Trend Micro. SecureSite. Guia de Melhores Práticas. Marketing Técnico de produtos SMB

Transcrição

1 Trend Micro SecureSite Guia de Melhores Práticas Marketing Técnico de produtos SMB

2

3 A Trend Micro Incorporated reserva-se o direito de fazer mudanças sem aviso neste documento e nos produtos nele descritos. Antes de instalar e usar o software, verifique o arquivo Readme e a versão mais recente da documentação correspondente. Trend Micro, o logotipo Trend Micro t-bal e Worry-Free são denominações comerciais ou marcas registradas da Trend Micro Incorporated. Todos os outros nomes de produtos ou empresas podem ser denominações comerciais ou marcas registradas de seus respectivos titulares. Copyright Trend Micro Incorporated. Marketing Técnico de Produtos SMB. Todos os direitos reservados. Trend Micro SecureSite 1.0 Guia de Melhores Práticas oferece orientações a revendedores e clientes que estão desenvolvendo e gerenciando um site de comércio eletrônico pequeno ou médio. Informações detalhadas sobre o uso de recursos específicos do software estão disponíveis na seção de ajuda on-line e também nos documentos Trend Micro Getting Started Guide (Guia Rápido Trend Micro) e Trend Micro SecureSite 1.0 Administrator s Guide (Trend Micro SecureSite 1.0 Guia do Administrador). A Trend Micro busca melhorar sua documentação constantemente. Se você tem dúvidas, comentários ou sugestões sobre este ou qualquer outro documento da Trend Micro, por favor entre em contato conosco pelo canaldireto@trendmicro.com. Você também pode avaliar este documento no endereço abaixo: 3

4 PERFIL DO DOCUMENTO: Produto: Trend Micro Worry-Free SecureSite 1.0 Título do Documento: Trend Micro Worry-Free SecureSite 1.0 Guia de Melhores Práticas v1.0 Nome de Arquivo do Documento: Best Practices v1.0 Trend Micro SecureSite 1.0 Data de Lançamento do Documento: 29 de abril de 2008 Equipe: Marketing Técnico de Produtos SMB Autor: Randy Jeff Licsi, Engenheiro Sênior de Produto (TSS-PH) 4

5 Índice Prefácio...7 Introdução... 8 Capítulo 1: Melhores Práticas para Sites de Comércio Eletrônico...9 Segurança dos Sistemas Operacionais...9 Instalação...9 Pós-Instalação...11 Segurança do Servidor Web Serviços de Informação na Internet (IIS 6.0) Apache Segurança dos Aplicativos Web...24 Segurança do Banco de Dados...26 SQL Server...26 Capítulo 2: Manutenção da segurança de seu site de comércio eletrônico com Trend Micro SecureSite Como o Trend Micro SecureSite funciona...31 Arquitetura...31 Principais Recursos e Benefícios...32 Manutenção da postura de segurança de seu site de comércio eletrônico com Trend Micro SecureSite...34 Apêndice A Amostra Executiva Geral Apêndice B Amostra de Plano de Remediação

6

7 Prefácio Bem-vindo ao Trend Micro SecureSite 1.0 Guia de Melhores Práticas. Este documento foi criado para ajudar revendedores e clientes no desenvolvimento de um conjunto de melhores práticas de segurança para sites de comércio eletrônico pequenos e médios, além do teste de vulnerabilidades por meio do Trend Micro SecureSite 1.0. O documento deve ser usado em conjunto com os guias a seguir: Trend Micro SecureSite 1.0 Getting Started Guide (Trend Micro Worry Free Secure Site 1.0 Guia Rápido) Trend Micro SecureSite 1.0 Administrator s Guide (Trend Micro Worry Free Secure Site 1.0 Guia do Administrador) - Grupo de Marketing Técnico de Produtos SMB TREND MICRO worry-free securesite GUIA de melhores práticas 7

