http://www.zago.eti.br/firewall/seguran1.txt Continuação do FAQ: http://www.zago.eti.br/firewall/seguran.txt Use CTRL+F para refinar a pesquisa. Linha de: **************** separa mensagens ou tópicos. ******************************************************** Zago http://www.zago.eti.br/menu.html FAQ e artigos sobre Linux *************************************************** *************************************************** Subject: Re: (linux-br) Servidor ligando no Celular Sim ! imagine que seu link caia, que acabe a energia, que queime o HD... são fatores que impedem a transmissão de um alerta..... por isso voce deve receber um informativo de tantos em tantos minutos... e será bom voce considerar os seguintes pontos: - ter uma forma de tirar a prova à distancia se o server funciona ou não ( uma página html, um email lido via webmail, qq coisa )... as vezes vc pode não receber o aviso no celular por problemas no celular/operadora ( comigo aconteceu bastante ) - sintetizar e compactar todos os logs uteis e talvez envia-los por email ( assim vc pode ver no seu celular que tem um erro e acessar o webmail para visualizar o log ) []'s Cleber Ferrari ferrari@coloil.com.br Tecnologia & Informação - Coloil / Arc Sul Subject: Re: (linux-br) Servidor ligando no Celular por exemplo, eu receberia um email no celular a cada 30min..... é isso que vc quer dizer ??? assim eu ficaria a par do que se passacommeu servidor ??? > Caro Rodrigo, > > isso é possivel sim ! voce pode enviar email para o seu celular ! > > mas acho que voce deve ir no caminh contrário : mande email para o seu > celular de tempos em tempos, assim voce pode monitorar se tudo está > funcionando. se ocorrer um pepino, voce não recebe o aviso ! > > qq coisa, email-me.... já fiz essas coisas no mundo windows.... no linux > ainda sou muito novato... > > []'s > > > Cleber Ferrari > ferrari@coloil.com.br > Tecnologia & Informação - Coloil / Arc Sul > Subject: (linux-br) Servidor ligando no Celular > > > > Pessoal, se houver alguma anomalia no meu Servidor Linux, existe a > > possibilidade de ele me enviar (no celular) uma mensagem ou algo do tipo > , > > me notificando.. ???? *************************************************** > quais as primeiras medidas de segurança q eu devo tomar pra tornar > meu linux mais seguro agora q eu consegui fazer meu rwinmodem > funcionar? anti-virus é necessário? - Não receba emails em HTML. - Não abra emails não solicitados. - Não execute programas de origem duvidosa em seu computador. - Não acesse a Internet logado como root. - Não deixe serviços desnecessários rodando na sua máquina, nem Telnet, nem FTP, nem FTP anônimo, nem qualquer outro serviço que não esteja usando ou oferecendo. - Desabilite serviços desnecessários ativados automaticamente no boot com o comando ntsysv. - Não use senhas óbvias (aniversário do filho, root, o próprio nome, etc.) - Rode a última versão dos programas da sua distro. - Atualize seus programas sempre que surgir uma notificação de bug de segurança. - Esteja atento aos arquivos de log da sua máquina e procure saber seu conteúdo para possíveis tentativas de conexão com e sem sucesso, bem como para ver se foram apagados. *************************************************** Subject: Re: (linux-br) Criptografia Usar o GPG sem duvida eh a melhor escolha! Entretando se o usuario nao precisa de uma criptografia forte pode usar tambem o VIM vi -x senhas.txt O vi vai pedir a senha e salvar criptografado. *************************************************** A Agência Nacional de Segurança dos Estados Unidos (NSA, da sigla em inglês) desenvolveu, em parceria com a Network Associates, uma versão mais segura do sistema operacional Linux e o disponibilizou para download na internet. Chamado de Linux SE (33 Mbytes, em www.nsa.gov/selinux/index.html), o programa foi criado por causa do "papel crítico dos mecanismos de segurança dos sistemas operacionais" em redes de comunicação. Segundo a NSA, a maioria dos sistemas