Grupos de Trabalho
Documentos
do GT-S
Rumo a
Criação de uma Coordenadoria de Segurança de
Redes na Internet Brasil
Autores:
Alberto
Courrege Gomide
Fundação de Amparo à Pesquisa do Estado de São Paulo, FAPESP
Carlos Augusto Campana Pinheiro
Rede Nacional de Pesquisa, RNP
Pedro A M Vazquez
Instituto de Química Unicamp
1. Introdução
2. Situação Atual
2.1.
Agentes de Segurança
2.2.
Situação das Instalações
2.3.
Natureza dos Ataques
3. Análise da Situação Atual
3.1.
Dos Agentes de Segurança
3.2
Das Redes Conectadas à Internet Brasileira
3.3
Das Consequências dos Ataques
4. Algumas medidas a serem tomadas
4.1.
Treinamento e atualização
4.2.
Documentação
4.3.
Congressos
4.4.
Monitoramento e Análise de Tráfego
4.5.
Atendimento de Emergência
4.6.
Criação de um Centro de Coordenação
5. Coordenadoria de Segurança de Redes
5.1.
Atribuições
5.2.
Natureza
5.3.
Estrutura Técnica e Administrativa
6. Considerações Finais
7. Sugestões ao Grupo de Trabalho em Engenharia e Operações
de Redes do Comitê Gestor
Notas
1. Introdução
Desde a abertura da Internet brasileira para exploração comercial em 1995
observou-se um crescimento vigoroso do número de redes a ela
conectadas.
Este crescimento foi acompanhado por um número também crescente de casos
de violação de segurança cujo número real não pode ser determinado com exatidão
uma vez que não existem mecanismos formais de coleta e processamento deste
tipo de ocorrência.
O objetivo deste documento é analisar a situação atual da Internet brasileira
no que diz respeito a segurança das redes a ela conectadas e sugerir medidas
para reverter essa situação. Deve ficar claro que dadas as suas características
peculiares este documento não procurou, em nenhum momento, seguir a formatação
usualmente esperada, isto é, Resumo, Motivação, Proposta.
2. Situação Atual
2.1. Agentes de Segurança
A Internet brasileira dispõe dos seguintes recursos e/ou mecanismos de segurança
de redes aos quais um administrador pode recorrer:
- Consultores independentes;
- Empresas de informática;
- Fabricantes de
equipamentos ou software;
- Iniciativas individuais
de organizações, geralmente de caráter interno e/ou privado;
- Iniciativas de
âmbito nacional na forma de grupos de voluntários reunidos em listas
de discussão.
Dos itens acima pouco
se pode afirmar sobre os quatro primeiros uma vez que via de regra estão
associados a sigilo contratual ou regidos por normas internas das instituições.
O último item resume-se a duas listas de discussão[1]
criadas em instantes diferentes da história da Internet brasileira e com
demandas diferentes; a primeira procurou problemas da comunidade acadêmica
e basicamente assim permanece até hoje, a segunda busca alcançar a comunidade
de provedores de acesso.
2.2. Situação das Instalações
Via de regra a insegurança das redes brasileiras está ligada diretamente
à qualidade dos sistemas operacionais e ao grau de formação e experiência
dos administradores bem como a falta de orientação de alguns fabricantes
aos seus clientes. A falta de mecanismos abrangentes[2]
de divulgação das correções mais elementares a serem aplicadas a uma rede
recém instalada, a falta de programas regulares de treinamento e atualização
e a confiança ilimitada no sistema operacional (muitas vezes inadequado
para uso em ISPs), tem se mostrado como as principais causas de brechas
de segurança.
Outro fator que deve ser levado em consideração é a postura silenciosa
de muitas instituições quando são atacadas. Isto se deve em parte ao aspecto
negativo que a divulgação de tal notícia pode ter sobre as atividades
(comerciais ou não) da instituição e falta de garantia de sigilo por parte
dos grupos voluntários. Em se tratando de consultorias particulares obviamente
estas informações são mantidas em sigilo.
