Identificando Vulnerabilidades F A

Prévia do material em texto

IDENTIFICANDO VULNERABILIDADES DE 
SEGURANÇA COMPUTACIONAL 
 
 
Raquel Fonseca da Silva¹, Julio César Pereira¹ 
 
¹Universidade Paranaense (Unipar) 
Paranavaí – PR – Brasil 
 
raquel-fenix@hotmail.com, juliocesarp@unipar.br 
 
 
Resumo: Este artigo tem como finalidade a investigação cientifica sobre a 
importância da profissão na área de redes de computadores conhecida como 
Pentest, estes profissionais buscam avaliar a segurança dos sistemas 
computacionais e/ou rede tentando encontrar suas vulnerabilidades. As avaliações 
de penetração são de extrema importância para uma empresa ou organização, 
pois através dela, é possível identificar as falhas de segurança. O mesmo abrange 
também os tipos de pentesting existentes e as etapas a ser seguidas até o teste final, 
sendo ela a simulação de uma invasão em um ambiente coorporativo, testando 
assim o tempo de ação da equipe de segurança perante a um ataque real. 
1. Introdução 
Existem métodos de avaliar a segurança de um sistema ou rede de sistemas de 
informação simulando os ataques com as técnicas utilizadas por crackers que invadem a 
rede, os dados sistemas do sistema e aplicações. [Assunção 2009] ressalta que, as 
informações, ao contrário dos objetos físicos, podem ser duplicada, ou simplesmente 
fraudadas. 
E a melhor maneira de manter as informações seguras é protegendo-as antes que 
as mesmas sejam violadas e, que as informações ali contidas sejam comprometidas ou 
se percam. Consideraremos um computador é como se fosse a nossa casa, se sairmos e 
deixarmos a porta ou a janela aberta facilitará para que uma invasão aconteça. 
Ao longo deste artigo será abordada a definição de um pentest, e algumas 
ferramentas utilizadas para que sejam recolhidas as informações necessárias para testes 
de penetração e algumas técnicas de exploração das falhas. 
2. Definição de pentest 
Uma avaliação real em nível de segurança do ambiente de trabalho e das informações 
que a mesma possui, analisando as falhas de uma empresa. A função de um pentesting 
é avaliar a segurança dos sistemas computacionais ou rede, simulando ataques e 
buscando suas indefesas. 
 Definido como penetration testing, trata-se de um método de avaliar e descobrir 
vulnerabilidades em uma rede ou sistema operacional [Givaroto e Santos 2013]. Eles 
são pagos para mentir, trapacear e invadir computadores de grandes empresas. 
 Tratados coletivamente como Hackers, este grupo é normalmente subdividido 
em duas categorias [Wilheslm 2009]: 
 Black Hat Hackers: pessoas que usam seus conhecimentos para ter acesso não 
autorizado a sistemas. 
 White Hat Hackers: pessoas que fazem seu trabalho em um aspecto profissional, 
com tempo de trabalho e custos pré-definidos em contratos formais, visando à 
melhoria de segurança ou procurando vulnerabilidades no sistema [Ferreira. et al 
2012]. 
Setenta por cento das invasões não são notificados as autoridades policiais, 
extraordinariamente empresas recorrem aos trabalhos de um pentesting que assessoram 
as mesmas na redução de suas invasões sem a necessidade de notificar os órgãos 
competentes. 
As avaliações de penetração são de extrema pertinência para a empresa ou 
organização, pelo fato de muitas empresas instalarem sistemas como (Servidores e 
Softwares), sem os critérios relacionados à segurança. Todas as informações de acesso 
adquiridas em um tempo de trabalho são documentadas e detalhadas de como foram 
adquiridas oferecendo seus serviços de reparos. 
 Segundo [Verde 2012], existem seis tipos de pentest sendo eles: 
 Blind: Bom para ter conhecimento de organização e infra-estrutura da 
empresa; 
 Double Blind: Este método é mais próximo da realidade, pois profissional e 
empresa não sabem com o que vai se deparar; 
