Na era pré-smartphone, que

Transcrição

1 Android Toque de administrador Smartphones e tablets perderam o status de gadgets e se tornaram parte do kit de ferramentas do administrador de sistemas. Analisamos os aplicativos mais importantes para administradores. por Holger Gantikow e Markus Feilner Na era pré-smartphone, que não foi há muito tempo, era difícil imaginar um uso prático para um dispositivo móvel na administração do sistema se descontarmos laptops com interfaces gráficas e web ou software de terminal projetado para alta latência. Hoje, tudo isso mudou: com a banda larga e conexões de dados móveis e com hotspots e redes sem fio difundidas nas empresas, os administradores são cada vez mais capazes de deixar suas mesas de trabalho e sair da sala de servidor sem precisar voltar correndo pra verificar algum problema. Smartphones e tablets com tamanhos de tela suficientemente grandes estão se transformando em ferramentas multifuncionais que podem fazer a maioria das tarefas importantes, enquanto estamos na estrada ou em caso de alguma emergência. Figura 1 Smartphones e tablets de vários tamanhos, formatos e preços podem resolver o problema de administração móvel de redes. Zoológico de dispositivos Dispositivos Android não são caracterizados por nenhum tipo de homogeneidade de versão, por isso, decidimos testar os programas em vários dispositivos: um Nexus 4 com o mais recente Android 4.3, um Nook HD+ com uma versão um pouco mais antiga do Android 4, um antigo Motorola Defy com Cyanogen Mod 7 (Android 2.3.7), um Sony Experia com Android 2.3 com muitos backports fornecidos pelo fabricante, e um HTC Desire Z com Android AOSP Nenhum dos programas testados tiveram 62

2 Figura 2 Aparelhos como o HTC Desire Z que já tem alguns anos ainda podem ser utilizados com as mais modernas ferramentas de monitoramento. problemas de compatibilidade em qualquer um dos dispositivos. Do lado Apple, tivemos acesso a um iphone com ios 6 e um ipad de primeira geração com ios 5 mais uma vez, sem problemas de compatibilidade (figuras 1 e 2). Lojas e VPN Se vasculharmos a Play Store ou a App Store da Apple, é provável que encontremos um grande número de aplicativos, em sua maioria gratuitos, que ajudam os administradores a gerenciar os sistemas suportados de forma razoavelmente conveniente usando um pequeno dispositivo móvel. Além disso, uma enorme variedade de ferramentas espalhadas pela web facilitam a vida dos profissionais de TI. A maioria dos sistemas não são expostos à Internet sem proteção, mas, ao invés disso, encontram-se ocultos atrás de um firewall, por isso, na maioria dos casos, o acesso só pode ser feito através de uma conexão VPN. A configuração desta conexão é descrita para Android [1] e ios [2] em outro lugar. Senhor do console Se o usuário gerenciar com frequência servidores Unix e Linux, sua principal ferramenta será um cliente SSH. Em dispositivos Android, o ConnectBot [3], de Kenny Root e Jeffrey Sharkey, é provavelmente a melhor escolha atualmente disponível (figura 3). Ele suporta logins usando pares de chaves SSH e também pode tunelar portas, o que se prova especialmente útil se quisermos o acesso SSH para substituir uma VPN completa. O ConnectBot estabelece várias sessões simultâneas e permite copiar e colar dados para outros usos por exemplo, para informar os colegas do status atual do sistema por Figura 3 SSH com CoonectBot. ou usar um cheat sheet com os comandos usados com mais frequência. Mesmo aqueles que usam um gerenciador de senhas como o KeePassDroid [4] em breve apreciarão este recurso. Um detalhe interessante é que o ConnectBot pode emitir comandos automaticamente para o usuário após o login. Esta automação pós-login então se encarrega de tarefas padrão, tais como verificação de logins ou recursos ativos. X para Android Executar comandos na inicialização também é útil para a exportação de um display, para que possamos iniciar aplicativos gráficos em combinação com o servidor X para Android [5]. Infelizmente, o android-xserver não suporta as extensões necessárias para iniciar o Firefox, por exemplo. No entanto, continua a oferecer a implementação do servidor X mais abrangente para Android. Teclado hacker Se o usuário estiver familiarizado com as vantagens proporcionadas pelos controles baseados em teclado em um Shell, definitivamente irá apreciar alguns Linux Magazine #109 Março de

