Scan (Nmap)

Barros Jr. (2008) afirma que o scanner de portas mais eficiente e mais utilizado é o Nmap. O site oficial desta ferramenta é Nmap.org, segundo o site do fabricante, Nmap significa Network Mapper. Ela é uma ferramenta de código aberto usada para realizar auditoria de segurança em redes e teste em servidores com a finalidade de encontrar brechas na segurança.

Dentre as principais características desta ferramenta, pode-se citar a técnica de fragmentação de pacotes, que consiste em enviar uma sequência de pacotes IP fragmentado, o que faz com que filtros de pacotes usados em firewalls ou mesmo em sistemas IDS não possam detectar tal atividade. Outra técnica utilizada no Nmap serve para ocultar o IP do atacante, esta opção faz com que o invasor possa declarar no momento do escaneamento uma lista de IPs como fonte da origem do ataque, dificultando a sua descoberta ou até mesmo usando IPs de outros, para forjar um ataque se passando por outro host.

Segundo Cheswick; Bellovin; Rubin (2003), outra opção interessante consiste em usar as próprias medidas de segurança implantadas por administradores de rede para criar um ataque, por exemplo, alguns firewalls sendo configurados para permitir tráfego em determinadas portas poderá permitir que o Nmap possa gerar um scan utilizando as portas liberadas, fazendo-se passar pelas aplicações com tráfego autorizado.

Segundo Nemeth; Snyder; Seebass; Hein (2001), o Nmap tem como sua principal função, a verificação de um ou vários hosts alvos para determinar quais as portas TCP e UDP tem algum servidor esperando por alguma conexão. Isso faz com que de uma maneira muito fácil possam ser listadas as portas e aplicações utilizadas em um servidor, permitindo assim que um atacante descubra dados sobre os servidores e a rede local.

A figura 2 mostra um relatório simples de uma varredura feita em uma máquina desprotegida. Pode-se observar que são listados facilmente quais portas e servidores estão sendo utilizados neste host e qual o estado de proteção das portas utilizadas. Nemeth; Snyder; Seebass; Hein (2001) enfatizam que além as investigações simples e diretas de TCP e UDP, o Nmap também poderá ser usado em envio de pacotes que se apresentarão como uma comunicação TCP em andamento (ao invés de início) e aguardará que pacotes de diagnósticos sejam enviados de volta. Isso poderá fazer com que algumas tentativas de escaneamento não sejam detectadas pelos firewalls ou até mesmo por algum IDS.

Matthews (2006) alerta que programas de varredura de portas como o Nmap, além de identificar portas abertas em um sistema, ele pode revelar também o tipo de sistema operacional. Uma vez que seja identificada a porta aberta utilizada e revelado o sistema operacional, um ataque dirigido especificamente para a porta e o sistema operacional em questão, aumentaria as chances de uma invasão bem sucedida.

BruteSSH2

Segundo um alerta da Rede Nacional de Pesquisa (RNP), através do Centro de Atendimento Incidentes de Segurança (CAIS) (2004), uma das ferramentas usadas para ataques de brute force ao serviço de SSH em sistemas Unix é o software BruteSSH2. Com distribuição gratuita através da internet, este software possui implementações nas linguagens de programação Python, C e Shell Script, esta foi tornada pública em 20 de agosto de 2004.

Ainda segundo o boletim do CAIS (2004) esta ferramenta busca encontrar brechas através de descuidos na implementação de segurança do serviço de SSH, tentando ganhar acesso ao sistema utilizando a porta padrão para acesso ao serviço, associado a teste de senhas triviais configuradas nos sistemas. A figura 3 mostra a execução da ferramenta BruteSSH2 com implementação em Python. Observa-se na imagem que o BruteSSH2 necessita que alguns parâmetros sejam especificados para sua correta execução, como o endereço IP do alvo, a porta que será utilizada e a possibilidade de usar arquivos de texto com usuários e senhas para o ataque.

Referências

CHESWICK, William R.; BELLOVIN, Steven M.; RUBIN, Aviel D.; Firewall e Segurança na Internet: repelindo o hacker ardiloso. 2ª Edição, Porto Alegre: Bookman, 2005.

RUSSEL, Ryan at al. Rede Segura. Pág. 348 - 375. Alta Books: 2002.

MATTHEWS, Jeanna; Rede de Computadores: protocolos de Internet em ação. Tradução Aldir José Coelho Corrêa da Silva; Rio de Janeiro: LTC, 2006.

MURILO, Nelson; Sugestões para defesa contra ataques de força bruta para SSH. Disponível em:
http://www.cert.br/docs/whitepapers/defesa-forca-bruta-ssh/
Acessado em 01 de dezembro de 2008 às 08:45.

NEMETH, Evi; SNYDER, Garth; SEEBASS, Scaott; HEIN, Trent R. . Manual de Administração do Sistema UNIX; 3ª Edição, Traduzida, Artmed Editora S.A: 2001.

BARROS JR., Jairo Moreno. Mestres da Espionagem Digital. São Paulo: Digerati Books, 2008.

CAIS, Centro de Atendimento Incidentes de Segurança; Ataques de forca bruta contra o serviço SSH. Rede Nacional de Pesquisa, RNP: 2004. Disponível em:
http://www.rnp.br/cais/alertas/2004/cais-alr-20041026.html
Acessado em 21 de novembro de 2008 às 21:05.