A Arte da Guerra para Administradores de Sistemas: Construindo Ambientes Seguros com Software Livre

Transcrição

1 A Arte da Guerra para Administradores de Sistemas: Construindo Ambientes Seguros com Software Livre Eder L. Marques Projeto Software Livre Ceará Grupo de Usuários Debian-CE

2 Sobre o palestrante Membro Fundador Debian-CE; Brazilian Country Manager do LinuxCounter.org Usuário de SL a mais de 8 anos; Analista de Segurança Sênior da Secretaria de Finanças Prefeitura Municipal de Fortaleza; Colaborador em vários projetos de SL; Membro do Debian Testing Security Team Fã de basquetebol; Um dia vai aprender a tocar violão...

3 Ceará Terra da Luz

4 Agenda Sun Tzu; A Arte da Guerra visão geral; Divisão da obra; Importância nos dias atuais; Aplicando conceitos; Ferramentas gerais; Considerações finais; Perguntas;

5 PARTE I Visão Geral

6 Sun Tzu Um dos maiores estrategistas de todos os tempos; General Chinês que viveu por volta do Séc VI a.c.; Conquistou inúmeras vitórias; Tem sua existência questionada; Autor da Obra A Arte da Guerra ;

7 A Arte da Guerra Livro sobre estratégias militares; Composto por 13 capítulos; Cada Capítulo aborda um aspecto da estratégia de guerra; Fornece o panorama geral para se vencer uma batalha; Tratado que influenciou vários líderes, como Napoleão, Hitler, Mao Tse Tung;

8 Divisão da obra 13 Capítulos: Avaliações Guerreando Estratégia ofensiva Disposições Energia Fraquezas e forças Manobras As nove variáveis

9 Divisão da obra Movimentações Terreno As nove variáveis de terreno Ataques com o emprego de fogo Utilização de agentes secretos

10 Importância da obra nos nossos dias Hoje, as citações de Sun Tzu deixaram de atuar apenas na esfera militar, passando a atuar também em uma guerra diferente, mas igualmente perigosa: a guerra na internet.

11 Importância da obra nos nossos dias Seus princípios podem ser aplicados não só nas táticas militares, como também em quase todos os ramos da atividade humana; indivíduos X oponentes; exércitos X exércitos; empresas X concorrentes;

12 E ainda... Administradores de Sistemas versus: crackers; script kiddies; defacers; usuários maliciosos; virus, worms;

13 PARTE II Aplicando os conceitos

14 Cap I - Sobre a avaliação A guerra é o caminho para a sobrevivência ou a perda do Império. É preciso manejá-la bem. Fatores a serem analisados: doutrina: tempo; terreno; mando; disciplina;

15 Cap I - Sobre a avaliação Qual bem está estruturado seu ambiente? Sua Empresa segue as normas (BS7799, ITIL, Sarbanes Oxley, HIPAA, ISO 27001, CoBIT, etc) adequadas? Qual bem preparado está você em relação ao seu oponente?

16 Cap I - Sobre a avaliação Qual o combatente mais preparado? O terreno de luta é favorável a você? Existe a disciplina de uma política de segurança bem implementada? O general que siga o meu conselho, é certo que vencerá

17 Ferramentas de avaliação ping (sim, o ping! TTL é seu amigo.); traceroute; netcat; Nmap; grabbb; host [-l]; Nessus; Use a força, Luke: shell, python, perl, etc;

18 Cap II - Guerreando Se mantiveres teu exército durante muito tempo em campanha, teus mantimentos se esgotarão Seja rápido como o trovão que retumba antes que tenhas podido tapar os ouvidos, veloz como o relâmpago que brilha antes de haver podido piscar.

19 Cap II - Guerreando Aplicar correções o mais rápido possível; Proatividade em relação a incidentes de segurança; Analisar rapidamente os riscos e implementar os controles; Educar os membros da organização;

20 Cap II - Guerreando : suas armas Firewalls (iptables, PF, IPFW); Snort; bridges transparentes; ssh,ssl, tls e outras libs de criptografia; google ( google hacking is cool!) NBRSO, NIC.BR, CERT.BR;

21 Cap III Estratégia Ofensiva Pensando como o inimigo; testes de invasão; Scanners; Snnifers; Quebra de senhas; auditorias;

22 Cap IV Disposições A invencibilidade é uma questão de defesa, a vulnerabilidade, uma questão de ataque. O invasor possui todo o tempo do mundo para analisar sua rede; Garantir que o sistema seja o mais seguro possível;

23 Cap IX Movimentações As manobras militares são o resultado dos planos e estratégias na maneira mais vantajosa para ganhar. Montar o ambiente baseado nas melhores práticas: Implementar sistemas de arquivos seguros; Analisar o impacto ao ambiente ao expandir o perímetro ou adicionar novos recursos; Analisar os logs é fundamental!!

24 Cap XIII Utilização de Agentes secretos A informação prévia não se pode obter de fantasmas nem espíritos, nem se pode ter por analogia, nem descobrir mediante cálculos. Deve se obter de pessoas; pessoas que conheçam a situação do adversário. Analisar o perigo da Engenharia Social, trojans e spywares;

25 PARTE III Ferramentas gerais

26 Testes de invasão e Live CDs

27 Scanner e fingerprint Nessus; Nmap; Strobe; QueSO; nemesis; grabbb;

28 Sniffers tcpdump; ethereal; netcat; iptraf;

29 E vários outros... John the Ripper; chkrootkit; OpenSsh; OpenSSL; Acid; ngrep; honeynet; Snort, OSEC HIDS;

30 Considerações finais Vivemos em uma guerra. Uma guerra sem fronteiras, sem rostos. Uma guerra velada, movida a kbites, a pulsos eletrônicos. Cabe a nós escolhermos as melhores armas e enfrentarmos o inimigo oculto. Nunca seremos 100% seguros, mas devemos maximizar os resultados através de uma boa estratégia. Como diria Sun tzu: A invencibilidade é uma questão de defesa, a vulnerabilidade, uma questão de ataque.

31 Perguntas??? HAPPY HACKING!