8 Introdução O rápido crescimento da Internet abre muitas portas para novos negócios, já que se trata de uma maneira nova e fácil de oferecer produtos e serviços. Com a Internet ficou muito mais fácil navegar por vários itens e categorias de produtos, comparar preços em várias lojas e contar com a conveniência de receber os produtos em casa. Estas transações on-line exigem a troca eletrônica de dados confidenciais, como por exemplo, o envio de um número de cartão de crédito de um consumidor na Europa para uma empresa sediada nos Estados Unidos. O tratamento dado às informações confidenciais recebidas dos clientes pode definir o destino de uma empresa de comércio eletrônico. A segurança das informações não deve ser considerada um recurso adicional no site: deve ser encarada como uma parte vital do design e do planejamento. O conjunto de melhores práticas a seguir oferece todas as informações necessárias para planejar, desenvolver e manter de maneira eficiente os servidores e aplicativos de seu site de comércio eletrônico. Desta forma, você garante a segurança de seu negócio e o protege contra uma grande variedade de vulnerabilidades. 8 TREND MICRO worry-free securesite GUIA de melhores práticas

9 Capítulo 1: Melhores Práticas para Sites de Comércio Eletrônico 1 Segurança dos Sistemas Operacionais O sistema operacional é o programa de base que gerencia todos os recursos de hardware e software de um computador. Por se tratar de um programa muito complexo, um sistema operacional é dividido em diversos subsistemas, e cada um deles é responsável por uma tarefa específica. Esta complexidade e os milhões de linhas de código transformam o sistema operacional em um alvo em potencial para ataques. É muito importante levar em conta a segurança de um sistema operacional antes de decidir por sua instalação. As soluções e procedimentos de segurança a seguir ajudam a minimizar os efeitos das vulnerabilidades de segurança em um sistema operacional Windows. Instalação 1. Etapas da Instalação O administrador deve inserir algumas informações durante o processo de instalação do Windows. As etapas abaixo devem ser definidas antes da instalação. Sempre que possível, instale o servidor quando não estiver conectado à Internet ou protegido por um firewall. Isso vai proteger o servidor do tráfego intenso até que esteja completamente instalado, atualizado e configurado. Compatibilidade de Hardware e Software Sistemas operacionais mais novos demandam mais recursos de hardware. Antes do lançamento de um sistema operacional, a Microsoft divulga uma lista de hardware compatível. É importante verificar os drivers de todos os periféricos, especialmente se você estiver usando hardware legado, já que esses drivers também podem causar problemas de vulnerabilidade. o O Catálogo do Windows Server, que pode ser acessado em contém uma lista de recursos de hardware e software compatíveis com o sistema operacional Windows. Os fabricantes de hardware testam seus próprios produtos e enviam os resultados das provas. Os fabricantes de software, por outro lado, enviam seus programas para que sejam testados pela equipe competente e recebam o logotipo do Windows. Espaço em Disco Planeje com antecedência e reserve espaço em disco suficiente para o sistema operacional e os aplicativos. Considere o espaço necessário para bancos de dados e logs. Partições de Disco Atualmente o tamanho dos discos rígidos varia de 40GB a 750GB para unidades IDE/SATA e de 37 GB a 1TB para unidades SCSI/SAS. É uma prática comum deixar o sistema operacional em um disco ou partição separado, reservando outro disco ou partição para os aplicativos e bancos de dados. Sistema de Arquivos O sistema de arquivos deve ser configurado como NTFS para permitir as configurações de segurança. Existe uma idéia errada e bastante difundida de que é mais fácil recuperar um sistema que usa uma partição FAT. Isso não é verdade. Um sistema FAT é menos seguro e sua recuperação não é fácil. NTFS oferece mais segurança por meio de direitos de acesso a arquivos e diretórios, além de suportar criptografia de arquivos. Componentes de Serviço Antes da instalação, decida quais serviços serão necessários para o sistema operacional. Para instalações de servidor, as opções podem incluir Active Directory, DNS, WINS ou DHCP. Procure instalar apenas os serviços que você vai precisar. TREND MICRO worry-free securesite GUIA de melhores práticas 9

