Segurança com Criatividade
Adriano Carvalho (adriano@netnix.com.br) enviou este link e acrescentou: Lançada a primeira parte do artigo "Segurança com criatividade: Os mínimos detalhes são os maiores amigos" . No artigo é tratada a questão da segurança de dados, que em muitos casos pode ser feita de uma maneira simples, contando com a criatividade. A segunda parte ainda em produção terá o conteúdo da parte externa de um servidor, diferente da primeira parte que busca estudar a parte interna.
(postado por Augusto Campos)
Comentários dos leitores
Comentário de Humberto Sartini
15/04/05 11:36
Muito bom esse artigo !! Aind: Muito bom esse artigo !! Ainda não tinha lido nada assim, somente artigos técnicos. Valeu, está de parabéns Chown !
Comentário de cenoura
15/04/05 14:27 - usuário registrado #523
Bom ???: A idéia de escrever um texto sobre segurança foi boa mas, não é querendo criticar não, mas o texto dizer que usuário não pode ter nem mesmo leitura no /etc/passwd é segurança ????
O que ele quer ? Que quando os usuários entrem no sistema apareça "I have no name!@maquina" ?
Nem sempre um invasor quer uma shell (no texto tem: "A verdade é essa, o que buscam é uma shell"), dá pra fazer muita coisa sem ter uma shell (um DoS por exemplo é um problema de segurança e não precisa ter shell para fazer isso).
Concordo totalmente quando o texto diz que o ideal é que saibamos tudo sobre os servidores, mas ele exagera um pouco pois acaba sugerindo que sempre instalemos o servidor ("o ideal é que se saiba tudo, e para isso, precisamos montá-lo. Quando criamos, sabemos o que tem ali, diferentemente de quando já pegamos em um processo de produção."). Significa que sempre que quando entrarmos numa empresa para administrar os servidores deles vamos ter que pedir pra formatar e reinstalar tudo pois só assim podemos conhecer o ambiente de verdade ??? Radical isso não ? Alguma empresa vai querer contratar alguém assim ? E com relação aos Datacenters, como fica ? Formata e reinstala tudo também ? :)
São só sugestões para melhorias mas no geral o texto passa :)
O que ele quer ? Que quando os usuários entrem no sistema apareça "I have no name!@maquina" ?
Nem sempre um invasor quer uma shell (no texto tem: "A verdade é essa, o que buscam é uma shell"), dá pra fazer muita coisa sem ter uma shell (um DoS por exemplo é um problema de segurança e não precisa ter shell para fazer isso).
Concordo totalmente quando o texto diz que o ideal é que saibamos tudo sobre os servidores, mas ele exagera um pouco pois acaba sugerindo que sempre instalemos o servidor ("o ideal é que se saiba tudo, e para isso, precisamos montá-lo. Quando criamos, sabemos o que tem ali, diferentemente de quando já pegamos em um processo de produção."). Significa que sempre que quando entrarmos numa empresa para administrar os servidores deles vamos ter que pedir pra formatar e reinstalar tudo pois só assim podemos conhecer o ambiente de verdade ??? Radical isso não ? Alguma empresa vai querer contratar alguém assim ? E com relação aos Datacenters, como fica ? Formata e reinstala tudo também ? :)
São só sugestões para melhorias mas no geral o texto passa :)
Comentário de Adriano Carvalho (ch0wn)
15/04/05 16:13
Fala cenoura...Entendi o que: Fala cenoura...Entendi o que disse.
Eu quis tocar em aspectos simples, e que muitas vezes passam direto. CLARO que existem milhões de questões de segurança, e aspectos minúsculos que sempre vamos deixar passar, é inevitável. Porém, o objetivo é reduzir os danos.
Quanto ao DoS que se referiu, se confundiu: ou ele vai fazer um DoS local (necessitando da shell), ou fará remotamente, que, COMO ESCREVI, será feito na segunda parte do artigo ;)
Exagerado eu já não sei, talvez paranóico. Pego como exemplo um provedor que peguei, em que tem milhões de máquinas, e obviamente poucas eu refiz. Concordo contigo, impossível refazê-las só para conhecer. Mas deve concordar comigo que, como administrador, você não se sente seguro...ou pra você está tudo ok ?
Se estiver, não temos um suposto diálogo.
Gostei das questões levantadas por você, e agradeço. Que eu saiba, trabalhar com redes/segurança é ser no mínimo paranóico, e, mesmo assim, os riscos são altos ;)
Att,
Adriano.
Eu quis tocar em aspectos simples, e que muitas vezes passam direto. CLARO que existem milhões de questões de segurança, e aspectos minúsculos que sempre vamos deixar passar, é inevitável. Porém, o objetivo é reduzir os danos.
