Grupos de Trabalho - Documento GT-S


Rumo a Criação de uma Coordenadoria de Segurança de Redes na Internet Brasil

Autores:
Alberto Courrege Gomide
Fundação de Amparo à Pesquisa do Estado de São Paulo, FAPESP

Carlos Augusto Campana Pinheiro
Rede Nacional de Pesquisa, RNP

Pedro A M Vazquez
Instituto de Química Unicamp 


1. Introdução
2. Situação Atual
          2.1. Agentes de Segurança

          2.2. Situação das Instalações
          2.3. Natureza dos Ataques
3. Análise da Situação Atual
          3.1. Dos Agentes de Segurança
          3.2 Das Redes Conectadas à Internet Brasileira
          3.3 Das Consequências dos Ataques
4. Algumas medidas a serem tomadas
          4.1. Treinamento e atualização
          4.2. Documentação
          4.3. Congressos
          4.4. Monitoramento e Análise de Tráfego
          4.5. Atendimento de Emergência
          4.6. Criação de um Centro de Coordenação
5. Coordenadoria de Segurança de Redes
          5.1. Atribuições
          5.2. Natureza
          5.3. Estrutura Técnica e Administrativa
6. Considerações Finais
7. Sugestões ao Grupo de Trabalho em Engenharia e Operações de Redes do Comitê Gestor
Notas


1. Introdução

Desde a abertura da Internet brasileira para exploração comercial em 1995 observou-se um crescimento vigoroso do número de redes a ela conectadas. Este crescimento foi acompanhado por um número também crescente de casos de violação de segurança cujo número real não pode ser determinado com exatidão uma vez que não existem mecanismos formais de coleta e processamento deste tipo de ocorrência.

O objetivo deste documento é analisar a situação atual da Internet brasileira no que diz respeito a segurança das redes a ela conectadas e sugerir medidas para reverter essa situação. Deve ficar claro que dadas as suas características peculiares este documento não procurou, em nenhum momento, seguir a formatação usualmente esperada, isto é, Resumo, Motivação, Proposta.


2. Situação Atual

2.1. Agentes de Segurança

A Internet brasileira dispõe dos seguintes recursos e/ou mecanismos de segurança de redes aos quais um administrador pode recorrer:
  • Consultores independentes;
  • Empresas de informática;
  • Fabricantes de equipamentos ou software;
  • Iniciativas individuais de organizações, geralmente de caráter interno e/ou privado;
  • Iniciativas de âmbito nacional na forma de grupos de voluntários reunidos em listas de discussão.

Dos itens acima pouco se pode afirmar sobre os quatro primeiros uma vez que via de regra estão associados a sigilo contratual ou regidos por normas internas das instituições.

O último item resume-se a duas listas de discussão[1] criadas em instantes diferentes da história da Internet brasileira e com demandas diferentes; a primeira procurou problemas da comunidade acadêmica e basicamente assim permanece até hoje, a segunda busca alcançar a comunidade de provedores de acesso.

2.2. Situação das Instalações

Via de regra a insegurança das redes brasileiras está ligada diretamente à qualidade dos sistemas operacionais e ao grau de formação e experiência dos administradores bem como a falta de orientação de alguns fabricantes aos seus clientes. A falta de mecanismos abrangentes[2] de divulgação das correções mais elementares a serem aplicadas a uma rede recém instalada, a falta de programas regulares de treinamento e atualização e a confiança ilimitada no sistema operacional (muitas vezes inadequado para uso em ISPs), tem se mostrado como as principais causas de brechas de segurança.

Outro fator que deve ser levado em consideração é a postura silenciosa de muitas instituições quando são atacadas. Isto se deve em parte ao aspecto negativo que a divulgação de tal notícia pode ter sobre as atividades (comerciais ou não) da instituição e falta de garantia de sigilo por parte dos grupos voluntários. Em se tratando de consultorias particulares obviamente estas informações são mantidas em sigilo.

2.3. Natureza dos Ataques

Os ataques conhecidos na Internet brasileira não podem ser classificados como especializados. A maioria deles baseia-se na exploração de brechas de segurança publicamente conhecidas e no uso de kits de quebra de segurança amplamente disponíveis na Internet.

Estudos informais realizados por um dos autores utilizando monitoramento do backbone da Unicamp[3] mostraram que a adoção de um conjunto básico de medidas de segurança reduz ou elimina a eficiência desses ataques em quase sua totalidade.

Os objetivos desses ataques também não têm se mostrado especializados, isto é, visado a obtenção de dados sigilosos, pirataria industrial, fraude financeira ou similares; muitos deles visam obter um local para depositar arquivos ilícitos, outros apenas obter privilégios no equipamento atacado ou intimidar o administrador. É preocupante, no entanto, o aumento de ataques "assessorados" por indivíduos localizados no exterior, estes sim qualificados, que utilizam os brasileiros para criar "bases" na nossa rede.


