB e remover a linha lock.

Para criar uma senha diferente para um kernel ou sistema operacional especfico, adicione uma linha lock na estrofe, seguida de uma linha para a senha.

Cada estrofe que voc proteger com uma senha nica deve comear com linhas similares ao exemploseguinte:

title DOS lock password --md5

2.1.3. Segurana da Senha

Passwords are the primary method that Red Hat Enterprise Linux uses to verify a user's identity. This iswhy password security is so important for protection of the user, the workstation, and the network.

Por motivos de segurana, o programa de instalao configura o sistema para usar o AlgoritmoMessage-Digest (MD5) e senhas shadow. altamente recomendvel que voc no altere estasconfiguraes.

Se durante a instalao, as senhas MD5 forem desativadas, ser usado o formato Data EncryptionStandard (DES). Este formato limita as senhas em at oito caracteres alfanumricos (no permitindocaracteres especiais como pontuao e outros), e oferece um nvel de criptografia modesto, de 56 bits.

Se voc no selecionar as senhas shadow durante a instalao, todas as senhas sero armazenadascomo hashing unidirecional em um arquivo /etc/passwd legvel por todos, o que torna o sistemavulnervel a ataques offline de cracking de senhas. Se um intruso puder obter acesso a uma mquinacomo um usurio comum, ele pode copiar o arquivo /etc/passwd para sua prpria mquina e rodarinmeros programas de cracking neste arquivo. Se houver uma senha desprotegida no arquivo, apenas uma questo de tempo at que o cracker a descubra.

Senhas shadow eliminam a ameaa deste tipo de ataque, armazenando as senhas em um arquivo /etc/shadow, legvel somente pelo usurio root.

Isto fora um atacante potencial a tentar quebrar a senha remotamente se autenticando em um serviode rede na mquina, como SSH ou FTP. Este tipo de ataque de fora bruta bem mais lento e deixarastros bvios, j que centenas de tentativas de autenticao mal-sucedidas so registradas nosarquivos do sistema. Claro que, se o cracker comear um ataque no meio da noite em um sistema comsenhas fracas, ele pode obter acesso e editar os arquivos de registro para apagar seus rastros antesda luz do dia.

Alm das questes de formato e armazenamento, h tambm a questo de contedo. A coisa maisimportante que um usurio pode fazer para proteger sua conta contra o cracking de senha criar umasenha robusta.

2.1.3.1. Criando Senhas Robustas


Ao criar uma senha robusta, uma boa idia seguir estas instrues:

No Use Apenas Palavras ou Nmeros Nunca use somente palavras ou nmeros em uma senha.Alguns exemplos de senhas inseguras:

8675309juanhackme

No Use Palavras Reconhecveis Palavras como nomes prprios, palavras de dicionrio ou attermos de programas de televiso ou novelas devem ser evitados, mesmo que sejam finalizadoscom nmeros.Alguns exemplos de senhas inseguras:

john1DS-9mentat123

No Use Palavras em Idiomas Estrangeiros Programas de quebra de senhas freqentementechecam listas de palavras que incluem dicionrios de muitos idiomas. Confiar em idiomasestrangeiros para proteger senhas no seguro.Alguns exemplos de senhas inseguras:

cheguevarabienvenido11dumbKopf

No Use Terminologia de Hacker Se voc se acha parte de uma elite por utilizar terminologia dehacker tambm chamada de linguajar l337 (LEET) em sua senha, repense. Muitas listas depalavras incluem palavras do linguajar LEET.Alguns exemplos de senhas inseguras:

H4X0R1337

No Use Informaes Pessoais No use informaes pessoais em suas senhas. Se o atacantesouber quem voc , ele ter mais facilidade em descobrir sua senha. A seguir, veja uma lista detipos de informao a evitar na criao de uma senha:Alguns exemplos de senhas inseguras:

Seu nomeNomes de animais de estimaoNomes de familiaresQuaisquer datas de aniversrioSeu nmero de telefone ou cdigo postal

No Inverta Palavras Reconhecveis Bons verificadores de senha sempre revertem palavrascomuns, portanto reverter uma senha ruim no a torna mais segura.Alguns exemplos de senhas inseguras:

R0X4Hnauj9-DS

No Anote Sua Senha Nunca guarde uma senha em papel. bem mais seguro memoriz-la.No Use a Mesma Senha Para Todas as Mquinas importante criar senhas separadas paracada mquina. Desta maneira, se um sistema for comprometido, todas as outras mquinas noestaro em risco imediato.