operacionais não garantem as funções mínimas de segurança e confidencialidade dos usuários. O Linux SE foi desenvolvido sob uma proposta de como seria um sistema de segurança ideal. Entretanto, o programa permite que os usuários modifiquem as configurações de acordo com a necessidade de sua instalação. *************************************************** Listas Seguranca e Redes --------------------------------------------------------------------- A Peta Systems, empresa especializada em seguranca de informacoes e conectividade, mantem duas mailing lists tecnicas nas areas em que atua: security-l@peta.com.br e network-l@peta.com.br. Atraves das listas, todas as segundas-feiras os assinantes recebem um boletim com um apanhado das novidades tecnologicas e lancamentos de mercado que ocorreram no periodo. Os boletins sao alternados, numa semana sai o Boletim de Seguranca de Informacoes e na outra o Boletim de Redes de Computadores. As listas sao abertas aa comunidade. Para assina-las, basta enviar um e-mail para: mailto:security-l-request@peta.com.br para assinar a security-l mailto:network-l-request@peta.com.br --> para assinar a network-l Com o seguinte texto no corpo da mensagem: subscribe Nao eh necessario preencher o campo de assunto (subject). Ou, alternativamente, pode-se preencher o formulario existente na home page da Peta Systems (http://www.peta.com.br/), no qual so eh necessario informar o e-mail e quais as listas que deseja assinar. *************************************************** Para quem não assina a Dicas-L da UNICAMP... -------------------------------------------------------------------- The 60 Minutes Network Security Guide --------------------------------------------------------------------- Colaboração: Renato Murilo Langona O NSA Network and System Attack Center (SNAC) disponibilizou gratuitamente e online um guia MUITO completo sobre segurança de redes em um formato condensado, porem com uma quantidade espantosa de informação ao longo de 35 paginas de texto... O guia esta disponível no formato PDF e é de leitura obrigatoria para qualquer entusiasta em seguranca de redes... http://www.linuxsecurity.com.br/article.php?sid=4316 [Renato Murilo Langona] Systems/Network Administrator/Consultant http://www.linuxsecurity.com.br/renato *************************************************** > Sempre vejo na lista, em dicas e outros artigos, algo a respeito da = > perda da senha do root. Existem poucas soluções para este problema, mas uma das melhores que já encontrei foi a seguinte: a) Configure a BIOS para que o "Boot sequence" seja "C only"; b) Habilite uma senha para entrar na BIOS; c) Desabilite os prompts do Lilo e/ou Grub (timeout = 0); d) Coloque um lacre no gabinete. Sendo assim, você só vai conseguir recuperar a senha do root se tiver a senha da bios para conseguir alterar a sequência de boot e entrar por um disquete de recuperação. O lacre pode ser de metal (cabo de aço), de forma que o cara só abra com alicate mesmo, ou de plástico. Qualquer um dos lacres, de qualquer forma, só são realmente eficientes em ambientes controlados. No meu caso uso essa técnica para laboratórios de informática em uma faculdade, onde sempre tem monitor. Quanto os servidores, coloque-os em um rack fechado com chave na porta e cadeados nas paredes laterais removíveis. O problema é se pegar fogo, porque até achar a chave... :) > Qualquer técnico com um mínimo de competência entra na bios, altera a > seqüência de boot para o A:, usa uma mini-distro qualquer e babau. 15 > segundos e se edita o passwd, zerando a senha do root, e depois é só > correr pro abraço. 