De acordo com informações obtidas com a administração da rede, Sra. Nadja Maria Soares Lins, o Departamento de Informática da UFPE utiliza apenas duas ferramentas de segurança:< /P>

• AMANDA;
• TCP Wrapper.

Por se tratar de uma rede heterogênea (suporta diferentes plataformas - AIX, Solaris, SunOs), os administradores encontram dificuldades em utilizar outros softwares para o controle da segurança, que sejam aplicáveis a todas as plataformas. O AIX, por exemplo, possui algumas ferramentas de controle da segurança, como forçar o usuário a trocar a password, de tempos em tempos. Entretanto, essas ferramentas não podem ser utilizadas em má ;quinas que rodam o Solaris ou SunOs.

A seguir, descreveremos cada uma das ferramentas utilizadas e, ao final dessa sessão, apresentaremos algumas sugestões para melhorar a segurança do departamento.

AMANDA - Advanced Maryland Automatic Network Disk Archiver - é um software desenvolvido na Universidade Maryland - EUA, que utiliza a tecnologia cliente/servidor para automatizar os backups de sistemas em rede. Este software perm ite que o administrador da rede configure um servidor de backup que faz o backup de múltiplos hosts em um único drive de fita magnética de alta capacidade de armazenamento, de uma maneira simples e eficiente e para diversas vers&otild e;es do Unix.

Dentre as vantagens do AMANDA podemos citar:

• Distribuída gratuitamente pela Universidade de Maryland
• Disponível para diversas plataformas com Sun, Dec, Solaris, e outras
• Provê um gerenciamento de fitas onde cada fita recebe um rótulo único, não sobrepondo-se dados em fitas erradas
• Ajuste dinâmico do schedule dos backups
• Verificação do sistema antes da realização do backup, e em caso de algum problema o administrador é notificado via mail
• Permite adição e remoção de file systems de maneira simples
• Realização de bakcup de múltiplas estações em paralelo
• Compressão de dados opcional

Para a sua utilização é necessário um tape driver de 4 ou 8mm, um "holding disk" cujo tamanho ideal é que seja pelo menos do tamanho da maior partição a ser backupeada, um s ervidor central com o tape driver e o holding disk conectados e o software AMANDA instalado e configurado.

O Amanda trabalha da seguinte forma: antes de realizar os backups (geralmente no período noturno quando provavelmente pouca gente estará utilizando a rede) o ideal é que seja rodado uma rotina de checkup ainda d urante o dia enquanto o administrador ainda estará na empresa, essa rotina de verificação é o comando amcheck, ela verifica se o servidor de backup tem espaço suficiente no holding disk, se o tape correto está no tape driver e se cada cliente está respondendo e possui as permissões de read/write adequadas, caso ocorra algum problema um mail é enviado ao operador.

Para a realização dos backups é utilizado o comando amdump que inicializa o processo de backup. O servidor verifica os clientes e determina a quantidade de dados a ser "backupeada" e ajusta o backup sc hedule baseado nas requisições dos usuários, nas prioridades do file system e na data do último bakcup. Finalmente ele começa a operação de backup copiando as partições dos clientes para o hol ding disk, e do holding disk para o tape. Se ocorrer algum erro, os dados permanecem no holding disk até o operador verificar o erro e rodar o comando amflush. Ao final de todas as partições "backupeadas" um relatório detalhado é enviado ao operador.

Na realização da recuperação de dados o operador utiliza o comando amadmin para determinar qual tape de onde será realizado a recuperação dos dados. Após o tape correto ser col ocado no tape driver o comando amrestore para iniciar o processo de recuperação do file system todo ou apenas parte dele.

Após devidamente configurado ,com sorte, a única manutenção a ser efetuada é a troca periódica dos tapes no tape driver.

Abaixo temos mais alguns comandos utilizados pelo Amanda:

• amadmin - provê a interface de controle administrativo do amanda
• amcleanup - roda um processo de cleanup após uma falha no sistema
• amlabel - rotula um tape do amanda
• amtape - prove a interface de controle dos tapes de backup

O endereço onde podemos conseguir o software amanda é o seguinte:

ftp://ftp.cs.umd.edu/pub/amanda

No Departamento de Informática da Universidade Federal de Pernambuco os backups são realizados diariamente, menos nos finais de semanas e feriados, no período da madrugada, e são guardados em fita os back ups dos últimos 03 (três) meses, mas está sendo estudado um aumento desse período de backups armazenados em fita.

