IDENTIFICANDO VULNERABILIDADES DE SEGURANÇA COMPUTACIONAL Raquel Fonseca da Silva¹, Julio César Pereira¹ ¹Universidade Paranaense (Unipar) Paranavaí PR Brasil raquel-fenix@hotmail.com, juliocesarp@unipar.br Resumo: Este artigo tem como finalidade a investigação cientifica sobre a importância da profissão na área de redes de computadores conhecida como Pentest, estes profissionais buscam avaliar a segurança dos sistemas computacionais e/ou rede tentando encontrar suas vulnerabilidades. As avaliações de penetração são de extrema importância para uma empresa ou organização, pois através dela, é possível identificar as falhas de segurança. O mesmo abrange também os tipos de pentesting existentes e as etapas a ser seguidas até o teste final, sendo ela a simulação de uma invasão em um ambiente coorporativo, testando assim o tempo de ação da equipe de segurança perante a um ataque real. 1. Introdução Existem métodos de avaliar a segurança de um sistema ou rede de sistemas de informação simulando os ataques com as técnicas utilizadas por crackers que invadem a rede, os dados sistemas do sistema e aplicações. [Assunção 2009] ressalta que, as informações, ao contrário dos objetos físicos, podem ser duplicada, ou simplesmente fraudadas. E a melhor maneira de manter as informações seguras é protegendo-as antes que as mesmas sejam violadas e, que as informações ali contidas sejam comprometidas ou se percam. Consideraremos um computador é como se fosse a nossa casa, se sairmos e deixarmos a porta ou a janela aberta facilitará para que uma invasão aconteça. Ao longo deste artigo será abordada a definição de um pentest, e algumas ferramentas utilizadas para que sejam recolhidas as informações necessárias para testes de penetração e algumas técnicas de exploração das falhas. 2. Definição de pentest Uma avaliação real em nível de segurança do ambiente de trabalho e das informações que a mesma possui, analisando as falhas de uma empresa. A função de um pentesting é avaliar a segurança dos sistemas computacionais ou rede, simulando ataques e buscando suas indefesas.
Definido como penetration testing, trata-se de um método de avaliar e descobrir vulnerabilidades em uma rede ou sistema operacional [Givaroto e Santos 2013]. Eles são pagos para mentir, trapacear e invadir computadores de grandes empresas. Tratados coletivamente como Hackers, este grupo é normalmente subdividido em duas categorias [Wilheslm 2009]: Black Hat Hackers: pessoas que usam seus conhecimentos para ter acesso não autorizado a sistemas. White Hat Hackers: pessoas que fazem seu trabalho em um aspecto profissional, com tempo de trabalho e custos pré-definidos em contratos formais, visando à melhoria de segurança ou procurando vulnerabilidades no sistema [Ferreira. et al 2012]. Setenta por cento das invasões não são notificados as autoridades policiais, extraordinariamente empresas recorrem aos trabalhos de um pentesting que assessoram as mesmas na redução de suas invasões sem a necessidade de notificar os órgãos competentes. As avaliações de penetração são de extrema pertinência para a empresa ou organização, pelo fato de muitas empresas instalarem sistemas como (Servidores e Softwares), sem os critérios relacionados à segurança. Todas as informações de acesso adquiridas em um tempo de trabalho são documentadas e detalhadas de como foram adquiridas oferecendo seus serviços de reparos. Segundo [Verde 2012], existem seis tipos de pentest sendo eles: Blind: Bom para ter conhecimento de organização e infra-estrutura da empresa; Double Blind: Este método é mais próximo da realidade, pois profissional e empresa não sabem com o que vai se deparar; Gray Box: É uma simulação de ataque em um ambiente completamente monitorado e controlado; Double Grau Box: Simula ataques através de funcionários da própria empresa; Tandem: Assemelha-se com uma auditoria; Reversal: Perfeito para testar a capacidade de respostas e o tempo de ação de uma equipe perante a um ataque real. 3. Recolhendo informações É sempre mais acessível ao atacante aprender as características tecnológicas da empresa mapeando seus principais funcionários como: diretores e administradores de sistemas e redes, para só então estenderem seus ataques à engenharia social [Verde 2013], qualquer informação que seja ligado ao alvo considera-se de extremo valor neste momento. De acordo com o artigo publicado na revista Segurança Digital em Julho de 2011, o
FootPrinting é uma ferramenta utilizada para pesquisar e descobrir informações da empresa alvo. Para que o teste seja bem sucedido faz-se necessário colher uma grande quantidade de informações sobre todos os aspectos de segurança do alvo a ser atacado como as informações apresentadas na tabela 1 abaixo. Tabela 1 - Tecnologias e informações que um atacante tenta identificar [Segurança Digital Julho 2011]. LOCAL Internet Intranet CONTEÚDO Nome de domínio. Blocos da internet. Endereço IP. Serviço TCP e UDP executados em cada sistema identificado; Arquitetura do sistema. Mecanismo de controle de acesso, Firewalls. Sistema de detecção de intrusão (IDS). Enumeração de sistemas (nome de usuário e de grupos, tabelas de roteamento, informação de SNMP). Protocolos de rede em uso. Nomes de domínio interno. Blocos de rede. Endereço IP. Serviço TCP e UDP executados em cada sistema identificado. Arquitetura do sistema. Enumeração de sistemas (nome de usuário e de grupos, tabelas de roteamento, informação de SNMP). Acesso remoto. Números de telefones analógicos e digitais. Tipo de sistema remoto. Mecanismo de autenticação. Extranet Origem e destinos dos pacotes. Tipos de conexão. Mecanismo de controle de acesso. Conseguinte ao conquistar todas as informações necessárias, investiga-se o alvo comandando uma série de buscas como Softwares utilizados, tipos de firewall, serviços ativos e identificar as falhas de segurança. Algumas ferramentas utilizadas para testes de penetração são: Nmap : Uma ferramenta de código aberto para exploração de rede e auditoria de segurança. Serve para determinar quais hosts estão disponíveis na rede, serviços, aplicações e versões que os mesmos executão, filtro de pacotes e Firewall que estão presentes na rede ou hosts. Backtrack: Focado em testes de segurança, auditoria e penetração, muito apreciada por hackers e analistas de sistemas.