1-Retira o disqueteira da maquina, 2-openssh nela, 3-administracao do firewall 24hs,4- Compre um cofre-forte num leilão qualquer por R$200,00(sem chave :)), gele ele e esqueca seu servidor lá dentro ! > Dependendo do que o servidor fizer, botar ele numa sala trancado com um > segurança armado na porta é uma solução viável e até desejável. RESP2. A questão de segurança de um servidor envolve também a localização física dele. Não é só uma questão de acesso remoto, daemons com brechas, etc. Existem recomendações sobre cadeado no gabinete (já viu algum com uma liguetinha atrás?) para impedir zeragem do BIOS, inclui sala com acesso controlado e muito mais. A segurança completa de um servidor vai melhorar muito estes aspectos e impediria alguém de entrar em single-user e alterar a senha do root. E mesmo assim, garantinho a segurança física do servidor, ainda sobra a engenharia social. Imagine um hacker, tipo o Kevin Mitnick fuçando no lixo de sua empresa atrás de algo possa ter sido uma anotação de senha... A questão de segurança é longa! Já o ISDN, é de chorar tb... mas se você buscar por infos na net vc acha. Exisitia um passo-a-passo em um site alemão (.de) que falava sobre isto, mas não lembro qual é. Uma boa idéia é fuçar no site da suse que é a distro que dá melhor suporte a isdn. Boa sorte. RESP3 > Caros companheiros, > > Sempre vejo na lista, em dicas e outros artigos, algo a respeito da = > perda da senha do root. > > A minha preocupacao, eh que isso pode servir de entrada de pessoas que = > podem danificar um sistema. Talvez eu esteja engando. Mas vejamos. > Tenho um servidor rodando legal num cliente. Ai alguem muito engracado, = > executa a operacao de reentrada como se tivesse perdido a senha do root, = > e toma conta do sistam, podendo inviabilizar qualquer coisa ate praticar = > um furto de informacoes. > > Isso eh verdadeiro ou nao ha como fazer isso? Isso eh um problema a ser = > resolvido??? Isso foi algo discutido várias vezes por aqui. O computador seguro é aquele que não está conectado à nenhuma rede e está trancado dentro de um cofre. Claro que ele não serve para nada. O que você deve fazer é tomar cuidado para que ninguém tenha acesso à sala onde se encontram os servidores exceto aqueles que devem ter acesso. A senha de root só deve ser conhecida pelo administrador (talvez os chefes também). E tome cuidado para que o sistema não deixe uma pessoa com poderes de root sem senha. Geralmente, você faz isso colocando senha no LILO, de modo que, para passar outra opção que o padrão, é necessário digitar uma senha. Mas, antes disso, é preferível que a pessoa não tenha acesso físico ao computador, se não é só pegar o HD e modificá-lo. *************************************************** > /bin/rbash resolve em partes o problema já que segura o usuário em seu home > directory, porem, impede que o mesmo usuário acesse os subdiretórios do seu > home já que o comando "cd" é desabilitado. Pessoal, _muito_ cuidado com esta "solução". A restrição do shell pode facilmente ser ludibriada. Existe inúmeras maneiras de se fazer isso, dependendo dos utilitários que se tem instalado. Perl: $ perl -e '$ENV{SHELL}="/bin/sh";exec("/bin/sh")' env(1): $ env SHELL=/bin/sh /bin/sh Outro shell: $ csh $ sh -c 'SHELL=/bin/sh exec /bin/sh' (Ironicamente isso funciona mesmo se o sh for o bash, pelo menos na versão 2.04 que testei.) Desculpe se desmancho expectativas, mas a linha de comando do Unix _não_ foi feita para funcionar desta forma. O shell restrito é somente uma forma boba de você evitar que usuários bobos façam bobeira. A não ser que você elimine todas as dezenas de maneiras de se escapar do shell restrito na máquina, o que, desconfio, vai tornar o sistema pouco atraente, ele não funciona. Se falarem que funciona, desconfiem de quem fala. Então não há saída? Claro que há. Por que não criar seu próprio shell? Assim você pode disponibilizar somente os comandos que quer implementar e ponto-final. A única coisa a observar é se os comandos executados permitem de alguma forma que o usuário escape para um shell irrestrito (mais programas permitem isso do que você pensa). Abaixo temos um shell que implementa os comandos "limpa", "editatese", "quem", "fmt" e, é claro, "sair". Use sua imaginação e crie quantos comandos quiser, sempre observando se os comandos chamados são "seguros". Com cuidado, dá pra montar um shell de onde o usuário não consiga mesmo escapar. #!