Sendmail e do Apache.Um outro meio de impedir que tais ataquesvenham a ser bem sucedidos eh executar uma ferramenta anti-portscan,estilo PortSentry, jah descrita.A maioria dos scanners de vulnerabilidadenecessitam rodar em TCP Socks para obter os banners dos servicos, de modoque se torna trivial barrar um scaneamento deste tipo.O WHISKER e demais scanners de WEB e CGIs tambem podem ser detectados.Atraves de uma ferramenta de IDS, eh possivel em determinados casos, sedetectar uma solicitacao de paginas WEB, mas isso eh algo que poderah sermuito trabalhoso.O ideal neste caso eh procurar conhecer bem o servidorWEB da rede e alterar o trivial, ou seja, procurar ter uma atencaoredobrada no que diz respeito a diretorios criticos, tais como /cgi-bin,/scripts e etc.Uma ferramenta IDS como o SNORT eh capaz de detectartais scaneamentos.No SNORT a regra abaixo eh capaz de normalizar o trafegoWEB, convertendo caracteres de "escape" para sua representacao em ASCII.OWHISKER se utiliza muito desta tecnica para obter informacoes de uma rede,tais como usar %20 ao inves de espaco, e a regra abaixo eh capaz de detectar um scaneamento deste tipo:preprocessor http_decode: 80 443 8080O SNORT pode ser obtido em:http://www.snort.org/Files/snort-1.6.3.tar.gz2.1 - Brutal Force-------------------Ataques de Brutal Force sao mais comuns do que se imagina! Uma rede bematualizada tende a ser vitima de tais ataques, pois, se um kiddie naoconsegue achar exploits para os servicos atualizados da rede, entao elelogo passarah a tentar um Brutal Force para tentar obter acesso a redealvo.Um Brutal Force nada mais eh do que um metodo de ataque que visaobter contas e senhas validas em determinados servicos, principalmente aobtencao de uma shell valida.Uma vez obtida uma conta valida em algumservico, um atacante poderah se aproveitar de tal conta p/ obter maioresprivilegios(inclusive buscar root).Evitar ataques de Brutal Force nao eh tao dificil hoje em dia! Asferramentas de IDS estao melhorando e a medida que o tempo passa, setorna mais comum detectar ataques de tais tipo.Mas no entanto, abordaremosalgumas formas para se evitar ataques de tais tipo tambem nos daemons.Vejamos abaixo algumas configuracoes que poderao servir p/ dificultaralguns conhecidos ataques de Brutal Force:* Sendmail:Os comandos "vrfy" e "expn" sao velhos conhecidos da comunidade fucadora,de modo que, existem algumas dezenas de programas disponiveis capazes deobter usernames validos em uma rede alvo.Abaixo seguem exemplos do usode tais comandos:# telnet localhost 25Trying 127.0.0.1...Connected to localhost.Escape character is '^]'.220 elvento.elvento.org ESMTP Sendmail 8.9.3/8.9.3; Mon, 27 Nov 200021:40:09 -0300vrfy root250 expn root250 vrfy nashleon250 expn nashleon250 vrfy jkslkjakfjkaf550 jkslkjakfjkaf... User unknownComo voce pode notar, os dois comandos nos retornam usuarios validos.Deposse de tais usuarios ou logins, fica mais facilitado a implementacao deoutras tecnicas, tais como o envio de um trojan p/ uma conta de um usuario,e mesmo um brutal force em um servico POP ou FTP.O sendmail nos permite "retirar" o uso de tais comandos.Tudo quenecessitamos fazer eh alterarmos a linha:O PrivacyOptions=authwarningspara:O PrivacyOptions=authwarnings,novrfy,noexpnUse um 'grep -n "Privacy"' em /etc/sendmail.cf para saber em qual linhase encontra esta diretiva de configuracao.Apos setarmos a configuracao ereiniciarmos o daemon,podemos ver abaixo como ficaria se tentassemosataca-lo:# telnet localhost 25Trying 127.0.0.1...Connected to localhost.Escape character is '^]'.220 elvento.elvento.org ESMTP Sendmail 8.9.3/8.9.3; Mon, 27 Nov 200021:44:37 -0300vrfy root252 Cannot