Desenvolvimento de uma aplicação para administração remota de servidores sem uso de softwares clientes

Transcrição

1 Desenvolvimento de uma aplicação para administração remota de servidores sem uso de softwares clientes Fábio Meincheim 1 1 Curso Superior de Tecnologia em Redes de Computadores - Instituto Federal Catarinense - Câmpus Araquari - IFC Rodovia BR km 27 - Cx. Postal 21 - CEP Araquari - SC - Brasil fabio.jgs@gmail.com Abstract. Of the many tasks that can be approached for the administration of computer networks, IT asset management is one of the fundamental ones, since the monitoring actions present information of the state of all the components, allowing decision making, application of financial resources, risk management and business continuity. With the help of Network Management Systems (NMS), several alerts can be sent to a responsible person and they can take action to correct the problem. In this work, the study will be presented for the development of a tool that allows the execution of instructions for administration of linux systems without the need to use any client software. Resumo. Das muitas tarefas que podem ser abordadas para a administração de redes de computadores, o gerenciamento dos ativos de TI é uma das fundamentais, pois as ações de monitoramento apresentam informações do estado de todos os componentes, permitindo tomadas de decisão, aplicação de recursos financeiros, gerenciamento dos riscos e continuidade dos negócios. Com o auxílio de sistemas de gerenciamento de redes (NMS - Networking Management Systems) diversos alertas podem ser enviados para um responsável e que este possa tomar alguma ação para correção do problema. Neste trabalho, será apresentado o estudo para o desenvolvimento de uma ferramenta que permita a execução de instruções para administração de sistemas linux sem a necessidade do uso de qualquer software cliente. Palavras-chaves: gerenciamento de redes. software livre. librenms. Introdução O gerenciamento de ativos nos ambientes de tecnologia das empresas é fundamental. Segundo [Filho 2011]: Um Item de Configuração (IC) é um ativo, componente do serviço ou outro item, que está ou estará sobre o controle do Gerenciamento de Configuração. Os ICs podem variar extensamente em complexidade, tamanho ou tipo, variando de um serviço, ou de um sistema inteiro, incluindo desde um simples módulo de software ou componente de hardware, até todo o hardware, software, documentação e pessoal de suporte.

2 Para [Comer 2015], é necessário um subsistema que permita a um administrador configurar uma rede, depurar problemas e identificar situações em computadores que violam políticas. A essas atividades chamamos de gerenciamento de rede. O gerenciamento visa a coordenação (controle de atividades e monitoração do uso) de recursos materiais (modems, roteadores, enlaces físicos, etc.) e lógicos (protocolos, configurações, etc) fisicamente distribuídos na rede, assegurando na medida do possível, confiabilidade e performance aceitáveis e segurança das informações, segundo [Mauro Tapajós Santos 2015]. Um dispositivo sendo gerenciado mantém o controle e as informações de status que um gerente pode acessar. Por exemplo, um roteador mantém estatísticas sobre o estado de suas interfaces de rede, juntamente com a contagem de pacotes que entram e saem, datagramas descartados e mensagens de erros geradas. Para [Mauro Tapajós Santos 2015], normalmente um gerente de redes realiza a monitoração contínua a partir de uma estação onde são exibidos os dados sobre a situação da rede e de seus componentes. Existe também a necessidade de reconhecer, manipular e tratar toda a informação obtida. Portanto, é preciso poder identificar todos os ativos e rede, monitorá-los, coletando informações relevantes que serão exibidas em gráficos e poderão ser analisadas na medida em que vão sendo recebidas. Estes dados podem ser enviados sob demanda (pooling) ou, periodicamente, para uma estação de gerenciamento de rede, onde um sistema de gerenciamento de redes (NMS - Network Management System) coleta, soma, compara com limiares pré-estabelecidos informações sobre indicadores de desempenho, tais como quantidade de erros por unidade de tempo, volume de tráfego etc.) Em resposta a essas necessidades, vários protocolos e sistemas foram projetados para monitorar sistemas de rede. O SNMP - Simple Network Management Protocol, definido na RFC:1157 por [Jeffrey D. Case 1990] é um desses protocolos. Os dispositivos que o suportam podem ser monitorados usando o SNMP. O design SNMP é baseado em um modelo de Gerenciador e Agentes. O componente gerenciador geralmente é parte de um NMS, enquanto os agentes geralmente são pré-instalados com o firmware dos objetos de rede. Quando um evento ocorre em um sistema com um agente SNMP e uma trap SNMP é acionada, o incidente é relatado ao gerenciador SNMP. O NMS então decidirá sobre o que fazer com o evento. Por exemplo, se o ventilador de uma caixa do servidor parou de repente, os administradores poderiam receber um alerta sobre o fato. Isso permitiria que eles substituíssem o ventilador danificado antes que as temperaturas no sistema pudessem aumentar e causar danos mais severos a outros componentes, como os discos rígidos ou as CPUs. Serão apresentados neste trabalho uma justificativa para a necessidade em desenvolver uma ferramenta. As comparações serão apresentadas na seção 2 e a proposta de desenvolvimento na seção Justificativa No IFSC - Instituto Federal de Santa Catarina Câmpus Jaraguá do Sul - Rau, foi implantado o software livre Librenms 1 para gerenciar os ativos de rede. 1