/bin/sh PATH=/bin:/usr/bin IFS=' ' LC_ALL=pt_BR LANG=pt_BR export PATH IFS LC_ALL LANG stty erase ^H intr ^C echo "meush versão 3.1416" echo "Dúvidas ou sugestões devem ser encaminhadas para devnull@localhost" while :; do read comando parametros || exit 1 case "$comando" in limpa) clear;; editatese) rvim tese.txt # Note o uso do "rvim", a versão "segura" do vim ;; quem) w;; fmt) docbook2ps "${parametros##*/}";; sair) break;; *) echo "Comando inválido: $comando";; esac done echo "Tchau" exit -- Flávio Veloso Magnux Linux . Seu Linux 100% nacional e seguro http://www.magnux.org/ . info arroba magnux ponto org *************************************************** Mas com o LIDS vc consegue ocultar o /etc/passwd e permitir apenas leitura para o /sbin/sshd, /sbin/passwd, etc, etc. Qualquer outro programa que tentar acessá-lo vai dar erro, e gerar uma entrada no syslog. Tem como dar mais exemplos desse 'programa minúsculo'? > > Gostaria de saber se é possível ocultar o /etc/passwd com o lids, assim os > > usuarios que possuem conta shel não teria acesso a ele. É possivel? *************************************************** http://www.abuse.net/relay.html Subject: (linux-br) Como posso verificar se meu SMTP esta bloqueando SPAM? > Como posso verificar se meu SMTP esta bloqueando SPAM ? OU execute um telnet ele respondera se seu SMTP aceita SPAM! telnet mail-abuse.org *************************************************** > Algúem conhece algum software que verifique uma máquina e detecte uma > atividade hacker? Não queria software como Nessus, que verifica as > vulnerabilidades, mas sim um software que vá mais fundo, e indique a > presença de atividade hacker. > O software pode ser comercial, for Linux ou RWindows. http://www.tripwire.com http://www.snort.org/ http://www.cert.org/kb/acid/ http://www.cs.tut.fi/~rammer/aide.html http://www.psionic.com/products/ http://www.conectiva.com/doc/livros/online/7.0/servidor/cap-seguranca.html RESPOSTA 2 Acho meio absurdo isso, mas se vc quer, vc pode usar um ótimo Sniffer que é o Ettercap que pode ser obtido em: http://www.linuxsecurity.com.br/article.php?sid=4657 *************************************************** A O'Reilly publicou a parte III de seu artigo sobre ferramentas de segurança em: http://linux.oreillynet.com/pub/a/linux/2001/07/13/tools_trade_three.html . O artigo trata de dois programas: o syslog e sua configuração (que gera os logs) e o snort. O snort é um sniffer ao qual pode-se associar ações dependendo de certos eventos. O snort pode alertar, por exemplo, se alguém estiver tentando invadir o sistema via port 25. *************************************************** ON LINE Eugene Ilchenko, da Network Security Library anunciou a disponibilidade de uma versao online completa e autorizada pela Auerbach Publications do livro "Handbook of Information Security Management" (em ingles), escrito por Micki Krause e Harold F. Tipton, edicao de 1998... Leitura recomendada... http://secinf.net/info/misc/handbook/ewtoc.html *************************************************** No endereço http://www.cacr.math.uwaterloo.ca/hac pode ser encontrado o livro "Handbook of Applied Cryptography". Todos os capítulos do livro estão disponíveis para download, nos formatos PostScript e PDF. Uma leitura e tanto, são 816 páginas :-) Handbook de criptografia --------------------------------------------------------------------- Autores: Claudio Leonardo Lucchesi e Ricardo Dahab No dia 13 de junho eu enviei uma mensagem citando sobre a disponibilidade online do livro "Handbook of Applied Cryptography", a bíblia do assunto. Os Professores Cláudio Lucchesi e Ricardo Dahab, do Instituto de Computação da Unicamp, redigiram alguns comentários sobre o livro, que estou repassando a vocês. Apenas para lembrar, o livro está disponível para download em http://www.cacr.math.uwaterloo.ca/hac. Gostaria de agradecer