10 2. Escolha de Senha é importante pensar bem sobre a senha de administrador antes da instalação. As instruções a seguir podem ser úteis para escolher uma senha segura: 1 Uma senha deve ter pelo menos 8 caracteres. A Microsoft recomenda 14 caracteres ou mais. Use uma combinação de caracteres diferentes. Para ter mais segurança, misture letras maiúsculas, minúsculas, números e pontuação. Lembre-se: quanto menos tipos de caracteres você usar em sua senha, mais longa ela deve ser. Pense em palavras longas ou frases curtas que você se lembre facilmente, mas que sejam difíceis de adivinhar. Você também pode transformar a frase em uma senha mais segura. Exemplo: a frase Minha filha Sofia faz aniversário em 25 de agosto! pode ser usada como mfsfaem25a!. Você também pode substituir letras por caracteres especiais. A letra s pode ser substituída por $ e a letra e pode se transformar em &. Você pode até escrever com erros de ortografia para dar mais complexidade. Verificadores de senhas on-line podem determinar a força de sua senha. O endereço abaixo é de uma ferramenta deste tipo da Microsoft: Figura 1 Verificador de Senha da Microsoft 3. Escolha Apenas os Componentes de Serviços Necessários Não instale um determinado componente de serviço se não tiver necessidade imediata. Na última etapa do procedimento de instalação do Windows, o sistema vai perguntar quais componentes você deseja instalar. Desmarque todas as opções desnecessárias. Como alguns dos itens são marcados por padrão, verifique a lista cuidadosamente e desmarque o que não for necessário para sua instalação. Figura 2 Componentes do Windows 10 TREND MICRO worry-free securesite GUIA de melhores práticas

11 4. Permissões de Diretórios Ativos Se o servidor instalado for promovido a controlador de domínio, o Guia de Instalação de Diretórios Ativos vai exibir uma caixa de diálogo de Permissões, como mostrado na Figura 3. Se não houver sistemas operacionais legados (Windows 9x/NT) que precisem de acesso ao servidor, a segunda opção deve ser selecionada. Isso abre mão da compatibilidade com versões anteriores, para garantir mais segurança. 1 Figura 3 Permissões de Diretórios Ativos Pós-Instalação Depois de terminar a instalação do sistema operacional, você ainda precisará fazer mais coisas. Algumas delas podem demandar trabalho rotineiro e devem fazer parte das tarefas regulares de administração do servidor. Abaixo listamos alguns procedimentos de pós-instalação que reforçam a segurança de seu sistema operacional. 1. Instale o Service Pack e atualizações mais recentes um Service Pack da Microsoft é uma coleção de correções para erros e falhas de segurança. É altamente recomendável usar um CD de instalação com o último Service Pack já incorporado, assim você vai precisar apenas fazer o download das atualizações mais recentes. Existe uma maneira de incorporar Service Packs e atualizações em seu CD de instalação. Esse procedimento é chamado de slipstreaming, e junta as atualizações aos arquivos de instalação de uma versão mais antiga em um CD. Isso otimiza o processo de instalação do SO, já que você não vai precisar instalar mais nada ao final do processo. Além disso, o administrador contará com instalação mais atualizada possível do sistema operacional. Para saber mais sobre este procedimento, visite: 2. Ative as Atualizações Automáticas do Windows Quando as Atualizações Automáticas estão ativadas, o Windows verifica periodicamente se existem atualizações prioritárias que podem ajudar a proteger seu computador contra as últimas ameaças. Podem ser atualizações de segurança, críticas ou Service Packs. De acordo com suas configurações, o Windows automaticamente faz o download e instala as atualizações prioritárias, ou então avisa quando elas estão disponíveis. TREND MICRO worry-free securesite GUIA de melhores práticas 11