3 Atualmente são monitorados 92 itens, entre roteadores, switchs, servidores físico e virtuais, câmeras IP e serviços da rede. O sistema de monitoramento apresenta diversos tipos de status para verificação dos dispositivos. Conforme a configuração e importância do alerta pode-se escolher entre apenas exibição em tela, envio de e envio de mensagem via mensageiro online Telegram 2. (a) queda energia (b) queda servidor banco de dados Figura 1. recebimento de alertas no telegram Na figura 1a observa-se o recebimento de 2 alertas informando a queda da energia, quando monitora-se o no-break e a queda do servidor de banco de dados mysql. A tabela 1 demonstra alguns dos alertas que podem ser emitidos. No caso do IFSC, onde o autor trabalha como técnico de tecnologia da informação, tendo como uma de suas funções administrar a rede e sistemas, foram configurados alguns alertas graves para serem enviados via telegram. Com o recebimento destes alertas, identificou-se em diversos momentos a necessidade de acessar remotamente os servidores para efetuar alguma manutenção. Em alguns momentos o administrador da rede não tinha acesso a um notebook ou computador para acessar via VPN (virtual private network) ou software Teamviewer, que eram as formas de acesso remoto que estavam configuradas. Buscando solucionar o problema de sempre ter um computador ou dispositivo com acesso a uma Internet com velocidade suficiente para realizar a conexão remota, o administrador iniciou os estudos de alguma ferramenta ou solução que não dependessem totalmente de um software e que pudesse ser realizada de qualquer dispositivo, sem o uso de algum software cliente. 2

4 Tabela 1. Tipos de monitoramento x alerta Status Limite Tipo de alerta Espaço em disco usado >80% tela >=95% telegram Consumo memória RAM >80% tela >=95% telegram Dispositivo ligado sempre telegram Dispositivo reiniciado nunca telegram Serviço UP sempre telegram Toner da impressora <=30% <=15% <=5% tela telegram Uso do processador >=85% >=95% tela telegram 2. Estudo de soluções Durante o estudo das soluções, diversas formas de acesso remoto foram encontradas e testadas. Uma das premissas para o estudo é que as ferramentas implementassem nativamente formas seguras para garantir a inviolabilidade da conexão. Para este artigo, foram estudadas as soluções knockd, SSH, webmin e TeamViewer Knockd O Knockd 3 foi desenvolvido com uma funcionalidade muito simples mas poderosa, ele monitora o tráfego TCP ou UDP entrante na placa de rede e ao identificar um "knock"ou "TOC TOC TOC"em uma determinada sequência de portas TCP/UDP pode executar um comando diretamente no linux. Este comando pode ser uma liberação de acesso SSH no firewall ou outro comando qualquer. Como exemplo, podemos configurar a sequência TCP 7000, 8000, 9000 para liberar o acesso a porta 22 (ssh) para o endereço IP do requisitante. E a sequência 9000,8000, 7000 para bloquear o acesso. 1 [ options ] 2 logfile = / var / log / knockd. log 3 [ openssh ] 4 sequence = 7000,8000, seq_timeout = 10 6 tcpflags = syn 7 command = / usr / sbin / iptables -A INPUT -s % IP% -p tcp -- dport 22 -j ACCEPT 8 [ closessh ] 9 sequence = 9000,8000, seq_timeout = tcpflags = syn 3