em meu nome e em nome dos assinantes da Dicas-L por esta colaboração dos Professores Cláudio Lucchesi e Ricardo Dahab. --------------------------------------------------------------------- Comentários sobre "Handbook of Applied Cryptography", de A. J. Menezes, P. van Oorschot e Scott A. Vanstone, CRC Press, 1996. Cláudio L. Lucchesi e Ricardo Dahab Instituto de Computação - UNICAMP O Handbook of Applied Cryptography é, sem dúvida, o mais completo livro sobre criptografia moderna, no aspecto técnico. Escrito por três especialistas, o livro é igualmente útil para pesquisadores e implementadores de algoritmos criptográficos mas não para aqueles em busca de uma leitura rápida e superficial sobre assunto, ou para os que buscam informações sobre aplicações importantes como correio eletrônico, comércio eletrônico, ou segurança de redes. O foco do livro é nas técnicas e algoritmos criptográficos, sua fundamentação e implementação. Exceto pelo capítulo 1, que dá uma visão geral da área de criptografia e segurança de informações, o livro faz jus ao seu título: é um manual de referência, com descrições dos melhores algoritmos para cada problema, sempre precisas e muito eficientes, e por isso mesmo, na maioria das vezes longe de serem didáticas. Nem por isso os autores deixaram de incluir explicações sobre a corretude, complexidade e referências comentadas dos códigos. Os capítulos 2, 3 e 4 cobrem a matemática básica necessária ao entendimento dos algoritmos dos capítulos subseqüentes. O capítulo 5 fala sobre o importante tópico da geração de números pseudo-aleatórios e sua fundamentação estatística. Os capítulos 6 e 7 cobrem os dois modos de ciframento simétrico (de chave secreta) fundamentais: cifras de fluxo e de bloco e os algoritmos mais representativos de cada um. O capítulo 8 descreve os sistemas assimétricos (de chave pública), incluindo-se os probabilísticos, de criptoanálise muito mais complexa. Os capítulos 9, 10 e 11 tratam de três formas de autenticação: (i) do conteúdo de mensagens (Cap. 9 - funções de espalhamento (hashing) criptográficas); (ii) da identidade de entidades (Cap. 10); e (iii) assinaturas digitais, que provêem o tipo mais forte de autenticação, associada à não-repudiação. Os capítulos 12 e 13 abordam de forma sistemática e abrangente a criação, distribuição e gerenciamento de chaves criptográficas. O capítulo 14 é especialmente útil àqueles interessados em escrever algoritmos criptográficos começando do zero, pois trata de métodos para implementação eficiente da aritmética de precisão arbitrária, de números inteiros em geral e a modular, fundamental para sistemas como o RSA. Os capítulo 15 e o apêndice A trazem referências para patentes e standards da área e uma lista dos papers publicados nas conferências mais conceituadas até 1996. Uma lista de 1276 referências bibliográficas e o índice remissivo completam 780 páginas de uma obra que consumiu mais de 2 anos de trabalho quase exclusivo para ser completada. Em vista da qualidade deste trabalho é até indelicado falarmos em lacunas, mas talvez a mais sentida seja na área de sistemas baseados em curvas elípticas e seus algoritmos de suporte, especialmente bibliotecas para aritmética em corpos finitos. O assunto já era popular em 1996, na época da publicação do Handbook e um dos autores, Alfred Menezes, havia escrito em 1993 um livro sobre o tema, ("Elliptic Curve Public Key Cryptosystems", Kluwer); estranho que só mereça uma nota na página 316 no capítulo 8 do "Handbook", como uma das possibilidades de uso do método de ElGamal. Mas a lacuna está para ser preenchida, já que Menezes está preparando um livro sobre o tema. Um texto recente, e também nada didático, sobre o tema de criptografia de curvas elípticas e sua implementação é "Elliptic Curves in Cryptography", de I. Blake, G. Seroussi e N. Smart, Lecture Note Series 265, London Math. Society, Cambridge Univ. Press, 1999. Alfred J. Menezes é professor do Departamento de Combinatória e