 Gray Box: É uma simulação de ataque em um ambiente completamente 
monitorado e controlado; 
 Double Grau Box: Simula ataques através de funcionários da própria 
empresa; 
 Tandem: Assemelha-se com uma auditoria; 
 Reversal: Perfeito para testar a capacidade de respostas e o tempo de ação de 
uma equipe perante a um ataque real. 
3. Recolhendo informações 
É sempre mais acessível ao atacante aprender as características tecnológicas da empresa 
mapeando seus principais funcionários como: diretores e administradores de sistemas e 
redes, para só então estenderem seus ataques à engenharia social [Verde 2013], qualquer 
informação que seja ligado ao alvo considera-se de extremo valor neste momento. De 
acordo com o artigo publicado na revista Segurança Digital em Julho de 2011, o 
FootPrinting® é uma ferramenta utilizada para pesquisar e descobrir informações da 
empresa alvo. 
 Para que o teste seja bem sucedido faz-se necessário colher uma grande 
quantidade de informações sobre todos os aspectos de segurança do alvo a ser atacado 
como as informações apresentadas na tabela 1 abaixo. 
Tabela 1 - Tecnologias e informações que um atacante tenta identificar [Segurança Digital Julho 
2011]. 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Conseguinte ao conquistar todas as informações necessárias, investiga-se o alvo 
comandando uma série de buscas como Softwares utilizados, tipos de firewall, serviços 
ativos e identificar as falhas de segurança. Algumas ferramentas utilizadas para testes de 
penetração são: 
 Nmap®: Uma ferramenta de código aberto para exploração de rede e 
auditoria de segurança. Serve para determinar quais hosts estão 
disponíveis na rede, serviços, aplicações e versões que os mesmos 
executão, filtro de pacotes e Firewall que estão presentes na rede ou 
hosts. 
 Backtrack: Focado em testes de segurança, auditoria e penetração, muito 
apreciada por hackers e analistas de sistemas. 
LOCAL CONTEÚDO 
Internet Nome de domínio. 
Blocos da internet. 
Endereço IP. 
Serviço TCP e UDP executados em cada sistema identificado; 
Arquitetura do sistema. 
Mecanismo de controle de acesso, Firewalls. 
Sistema de detecção de intrusão (IDS). 
Enumeração de sistemas (nome de usuário e de grupos, tabelas de 
roteamento, informação de SNMP). 
Intranet Protocolos de rede em uso. 
Nomes de domínio interno. 
Blocos de rede. 
Endereço IP. 
Serviço TCP e UDP executados em cada sistema identificado. 
Arquitetura do sistema. 
Enumeração de sistemas (nome de usuário e de grupos, tabelas de 
roteamento, informação de SNMP). 
Acesso remoto. 
Números de telefones analógicos e digitais. 
Tipo de sistema remoto. 
Mecanismo de autenticação. 
Extranet Origem e destinos dos pacotes. 
Tipos de conexão. 
Mecanismo de controle de acesso. 
4. Explorando as falhas de segurança 
Os exploits e shellcode são códigos capaz de explorar as falhas de segurança 
computacionais, freqüentemente gerado por profissionais capacitados para 
esclarecimento das suas indefesas e para que os mesmos sejam reparados. 
 Existem diversos padrões de shellcode, acessível para os mais diversos tipos de 
sistemas e arquitetura ressalta [Anwar 2009], os Shellcode desenvolvido para Windows, 
por exemplo, não funciona em sistemas Linux, pois, entre outras coisas, as chamadas de 
sistemas são diferentes. 
 Outra maneira de explorar as vulnerabilidades é utilizando a Engenharia Social 
na empresa, segundo [Flora 2010] chama-se Engenharia Social as praticas utilizadas 
para obter acesso a informações importantes ou sigilosas em organizações ou sistemas 
por meio da enganação ou explorando a confiança das pessoas. O ato de um ataque 
acontecendo não significa necessariamente que ele terá sucesso, temos quatro tipos 
específicos de ataques sendo eles esboçados na figura 1 abaixo. 
 