O TCP Wrapper é uma ferramenta simples, que monitora e controla a entrada de tráfego na rede. Essa ferramenta tem sido usada, com sucesso, para "blindar" sistemas e detectar atividades de crackers. Ela n&ati lde;o produz nenhum impacto nos computadores de usuários e não requer nenhuma mudança nos softwares existentes do sistema ou nos arquivos de configuração. A ferramenta tem sido instalada em todo o mundo, em vários sistemas UNIX, sem nenhuma modificação do código fonte.

Quase toda aplicação dos protocolos TCP/IP é baseada no modelo cliente-servidor. Por exemplo, quando alguém usa o comando telnet para se conectar a um ho st, um processo no servidor telnet é "startado" no host alvo. O processo do servidor conecta o usuário ao processo de login. Alguns exemplos são mostrados na tabela 1.

• procedimento usual é rodar um processo daemon que espera por todo tipo de conexão de entrada na rede. Sempre que uma conexão é estabelecida, esse daemon, chamado inetd, roda o programa apropriado do servidor e volta a "dormir", esperando por outras conexões.

 

6.2.2 O Truque do TCP Wrapper

 

 

De volta ao problema original: como pegar o nome do host do qual o cracker está espionando? A primeira vista, isso iria requerer mudanças no software existente na rede. Felizmente, existe uma solução que não necessita de nenhuma mudança e que funciona em todos os sistemas UNIX testados. A saída é fazer uma permuta: mover os programas do servidor da rede para um outro local e instalar um programa trivial no lugar daqueles. Sempr e que uma conexão for feita, esse programa simplesmente grava o nome do host remoto e então, roda o programa original do servidor da rede.

A primeira versão do TCP Wrapper era apenas algumas linhas de código, copiadas cuidadosamente de uma fonte antiga de um daemon da rede. Como ele não troca nenhuma informação com os processos do servido r e do cliente, o mesmo TCP Wrapper poderia ser usado por vários tipos de serviços da rede.

 

A seguir, vemos um exemplo do arquivo gerado pela ferramenta:

 

O arquivo /etc/hosts.allow descreve que combinações (serviços, hosts) são permitidas. Neste exemplo, o serviço de transferência de arquivos ftp é permitido para todos os sistemas. O arquivo /etc/hosts.deny descreve quais das combinações (serviços, hosts) remanescentes nã ;o são permitidas.

Agora, como um intruso não pode mais acessar a rede de servidores de terminais de acesso público, somente através de contas de usuários, é preciso saber que contas estão sendo envolvidas. Da&iac ute;, criou-se um mecanismo que fosse capaz de consultar uma tabela de sites "suspeitos" e enviasse um finger ou um systat probe, sempre que algu&eac ute;m se conectar à rede.

Os exemplos nas figuras 7 e 8 mostram a atividade de um único usuário, que estava logado no sistema guzzle.stanford.edu. O nome da conta é adrian e o login vem de um servidor de terminais tip.forsythe.Stanford.EDU.

Pode-se também, estabelecer que requisições do tipo tftp (trivial file transfer protocol) sejam manipuladas da maneira usual, evitando seu acesso remoto. A figura 9 il ustra como isso pode ser feito.

Figura 12. Exemplo de um booby trap para o serviço tftpd.

A entrada no arquivo /etc/hosts.allow diz que conexões tftpd de hosts dentro do próprio domínio são permitidas. A entrada no arquivo /etc/hosts.deny faz com que o TCP Wrapper execute um finger reverso, para todos os outros casos. A seqüência %h & eacute; alterada pelo nome do host remoto atual. O resultado é enviado, via E-Mail, para o usuário "wswietse". Devido a natureza do protocolo tftpd e, como o intervalo entre uma tent ativa e outra depende da implementação, pode-se encontrar algumas pistas sobre o tipo do sistema remoto.

O exemplo mostrado dá apenas uma ilustração limitada do uso de booby traps. Entretanto, eles podem ser ainda mais úteis, quando instalados em sistemas com firewalls, cujo principal propósito &ea cute; separar a rede de uma organização do resto do mundo. Um sistema de firewall típico proporciona apenas um conjunto limitado de serviços de rede, com o mundo externo, por exemplo, telnet e smtp. Colocando booby traps nas portas de serviço remanescentes da rede, pode-se implementar um sistema de alarme efetivo.