12 1 Figura 4 Ativar as Atualizações Automáticas do Windows Note que quando a atualização exige que o sistema seja reiniciado, isso será feito automaticamente. Se o computador é um servidor em produção que só pode ficar indisponível em horários programados, esta opção pode ser inviável. Para impedir que o sistema seja reiniciado automaticamente, ative a opção correspondente na tela de Windows Update, usando uma Diretiva de Grupo. a. Clique em Iniciar Executar e digite gpedit.msc b. Em Diretiva Computador Local Modelos Administrativos Componentes do Windows Windows Update, selecione Não há reinícios automáticos nas instalações agendadas em Atualizações Automáticas c. Marque a opção como Ativado d. Reinicie Figura 5 - Não há reinícios automáticos nas instalações agendadas em Atualizações Automáticas 3. Gerenciamento de Contas Na medida do possível, evite a criação de contas de teste. Contas compartilhadas também podem causar confusão, especialmente durante a análise de logs de auditoria. Em uma empresa sem muitos recursos no departamento de TI, é muito comum a criação de contas duplicadas. Normalmente são contas com senhas fracas, que podem ser facilmente quebradas por programas de força bruta. Por fim, adote a prática de desabilitar contas inativas para evitar que elas sejam usadas sem o seu consentimento. 12 TREND MICRO worry-free securesite GUIA de melhores práticas

13 Se isso for permitido pelas políticas da empresa, crie e utilize uma conta de administração geral que pode ser usada para verificar s e logs, além de executar outras tarefas cotidianas de administração. A conta embutida de administrador pode ser usada para qualquer tarefa que exija privilégios de administrador. Então, os aplicativos selecionados poderão rodar como processos do administrador por meio da conta correspondente. Esta configuração pode impedir que processos de malware rodem com privilégios de administrador. Mudar o nome da conta embutida de administrador cria uma camada adicional de defesa, já que em vez de apenas descobrir a senha, o intruso também precisará determinar o nome de usuário do administrador. Como alternativa, a conta de administrador pode perder seus direitos administrativos e se transformar em um usuário sem privilégios. Dessa forma, em conjunto com a auditoria, você pode determinar se um intruso está tentando acessar seus servidores ao monitorar esta conta Senha Dê muita importância à proteção com senha de todos os servidores e estações de trabalho quando houver inatividade. Instrua seus usuários a criar o hábito de bloquear suas estações de trabalho quando precisarem se ausentar. 5. Instale um Produto Antivírus e Anti-spyware, e o configure para realizar atualizações automáticas. Escolha um produto que ofereça administração sem preocupações e que cubra uma grande variedade de ameaças, como por exemplo, o Worry-Free Business Security mostrado na figura 6. Figura 6 Trend Micro Worry-Free Business Security 6. Instale um firewall pessoal ou habilite o Windows Firewall. 7. Desabilite Serviços Desnecessários Alguns serviços do Windows podem não ser necessários para instalação do servidor. Os serviços a seguir podem ser desabilitados na inicialização do servidor. DHCP Client Fax Service Internet Connection Sharing Intersite Message Remote Registry Service RunAs Service Simple TCP/IP Services Telnet Utility Manager TREND MICRO worry-free securesite GUIA de melhores práticas 13

14 8. Verifique se existem portas desnecessárias abertas. Você pode executar netstat ab para determinar todas as portas locais abertas e por quais processos elas estão sendo utilizadas. 1 Utilize o firewall pessoal que você instalou para restringir o acesso a portas abertas. Utilize o filtro de TCP/IP para permitir ou negar explicitamente os protocolos TCP/UDP e ICMP para a interface específica de rede. 9. Habilite a Auditoria Auditorias de segurança monitoram diversos eventos relacionados com segurança. É necessário monitorar os eventos do sistema para detectar invasões e tentativas de comprometimento de dados. Os tipos de eventos mais comuns que devem passar por auditoria são: Acesso a objetos, como arquivos e pastas Gerenciamento de usuários e de grupos de contas Entrada e saída de usuários no sistema Erro em uma tentativa de entrada Além da auditoria em eventos relacionados com segurança, um log específico é gerado quando esta opção está habilitada. Assim, você pode ver um relatório dos eventos identificados. Você pode acessar o log de segurança no Visualizador de Eventos. É possível habilitar a auditoria abrindo o menu Configurações Locais de Segurança e navegando por Configurações de Segurança Diretivas Locais Diretivas de Auditoria no menu à esquerda. Figura 7 Configurações de Auditoria A tabela abaixo lista diversos eventos que devem passar por auditoria, além das ameaças de segurança específicas que tal evento monitora. 14 TREND MICRO worry-free securesite GUIA de melhores práticas