Figura 1 - Tipos de ataque [Laureano 2005]. 
A Engenharia Social é outro meio de explorar as falhas e fraquezas, sendo ela 
utilizada em vários setores da segurança na informação livre dos sistemas 
computacionais, utilizam a informação mais vulnerável que qualquer sistema da 
informação “o ser humano”, que não treinados podem ser facilmente manipulados. 
Convivemoscom engenheiros sociais a nossa vida inteira. Seja aquela tia que 
tem um jeitinho carinhoso de lhe pedir as coisas fazendo com que nunca dizemos não 
ou uma namorada (o) que utiliza de chantagem emocional para tentar evitar que a 
pessoa amada saia com seus amigos [Assunção 2009]. Um engenheiro social utiliza a 
curiosidade, confiança, orgulho, simpatia, culpa ou o medo para conseguir as 
informações que para ele são necessárias. 
5. Metodologia 
Para este artigo foram realizadas investigações cientifica em livros, revistas e artigos 
disponíveis sobre o assunto em questão nas bibliotecas e sites de internet. 
6. Conclusão 
Tendo em vista os aspectos percebe a importância de pentesting para uma empresa ou 
corporação, e mesmo com leis e divisões de crimes praticados através de computadores 
os proprietários preferem pagar para manter seus dados seguros. Os pentesting fazem 
uso das mesmas ferramentas que um cracker utiliza para fazer invasão não autorizada, 
porém, visam trabalhar para proteger empresas ou corporações de possíveis invasões 
que só levariam as mesmas a grandes perdas das mais variadas formas, inclusive de 
credibilidade na área em que trabalha e com seus clientes. 
Referencias 
GIAVAROTO, Silvio César Roxo. SANTOS, Gerson Raimundo dos. Backtratrack Linux: 
auditoria e teste de invasão em redes de computadores. Rio de Janeiro, Ciência Moderna Ltda., 
(2013). 
WILHELM, Thomas. ProfessionalPenetrationTesting. Burlington, Syngress. (2009). 
FERREIRA, Mateus Felipe Tymburibáet al. Analise de vulnerabilidades em Sistemas 
Computacionais Modernos: Conceitos, Exploits e Proteções. Manaus, Universidade Federal do 
Amazonas Disponível em<http://dainf.ct.utfpr.edu.br/~maziero/lib/exe/fetch.php/ceseg:2012-
sbseg-mc1.pdf>(26/04/2013). 
VERDE, Evandro Villa. Mini Curso PentestUnivem Disponível 
em<http://aberto.univem.edu.br/bitstream/handle/11077/704/mini_pen_univem.pdf?sequence=1
> (26/04/2013). 
FERREIRA, Fábio Jânio Lima. Segurança Digital. Edição 01. Spassodsigner. 
2011Disponívelem<http://segurancadigital.info/sdinfo_downloads/revista_sd/1_edicao_julho_0
1_07_2011.pdf >(23/01/2013). 
FLORA, Julio Della. PentestPenetration Test Disponível 
em<http://www.slideshare.net/juliodellaflora/palestra-sobre-pentest-julio-della-flora> 
ANWAR, Parvez. Buffer Overflows in the Microsoft Windows® 
EnvironmentDisponívelem<http://www.ma.rhul.ac.uk/static/techrep/2009/RHUL-MA-2009-
06.pdf > (31/07/2013) 
ASSUNÇÃO, Marcos Flávio Araújo. Honeypots e Honeynets: aprenda a detectar e enganar 
invasores. Florianópolis, Visual Books, 2009. 
LAUREANO, Marcos Aurelio Pchek. Gestão de Segurança da Informação. 2005. Disponível 
em<http://www.vazzi.com.br/moodle/pluginfile.php/225/mod_resource/content/1/apostila_LAU
REANO.pdf > (29/04/2013).