2.3. Natureza dos Ataques
Os ataques conhecidos na Internet brasileira não podem ser classificados
como especializados. A maioria deles baseia-se na exploração de brechas
de segurança publicamente conhecidas e no uso de kits de quebra de segurança
amplamente disponíveis na Internet.
Estudos informais realizados por um dos autores utilizando monitoramento
do backbone da Unicamp[3] mostraram que a adoção de
um conjunto básico de medidas de segurança reduz ou elimina a eficiência
desses ataques em quase sua totalidade.
Os objetivos desses ataques também não têm se mostrado especializados,
isto é, visado a obtenção de dados sigilosos, pirataria industrial, fraude
financeira ou similares; muitos deles visam obter um local para depositar
arquivos ilícitos, outros apenas obter privilégios no equipamento atacado
ou intimidar o administrador. É preocupante, no entanto, o aumento de
ataques "assessorados" por indivíduos localizados no exterior,
estes sim qualificados, que utilizam os brasileiros para criar "bases"
na nossa rede.
3. Análise da Situação Atual
3.1. Dos Agentes de Segurança
A partir do que foi exposto fica óbvio que os únicos dispositivos de acompanhamento
de segurança disponíveis à comunidade brasileira são as listas de discussão
citadas uma vez que as vias comerciais não são acessíveis a todos. Estas
listas, no entanto, são passíveis das seguintes críticas:
- Participação restrita,
pois o acesso a lista fica a critério do gerente da mesma;
- A natureza voluntária
dos participantes resulta na falta de empenho, comprometimento e agilidade
necessários em certas situações;
- A natureza informal
de ambas impede a adoção de açõesde natureza mais drástica quando estas
se fazem necessárias;
- A informalidade
impede o sigilo necessário em certas situações;
- Não há metodologia
de trabalho ou objetivos a serem alcançados em um dado prazo, as listas
agem em função das ocorrências que surgem;
- Ambas as listas
são resultado de iniciativas individuais e conseqüentemente estão sujeitas
a falhas de continuidade.
Por outro lado os seguintes
pontos positivos podem ser creditados às atividades já desenvolvidas por
estas listas, em particular à CVV em virtude do seu tempo de existência:
- Divulgação rápida
e segura de falhas de segurança de sistemas operacionais e as formas
de corrigi-las;
- Criação ao longo
do tempo de uma mentalidade de segurança em redes no Brasil;
- Auxílio de alto
nível às redes que sofreram quebra de segurança;
- Orientação profissional
de alto nível aos administradores de rede visando a configuração segura
de suas instalações;
- Intervenção, na
forma de mediador, entre redes envolvidas em eventos de quebra de segurança;
- Discussão de políticas
nacionais de segurança.
3.2.
Das Redes Conectadas à Internet Brasileira
A situação atual das redes brasileiras pode ser atribuída quase exclusivamente
ao crescimento explosivo do número de provedores sem formação básica para
atuar neste ramo. Apesar das diversas iniciativas visando o treinamento[4]
e qualificação dos mesmos ainda há muito a ser feito.
Observa-se não apenas despreparo mas também a falta de uma mentalidade
de segurança.
3.3. Das Conseqüências dos Ataques
A principal conseqüência dos ataques que ocorrem nas redes brasileiras
é a criação de "bases" para ataques a instalações no exterior
com reflexos na imagem da Internet brasileira. Nos últimos tempos tem
se tornado comum reclamações de administradores estrangeiros e a adoção
de bloqueios a redes ou ao domínio .br em virtude das mais diversas ações
ilegais oriundas da Internet brasileira.
A segunda conseqüência a ser levada em consideração é o desprestígio da
Internet brasileira em virtude do alto número de sucessos nos ataques
estimulando a proliferação dos mesmos.