15 Tabela 1 - Itens para Auditoria Evento de Auditoria Falha ao entrar/sair Sucesso ao entrar/sair Sucesso para uso privilegiado, gerenciamento de usuários e grupos, mudança de políticas de segurança, reinício/desligamento do sistema e outros eventos Sucesso e erro para acesso de arquivos e objetos, acesso de arquivos vitais por usuários ou grupos suspeitos Sucesso e erro para impressão de arquivos e objetos, gerenciamento de impressoras e acesso de impressoras por usuários ou grupos suspeitos Sucesso e erro de acesso a arquivos de programas (com extensões.exe e.dll), acompanhamento de processos, execução de programas suspeitos, análise do log de segurança para identificar tentativas de modificar arquivos de programas ou criar processos inesperados. Executar apenas quando estiver monitorando ativamente o log de sistema. Ameaça em Potencial Acesso ilegal Entrada por meio de senha roubada Abuso de privilégios Acesso indevido a arquivos vitais Acesso indevido a impressoras Ataque de vírus Evite que o nome do último usuário a entrar seja exibido na caixa de diálogo do Windows Isso gera mais uma camada de proteção, já que o invasor será obrigado a adivinhar tanto o nome de usuário quanto a senha. Para isso, siga os procedimentos abaixo: a. Clique em Iniciar, depois em Executar, digite secpol.msc e clique em OK. b. Expanda o menu Configurações de Segurança. c. Expanda o menu Diretivas Locais, e depois clique em Opções de Segurança. d. No painel à direita, clique duas vezes em Logon Interativo: Não exibir o último nome do usuário. e. Clique em Ativado. f. Clique em OK e reinicie o computador. Para o Windows 2000, verifique o Artigo KB Q da Microsoft. 11. Desabilite os Compartilhamentos-Padrão Um compartilhamento que termina com $ é um compartilhamento administrativo e está escondido para visão pela rede. Este compartilhamento administrativopadrão, que aponta para a raiz de cada partição, é criado automaticamente e pode significar um risco de segurança em potencial. Para desativar o compartilhamento administrativo, você pode: Desativar o serviço do Servidor. Ao fazer isso, você não poderá compartilhar nenhum arquivo ou pasta no servidor. Insira um valor DWORD de 0 chamado AutoShareServer em HKLM\System\CurrentControlSet\Services\LANManServer\Parameters. Tenha em mente que isso pode causar sérios efeitos colaterais em alguns aplicativos de rede. Tenha cuidado e assegure-se de que ao desativar o compartilhamento administrativo você não vai prejudicar aplicativos de rede já instalados. TREND MICRO worry-free securesite GUIA de melhores práticas 15

16 1 12. Desative a geração de dump de memória Um arquivo memory.dmp é uma gravação do status da memória em funcionamento no sistema operacional Windows. Este arquivo dump é gerado automaticamente quando um erro STOP, BSOD ou de verificação ocorre em seu servidor. Como se trata de algo muito útil para solucionar problemas no servidor, este arquivo normalmente é ignorado em verificações de segurança. Porém, ele contém informações importantes do sistema operacional, como senhas. Se um hacker conseguir acesso a um arquivo dump em um de seus servidores, ele pode ser usado para obter informações que podem facilitar uma invasão. Para desabilitar a criação de um arquivo de dump no Windows, abra a pasta Sistema no Painel de Controle. Na guia Avançado, selecione Inicialização e Recuperação. No menu dropdown de Gravando Informações de Depuração, selecione (nenhum). Figura 8 Desabilitando a geração de Dump de Memória 13. Criptografe seu Sistema de Arquivo usando EFS As unidades, pastas e arquivos do Windows podem ser criptografados por meio da função EFS (Encrypting File System). Alguns diretórios, como a pasta Temp, podem ser criptografados para evitar que invasores vejam arquivos que não foram apagados pelos processos que os usaram. Abaixo listamos as melhores práticas para usar a criptografia no Windows: Certifique-se de que os arquivos que você deseja criptografar foram criados e continuam criptografados Criptografe pastas antes de criar arquivos importantes dentro delas, para garantir segurança máxima. Dessa forma, os arquivos já são criados como criptografados e seus dados nunca são gravados no disco como abertos. Criptografe a pasta Meus Documentos caso você tenha o costume de gravar seus arquivos neste local. Com isso, você garante que seus documentos pessoais serão criptografados por padrão. Para usuários de Roaming, isso só deve ser feito quando a pasta Meus Documentos for redirecionada para um local de rede. Criptografe pastas em vez de arquivos, para que arquivos temporários criados por programas também permaneçam criptografados. Gerencie chaves privadas para garantir a segurança dos arquivos O agente de recuperação escolhido deve exportar o certificado de recuperação de dados e a chave privada para o disco, assegurar que eles estejam em um local seguro e apagar a chave privada da recuperação de dados do sistema. Desta forma, a única pessoa capaz de recuperar dados do sistema será a mesma que tiver acesso físico à chave privada da recuperação de dados. 16 TREND MICRO worry-free securesite GUIA de melhores práticas