Otimização da Universidade de Waterloo, Waterloo, Canadá e um dos líderes do CACR-Center for Applied Cryptographic Research daquela universidade. Esteve no Brasil em 1996, em visita ao Instituto de Computação da Unicamp, para conduzir um workshop em criptografia de curvas elípticas. Sua colaboração com o IC continua ativa, tendo recentemente co-orientado uma tese de doutorado. Paul C. van Oorschot é um dos sócios da Entrust Technologies, empresa derivada da Nortel Secure Networks, uma das líderes mundiais em tecnologia criptográfica. Scott A. Vanstone também é professor do Departamento de Combinatória e Otimização da Universidade de Waterloo e foi um dos pioneiros na popularização dos sistemas baseados em curvas elípticas. Foi orientador de tese dos outros dois autores. --------------------------------------------------------------- As mensagens da lista Dicas-L são veiculadas diariamente para 16356 assinantes. Para sair ou assinar a lista Dicas-L, consulte o documento que se encontra em http://www.Dicas-l.com.br/FAQ.html. A redistribuição desta e outras mensagens da lista Dicas-L pode ser feita livremente, deste que o conteúdo, inclusive esta nota, não sejam modificados. --------------------------------------------------------------- *************************************************** -------------------------------------------------------------------- Endereço: http://www.Dicas-l.com.br/dicas-l/20020318.shtml -------------------------------------------------------------------- Manual Open Source para Testes de Seguranca --------------------------------------------------------------------- Colaboração: Renato Murilo Langona A segunda versão do Open Source Security Testing Methodology Manual (OSSTMM) foi disponibilizado online pela organizacao "Ideahamster".... Criado por Pete Herzog, diretor de ideias da organizacao, o OSSTMM é um padrão aberto de metodologia para testes de seguranca. O documento, com mais de 90 paginas, hoje ja contem conhecimento de mais de 150 colaboradores, 33 deles permanentemente ativos no projeto e ja foi baixado mais de 500 mil vezes do site. Esse manual se tornou um dos mais completos documentos a respeito de testes de seguranca que podem ser encontrados hoje. Disponivel inicialmente no formato PDF. Mais informacoes: http://www.linuxsecurity.com.br/article.php?sid=5196 --------------------------------------------------------------- A Lista Dicas-L tem o apoio da Livraria Tempo Real http://www.TempoReal.com.br --------------------------------------------------------------- Recomendação: Edulinks Links diversos sobre educação fundamental: matemática, física, inglês, química, história e muito mais. http://edulinks.valedofuturo.unicamp.br --------------------------------------------------------------- As mensagens da lista Dicas-L são veiculadas diariamente para 18814 assinantes. Todas as mensagens da Dicas-L ficam armazenadas em http://www.Dicas-l.com.br. A redistribuição desta e outras mensagens da lista Dicas-L pode ser feita livremente, deste que o conteúdo, inclusive esta nota, não sejam modificados. --------------------------------------------------------------- *************************************************** De:  Tiago F Bianchini Para:  Linux-br Assunto:  Re: (linux-br)Compilacao de exploit Data:  Tue, 15 Jul 2003 09:31:34 -0300 Em Terça 15 Julho 2003 09:04, Filipe Dantas escreveu: > > > devo proceder para compilar estes scripts ptos desses q > > > se baixa no pulhas, > > Cuidado cara, essas coisas ai podem dar cadeia hein. e corre maior risco ainda quem não sabe como se usa/funciona. De:  Filipe Dantas Responder-a:  filipe@montreal.com.br Para:  Tiago F Bianchini Cc:  Linux-br Assunto:  Re: (linux-br)Compilacao de exploit Data:  15 Jul 2003 14:50:33 -0300 >  Cuidado cara, essas coisas ai podem dar cadeia hein. > e corre maior risco ainda quem não sabe como se usa/funciona. sem contar que, por tras desses codigos c, pode ter um backdoor, ou alguma coisa ruim pro seu propio