Recentemente, analisei alguns aspectos de seguranca de sistemas de deteccao de intrusao (IDS) baseados em observacao de trafego de rede. Observei que embora os sistemas de IDS via rede sejam bastante interessantes para detectar possiveis intrusoes, estes sistemas possuem limitacoes que, caso nao sejam enderecadas adequadamente, podem comprometer a funcionalidade dos mesmos.Boa Leitura!Comparando com o modelo baseado em rede, onde um dispositivo fica "ouvindo" todo otrafego de rede, o modelo de host e baseado no uso de agentes. De uma forma geral, todos eles possuem um pequeno programa (agente), instalado no sistema que se quer proteger. Este agente e responsavel por analisar, o mais rapidamente possivel, varios indicadores do sistema, como logs, niveis de uso de CPU, que usuarios estao conectados, etc... Com base nas suas regras pre-programadas (sejam elas baseadas em assinatura ou perfis, ou ambos), o agente decide gerar ou nao alarmes. Caso o alarme seja gerado, ele frequentemente e enviado a um servidor central (chamado de "gerente") que pode tomar outras acoes adicionais (chamar o operador por pager, gerar log, etc...).O tipo de informacoes que um agente pode monitorar, o grau de sofisticacao com o qual ele monitora essas informacoes e que tipo de acao ele pode tomar variam de sistema para sistema. No geral, todos eles permitem monitorar: Logs do sistema operacional. No caso de Windows NT, os diversos EventLog. No caso de Unix, o log controlado pelo syslog. Nesses logs sao armazenados eventos basicos, como auditoria de arquivos, logins bem sucedidos ou nao, inicio e termino de programas, entre outros. Contadores ou indicadores do sistema. Nesse caso, sao monitorados aspectos como consumo de CPU (via Performance Monitor do NT ou sar do Unix), espaco disponivel em disco e consumo de memoria, entre outros. Embora sejam dados nao diretamente relacionados a seguranca, uma mudanca nestes parametros pode indicar que algo mudou significativamente. Como exemplo, caso um servidor esteja sendo utilizado indevidamente para tentar quebrar senhas (com programas como L0phtcrack ou Crack, por exemplo) o consumo de CPU podera ser notadamente maior.Alguns outros sistemas de deteccao de intrusao via host tambem permitem a monitoracao de outros logs, especificados pelo usuario. Nesse caso, podem ser monitorados os logs de programas que, por um motivo ou outro, nao usam os logs do sistema. Nessa categoria podemos incluir sistemas de banco de dados, servidores de autenticacao (como Radius/Tacacs), servidores Web, entre outros. Nesses casos, o agente deve ser "treinado" em o que deve ser analisado do log.Com todas essas caracteristicas, os IDS baseados em host acabam por oferecer vantagens significativas para o implementador de IDS. A principal delas e que a qualidade da informacao coletada. Como o log a ser gerado pela aplicacao pode ser o resultado de uma longa transacao, por exemplo, e possivel detectar ataques ou situacoes que uma analise dos pacotes individuais nao mostraria.Outra vantagem do modelo de IDS de host e que, como o agente e especializado para um determinado sistema operacional, ele pode inspecionar caracteristicas desse sistema nao acessiveis via rede. Existem diversas vulnerabilidades conhecidas, tanto em Unix como em NT, que so podem ser exploradas por