3 Figura 4 O ConnectBot e o Hackers Keyboard trabalham muito bem juntos. recursos avançados para telas sensíveis ao toque, incluindo a tecla [Tab], por vezes ausente no recurso de autocompletar. Apenas alguns dispositivos Android possuem esse detalhe prático pré-instalado (figura 3), e o Hacker s Keyboard [6] (figura 4) torna o Shell do Unix com o ConnectBot muito mais agradável de usar ao adaptar o [Tab], [Ctrl], [Esc] e teclas de setas. Durante a instalação, note que os novos teclados do Android não são automaticamente ativados por razões de segurança; em vez disso, o usuário precisa ativá-los nas configurações do sistema. Embora isso pareça desnecessariamente complicado à primeira vista, na verdade é algo que faz todo o sentido: teclados instalados involuntariamente poderiam agir como keyloggers e capturar senhas, entre outras coisas. Console da Apple No lado ios, o issh [7] (figura 5) fornece um poderoso cliente SSH. Além das características descritas para o ConnectBot, ele ainda suporta o Remote Desktop Protocol (RDP) e o Virtual Network Computing (VNC) fora da caixa, e ele vem com seu próprio servidor X. Podemos iniciar o Firefox sem problemas, embora tenhamos que fazer algumas concessões em comparação com a versão móvel, que é otimizada para tablets e smartphones. Ainda é melhor usar um Firefox lento tunelado via SSH do que expor recursos da intranet. Graças ao seu próprio servidor X, o issh é muito mais conveniente de usar do que unindo o ConnectBot a um servidor X, pois é necessário muito menos esforço de configuração. Windows remoto Se o acesso de linha de comando não é suficiente e o usuário também precisa de acesso a sistemas Windows, os aplicativos individuais para terminal de protocolos de servidor, como o RDP e o VNC oferecem uma ampla seleção. Este desejo de maior comodidade leva a um aplicativo de nome complicado, o PocketCloud Remote RDP/VNC [8], da Wyse Technology, que permite o acesso RDP e VNC a sistemas Windows, Linux e Mac OSX e está disponível tanto para Android como ios. O aplicativo suporta duas formas de login. A primeira pede o endereço Figura 5 ISSH para dispositivos ios possui integração com X server. IP ou nome do host do sistema de destino, a porta de destino, e quaisquer outras informações de login necessárias. O segundo método, o modo automático, requer que o PocketCloud Companion seja instalado no sistema de destino e uma conta do Gmail. Esta alternativa é especialmente interessante para sistemas privados monitorados regularmente além da rede corporativa. A principal restrição à versão gratuita é que ela só permite armazenar uma conexão. Antes de criar uma nova conexão, o usuário deve apagar a existente. Se isso não for suficiente para o usuário, é possível comprar a versão comercial por cerca de 15 dólares americanos; a versão Pro não possui tais limitações e ainda inclui criptografia de 256 bits NLA/ TLS para conexões RDP e suporte para VMware View. Se o usuário precisa abrir várias sessões RDP diferentes com uma certa frequência, poderá usar o 2X Client RDP/ Remote Desktop [9]. Ele funciona mesmo com a antiga versão 1.6 do Android e permite criar múltiplas conexões. Para acesso apenas por VNC, o Mocha VNC Lite fornece uma alternativa para Android e 64

4 Figura 6 O TeamViewer (gerenciando uma sessão Mac OSX na imagem) está disponível para uma grande variedade de clientes e servidores. ios [10]. Infelizmente, ele também permite apenas um único servidor. NoMachine Administradores que dependem do gerenciamento de seus sistemas remotos no Free NX ou o NX proprietário da NoMachine são deixados de fora. Atualmente, nem um único cliente executa em Android ou ios, embora um howto para geeks descreva como executar o NX em um ambiente chroot com Ubuntu no Android [11]; no entanto, os benefícios desta solução na rotina diária parecem ser mínimos. A NoMachine aparentemente está trabalhando em um cliente para Android e ios, que ainda não estava disponível no momento do fechamento desta edição, embora estivesse programado para estrear em dezembro de 2013, de acordo com o anúncio na página de download [12]. O site não indica se as versões mais antigas que a V4 do protocolo são suportadas. Os antigos fabricantes italianos, agora baseados em Luxemburgo, levaram algum tempo com a recém-lançada quarta edição do Linux Magazine #109 Março de 2014 programa muitos anos, na verdade, para o desespero dos clientes. A paciência parece necessária. TeamViewer com toque remoto O software de compartilhamento de desktop TeamViewer [13] (figura 6) está disponível para os sistemas operacionais de desktop mais comuns