5 12 command = / usr / sbin / iptables -D INPUT -s % IP% -p tcp -- dport 22 -j ACCEPT Listing 1. exemplo de configuração do knockd.conf Para efetuar o "TOC, TOC, TOC"pode-se utilizar o cliente do próprio knockd ou netcat e telnet. exemplo de uso com o cliente knockd: knock :tcp 8000:tcp 7000:tcp Com o uso do Knockd é possível transmitir comandos diversos para o servidor através de diversas sequências. Como problema de segurança, pode-se citar que caso tenha na rede alguém realizando sniffer, pode-se identificar a sequência e obter o acesso ao servidor. Também é necessário que o administrado saiba todas as sequências para executar as tarefas SSH O protocolo SSH (Secure Shell) 4 oferece uma forma segura de administração remota. Emprega o uso de criptografia para garantir a segurança entre cliente e servidor. Todo o tráfego de comandos, saídas e transferências de arquivos são encriptados aumentado assim a segurança nas comunicações através de redes não seguras. Para utilizar o protocolo SSH, é necessário configurar um servidor. O serviço fica sempre ativo aguardando o inicio da solicitação de uma conexão. Após estabelecida a negociação e verificação dos parâmetros de segurança, é utilizado o usuário e senha do sistema para então liberar o acesso. Para que o serviço possa ser acessado remotamente, de fora da rede, é necessário configurar as regras de firewall, deixando o serviço exposto, e, desta forma suscetível a scanners de rede, onde um atacante pode, através de ataques de força bruta, quebrar a segurança e obter o controle do servidor Webmin O Webmin 5 é uma ferramenta de software livre, desenvolvida para administrar servidores linux e unix. É acessado através de qualquer navegador de internet. A administração do servidor é feita pelos módulos do sistema, que interagem diretamente com os serviços configurados. É possível realizar diversas configurações e manutenções nos servidores apenas com poucos cliques. Um dos módulos permite executar comandos shell diretamente pelo navegador, tornando o webmin uma poderosa ferramenta de administração. Como o acesso é feito por navegador usando o protocolo seguro tcp/https, é possível publicar este serviço para a Internet, permitindo assim o acesso a qualquer momento, por qualquer dispositivo e de qualquer lugar

6 O uso do webmin através da Internet, facilita no acesso remoto, mas também traz problemas de segurança, pois atacantes podem comprometer o serviço, realizando ataques diversos. Caso consiga acesso indevido, pode tomar o controle do servidor. Em conjunto com o knockd, pode-se configurar uma sequencia para liberar o acesso para o IP usado pelo administrador naquele momento TeamViewer Com o TeamViewer 6 é possível acessar remotamente qualquer servidor ou computador com tela gráfica. O acesso é feito remotamente como se estivesse operando localmente o sistema. É possível executar qualquer programa instalado e desta forma administrar o servidor da rede com as ferramentas disponíveis. O programa é acessível através da Internet. Para que esteja sempre disponível, é necessário a instalação de um servidor e a configuração de uma conta na empresa que administra o TeamViwer. Com esta conta é possível acessar, via software cliente o servidor. Nesta solução, o servidor não fica totalmente exposto à Internet, pois não é necessário expor o serviço através do firewall. Ao se instalar, é criado uma VPN entre o servidor e o cliente usando a nuvem gerenciada pela empresa. Então, os dados trafegam por uma rede virtual privada de propriedade da TeamViewer GmbH, o que de certa forma, coloca em risco as informações trafegadas. Outra ameaça ao utilizar uma ferramenta de terceiros, é que qualquer invasão ou vazamento de dados pode expor os dados de acesso aos servidores da instituição. Segundo o site arstechnica.com [Goodin 2016] ficou claro que vazamentos já ocorreram. 3. Análise e proposta Para uma análise comparativa entre as soluções, alguns pontos são elencados. Neste estudo foram verificadas as seguintes opções: Necessita publicar serviço pelo firewall. Se um serviço precisa esta público, ele pode ser um ponto de falha de segurança, pois está visível para qualquer atacante explorar falhas. Usa solução criptográfica. A utilização de criptografia para o tráfego das informações é muito importante para dificultar a obtenção de informações caso um atacante obtenha acesso indevido. Necessita cliente. Este opção é a base para este trabalho com não uso de qualquer ferramenta que necessite ser instalada no dispositivo. Suscetível a sniffer. A ferramenta não pode estar suscetível a nenhuma forma de monitoramento através da rede LAN/WAN. Open source. Ferramentas open source permitem que o código seja auditado, aumentado assim a segurança da solução. Conforme a tabela 2 é possível verificar que as soluções estudadas atendem quesitos básico de segurança, mas cada uma delas apresenta algum tipo de falha 6