3. Análise da Situação Atual

3.1. Dos Agentes de Segurança

A partir do que foi exposto fica óbvio que os únicos dispositivos de acompanhamento de segurança disponíveis à comunidade brasileira são as listas de discussão citadas uma vez que as vias comerciais não são acessíveis a todos. Estas listas, no entanto, são passíveis das seguintes críticas:

  • Participação restrita, pois o acesso a lista fica a critério do gerente da mesma;
  • A natureza voluntária dos participantes resulta na falta de empenho, comprometimento e agilidade necessários em certas situações;
  • A natureza informal de ambas impede a adoção de açõesde natureza mais drástica quando estas se fazem necessárias;
  • A informalidade impede o sigilo necessário em certas situações;
  • Não há metodologia de trabalho ou objetivos a serem alcançados em um dado prazo, as listas agem em função das ocorrências que surgem;
  • Ambas as listas são resultado de iniciativas individuais e conseqüentemente estão sujeitas a falhas de continuidade.
Por outro lado os seguintes pontos positivos podem ser creditados às atividades já desenvolvidas por estas listas, em particular à CVV em virtude do seu tempo de existência:
  • Divulgação rápida e segura de falhas de segurança de sistemas operacionais e as formas de corrigi-las;
  • Criação ao longo do tempo de uma mentalidade de segurança em redes no Brasil;
  • Auxílio de alto nível às redes que sofreram quebra de segurança;
  • Orientação profissional de alto nível aos administradores de rede visando a configuração segura de suas instalações;
  • Intervenção, na forma de mediador, entre redes envolvidas em eventos de quebra de segurança;
  • Discussão de políticas nacionais de segurança.

3.2. Das Redes Conectadas à Internet Brasileira

A situação atual das redes brasileiras pode ser atribuída quase exclusivamente ao crescimento explosivo do número de provedores sem formação básica para atuar neste ramo. Apesar das diversas iniciativas visando o treinamento[4] e qualificação dos mesmos ainda há muito a ser feito.

Observa-se não apenas despreparo mas também a falta de uma mentalidade de segurança.

3.3. Das Conseqüências dos Ataques

A principal conseqüência dos ataques que ocorrem nas redes brasileiras é a criação de "bases" para ataques a instalações no exterior com reflexos na imagem da Internet brasileira. Nos últimos tempos tem se tornado comum reclamações de administradores estrangeiros e a adoção de bloqueios a redes ou ao domínio .br em virtude das mais diversas ações ilegais oriundas da Internet brasileira.

A segunda conseqüência a ser levada em consideração é o desprestígio da Internet brasileira em virtude do alto número de sucessos nos ataques estimulando a proliferação dos mesmos.


4. Algumas medidas a serem tomadas

4.1. Treinamento e atualização

O treinamento e a atualização dos administradores das redes ainda é a melhor solução para os problemas de segurança. As iniciativas existentes nesta direção devem ser estimuladas e ampliadas utilizando, além das equipes existentes, as equipes das Universidades brasileiras. A realização dos cursos deve ocorrer com maior freqüência e possuir maior abrangência geográfica.

4.2. Documentação

Muita ênfase foi dada à produção de documentos visando a qualificação básica de pessoal para a instalação de serviços de provimento de acesso; esta mesma ênfase deve ser aplicada na produção de documentos que:

  • Analisem de forma severa as soluções para implementaçãode provedores de acesso visando não apenas o baixo custo ou a popularidade de um determinado sistema mas sim a sua qualidade em termos de segurança;
  • Analisem e divulguem ferramentas de proteção de redes de natureza comercial ou não;
  • Divulguem uma doutrina ou mentalidade de segurança ativa por parte dos administradores que os conscientize a não apenas se protegerem ignorando a globalidade da rede mas a serem tambem agentes de segurança;

4.3. Congressos

Nenhum curso ou documentação substitui o intercâmbio de experiências práticas. As especificidades de cada instalação leva a soluções diferentes em todos os aspectos, entre eles as medidas de segurança adotadas.

A realização de encontros ou congressos periódicos, dedicados exclusivamente para a segurança de redes, em todo o território nacional deve ser iniciada pois colocará os administradores de redes em contato com administradores mais experientes e suas soluções.

4.4. Monitoramento e Análise de Tráfego

Assim como hoje é prática comum a realização de scans visando a contagem de hosts ou descoberta da topologia de redes é necessário que se inicie um monitoramento sistemático do tráfego à procura de pacotes "suspeitos" com fins estatísticos. Este monitoramento deve ser realizado permanentemente e os resultados tabulados para montar um quadro claro do que trafega na rede brasileira.

4.5. Atendimento de Emergência

O sistema atual de atendimento de situações emergenciais não é satisfatório, pois em virtude do seu caráter voluntário e informal não há ação imediata e isto tem permitido a proliferação epidêmica das invasões em uma ou mais instalações.