Windows, Mac OSX e Linux assim como em uma versão de cliente para Android e ios. O TeamViewer pode ser usado para apresentações online ou reuniões, mas é também adequado para tarefas de manutenção remota. Um efeito positivo para se observar aqui é a versão Quick Support (de suporte rápido) que não requer instalação e é especialmente adequada para o suporte espontâneo e simples de usuários menos técnicos. Os usuários só precisam baixar um programa e executá-lo. O software então exibe um ID de sessão e uma senha. Se necessário, os usuários podem passar ambos para o auxiliar móvel no telefone, que em seguida se Figura 7 O Cura mostra os dados de monitoramento mais importantes. conecta ao sistema e resolve o problema. O auxiliar remoto, então, assume o comando e pode até mesmo gerenciar o sistema através do controle por gestos e lida com as transferências de arquivos em ambos os sentidos. Artesanal Tão elegante como um console ou uma sessão de login gráfico podem ser, um administrador de sistema, muitas vezes, só precisa de respostas para as perguntas mais habituais. O quão completo são os sistemas de arquivos? Quantos usuários estão conectados ao sistema? Quanto tempo ele tem estado realmente em execução? Se o usuário não tiver organizado os sistemas em um sistema de monitoramento abrangente como o Nagios, poderá apreciar uma ferramenta como o CuraSysAdmin [14] (figura 7), que só está disponível para Android. O Cura responde a estas e outras questões e também inclui um emulador de terminal bastante rudimentar, o scanner de portas Nmap, e um visualizador de arquivo de log, que 65

5 sua versão gratuita (FileExplorer Free [17]) permanece limitada a uma única conexão. Escaneamento e sniffer de rede Figura 8 A lista de serviços em execução em um sistema já escaneado, seus detalhes e ações que podem ser tomadas. fornece acesso pré-configurado para os principais logs do sistema em /var/log, que ainda pode ser armazenado no dispositivo Android. Um elegante mas opcional recurso do Cura previne sua instalação em dispositivos Android que não possuam SIM card instalado. O Cura implementa uma opção para exclusão remota de seu banco de dados e envia mensagens de texto ou s com a posição atual do dado em caso de perda do aparelho. Uma conexão GSM é imprescindível pra isso. 66 Outra boa ferramenta para manter sob controle os dispositivos móveis presentes em sua rede é o versátil Fing [18] (figura 8). Ele funciona em dispositivos Android e ios e verifica todos os os dispositivos registrados na rede, revelando o nome do host, IP e endereços MAC, e, se possível, o fabricante do dispositivo e seu respectivo modelo. A concisa lista de resultados pode ajudá-lo a determinar rapidamente o endereço IP de um dispositivo esquecido ou checar se o dispositivo está online e em seguida, descobrir qual endereço DHCP foi designado a ele pelo servidor. As listas de dispositivos podem ser armazenadas no dispositivo ou na nuvem da fabricante, a Fingbox, no entanto este recurso só está disponível na versão comercial do aplicativo. Selecione um item na lista para iniciar uma varredura de porta no respectivo dispositivo. Caso encontre portas ou serviços abertos, poderá executar o aplicativo para o serviço imediatamente. Gerenciamento de arquivos aos protocolos FTP, SFTP, FTPS, WebDAV, e CIFS. Caso sua intenção seja armazenar os dados na nuvem, poderá utilizar a conexão nativa do aplicativo com o Dropbox, SkyDrive, GDrive e Amazon S3, entre outros. Para ambientes heterogêneos em particular, a implementação de NFS (Network File System) e do protocolo da Apple, AFP (Apple Filling Protocol) são diferenciais raros em dispositivos móveis. Usuários de ios que desejam acessar a rede e efetuar ações ou utilizar os mesmos recursos experimentados no Android podem utilizar o FileExplorer em sua versão comercial [16], pois Os usuários que procuram um gerenciador de arquivos que seja também adequado para uso em rede irá fatalmente encontrar o ES File Explorer [15]. Além de seu recurso de gerenciador de arquivos fácil de usar, com suporte para arquivos ZIP e RAR, ele oferece um visualizador de arquivos integrado, que pode lidar com a maioria dos formatos e possui um mecanismo de pesquisa integrado, que poderá auxiliar o usuário a encontrar todos os arquivos de um determinado tipo sem a necessidade de digitar nada no dispositivo, por exemplo. Para o mundo à sua volta, o ES File Explorer fornece suporte Figura 9 Gráfico de status de conexões WiFi do WiFi Analyzer.