As seguintes diretrizes lhe ajudaro a criar uma senha robusta:

Crie uma Senha de no Mnimo Oito Caracteres Quanto mais longa a senha, melhor. Se voc


estiver usando senhas MD5, as mesmas devem ter 15 ou mais caracteres. Para senhas DES, use otamanho mximo (oito caracteres).Misture Letras Maisculas e Minsculas O Red Hat Enterprise Linuxdiferencia entre maisculas eminsculas, portanto misture-as para criar uma senha mais robusta.Misture Letras e Nmeros Adicionar nmeros a senhas, especialmente no meio delas (noapenas no comeo e fim), pode aumentar a robustez da senha.Include Non-Alphanumeric Characters Special characters such as &, $, and > can greatly improvethe strength of a password (this is not possible if using DES passwords).Escolha uma Senha que Voc Possa Lembrar A melhor senha do mundo de nada adianta se vocno conseguir lembr-la. Ento, use acrnimos ou outros dispositivos mnemnicos para ajud-lo amemorizar senhas.

Com todas estas regras, parece difcil criar uma senha que siga todos os critrios e evitar ascaractersticas de uma senha ruim. Felizmente, existem alguns passos simples que podem serseguidos para gerar uma senha fcil de lembrar e segura.

2.1.3.1.1. Metodologia de Criao de Senhas Seguras

H muitos mtodos usados para criar senhas seguras. Um dos mais conhecidos envolve acrnimos.Por exemplo:

Pense em uma frase que seja fcil de lembrar, como:"over the river and through the woods, to grandmother's house we go."Em seguida, transforme-a num acrnimo (incluindo a pontuao).otrattw,tghwg.Adicione complexidade substituindo letras por nmeros e smbolos no acrnimo. Por exemplo:substitua n por 9 e a letra d pelo smbolo arroba (@ ):o7r@77w,7ghwg.Adicione mais complexidade colocando pelo menos uma das letras em maiscula, como F.o7r@77w,7gHwg.Finalmente, nunca use o exemplo acima em um de seus sistemas.

Criar senhas seguras imperativo, mas gerenci-las apropriadamente tambm importante,especialmente para administradores de sistemas em grandes organizaes. A prxima seo detalhaboas prticas para criar e gerenciar senhas de usurios em uma organizao.

2.1.3.2. Criando Senhas de Usurios Dentro de uma Empresa

Se houver um nmero significativo de usurios em uma organizao, os administradores de sistemastm duas opes bsicas para forar o uso de boas senhas. Eles podem criar senhas para osusurios, ou podem deixar que os usurios criem suas prprias senhas, enquanto verificam se assenhas tm qualidade aceitvel.

Criar senhas para os usurios garante que as senhas sejam boas, mas torna-se uma tarefacomplicada conforme a empresa cresce. Tambm aumenta o risco dos usurios anotarem suassenhas.

Por estas razes, a maioria dos administradores de sistema prefere que os usurios criem suasprprias senhas, mas ativamente verificam se as senhas so boas e, em alguns casos, foram osusurios a trocarem suas senhas periodicamente conforme as senhas vo envelhecendo.

2.1.3.2.1. Forando Senhas Robustas

To protect the network from intrusion it is a good idea for system administrators to verify that thepasswords used within an organization are strong ones. When users are asked to create or change


passwords, they can use the command line application passwd, which is Pluggable AuthenticationManager (PAM) aware and therefore checks to see if the password is too short or otherwise easy tocrack. This check is performed using the pam_cracklib.so PAM module. Since PAM is customizable,it is possible to add more password integrity checkers, such as pam_passwdqc (available fromhttp://www.openwall.com/passwdqc/) or to write a new module. For a list of available PAM modules, referto http://www.kernel.org/pub/linux/libs/pam/modules.html. For more information about PAM, refer toSeo 2.4, Mdulos de Autenticao Plugveis (Pluggable Authentication Modules - PAM).

A verificao de senhas executada durante sua criao no descobre senhas fracas to efetivamentequanto a verificao atravs da execuo de um programa de quebra de senhas contra as mesmas.

H muitos programas de quebra de senhas que rodam no Red Hat Enterprise Linux, embora nenhumseja distribudo junto com o sistema operacional. Abaixo h uma breve lista de alguns dos programasde cracking de senhas mais conhecidos:

Nota

Nenhuma destas ferramentas fornecida com o Red Hat Enterprise Linux, e portanto no sosuportadas pela Red Hat, Inc. de maneira nenhuma.

John The Ripper Um programa de quebra de senhas rpido e flexvel. Permite o uso de listas depalavras mltiplas e capaz de quebrar senhas usando fora bruta. Est disponvel online emhttp://www.openwall.com/john/.Crack Perhaps the most well known password cracking software, Crack is also very fast, thoughnot as easy to use as John The Ripper. It can be found online at http://www.openwall.com/john/.Slurpie O Slurpie similar ao John The Ripper e ao Crack, mas foi criado para rodar emvrios computadores simultaneamente, criando um ataque de quebra de senhas distribudo. Podeser encontrado online, juntamente outras ferramentas de avaliao de segurana contra ataquesdistribudos, em http://www.ussrback.com/distributed.htm.