4. Algumas medidas a serem tomadas
4.1. Treinamento e atualização
O treinamento e a atualização dos administradores das redes ainda é a
melhor solução para os problemas de segurança. As iniciativas existentes
nesta direção devem ser estimuladas e ampliadas utilizando, além das equipes
existentes, as equipes das Universidades brasileiras. A realização dos
cursos deve ocorrer com maior freqüência e possuir maior abrangência geográfica.
4.2. Documentação
Muita ênfase foi dada à produção de documentos visando a qualificação
básica de pessoal para a instalação de serviços de provimento de acesso;
esta mesma ênfase deve ser aplicada na produção de documentos que:
- Analisem de forma
severa as soluções para implementaçãode provedores de acesso visando
não apenas o baixo custo ou a popularidade de um determinado sistema
mas sim a sua qualidade em termos de segurança;
- Analisem e divulguem
ferramentas de proteção de redes de natureza comercial ou não;
- Divulguem uma doutrina
ou mentalidade de segurança ativa por parte dos administradores que
os conscientize a não apenas se protegerem ignorando a globalidade da
rede mas a serem tambem agentes de segurança;
4.3. Congressos
Nenhum curso ou documentação substitui o intercâmbio de experiências práticas.
As especificidades de cada instalação leva a soluções diferentes em todos
os aspectos, entre eles as medidas de segurança adotadas.
A realização de encontros ou congressos periódicos, dedicados exclusivamente
para a segurança de redes, em todo o território nacional deve ser iniciada
pois colocará os administradores de redes em contato com administradores
mais experientes e suas soluções.
4.4. Monitoramento e Análise de Tráfego
Assim como hoje é prática comum a realização de scans visando a contagem
de hosts ou descoberta da topologia de redes é necessário que se inicie
um monitoramento sistemático do tráfego à procura de pacotes "suspeitos"
com fins estatísticos. Este monitoramento deve ser realizado permanentemente
e os resultados tabulados para montar um quadro claro do que trafega na
rede brasileira.
4.5. Atendimento de Emergência
O sistema atual de atendimento de situações emergenciais não é satisfatório,
pois em virtude do seu caráter voluntário e informal não há ação imediata
e isto tem permitido a proliferação epidêmica das invasões em uma ou mais
instalações.
4.6. Criação de um Centro de Coordenação
Todas as medidas sugeridas aqui prescindem da existência de órgão que as
coordene. A atual estrutura da Internet brasileira não possui tal órgão
e mesmo a portaria interministerial 147 de 31 de maio de 1995 que criou
o Comitê Gestor Internet do Brasil não contemplou diretamente esta atribuição
ao CG conforme o Art. 1°, reproduzido abaixo:
Art. 1°: Criar o Comitê Gestor INTERNET do Brasil, que terá como atribuições:
I acompanhar a disponibilização
de serviços INTERNET no país;
II estabelecer
recomendações relativas a: estratégia de implantação e interconexão
de redes, análise e seleção de opções tecnológicas, e papéis funcionais
de empresas, instituições de educação, pesquisa e desenvolvimento (IEPD);
III emitir parecer
sobre a aplicabilidade de tarifa especial de telecomunicações nos circuitos
por linha dedicada, solicitados por IEPDs qualificados;
IV recomendar padrões,
procedimentos técnicos e operacionais e código de ética de uso, para
todos os serviços INTERNET no Brasil;
V coordenar a atribuição
de endereços IP (INTERNET PROTOCOL) e o registro de nomes de domínios;
VI recomendar procedimentos operacionais de gerência deredes;
VII coletar, organizar e disseminar informações sobre o serviço INTERNET
no Brasil; e
VIII deliberar
sobre quaisquer questões a ele encaminhadas.
Apenas IV acima tange superficialmente o item segurança na forma de
recomendação ética. Obviamente aqui cabem váriasinterpretações jurídicas
que não são objeto do presente documento. Isto posto procuraremos a
seguir definir as características e as atribuições de tal órgão.
5.