6 Figura 10 O zanti efetua escaneamentos de redes locais em busca de vulnerabilidades. Aplicativos sugeridos para usos como esses são o ConnectBot para conexões SSH e AndFTP [19] para o SCP e SFTP. Além disso, a conexão direta via CIFS pode ser facilitada pelo AndSMB [20] que já possui determinados acessos pré-configurados. Além disso, é possível executar uma série de ferramentas de rede clássicas (por exemplo, Telnet, Ping e Traceroute) contra um host. A capacidade de acordar um sistema usando Wake-on-LAN (WOL) também está disponível. Caso queira acordar um dispositivo que não está em sua lista, poderá fazê-lo através das configurações globais presentes no menu. Este também é o lugar onde poderão ser feitas pesquisas de DNS ou execução de pings e traceroutes contra qualquer computador. O Fing também é útil como uma ferramenta de segurança. Por exemplo, é possível descobrir se um roteador sem fio possui algum tipo de isolamento (isto é, se os dispositivos podem ver uns aos outros) enquanto estão executando o Fing. Se for possível ver outros sistemas e serviços, somente transfira dados sem criptografia após uma cuidadosa consideração dos problemas decorrentes disso. Analisador de conexões Wifi Os administradores que não estão muito interessados em explorar dispositivos presentes em sua própria rede mas estão muito interessados em explorar as conexões sem fio à sua volta, devem conhecer o Wifi Analyzer [21]. A ferramenta é muito intuitiva, o que é adequado mesmo para os não-especialistas e examina todas as conexões sem fio e redes sem fio encontradas na faixa de cobertura do dispositivo e as apresenta em uma tela em formato de gráfico separada por cores (figura 9), o que pode ser útil para analisar problemas de recepção de sinal ou mesmo para o planejamento da criação de novas redes sem fio. O gráfico mostra a potência do sinal do ponto de acesso em tempo real e sua apresentação em cores varia de verde (forte), para amarelo (média) e por fim para cinza (fraca). Caso o áudio do dispositivo esteja ativado, o aplicativo pode ser usado como um contador Geiger e fornecer feedback acústico para o usuário em relação à qualidade da recepção do sinal. Análise da interferência A avaliação de canais também permite operar sua própria rede sem fio sob a forma de um canal que seja tão livre quanto possível de interferências. Este processo avalia o os canais individuais mostrando asteriscos que ajudam a determinar o canal menos frequentado, o que é definitivamente um desafio em áreas densamente povoadas. A lista de AP, que é projetada mais para usuários tecnicamente interessados ou para depuração avançada, fornece os nomes das redes individuais, canais usados, freqüências, tipo de criptografia e intensidade do sinal e até mesmo os detalhes de múltiplos pontos de acesso disponíveis que compartilham do mesmo ESSID. Apple: sem sniffers No ios, a escolha de aplicativos deteriorou-se significativamente desde que a Apple começou a remover sistematicamente os sniffers de sua App Store em meados de O motivo? Sniffers constam como aplicativos não autorizados, são classificados como "estruturas privadas para espionar acesso e dados de redes sem fio". Trocando em miúdos, trocam arquivos e informações diretamente, ao invés de utilizar as chamadas de biblioteca requeridas pela Apple. No entanto, os aplicativos que possuem redes Wifi em seu banco de dados próprio ainda são permitidos; o que é um conceito de pouca utilidade para explorar redes sem fio em seu bairro. A única solução aqui é um jailbreak e um pequeno desvio para o aplicativo Cydia, que oferece uma vasta seleção de sniffers. Os administradores devem decidir por eles mesmos se o acesso root será uma alternativa, muitos especialistas em segurança aconselham essa abordagem, citando o lema "se é possível, fazê-lo você mesmo ao invés de deixar para um hacker fazer, faça". No entanto, esta questão é um importante ponto para um debate acalorado entre os consultores de segurança. Caso esteja pouco preocupado com dispositivos, mas quer ter o panorama geral da rede, normal- Linux Magazine #109 Março de

