|
Acessibilidade do site
Data de Publicação: Agosto de 1996
Autores:
Alberto Courrege Gomide
Fundação de Amparo à Pesquisa do Estado de São Paulo, FAPESP
Carlos Augusto Campana Pinheiro
Rede Nacional de Pesquisa, RNP
Pedro A M Vazquez
Instituto de Química Unicamp
Desde a abertura da Internet brasileira para exploração comercial em 1995 observou-se um crescimento vigoroso do número de redes a ela conectadas. Este crescimento foi acompanhado por um número também crescente de casos de violação de segurança cujo número real não pode ser determinado com exatidão uma vez que não existem mecanismos formais de coleta e processamento deste tipo de ocorrência.
O objetivo deste documento é analisar a situação atual da Internet brasileira no que diz respeito a segurança das redes a ela conectadas e sugerir medidas para reverter essa situação. Deve ficar claro que dadas as suas características peculiares este documento não procurou, em nenhum momento, seguir a formatação usualmente esperada, isto é, Resumo, Motivação, Proposta.
A Internet brasileira dispõe dos seguintes recursos e/ou mecanismos de segurança de redes aos quais um administrador pode recorrer:
Dos itens acima pouco se pode afirmar sobre os quatro primeiros uma vez que via de regra estão associados a sigilo contratual ou regidos por normas internas das instituições.
O último item resume-se a duas listas de discussão[1] criadas em instantes diferentes da história da Internet brasileira e com demandas diferentes; a primeira procurou problemas da comunidade acadêmica e basicamente assim permanece até hoje, a segunda busca alcançar a comunidade de provedores de acesso.
Via de regra a insegurança das redes brasileiras está ligada diretamente à qualidade dos sistemas operacionais e ao grau de formação e experiência dos administradores bem como a falta de orientação de alguns fabricantes aos seus clientes. A falta de mecanismos abrangentes[2] de divulgação das correções mais elementares a serem aplicadas a uma rede recém instalada, a falta de programas regulares de treinamento e atualização e a confiança ilimitada no sistema operacional (muitas vezes inadequado para uso em ISPs), tem se mostrado como as principais causas de brechas de segurança.
Outro fator que deve ser levado em consideração é a postura silenciosa de muitas instituições quando são atacadas. Isto se deve em parte ao aspecto negativo que a divulgação de tal notícia pode ter sobre as atividades (comerciais ou não) da instituição e falta de garantia de sigilo por parte dos grupos voluntários. Em se tratando de consultorias particulares obviamente estas informações são mantidas em sigilo.
Os ataques conhecidos na Internet brasileira não podem ser classificados como especializados. A maioria deles baseia-se na exploração de brechas de segurança publicamente conhecidas e no uso de kits de quebra de segurança amplamente disponíveis na Internet.
Estudos informais realizados por um dos autores utilizando monitoramento do backbone da Unicamp[3] mostraram que a adoção de um conjunto básico de medidas de segurança reduz ou elimina a eficiência desses ataques em quase sua totalidade.
Os objetivos desses ataques também não têm se mostrado especializados, isto é, visado a obtenção de dados sigilosos, pirataria industrial, fraude financeira ou similares; muitos deles visam obter um local para depositar arquivos ilícitos, outros apenas obter privilégios no equipamento atacado ou intimidar o administrador. É preocupante, no entanto, o aumento de ataques "assessorados" por indivíduos localizados no exterior, estes sim qualificados, que utilizam os brasileiros para criar "bases" na nossa rede.
A partir do que foi exposto fica óbvio que os únicos dispositivos de acompanhamento de segurança disponíveis à comunidade brasileira são as listas de discussão citadas uma vez que as vias comerciais não são acessíveis a todos. Estas listas, no entanto, são passíveis das seguintes críticas:
Por outro lado os seguintes pontos positivos podem ser creditados às atividades já desenvolvidas por estas listas, em particular à CVV em virtude do seu tempo de existência:
A situação atual das redes brasileiras pode ser atribuída quase exclusivamente ao crescimento explosivo do número de provedores sem formação básica para atuar neste ramo. Apesar das diversas iniciativas visando o treinamento[4] e qualificação dos mesmos ainda há muito a ser feito.
Observa-se não apenas despreparo mas também a falta de uma mentalidade de segurança.
A principal conseqüência dos ataques que ocorrem nas redes brasileiras é a criação de "bases" para ataques a instalações no exterior com reflexos na imagem da Internet brasileira. Nos últimos tempos tem se tornado comum reclamações de administradores estrangeiros e a adoção de bloqueios a redes ou ao domínio .br em virtude das mais diversas ações ilegais oriundas da Internet brasileira.
A segunda conseqüência a ser levada em consideração é o desprestígio da Internet brasileira em virtude do alto número de sucessos nos ataques estimulando a proliferação dos mesmos.
O treinamento e a atualização dos administradores das redes ainda é a melhor solução para os problemas de segurança. As iniciativas existentes nesta direção devem ser estimuladas e ampliadas utilizando, além das equipes existentes, as equipes das Universidades brasileiras. A realização dos cursos deve ocorrer com maior freqüência e possuir maior abrangência geográfica.
Muita ênfase foi dada à produção de documentos visando a qualificação básica de pessoal para a instalação de serviços de provimento de acesso; esta mesma ênfase deve ser aplicada na produção de documentos que:
Nenhum curso ou documentação substitui o intercâmbio de experiências práticas. As especificidades de cada instalação leva a soluções diferentes em todos os aspectos, entre eles as medidas de segurança adotadas.