7 Tabela 2. comparativo das soluções estudadas Solução Knockd SSH Webmin TeamViewer necessita publicar serviço pelo firewall não sim sim não usa solução criptográfica não se aplica sim não obrigatório sim necessita cliente sim sim sim sim suscetível a sniffer sim sim sim não open source sim sim sim nao que podem ser exploradas em algum momento. A ferramenta knockd mostrou-se a melhor alterativa pois apresenta uma configuração que permite ao administrador escolher uma sequência secreta para executar remotamente um comando. Após implementar o knockd, observou-se por diversas vezes, que os comandos necessários para a administração dos servidores eram muitos e que a dependência de utilizar um cliente SSH para a execução remota, continuava com o mesmo problema inicial, a dependência de um cliente. O administrador iniciou o desenvolvimento de uma ferramenta para gerenciar o ambiente de tecnologia do IFSC. A solução proposta consiste em um script que monitora uma conta de e verifica todas as mensagens que chegam na caixa de entrada. Para cada nova mensagem, faz uma verificação no campo "SUB- JECT"(assunto) procurando uma palavra chave. A encontrar a palavra chave, o script responde o informando para enviar o comando desejado. Em relação a criptografia para o sistema desenvolvido, como a sua utilização é baseada no envio de mensagens de , a adoção do uso de protocolos seguros para a troca de mensagens como SMTP over SSL/TLS (SMTP sobre SSL/TLS) portas ou POP3 over SSL/TLS (POP3 sobre SSL/TLS), conforme [Hoffman 2002]. A solução proposta não necessita ser publicada pelo firewall, pois é baseada no envio/recebimento de mensagens de (a) envio do comando para parar o apache2 (b) retorno informando aplicação Figura 2. envio de comandos pelo A figura 2a demonstra o envio de um comando para parar o serviço apache e

8 a 2b, o retorno do comando informando que a ação foi aplicada. Considerações finais Após implementação da solução LibreNMS, foi possível obter informações de todos os dispositivos da rede, por exemplo, numa verificação, a taxa de erros de transmissão de pacotes tcp/ip de uma das câmeras estava muito alta e identificou-se problemas no enlace, que estava passando junto a instalação elétrica de alta tensão e ocasionava quedas constantes da qualidade das imagens armazenadas. Percebe-se então, que o monitoramento de uma rede, de todos os seus itens, permite tomadas de decisão baseadas e dados históricos. Assim, uma implementação do mais simples ao mais avançado sistema deve ser pensado e adotado por empresas de todos os tamanhos e ramos. O desenvolvimento proposto neste artigo, como solução para controlar remotamente servidores foi satisfatório, pois permite que o analista faça ações em seu ambiente mesmo estando fora da empresa e sem acesso a um dispositivo previamente configurado, bastado apenas um acesso a Internet. Para a solução proposta, existe o problema da segurança por obscuridade, pois acredita-se que ninguém descobrirá o para o envio de comandos, desta forma, a adoção de senhas de confirmação antes de aplicar a ação no sistema é fundamental como trabalho futuro. Também, como trabalho futuro, iniciar o desenvolvido de uma forma automatizada para os principais comandos, ou seja, uma vez identificado o analista, uma lista de opções lhe é enviada e permite a escolha e aplicação do comando. Referências Comer, D. E. (2015). Interligação de redes com TCP/IP, volume 6. Elsevier, Rio de Janeiro, Brasil. Filho, F. C. (2011). ITIL v3 Fundamentos. RNP/ESR, Rio de Janeiro, Brasil. Goodin, D. (2016). Teamviewer users are being hacked in bulk, and we still don t know how. teamviewer-users-are-being-hacked-in-bulk-and-we-still-dont-know-how/. Acessado em: 09 jun Hoffman, P. (2002). RFC Internet Engineering Task Force, California, EUA. Jeffrey D. Case, e. a. (1990). RFC Internet Engineering Task Force, California, EUA. Mauro Tapajós Santos, e. a. (2015). Gerência de Redes de Computadores, volume 2. RNP/ESR, Rio de Janeiro, Brasil.