Análise de mecanismos de Detecção de Intrusos
Autor: Robert Christian | Publicado: 2012-01-05T06:39:00-08:00

Todo o sistema está sujeito a ataques e todos os ataques passíveis de detecção.


Em 1.980, James P. Anderson sugeriu melhorias nos sistemas e descreveu em um relatório algumas possibilidades viáveis para as detecções não autorizadas.

Cinco anos mais tarde 
surgia o IDES, que partindo de alguns dos princípios de James P. 
Anderson e desenvolvido pela Marinha Norte Americana, empregava as 
primeiras técnicas reais de Mecanismos de detecção de intrusões.

De lá para cá, os IDS 
foram alvos de altos investimentos e intensa pesquisa. Criaram-se então 
novos métodos de detecção e a partir de então os administradores de 
sistemas puderam contar com ferramentas extremamente poderosas neste 
quesito.



No que consistem os sistemas de detecção de intrusos

Podemos definir IDS como 
sendo um recurso que permite identificar e de imediato responder a 
atividades irregulares realizadas em um dado sistema.

Um IDS poderia, por 
exemplo, identificar uma tentativa de ataque de recusa de serviços (DoS)
 a seu host e de imediato bloquear o IP do atacante via regras de 
filtragem de pacotes.

Um IDS literalmente não 
se limita a tal, porém para que possamos compreender seus métodos de 
detecção e resposta é importante que analisemos sua estrutura conceitual
 conforme veremos a seguir:

Estrutura Conceitual dos IDS

Diversos são os sistemas de detecção de intrusos, e, 
cada qual, à sua maneira, procura desempenhar tal papel da forma mais 
eficaz possível, porém, todos partem de princípios conceituais básicos 
ou simplesmente de dois métodos, o Preemptivo e o Reacionário.

Método Preemptivo

Conhecido também por análise baseada em assinaturas, 
este método consiste em observar (obviamente o IDS observa de forma 
autônoma) movimentações direcionadas a seu host, comparando-as com um 
banco de dados que contém sequências de ações que deverão ser ligadas 
diretamente a possíveis tentativas de ataque a seu host.

Método Reacionário

Conhecido também por análise baseada em 
comportamento, o método consiste em observar (também de forma autônoma) 
Logs do sistemas para assim criar estereótipos completos de seus 
usuários.

Para compreendermos melhor este método, imagine que 
em seu sistema, o usuário Johann, funcionários do contas a pagar, 
habituado apenas a utilizar seu sistema de caixa, de uma hora para a 
outra, começa a utilizar recursos mais avançados de seu sistema como 
listar suas interfaces de rede, varrer seus arquivos de configuração e 
de senhas, compilar programas e executar outros que não estejam ligados 
ao sistema de caixa, utilizar grande volume de processamento em CPU e 
finalmente tentando advinhar sua senha de root e a de outros usuários. 
Ou o usuárioJohan foi promovido ao cargo de Administrador&nbsp; do Sistema&nbsp; 
ou nada mais justifica seu estanho comportamento.

Tal como você, o IDS Reacionário também pensa assim, e
 como o mesmo já havia traçado um perfil fiel de comportamento do 
usuário Johan, estranhou sua mudança repentina de perfil e tratoude 
bloquear sua conta e de lhe avisar (somente ao Administrador do Sistema)
 sobre o ocorrido.

Este é o método mais convencional de detecção de intrusões.

Obviamente novos métodos bem avançados têm sido 
concebidos, porém, ainda não tão difundidos quanto o preemptivo e 
Reacionário. Alguns capazes até de aprender novas formas de invasões 
apenas analisando o tráfego da rede e utilizando para tal recursos de 
Inteligência Artificial. Há quem diga que este é o futuro dos IDS, 
utilizar-se integralmente de recursos da IA.

Diante dos métodos já expostos é possível que os analisemos da seguinte maneira:

“Sistemas Preemptivos são capazes de prever tentativas de ataques, já sistemas Reacionários de reagir aos mesmos”.

Como a eficácia de ambos os métodos já está 
comprovada, não faremos julgamento de suas estruturas para assim definir
 qual o melhor método, ao invés disso lhe apresentaremos duas 
ferramentas, o Snort, que se utiliza do Método Preemptivo e o 
HostSentry, que utiliza da abordagem Reacionária.

&nbsp;

SNORT



Trata-se
 de uma ferramenta&nbsp; de simples manipulação que se baseia na análise de 
assinaturas para detectar possíveis tentativas de intrusões.

O Snort é uma ferramenta Open-Source desenvolvida por Marty Roesch para sistemas Unix (incluindo o Linux) e até mesmo o Windows.

Sua base de assinaturas contém milhares de registros 
de comportamentos que relatem possíveis métodos de intrusões e ainda 
conta com uma Home Page que disponibiliza atualizações para a mesma, em 
uma espécie de “Snort Update”.
O software pode ser baixado de www.snort.org.




HOSTSENTRY

Ferramenta que observa anomalias de Login traçando então para isso um perfil de comportamento de seus usuários.

Trata-se de uma ferramenta Open-Source disponível para sistemas Unix (incluindo o Linux).

Entre seus métodos de análise estão as de anomalias 
de tempo e localidade, estas capazes de identificar horários padrões de 
acesso ao sistema por parte de seus usuários e acessos provenientes de 
locais não característicos (Como a Internet ou outro IP que não seja o 
do usuários, por exemplo).



Conclusão



 Quando Kevin D. Mitnick invadiu o sistema de Tsutomu Shimomura, em 1994, explorou vulnerabilidades do TCP com técnicas de SYN Flooding e Spoofing, causando então uma negação de serviços seguida de um sequestro de seção.



O fato é que se o mundialmente conhecido Perito em 
Segurança de Sistemas Tsutomu Shimomura utilizasse mecanismos de 
detecção de intrusos, fatidicamente tais ataques emitidos por Mitinick 
teriam sido previamente detectados, o que reforça a minha teoria de que 
não era Mitinick que era bom, e sim Shimomura que era muito ruim!

Logo, não dê de “falso guru” como nosso amigo 
Shimomura e instale mecanismos de IDS o quanto antes em seu sistema, 
afinal de contas nunca se sabe quando um “Condor” pode resolver pairar 
sobre seu host!

Autor: Urubatan D’Oliveira Neto – Consultor em Segurança de Sistemas Linux.

Fonte: Revista Proteção Hacker, ano 01, nº 04, Págs. 08 a 11 – Ed. Escala.