A realização de encontros ou congressos periódicos, dedicados exclusivamente para a segurança de redes, em todo o território nacional deve ser iniciada pois colocará os administradores de redes em contato com administradores mais experientes e suas soluções.
Assim como hoje é prática comum a realização de scans visando a contagem de hosts ou descoberta da topologia de redes é necessário que se inicie um monitoramento sistemático do tráfego à procura de pacotes "suspeitos" com fins estatísticos. Este monitoramento deve ser realizado permanentemente e os resultados tabulados para montar um quadro claro do que trafega na rede brasileira.
O sistema atual de atendimento de situações emergenciais não é satisfatório, pois em virtude do seu caráter voluntário e informal não há ação imediata e isto tem permitido a proliferação epidêmica das invasões em uma ou mais instalações.
Todas as medidas sugeridas aqui prescindem da existência de órgão que as coordene. A atual estrutura da Internet brasileira não possui tal órgão e mesmo a portaria interministerial 147 de 31 de maio de 1995 que criou o Comitê Gestor Internet do Brasil não contemplou diretamente esta atribuição ao CG conforme o Art. 1°, reproduzido abaixo:
Art. 1°: Criar o Comitê Gestor INTERNET do Brasil, que terá como
atribuições:
I acompanhar a disponibilização de serviços INTERNET no
país;
II estabelecer recomendações relativas a: estratégia de implantação e
interconexão de redes, análise e seleção de opções tecnológicas, e
papéis funcionais de empresas, instituições de educação, pesquisa e
desenvolvimento (IEPD);
III emitir parecer sobre a aplicabilidade de tarifa especial de
telecomunicações nos circuitos por linha dedicada, solicitados por
IEPDs qualificados;
IV recomendar padrões, procedimentos técnicos e operacionais e código
de ética de uso, para todos os serviços INTERNET no
Brasil;
V coordenar a atribuição de endereços IP (INTERNET PROTOCOL) e o
registro de nomes de domínios; VI recomendar procedimentos
operacionais de gerência deredes;
VII coletar, organizar e disseminar informações sobre o serviço
INTERNET no Brasil; e
VIII deliberar sobre quaisquer questões a ele
encaminhadas.
Apenas IV acima tange superficialmente o item segurança na forma de recomendação ética. Obviamente aqui cabem várias interpretações jurídicas que não são objeto do presente documento. Isto posto procuraremos a seguir definir as características e as atribuições de tal órgão.
O objetivo da criação de uma organização encarregada de coordenar a segurança de redes não é que ela tome para si todas as tarefas que necessitam ser efetuadas. Esta organização deve possuir um conjunto básico de atribuições a partir dos quais ela possa atribuir ou fomentar a realização de tais tarefas por terceiros atuando apenas como coordenadoradas atividades. Desta forma é desejável que possua as seguintes atribuições:
Para atingir os seus objetivos é desejável que este órgão possua a maior autonomia possível. Esta autonomia é possível se o mesmo for uma organização não governamental com reconhecimento por parte do Comitê Gestor e pela comunidade da Internet brasileira. Esta autonomia visa protege-lo de instabilidades políticas e pressões e interesses de grupos.
Além de administrativamente autônomo é desejável que este órgão seja também economicamente independente. Esta autonomia pode ser alcançada na forma de um consórcio, nos moldes do MIT X-Consortium, para o qual serão chamados a participar o provedores de backbone, fabricantes, empresas,universidades, etc, os quais, através do pagamento de uma taxa anual adquirirão o direito de compor o conselho diretor do órgão. Poderá fazer parte do consórcio qualquer empresa que possua presença na Internet brasileira.
Ao Conselho Diretor caberá a tarefa de constituir um Conselho Técnico formado por profissionais com notório saber na área de segurança de redes cuja função será assessorar a equipe técnica permanente que comporá a Coordenadoria.
Este documento buscou mostrar a necessidade da criação de um órgão que se responsabilize pela coordenação das atividades relacionadas a segurança de redes, caracterizar este órgão buscando ressaltar a necessidade da sua autonomia.
Este documento, visando a brevidade, não expôs nem reforçou o suficiente a necessidade da representatividadeque este órgão deve possuir em todas as instâncias da Internet brasileira para que o mesmo possa atingir seus objetivos.
Baseado no que foi exposto as seguintes sugestões são feitas ao GTER:
Sugestão 1:
O SGTS recomenda ao GT-ER que inicie processo que leve a criação de
um centro nacional de coordenação segurançade redes;
Sugestão 2:
O SGTS recomenda ao GT-ER que este centro seja criado na forma de
uma ONG autônoma com as características de um consórcio do qual
resultará a sua autonomia econômica.
[1] Lista cvv@listas.ansp.br, iniciativa do CPD da
FAPESP em 1993, composta basicamente pela comunidade acadêmica e
acesso restrito. Lista seguranca@pangeia.com.br, criada
em 1996, composição mista acesso relativamente menos restrito.
[2] Ambas as listas atingem menos de 10% das redes brasileiras.
[3] Basicamente monitoramento de tentativas de acesso ao portmapper (NIS e NFS), source routing,etc utilizando tcp-dump e sniffers.
[4] Grupo de Trabalho Formação de Recursos Humanos com o curso Treinamento: Internet/BR: Serviços, Protocolos e Suporte, realizado em várias capitais ou, por exemplo, os cursos promovidos pelo CENAPAD/SP.
$Date: 2022/03/16 19:17:47 $