17 O número de agentes de recuperação escolhidos deve ser o menor possível. Isso reduz a exposição de chaves aos ataques de criptografia e oferece um nível maior de garantia de que os dados criptografados não serão quebrados inadequadamente. Use os Serviços de Certificados Microsoft para gerenciar os certificados de EFS e Data Recovery Agent (DRA) e as chaves privadas. Garanta segurança e confiabilidade constantes para os dados Criptografe os dados importantes em computadores que fazem parte de um domínio. Isso evita o comprometimento de dados por meio de ataques de criptografia off-line. Use IPSec para garantir que os dados permaneçam criptografados durante a transmissão pela rede. Além disso, o EFS pode ser usado em conjunto com Web Distributed Authoring and Versioning (WebDAV) para armazenamento dos dados criptografados na Internet. Faça backups regulares de todo o servidor que armazena os dados criptografados. Isso garante que, em caso de recuperação de dados, os perfis que incluem chaves de criptografia também poderão ser restaurados. 1 Criptografe arquivos com a Restauração do Sistema desativada Desative a Restauração do Sistema antes de criptografar arquivos que são monitorados por este recurso. Depois que a criptografia for finalizada, reative a Restauração do Sistema. Isso garante que os arquivos criptografados não sejam restaurados de maneira aberta. Se você vai criptografar tipos de arquivos monitorados pela Restauração do Sistema, copie estes arquivos para um local não verificado por este recurso. 14. Bloqueio do Registro Por padrão, o Registro do Windows pode ser acessado pela rede. Um hacker pode usar isso como ponto de entrada para invadir a rede ou injetar malware por meio da modificação de certas permissões. Para restringir o acesso da rede ao registro, siga os passos a seguir: a. Execute o Editor do Registro (Regedt32.exe) e acesse a subchave abaixo: HKLM\SYSTEM\CurrentControlSet\Control b. No menu Edit, clique em Add Key. Digite os valores a seguir: Nome da Chave: SecurePipeServers Classe: REG_SZ c. Acesse a subchave abaixo: HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers d. No menu Edit, clique em Add Value. Digite os valores a seguir: Nome da Chave: winreg Classe: REG_SZ e. Acesse a subchave abaixo: HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg f. No menu Edit, clique em Add Value. Digite os valores a seguir: Nome do Valor: Description Tipo de Dado: REG_SZ String: Registry Server g. Acesse a subchave abaixo: HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg h. Selecione winreg. Clique em Security e depois em Permissions. Adicione os usuários ou grupos para os quais deseja permitir o acesso. i. Saia do Editor do Registro e reinicie o Windows. j. Caso você deseje mudar a lista de usuários que podem acessar o registro, repita as etapas TREND MICRO worry-free securesite GUIA de melhores práticas 17