4. Explorando as falhas de segurança Os exploits e shellcode são códigos capaz de explorar as falhas de segurança computacionais, freqüentemente gerado por profissionais capacitados para esclarecimento das suas indefesas e para que os mesmos sejam reparados. Existem diversos padrões de shellcode, acessível para os mais diversos tipos de sistemas e arquitetura ressalta [Anwar 2009], os Shellcode desenvolvido para Windows, por exemplo, não funciona em sistemas Linux, pois, entre outras coisas, as chamadas de sistemas são diferentes. Outra maneira de explorar as vulnerabilidades é utilizando a Engenharia Social na empresa, segundo [Flora 2010] chama-se Engenharia Social as praticas utilizadas para obter acesso a informações importantes ou sigilosas em organizações ou sistemas por meio da enganação ou explorando a confiança das pessoas. O ato de um ataque acontecendo não significa necessariamente que ele terá sucesso, temos quatro tipos específicos de ataques sendo eles esboçados na figura 1 abaixo. Figura 1 - Tipos de ataque [Laureano 2005]. A Engenharia Social é outro meio de explorar as falhas e fraquezas, sendo ela utilizada em vários setores da segurança na informação livre dos sistemas computacionais, utilizam a informação mais vulnerável que qualquer sistema da informação o ser humano, que não treinados podem ser facilmente manipulados. Convivemos com engenheiros sociais a nossa vida inteira. Seja aquela tia que tem um jeitinho carinhoso de lhe pedir as coisas fazendo com que nunca dizemos não ou uma namorada (o) que utiliza de chantagem emocional para tentar evitar que a pessoa amada saia com seus amigos [Assunção 2009]. Um engenheiro social utiliza a
curiosidade, confiança, orgulho, simpatia, culpa ou o medo para conseguir as informações que para ele são necessárias. 5. Metodologia Para este artigo foram realizadas investigações cientifica em livros, revistas e artigos disponíveis sobre o assunto em questão nas bibliotecas e sites de internet. 6. Conclusão Tendo em vista os aspectos percebe a importância de pentesting para uma empresa ou corporação, e mesmo com leis e divisões de crimes praticados através de computadores os proprietários preferem pagar para manter seus dados seguros. Os pentesting fazem uso das mesmas ferramentas que um cracker utiliza para fazer invasão não autorizada, porém, visam trabalhar para proteger empresas ou corporações de possíveis invasões que só levariam as mesmas a grandes perdas das mais variadas formas, inclusive de credibilidade na área em que trabalha e com seus clientes. Referencias GIAVAROTO, Silvio César Roxo. SANTOS, Gerson Raimundo dos. Backtratrack Linux: auditoria e teste de invasão em redes de computadores. Rio de Janeiro, Ciência Moderna Ltda., (2013). WILHELM, Thomas. ProfessionalPenetrationTesting. Burlington, Syngress. (2009). FERREIRA, Mateus Felipe Tymburibáet al. Analise de vulnerabilidades em Sistemas Computacionais Modernos: Conceitos, Exploits e Proteções. Manaus, Universidade Federal do Amazonas Disponível em<http://dainf.ct.utfpr.edu.br/~maziero/lib/exe/fetch.php/ceseg:2012- sbseg-mc1.pdf>(26/04/2013). VERDE, Evandro Villa. Mini Curso PentestUnivem Disponível em<http://aberto.univem.edu.br/bitstream/handle/11077/704/mini_pen_univem.pdf?sequence=1 > (26/04/2013). FERREIRA, Fábio Jânio Lima. Segurança Digital. Edição 01. Spassodsigner. 2011Disponívelem<http://segurancadigital.info/sdinfo_downloads/revista_sd/1_edicao_julho_0 1_07_2011.pdf >(23/01/2013). FLORA, Julio Della. PentestPenetration Test Disponível em<http://www.slideshare.net/juliodellaflora/palestra-sobre-pentest-julio-della-flora> ANWAR, Parvez. Buffer Overflows in the Microsoft Windows EnvironmentDisponívelem<http://www.ma.rhul.ac.uk/static/techrep/2009/RHUL-MA-2009-06.pdf > (31/07/2013) ASSUNÇÃO, Marcos Flávio Araújo. Honeypots e Honeynets: aprenda a detectar e enganar invasores. Florianópolis, Visual Books, 2009. LAUREANO, Marcos Aurelio Pchek. Gestão de Segurança da Informação. 2005. Disponível em<http://www.vazzi.com.br/moodle/pluginfile.php/225/mod_resource/content/1/apostila_lau REANO.pdf > (29/04/2013).