na verdade serve para qualquer servico em qualquer plataforma: se nao precisa de um servico desabilite-o imediatamente, de preferencia antes de colocar o host em producao.Definir quais hosts podem acessar o SNMPUm outro cuidado muito importante e definir quais hosts podem acessar o SNMP. Permitir que qualquer um acesse estas informacoes (mesmo que sejam maquinas da sua rede interna) abre brecha para muitos problemas de seguranca.Algumas implementacoes de SNMP permitem que voce especifique quais hosts poderao se comunicar com o servico SNMP. Em outros casos, voce vai precisar fazer este controle via firewall e permitir ou negar os acessos a porta 161 UDP manualmente. Obviamente, voce precisa que todas as suas maquinas (nao apenas os servidores) tenham algum tipo de filtro de pacotes rodando e configurado adequadamente para que voce tenha o minimo de seguranca. Lembre-se sempre: voce deve controlar tanto o trafego de entrada na sua maquina quanto o trafego de saida gerado por ela. Controlar apenas o trafego de entrada nao e uma boa estrategia de seguranca qualquer que seja o servico em questao.Nao permita SNMP inbound ou outbound na borda da sua redeJa deixei claro aqui neste texto que as informacoes fornecidas pelo SNMP sao extremamente sensiveis e nao devem ser acessadas por qualquer pessoa. Em hipotese alguma voce deve permitir que qualquer host acesse as informacoes de SNMP atraves da Internet, por mais que seja um host controlado por voce que esta em uma outra filial, por exemplo. Como ja disse anteriormente, o SNMP nao criptografa as informacoes e qualquer um tem acesso a elas.Se for imprescindivel que voce transmita trafego SNMP atraves da Internet para outras localizacoes, voce devera utilizar umaVPN bem configurada para impedir que informacoes valiosas sobre a sua rede acabem caindo nas maos erradas. Talvez, alguma forma de tunelamento via SSH tambem possa te dar seguranca o suficiente para alguma coisa temporaria. Mas a VPN e uma solucao melhor.Ok, mas como seria um exemplo pratico?Bom, agora voce ja conhece alguns dos possiveis problemas de seguranca envolvidos no uso do SNMP dentro da sua rede. Primeiro, vamos usar o scanner onesixtyone para scanear a rede inteira e descobrir quais hosts estao com o SNMP habilitado. Depois, vamos usar o snmpwalk.pl para pegar a informacao disponibilizada pelo servico. O meu alvo aqui vai ser uma maquina rodando Microsoft Windows 2000.As duas ferramentas que vou usar neste exemplo estao disponiveis por padrao no BackTrack. Caso queira usar em alguma outra distribuicao, basta baixa-las e executar os comandos conforme descrito abaixo.Bom, entao vamos scanear a rede e descobrir quem esta rodando SNMP. Mas primeiro, vamos dar uma olhada nas opcoes do onesixtyone:-c arquivo.txt: O -c vai especificar um arquivo com varias palavras que serao testadas como community strings. O BackTrack tem um arquivo chamado dict.txt com varios nomes comuns de community strings pra te dar uma ajuda. Ele fica no mesmo diretorio do onesixtyone.-i arquivo.txt: O -i permite que voce coloque todos os IPs que voce quer scanear em um arquivo para que o onesixtyone ja verifique todos de uma vez sem que voce precise ficar especificando host