4.6. Criação de um Centro de Coordenação

Todas as medidas sugeridas aqui prescindem da existência de órgão que as coordene. A atual estrutura da Internet brasileira não possui tal órgão e mesmo a portaria interministerial 147 de 31 de maio de 1995 que criou o Comitê Gestor Internet do Brasil não contemplou diretamente esta atribuição ao CG conforme o Art. 1°, reproduzido abaixo:

Art. 1°: Criar o Comitê Gestor INTERNET do Brasil, que terá como atribuições:

I acompanhar a disponibilização de serviços INTERNET no país;

II estabelecer recomendações relativas a: estratégia de implantação e interconexão de redes, análise e seleção de opções tecnológicas, e papéis funcionais de empresas, instituições de educação, pesquisa e desenvolvimento (IEPD);

III emitir parecer sobre a aplicabilidade de tarifa especial de telecomunicações nos circuitos por linha dedicada, solicitados por IEPDs qualificados;

IV recomendar padrões, procedimentos técnicos e operacionais e código de ética de uso, para todos os serviços INTERNET no Brasil;

V coordenar a atribuição de endereços IP (INTERNET PROTOCOL) e o registro de nomes de domínios; VI recomendar procedimentos operacionais de gerência deredes;

VII coletar, organizar e disseminar informações sobre o serviço INTERNET no Brasil; e 

VIII deliberar sobre quaisquer questões a ele encaminhadas. Apenas IV acima tange superficialmente o item segurança na forma de recomendação ética. Obviamente aqui cabem váriasinterpretações jurídicas que não são objeto do presente documento. Isto posto procuraremos a seguir definir as características e as atribuições de tal órgão.

5. Coordenadoria de Segurança de Redes

5.1. Atribuições

O objetivo da criação de uma organização encarregada de coordenar a segurança de redes não é que ela tome para si todas as tarefas que necessitam ser efetuadas. Esta organização deve possuir um conjunto básico de atribuições a partir dos quais ela possa atribuir ou fomentar a realização de tais tarefas por terceiros atuando apenas como coordenadoradas atividades. Desta forma é desejável que possua as seguintes atribuições:

  • Receber e registrar ocorrências de violação de segurança de redes;
  • Coletar estatísticas destas ocorrências e torna-las públicas;
  • Orientar tecnicamente os que a ela recorrerem para sanar falhas de segurança;
  • Intermediar o contato entre redes envolvidas em incidentes de segurança servindo como testemunha legal das ações destas;
  • Fomentar a criação de programas de treinamento e atualização em segurança de redes através de interação estreita com o Grupo de Trabalho Formação de Recursos Humanos;
  • Fomentar a realização de encontros e congressos de segurança de redes;
  • Representar o Brasil como um dos órgãos de segurança em âmbito nacional e internacional;
5.2. Natureza

Para atingir os seus objetivos é desejável que este órgão possua a maior autonomia possível. Esta autonomia é possível se o mesmo for uma organização não governamental com reconhecimento por parte do Comitê Gestor e pela comunidade da Internet brasileira. Esta autonomia visa protege-lo de instabilidades políticas e pressões e interesses de grupos.

Além de administrativamente autônomo é desejável que este órgão seja também economicamente independente. Esta autonomia pode ser alcançada na forma de um consórcio, nos moldes do MIT X-Consortium, para o qual serão chamados a participar o provedores de backbone, fabricantes, empresas,universidades, etc, os quais, através do pagamento de uma taxa anual adquirirão o direito de compor o conselho diretor do órgão. Poderá fazer parte do consórcio qualquer empresa que possua presença na Internet brasileira.

5.3. Estrutura Técnica e Administrativa

Ao Conselho Diretor caberá a tarefa de constituir um Conselho Técnico formado por profissionais com notório saber na área de segurança de redes cuja função será assessorar a equipe técnica permanente que comporá a Coordenadoria.


6. Considerações Finais

Este documento buscou mostrar a necessidade da criação de um órgão que se responsabilize pela coordenação das atividades relacionadas a segurança de redes, caracterizar este órgão buscando ressaltar a necessidade da suaautonomia.

Este documento, visando a brevidade, não expôs nem reforçou o suficiente a necessidade da representatividadeque este órgão deve possuir em todas as instâncias da Internet brasileira para que o mesmo possa atingir seus objetivos.


7. Sugestões ao Grupo de Trabalho em Engenharia e Operações de Redes do Comitê Gestor

Baseado no que foi exposto as seguintes sugestões sãofeitas ao GTER:

Sugestão 1:

O SGTS recomenda ao GT-ER que inicie processo que leve a criação de um centro nacional de coordenação segurançade redes;

Sugestão 2:

O SGTS recomenda ao GT-ER que este centro seja criado na forma de uma ONG autônoma com as características de um consórcio do qual resultará a sua autonomia econômica.


Notas

[1] Lista cvv@listas.ansp.br, iniciativa do CPD da FAPESP em 1993, composta basicamente pela comunidade acadêmica e acesso restrito. Lista seguranca@pangeia.com.br, criada em 1996, composição mista acesso relativamente menos restrito.

[2] Ambas as listas atingem menos de 10% das redes brasileiras

[3] Basicamente monitoramento de tentativas de acesso ao portmapper (NIS e NFS), source routing,etc utilizando tcp-dump e sniffers.

[4] Grupo de Trabalho Formação de Recursos Humanos com o curso Treinamento: Internet/BR: Serviços, Protocolos e Suporte, realizado em várias capitais ou, por exemplo, os cursos promovidos pelo CENAPAD/SP.