Ateno

Sempre obtenha autorizaes por escrito antes de tentar quebrar senhas dentro de umaempresa.

2.1.3.2.2. Vencimento de Senhas

O vencimento de senhas uma outra tcnica usada por administradores de sistema para se combatero uso de senhas fracas dentro de uma empresa. O vencimento de senhas significa que aps umdeterminado tempo (geralmente 90 dias), o usurio obrigado a criar uma nova senha. Na teoria, se ousurio forado a trocar sua senha periodicamente, uma quebra de senha ser til para um intrusosomente por um tempo limitado. A desvantagem desta tcnica, no entanto, que usurios tendem aanotar suas senhas.

Existem dois programas principais usados para efetivar o uso do vencimento de senhas no Red HatEnterprise Linux: o comando chage ou o aplicativo grfico Gerenciador de Usurios (system-config-users).

The -M option of the chage command specifies the maximum number of days the password is valid. Forexample, to set a user's password to expire in 90 days, use the following command:

chage -M 90

In the above command, replace with the name of the user. To disable password expiration,


In the above command, replace with the name of the user. To disable password expiration,it is traditional to use a value of 99999 after the -M option (this equates to a little over 273 years).

Voc tambm pode usar o comando chage em modo interativo para modificar o vencimento e detalhesde vrias senhas ao mesmo tempo. Use o seguinte comando para entrar em modo interativo:

chage

O trecho a seguir um exemplo de uma sesso interativa usando este comando:

[root@interch-dev1 ~]# chage davidoChanging the aging information for davidoEnter the new value, or press ENTER for the default

Minimum Password Age [0]: 10 Maximum Password Age [99999]: 90 Last Password Change (YYYY-MM-DD) [2006-08-18]: Password Expiration Warning [7]: Password Inactive [-1]: Account Expiration Date (YYYY-MM-DD) [1969-12-31]:[root@interch-dev1 ~]#

Consulte a pgina man do chage para maiores informaes sobre as opes disponveis.

Voc tambm pode usar o grfico do aplicativo Gerente de Usurio para criar uma poltica devencimento de senha, como se segue. Note: voc precisar dos privilgios do Administrador paraaplicar este procedimento.

1. Clique no menu Sistema no Painel, escolha Administrao e clique em Usurios e Grupospara mostrar o Gerente de Usurio. Como outra alternativa, digite o comando system-config-users na janela de comandos.

2. Clique na aba Usurios, e selecione o usurio requerido na lista de usurios.3. Clique em Propriedades na barra de ferramentas para mostrar a caixa de dilogo das

Propriedades do Usurio ( ou escolha Propriedades no menu Arquivo).4. Em seguida, clique na aba Informaes de Senhas e insira o nmero de dias antes da

senha vencer, conforme mostra a Figura 2.1, Especificando as opes de vencimento da senha.5. Insira o valor solicitado no campo Dias antes da solicitao de mudana e clique em

OK.


Figura 2.1. Especificando as opes de vencimento da senha

2.1.4 . Controles Administrativos

When administering a home machine, the user must perform some tasks as the root user or by acquiringeffective root privileges via a setuid program, such as sudo or su. A setuid program is one that operateswith the user ID (UID) of the program's owner rather than the user operating the program. Suchprograms are denoted by an s in the owner section of a long format listing, as in the following example:

-rwsr-xr-x 1 root root 47324 May 1 08:09 /bin/su

Nota

O s pode ser maisculo ou minsculo. Se for maisculo, significa que o bit de permissoadjacente no foi definido.

For the system administrators of an organization, however, choices must be made as to how muchadministrative access users within the organization should have to their machine. Through a PAMmodule called pam_console.so, some activities normally reserved only for the root user, such asrebooting and mounting removable media are allowed for the first user that logs in at the physicalconsole (refer to Seo 2.4, Mdulos de Autenticao Plugveis (Pluggable Authentication Modules -PAM) for more information about the pam_console.so module.) However, other important systemadministration tasks, such as altering network settings, configuring a new mouse, or mounting networkdevices, are not possible without administrative privileges. As a result, system administrators mustdecide how much access the users on their network should receive.

2.1.4 .1. Permitindo Acesso Root

Se os usurios de uma organizao so de confiana e bem treinados em relao ao uso decomputadores, permitir que eles gozem de acesso root talvez no seja uma preocupao. Permitir queusurios tenham acesso root significa que atividades corriqueiras, como a adio de dispositivos ouconfigurao de interfaces de rede, sejam administradas por cada usurio, deixando administradoresde sistemas livres para lidar com a segurana de rede e outras questes importantes.