Coordenadoria de Segurança de Redes
5.1. Atribuições
O objetivo da criação de uma organização encarregada de coordenar a segurança
de redes não é que ela tome para si todas as tarefas que necessitam ser
efetuadas. Esta organização deve possuir um conjunto básico de atribuições
a partir dos quais ela possa atribuir ou fomentar a realização de tais
tarefas por terceiros atuando apenas como coordenadoradas atividades.
Desta forma é desejável que possua as seguintes atribuições:
- Receber e registrar
ocorrências de violação de segurança de redes;
- Coletar estatísticas
destas ocorrências e torna-las públicas;
- Orientar tecnicamente
os que a ela recorrerem para sanar falhas de segurança;
- Intermediar o contato
entre redes envolvidas em incidentes de segurança servindo como testemunha
legal das ações destas;
- Fomentar a criação
de programas de treinamento e atualização em segurança de redes através
de interação estreita com o Grupo de Trabalho Formação de Recursos Humanos;
- Fomentar a realização
de encontros e congressos de segurança de redes;
- Representar o Brasil
como um dos órgãos de segurança em âmbito nacional e internacional;
5.2.
Natureza
Para atingir os seus objetivos é desejável que este órgão possua a maior
autonomia possível. Esta autonomia é possível se o mesmo for uma organização
não governamental com reconhecimento por parte do Comitê Gestor e pela comunidade
da Internet brasileira. Esta autonomia visa protege-lo de instabilidades
políticas e pressões e interesses de grupos.
Além de administrativamente autônomo é desejável que este órgão seja também
economicamente independente. Esta autonomia pode ser alcançada na forma
de um consórcio, nos moldes do MIT X-Consortium, para o qual serão chamados
a participar o provedores de
backbone, fabricantes, empresas,universidades,
etc, os quais, através do pagamento de uma taxa anual adquirirão o direito
de compor o conselho diretor do órgão. Poderá fazer parte do consórcio qualquer
empresa que possua presença na Internet brasileira.
5.3. Estrutura Técnica e Administrativa
Ao Conselho Diretor caberá a tarefa de constituir um Conselho Técnico formado
por profissionais com notório saber na área de segurança de redes cuja função
será assessorar a equipe técnica permanente que comporá a Coordenadoria.
6. Considerações Finais
Este documento buscou mostrar a necessidade da criação de um órgão que se
responsabilize pela coordenação das atividades relacionadas a segurança
de redes, caracterizar este órgão buscando ressaltar a necessidade da suaautonomia.
Este documento, visando a brevidade, não expôs nem reforçou o suficiente
a necessidade da representatividadeque este órgão deve possuir em todas
as instâncias da Internet brasileira para que o mesmo possa atingir seus
objetivos.
7. Sugestões ao Grupo de Trabalho em Engenharia e Operações
de Redes do Comitê Gestor
Baseado no que foi exposto as seguintes sugestões sãofeitas ao GTER:
Sugestão 1:
O SGTS recomenda ao GT-ER que inicie processo que leve a criação de um centro
nacional de coordenação segurançade redes;
Sugestão 2:
O SGTS recomenda ao GT-ER que este centro seja criado na forma de uma ONG
autônoma com as características de um consórcio do qual resultará a sua
autonomia econômica.
Notas
[1] Lista
cvv@listas.ansp.br,
iniciativa do CPD da FAPESP em 1993, composta basicamente pela comunidade
acadêmica e acesso restrito. Lista
seguranca@pangeia.com.br,
criada em 1996, composição mista acesso relativamente menos restrito.
[2] Ambas as listas atingem menos de 10% das redes brasileiras
[3] Basicamente monitoramento de tentativas de acesso
ao portmapper (NIS e NFS), source routing,etc utilizando tcp-dump e sniffers.
[4] Grupo de Trabalho Formação de Recursos Humanos com
o curso Treinamento: Internet/BR: Serviços, Protocolos e Suporte, realizado
em várias capitais ou, por exemplo, os cursos promovidos pelo CENAPAD/SP.
|