7 Quadro 1: Mais diversão com privilégios de root Nenhum dos aplicativos presentes neste artigo precisa de permissões de root para funcionar. Contudo, quanto mais permissões possuir o usuário, mais aplicativos úteis e interessantes poderão ser utilizados como a ferramenta de segurança de rede WiFinspect [23]. Uma verificação de rede é executada em um ritmo mais lento do que com o Fing, mas a ferramenta também verifica a existência de computadores com vulnerabilidades de sniffing tráfego de rede em formato Pcap. Internamente, os administradores usam ferramentas bem mais conhecidas como Nmap ou tcpdump. A página das Funções Gerais do aplicativo na Play Store do Google, exibe uma lista de outros recursos como a capacidade para testar os pontos de acesso e proteger as senhas padrão. Também atraente para administradores de sistema conscientes, os scanners de vulnerabilidade tais como o aplicativo de teste de invasão Zanti [24] (figura 10) ou ferramentas forenses como o analisador de volatilidade de memória RAM, LiME [25] também fazem parte do arsenal do administrador de redes. A maioria dessas ferramentas apenas atinge todo o seu potencial com privilégios de root. mente já encontraria solução no pacote de monitoramento Nagios ou Icinga. Aplicativos de harmonização e interfaces web estão disponíveis para ambos sistemas (Android e ios), ajudando assim os administradores a manterem o controle de todos os seus sistemas críticos em uma tela pequena. O site do Nagios fornece até mesmo nomes para um grande número de interfaces móveis [22]. Conclusão Smartphones e tablets com Android e ios têm avançado nos últimos anos para que, se tornem cada vez mais em úteis alternativas para administradores quando se trata de dar uma rápida olhada em um sistema supervisionado. Apesar de deficiências graves de segurança, estes aplicativos perderam sua reputação duvidosa como ferramentas de administração. Uma ampla seleção de aplicativos para fazer virtualmente praticamente qualquer coisa relacionada a monitoramento de redes, gestão ou escaneamento transforma estes dispositivos móveis em ferramentas importantes para administradores mesmo sem permissões de root no dispositivo (quadro 1). Na mochila do administrador móvel, dispositivos como tablets e smartphones são muito mais bem vindos e significativamente mais leves do que laptops ou um PC em cima da mesa. Entretanto, para as sessões mais longas, não faz mal ter um laptop à mão e em último caso, pelo menos um teclado Bluetooth para ajudar no trabalho. Tudo é questão de escolha (ou de necessidade). n Gostou do artigo? Queremos ouvir sua opinião. Fale conosco em: cartas@linuxmagazine.com.br Este artigo no nosso site: Mais informações [1] Conecte seu smartphone via VPN VPN: connect your android smartphone via vpn/ [2] ios: configuração de VPN: [3] ConnectBot: [4] KeePassDroid: android.keepass [5] android-xserver: [6] Hackers Keyboard: [7] Console Apple: soft.com/issh_features.html [8] PocketCloud: tab video [9] 2X Client: [10] Mocha VNC Lite: vnc lite/id ?mt=8, play. google.com/store/apps/details?id=dk.mochsoft.vnc&hl=en [11] NX chroot: on android/36 [12] NoMachine: com/download [13] TeamViewer: [14] Cura-SysAdmin: cura [15] ES File Explorer: pop [16] FileExplorer: [17] FileExplorer Free: free/id ?t=8 [18] Fing: com/fing [19] AndFTP: play.google. com/store/apps/details?id=lysesoft.andftp [20] AndSMB: [21] Wifi Analyzer: [22] Nagios/Icinga mobile: www. nagios.org/download/ frontends [23] WiFinspect: play.google.com/store/apps/details?id=uk.co.opticiancms.wifiprobe [24] zanti: anti.html [25] Análise forense no Android com LiME: youtube.com/watch? v=khnas55tv0w 68