Por outro lado, a permisso de acesso root usurios individuais pode levantar as seguintes questes:

M Configurao da Mquina Usurios com acesso root podem configurar suas mquinasincorretamente e precisar de assistncia para resolver problemas, ou pior, abrir buracos nasegurana sem saber.Execuo de Servios Inseguros Usurios com acesso root podem rodar servios inseguros,como FTP ou Telnet, em suas mquinas, potencialmente colocando em risco nomes de usurios esenhas. Estes servios transmitem informao atravs da rede usando modo texto sem formatao.Execuo de Anexos de E-mails como Root Apesar de raros, existem vrus de e-mail que afetamo Linux. A nica hora em que eles representam uma ameaa, no entanto, quando so executadospelo usurio root.

2.1.4 .2. Impedindo Acesso Root

If an administrator is uncomfortable allowing users to log in as root for these or other reasons, the rootpassword should be kept secret, and access to runlevel one or single user mode should be disallowedthrough boot loader password protection (refer to Seo 2.1.2.2, Senhas do Carregador deInicializao for more information on this topic.)

Tabela 2.1, Mtodos para Desativar a Conta Root describes ways that an administrator can further


ensure that root logins are disallowed:


Tabela 2.1. Mtodos para Desativar a Conta RootMtodo Descrio Efeitos No AfetaAlterando oshell do root.

Edite o arquivo /etc/passwd e altere oshell de /bin/bash para /sbin/nologin.

Previne o acesso ao shelldo root e mantm um logde quaisquer tentativas.

Os seguintes programasno tm permisso paraacessar a conta do root:

login

gdm

kdm

xdm

su

ssh

scp

vsftpd

Programas que norequerem um shell, comoclientes FTP, clientes dee-mail, e outros tantosprogramas setuid.

Os seguintes programastm permisso paraacessar a conta do root:

sudo

Clientes FTP

Clientes de e-mail

Desativandoacesso rootatravs dequalquerdispositivo deconsole (tty).

Um arquivo /etc/securetty vazioimpede a autenticaocomo root a quaisquerdispositivos conectados aocomputador.

Impede acesso conta doroot atravs do consoleou rede. Os seguintesprogramas no temacesso conta do root:

login

gdm

kdm

xdm

Outros servios de redeque abram um tty

Programas que noautentiquem-se como root,mas executam tarefasadministrativas atravs deprogramas setuid ououtros mecanismos.

Os seguintes programastm permisso paraacessar a conta do root:

su

sudo

ssh

scp

vsftpdDesativandoautenticaesroot SSH.

Edite o arquivo /etc/ssh/sshd_confige defina o parmetro PermitRootLogin para no.

Impede o acesso rootatravs do conjunto deferramentas Open SSH.Os seguintes programasno tem acesso contado root:

ssh

Isto impede somente oacesso root ao conjuntode ferramentas OpenSSH.


scp

vsftpdUtilizar o PAMpara limitar oacesso rootaos servios.

Edit the file for the targetservice in the /etc/pam.d/ directory.Make sure the pam_listfile.so isrequired forauthentication.[ ]

Impede o acesso root aservios de rede queofeream integrao como PAM.

Os seguintes serviosno podem acessar aconta do root:

Clientes FTP

Clientes de e-mail

login

gdm

kdm

xdm

ssh

scp

vsftpd

Quaisquer servios queofeream integrao como PAM (PAM aware)

Programas e servios queno ofeream integraocom o PAM.

2.1.4 .2.1. Desativando o Shell do Root

To prevent users from logging in directly as root, the system administrator can set the root account'sshell to /sbin/nologin in the /etc/passwd file. This prevents access to the root account throughcommands that require a shell, such as the su and the ssh commands.

Importante

Programas que no requerem acesso ao shell, como clientes de e-mail ou o comando sudo,ainda podem acessar a conta root.

2.1.4 .2.2. Desabilitando Autenticaes Root

To further limit access to the root account, administrators can disable root logins at the console byediting the /etc/securetty file. This file lists all devices the root user is allowed to log into. If the filedoes not exist at all, the root user can log in through any communication device on the system, whethervia the console or a raw network interface. This is dangerous, because a user can log in to his machineas root via Telnet, which transmits the password in plain text over the network. By default, Red Hat

a

Refer to Seo 2.1.4.2.4, Desab il itand o o Acesso d o Ro o t ao PAM fo r d etails .[a]


Enterprise Linux's /etc/securetty file only allows the root user to log in at the cons

red hat enterprise linux 5 deployment guide pt br

Documents

trademarks of red hat

protegendo o portmap2

protegendo o nis2

protegendo o nfs2

protegendo o ftp2

protegendo o sendmail2

ameaas segurana

autenticao e segurana1