18 1 15. Limpe o Arquivo de Paginação ao desligar Alguns programas de terceiros podem armazenar temporariamente na memória algumas informações importantes (como senhas) sem criptografia. Devido à arquitetura da memória virtual do Windows, estas informações podem estar presentes no Arquivo de Paginação. A limpeza do Arquivo de Paginação não é uma opção adequada para substituir a segurança física de um computador, mas isso pode aumentar a segurança dos dados quando o Windows não estiver sendo executado. Para limpar o Arquivo de Paginação ao desligar: a. Inicie o Editor do Registro (Regedt32.exe). b. Mude o valor de ClearPageFileAtShutdown na chave de registro a seguir para 1 HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management. Se este valor não existir, adicione o seguinte valor: Nome do Valor: ClearPageFileAtShutdown Tipo do Valor: REG_DWORD Valor: 1 c. Esta mudança não entrará em efeito até que você reinicie o computador. 16. Proteção da Pilha TCP/IP Os ataques de negação de serviço (DoS) visam deixar um computador ou um serviço específico indisponível para os usuários da rede. A proteção contra este tipo de ataque pode ser problemática. As tabelas a seguir explicam os valores do registro relacionados com TCP/IP que você pode configurar para proteger a pilha TCP/IP em computadores conectados diretamente à Internet. Todos estes valores devem ser criados na chave de registro a seguir, exceto se houver instrução diferente: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services. Tabela 2 Chave do Registro - A Chave Tipo do Valor Variação Válida Descrição HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect REG_DWORD 0(padrão),1,2 Este valor do registro leva o Transmission Control Protocol (TCP) a ajustar a retransmissão de SYN-ACKS. Quando você configura este valor, o tempo de resposta da conexão se esgota mais rápido durante um ataque SYN (um tipo de ataque de negação de serviço). A lista abaixo mostras os parâmetros que você pode usar neste valor do registro: 0: (valor-padrão): Defina SynAttackProtect como 0 para a proteção típica contra ataques SYN. 1: Defina SynAttackProtect como 1 para ter mais proteção contra ataques SYN. Com este parâmetro, o TCP ajusta a retransmissão de SYN-ACKS. Com o valor definido para 1, o tempo de resposta da conexão se esgota mais rápido se aparentemente há um ataque SYN em andamento. O Windows usa os valores a seguir para determinar se o sistema está sendo atacado: TcpMaxPortsExhausted TCPMaxHalfOpen TCPMaxHalfOpenRetried Nota: A chave de registro TcpMaxPortsExhausted é obsoleta no Windows XP SP2 e versões posteriores. 2: Defina SynAttackProtect como 2 para a maior proteção contra ataques SYN. Este valor cria atrasos adicionais às indicações de conexão, e o TCP exige tempos curtos de resposta quando existe um ataque SYN em andamento. Este parâmetro é a configuração recomendada. Nota: As opções de socket a seguir deixam de funcionar quando você define o valor de SynAttackProtect como 2: Janelas escalonáveis Parâmetros de TCP que são configurados em cada adaptador (inclusive RTT inicial e tamanho da janela) 18 TREND MICRO worry-free securesite GUIA de melhores práticas

