Proteja sua Hovercraft: Mantendo sua nave livre dos sentinelas

09 e 10 de abril 2011 – São Paulo/SP

Proteja sua Hovercraft:
Mantendo sua nave livre dos
sentinelas
Alexandro Silva
alexos@alexos.org
http://alexos.org

• Sysadmin;

• Professor na Pós-graduação
em Segurança da
Informação;

• Consultor independente em
Segurança da Informação
com expertise em tecnologias
Open-Source.

Porque proteger seus sistemas
disponibilizados na Web?
• Para manter a integridade e disponibilidade
dos dados da sua organização;
• Para evitar que ataques como SQLi ,XSS entre
outros* afetem seus sistemas e a
imagem/produto da sua empresa.

* OWASP Top Ten - http://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

Metodologia PDHM

• Plan - Planejar
• Deploy - Implantar
• Harden - Fortalecer
• Monitor - Monitorar

Planejar ( Plan )

• Questionamentos:

o Qual a finalidade?
o O que é necessário* para
funcionar?
*Tecnologia, Infra-estrutura

Implantar ( Deploy )

• Sistemas de arquivo:
o XFS para BD.

• Atualização:
o Cron-apt;
o Spacewalk;
o WSUS.

• Uso do sudo ou do RunAs

Implantar ( Deploy )

O dilema da atualização:
●

● “Requisitos” da aplicação;

● Confiança na plataforma:

● Ex: FreeBSD, OpenBSD, Solaris

● MEDO!!!

Fortalecer ( Harden )

=

Checklist Linux
Hntool - http://migre.me/3SQHQ

Checklist Linux

• Linux Security Checklist Tool -
http://migre.me/3SQFY

• Bastille Linux - http://migre.me/3SRm3

Checklist Windows

• Security Configuration Wizard - Incluído no
W2k3 e W2k8

• Security Compliance Manager -
http://migre.me/3SQFY

• Harden-It - http://migre.me/3SQJR

Hands On

• Remoção dos serviços desnecessários

o nmap -sT hackme

o Exemplo:
$ invoke-rc.d exim4 stop
$ update-rc.d -f exim4 remove

• Bloquear o root( Linux ) ou renomear o Administrator ( Win )
$ usermod -L root

• Uso de senhas fortes

Hands On

• Evitar ataques de SSH Brute Force:
o Bloquear login do root no ssh, modificar porta e/ou permitir acesso
somente a um grupo;

$vim /etc/ssh/sshd_config

PermitRootLogin no

Port 3000

AllowGroups admin

• DICA: Use o Knockd

Hands On
● nikto -h hackme

● http://hackme

● SQLi: http://hackme/index.php?cat=1'

● Remote Code Execution Exploitation PoC
o php wpx.php -h http://hackme -c 'system("uname -a;id");'
o php wpx.php -h http://hackme -c 'system("cat
/etc/passwd");'
o php wpx.php -h http://hackme -c 'system("cat wp-

Hands On

• Ajustes no servidor Web

o Editar o /etc/apache2/conf.d/security

ServerTokens Prod

ServerSignature Off

Hands On
• Ajustes no PHP

allow_url_fopen = Off # Impede RFI e LFI

display_errors = Off # Impede a exibição das mensagens de erros

magic_quotes_gpc = Off # Impede a execução de caracteres especiais Protege
contra ataques de SQLi

allow_url_include = Off # Impede o acesso a arquivos remotos, evitando injeção de
código malicioso.

expose_php = Off # Impede a exibição das informações sobre o PHP

register_globals = Off # Impede a execução de string maliciosas devido a falhas no
desenvolvimento.

Hands On

• nikto -h hackme
• php wpx.php -h http://hackme -c 'system("cat passwd");

• http://hackme/index.php?cat=1'

Hands On

• Camada extra de segurança

o Ossec Hids

Projeto do brasileiro Daniel Cid que integra
análise de log, checagem de integridade de
arquivos, monitoramento do registro do Windows,
politica centralizada, detecção de rootkit, alerta
em tempo real e resposta automática.

Hands On

• Ossec HIDS

o Vantagens:

 "Fácil" implantação;
 "Fácil" manutenção;
 Contato direto com o pai da criança;
 Vem melhorando a cada versão.

o Desvantagens:
 Interface web muito tosca

Hands On
SQLi
http://hackme/?cat=(select 1 and row(1,1)>(select
count(*),concat(CONCAT(CHAR(95),CHAR(33),CHAR(64),CH
AR(52),CHAR(100),CHAR(105),CHAR(108),CHAR(101),CHA
R(109),CHAR(109),CHAR(97)),0x3a,floor(rand()*2))x from
(select 1 union select 2)a group by x limit 1))

Monitorar ( Monitor )

• Acompanhar desempenho e a
segurança é muito importante;

• Ferramentas:
o Munin
o Zabbix ou Nagios
o Ossec HIDS

Monitorar ( Monitor )
Munin - http://migre.me/3TH4U

Contatos
Email: alexos@alexos.org
Site: http://alexos.org
Twitter:@alexandrosilva

Proteja sua Hovercraft: Mantendo sua nave livre dos sentinelas

Recommended

Recommended

More Related Content

What's hot

What's hot (19)

Similar to Proteja sua Hovercraft: Mantendo sua nave livre dos sentinelas

Similar to Proteja sua Hovercraft: Mantendo sua nave livre dos sentinelas (20)

More from Alexandro Silva

More from Alexandro Silva (8)

Proteja sua Hovercraft: Mantendo sua nave livre dos sentinelas