Quanto ao DoS que se referiu, se confundiu: ou ele vai fazer um DoS local (necessitando da shell), ou fará remotamente, que, COMO ESCREVI, será feito na segunda parte do artigo ;)
Exagerado eu já não sei, talvez paranóico. Pego como exemplo um provedor que peguei, em que tem milhões de máquinas, e obviamente poucas eu refiz. Concordo contigo, impossível refazê-las só para conhecer. Mas deve concordar comigo que, como administrador, você não se sente seguro...ou pra você está tudo ok ?
Se estiver, não temos um suposto diálogo.
Gostei das questões levantadas por você, e agradeço. Que eu saiba, trabalhar com redes/segurança é ser no mínimo paranóico, e, mesmo assim, os riscos são altos ;)
Att,
Adriano.
Comentário de vmedina
15/04/05 17:18 - usuário registrado #257
Eu gosto...: Eu ainda vou ler(matéria de SO primeiro. Prova daqui a 1 hora :P já sei tanto disso que sei até qual vai ser a minha nota! :P )...
Mas sempre que se tem a chance de fazer o servidor com a sua cara eu acho muito válido e divertido.
[]s!
ps: Sim, servidores são muito legais! :) E Não, eu tenho namorada! :P
hehehe
Vinícius Medina
Usuário Linux 383765
É usuário de Linux? Mostre a sua cara!
Mas sempre que se tem a chance de fazer o servidor com a sua cara eu acho muito válido e divertido.
[]s!
ps: Sim, servidores são muito legais! :) E Não, eu tenho namorada! :P
hehehe
Vinícius Medina
Usuário Linux 383765
É usuário de Linux? Mostre a sua cara!
Comentário de pel
15/04/05 18:00 - usuário registrado #68
Reintalação SIM: Já vi vários casos de SHELLSCRIPTS escondidos em arquivos na inicialização, senhas em usuários obscuros (apache no GUID 0), entre outras coisas...
Nem sempre barrar um firewall resolve, shellscripts no cron são capazes de liberá-lo, ou mesmo fazer uma conexão reversa...
Com servidores e segurança não se brinca... nunca se sabe o que estava na cabeça do antigo administrador e a forma como ele saiu da empresa !
--------------------
Para conhecer a mentalidade de um hacker é preciso ser um deles
Nem sempre barrar um firewall resolve, shellscripts no cron são capazes de liberá-lo, ou mesmo fazer uma conexão reversa...
Com servidores e segurança não se brinca... nunca se sabe o que estava na cabeça do antigo administrador e a forma como ele saiu da empresa !
--------------------
Para conhecer a mentalidade de um hacker é preciso ser um deles
Comentário de cenoura
15/04/05 18:08 - usuário registrado #523
sugestões: Ch0wn,
Eu li que você disse sobre o segundo artigo tratar da parte externa, mas o que eu chamei a atenção é que o primeiro texto deixou sub-entendido que eles sempre querem a shell, independente se vindo de fora ou não (tipo, poderia ter uma observação ali no texto avisando sobre isso, nem sempre se terá os dois artigos juntos, nem todo mundo vai ler os dois e etc).
Outra coisa é sobre refazer os servidores, concordo que seria legal poder reinstalar tudo pra deixar como queremos, mas isso é inviável na maioria absoluta das vezes. O que eu tentei passar é que isto (reinstalar para conhecer direito) não pode ser levado em conta quando formos aplicar a segurança do cliente. Ou você chega pra um cliente com milhões de máquinas e pergunta: "posso reinstalar tudo?". Se nem sempre os clientes tem uma janela de manutenção para podermos aplicar os patches na hora que estes são lançados (nestes casos, somente com workarounds), o que dizer de parar a máquina só pra poder conhecê-la?
Então, como eu disse no final do outro comentário, foram somente sugestões.
Ah sim, trabalho com segurança da informação e sim, isso é paranóico :)
Eu li que você disse sobre o segundo artigo tratar da parte externa, mas o que eu chamei a atenção é que o primeiro texto deixou sub-entendido que eles sempre querem a shell, independente se vindo de fora ou não (tipo, poderia ter uma observação ali no texto avisando sobre isso, nem sempre se terá os dois artigos juntos, nem todo mundo vai ler os dois e etc).
Outra coisa é sobre refazer os servidores, concordo que seria legal poder reinstalar tudo pra deixar como queremos, mas isso é inviável na maioria absoluta das vezes. O que eu tentei passar é que isto (reinstalar para conhecer direito) não pode ser levado em conta quando formos aplicar a segurança do cliente. Ou você chega pra um cliente com milhões de máquinas e pergunta: "posso reinstalar tudo?". Se nem sempre os clientes tem uma janela de manutenção para podermos aplicar os patches na hora que estes são lançados (nestes casos, somente com workarounds), o que dizer de parar a máquina só pra poder conhecê-la?
Então, como eu disse no final do outro comentário, foram somente sugestões.
Ah sim, trabalho com segurança da informação e sim, isso é paranóico :)