19 Tabela 3 Chave do Registro - B Chave Tipo do Valor Variação Válida Descrição HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\EnableDeadGWDetect REG_DWORD 0,1 (padrão) A lista abaixo mostra os parâmetros que você pode usar neste valor do registro: 1: Quando você define EnableDeadGWDetect como 1, o TCP pode realizar a detecção de gateway inativo. Dessa forma, o TCP pode solicitar ao Internet Protocol (IP) a mudança para um gateway de backup caso certo número de conexões passe por dificuldades. Gateways de backup são definidos na seção Avançado da caixa de diálogo para configuração do TCP/IP no Painel de Controle de Rede. 0: Recomendamos que você defina EnableDeadGWDetect como 0. Caso contrário, um ataque poderia forçar o servidor a trocar de gateway de maneira não planejada. 1 Tabela 5 Chave do Registro - D Chave Tipo do Valor Variação Válida Descrição HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\KeepAliveTime REG_DWORD (milissegundos) 1-0xFFFFFFFF, 7,200,000(Padrão=2horas) Este valor controla a freqüência com que o TCP tenta verificar se uma conexão ociosa ainda está intacta, por meio do envio de pacotes para manter a conexão ativa. Se a comunicação com o computador remoto ainda é possível, ele reconhece o pacote. O envio destes pacotes está desativado por padrão. Você pode usar um programa para configurar este valor em uma conexão. O valor recomendado é (5 minutos). Tabela 6 Chave do Registro - E Chave Tipo do Valor Variação Válida Descrição HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\NoNameReleaseOnDemand REG_DWORD 0(Padrão),1 Este valor determina se o computador vai liberar ou não seu nome de NetBIOS ao receber uma solicitação neste sentido. Este valor foi inserido para permitir que o administrador proteja o computador contra ataques maliciosos que solicitam a liberação do nome. Recomendamos que você defina o valor de NoNameReleaseOnDemand para 1 (o valor-padrão). Nota: Você deve possuir o Windows 2000 Service Pack 2 (SP2) ou superior para usar o valor de NoNameReleaseOnDemand. Referências: TREND MICRO worry-free securesite GUIA de melhores práticas 19

20 Segurança do Servidor Web 1 Serviços de Informação na Internet (IIS 6.0) 1. Faça o logon com as últimas credenciais. Faça o logon em seu computador usando uma conta que não está no grupo de Administradores, e então use o comando Executar como para executar o IIS Manager 2. Reduza a superfície de ataque. Desabilite todos os serviços que você não precisa, inclusive serviços IIS como FTP, NNTP ou SMTP. Se um recurso ou serviço estiver desabilitado, ele não vai demandar proteção. 3. Não faça o download nem execute programas de fontes não confiáveis. Programas podem conter instruções sobre diversas maneiras de violar a segurança, incluindo negação de serviço e roubo e destruição de dados. 4. Mantenha seus programas antivírus sempre atualizados. Estes programas freqüentemente identificam arquivos infectados por meio de uma assinatura que seja um componente conhecido de um vírus já identificado anteriormente. Os programas mantêm estas assinaturas de vírus em um arquivo específico, que normalmente se encontra no disco rígido local. Como novos vírus são descobertos dia após dia, este arquivo também deve ser atualizado freqüentemente para que o antivírus identifique os vírus atuais com mais facilidade. 5. Mantenha sempre seus recursos de software atualizados. Atualizações de software oferecem soluções para problemas conhecidos de segurança. Verifique os Websites dos fornecedores de software periodicamente para saber se existem atualizações disponíveis para os programas usados por sua organização. 6. O novo modelo de processamento no IIS 6.0 inclui reciclagem de processos, o que significa que um administrador pode instalar facilmente a maioria das atualizações de IIS e dos novos processos de DLLs sem nenhuma interrupção de serviço. 7. Auto Update versão 1.0 oferece três opções aos clientes: aviso no momento em que uma atualização fica disponível; download da atualização e notificação de que este download foi efetuado; e instalação programada. Para mais informações, veja a seção Windows Automatic Updates (Atualizações Automáticas do Windows) na ajuda do Windows Server Use NTFS. O sistema de arquivos NTFS é mais seguro do que os sistemas FAT ou FAT Conceda permissões NTFS sólidas para seus recursos. 10. Tenha cuidado com os controladores de domínio. Se você usa um controlador de domínio como um servidor de aplicativos, tenha em mente que a segurança fica comprometida neste controlador e conseqüentemente em todo o domínio. 11. Restrinja as permissões de acesso e gravação para a conta IUSR_computername. Dessa forma, você limita o acesso de usuários anônimos aos recursos de seu computador. 12. Guarde arquivos executáveis em um diretório separado. Dessa forma, fica mais fácil dar permissões de acesso e auditoria aos administradores. 13. Crie um grupo para todas as contas de usuários anônimos. Você pode negar o acesso aos recursos com base neste grupo. 14. Negue permissões de execução a usuários anônimos para todos os arquivos executáveis dos diretórios e subdiretórios do Windows. 20 TREND MICRO worry-free securesite GUIA de melhores práticas