host. cuidado, veja bem o que vai fazer. ;p []s De:  Filipe Dantas Responder-a:  filipe@montreal.com.br Para:  LMARX , Linux-br Assunto:  Re: (linux-br)Compilacao de exploit Data:  15 Jul 2003 09:57:00 -0300 Cada um faz o que quer, eu apenas alertei, levei mais um conhecimento. =] to longe de proibir e/ou condenar qualquer pessoa por qualquer coisa que venha querer aprender ou fazer. mesmo que seja contra vc ou contra mim, ou contra qualquer outra pessoa dessa lista. =] foi soh uma informacao a mais. =] []s _Filipe. > Cara o conhecimento é uma coisa q nao se restringe a cadeias, ele é aberto e > livre a qualqer um q qeira se apoderar dele, minha opiniao é a seguinte > existem cabeças e cabeças se vc pensa q vc compilaria um exploit pra poder > prejudicar ou invadir alguem tudo bem! > > t+ > > LMARX *************************************************** De:  Marcus Lima Responder-a:  marcuslima@marcuslima.eti.br Para:  Carlos , linux-br@bazar2.conectiva.com.br Assunto:  Re: (linux-br)seguranca a acesso a banco Data:  Fri, 16 Apr 2004 14:38:37 -0300 Um jeito simples de evitar o DNS Poisoning e outro tipos de fraudes: Veja se o site que você acessou tem um certificado e caso haja, abra e veja quem assinou o certificado! Se for alguem como VeriSign, CertSign, Thawte, pode usar o site.. senão, desconfie! Veja também se a criptografia é forte (128bits no mínimo). Não coloque o IP do site num arquivo /etc/hosts nem num DNS próprio porque muitos Bancos utilizam vários servidores para o mesmo site (é o caso do Bradesco e Unibanco por exemplo) e se você sempre apontar para 1 único IP, pode ser que um dia o banco tenha mudado de IP! Utilize o certificado, veja se é assinado para o banco por uma das empresas supra citadas. Rode sempre um check rootkit (www.chkrootkit.org por exemplo) para ver se seu sistema não está comprometido e siga as instruções de segurança que o nosso amigo Carlos colocou! []s Marcus Lima. > > > Accenture_Luiz_Estivalet@Dell.com wrote: > > >Ola, > >Acabei de instalar um Slackware, instalacao padrao. > >Gostaria de acessar meu banco...mas tenho duvidas em relacao a seguranca do sistema > >em relacao a essa operacao. O que tenho q configurar para deixar o meu sistema mais > >seguro? Usar um firewall ? Qual? Enfim, como deixo meu sistema seguro de invasoes e etc? > >Se puderem me dar algumas dicas ou indicar sites com bons artigos sobre o assunto agradeço! > > > >Obrigado, > >L.F.Estivalet > > > >  > > > > Luiz, > >   Falar sobre seguranca envolve dezenas e dezenas de topicos, eu vou > falar aqui de dois ou tres deles para nao ser muito longo , mas tenho > certeza que outros participantes da lista vao complementar muito bem o > que vou dizer. > >   Sim, e importante voce colocar um firewall na sua maquia linux, se > voce nao conhece bem o iptables e nao gostaria de fazer um firewall "na > mao" > voce pode baixar um da internet que necessitara apenas que voce edite um > arquivo informando suas opcoes: > > http://www.rocky.molphys.leidenuniv.nl/ > >  A opcao acima e apenas uma entre dezenas. > > Voce acessar o banco pode ser perigoso de duas formas: > 1 )Expor sua maquina a ataque; > 2) Expor sua conta no banco a ataques; > > Eu acredito que a segunda situacao pode ser mais frequente. Existem por ai (BB,ITAU,BRADESCO sabem muito bem) dois > tipos de ataques a sites de banco: > > 1 - Voce recebe um e-mail de origem duvidosa com dizendo assim "parabens, voce que e um cliente especial do nosso banco > ganhou uma promocao e para isso acesse o link abaixo" e o link em questao aponta para um servidor proprio > do fraudador que coletara seus dados que voce mesmo ira informar por inocencia e outras razoes... . > > 2 - Algum hacker porde invadir um servidor DNS e alterar um apontamento, o que antes era assim: > > www.itau.com.br.       IN      A       200.246.143.40 #esse ip eh verdadeiro e realmente aponta para o itau > > pode ser alterado e ficar assim: > > www.itau.com.br.       IN      A       200.246.112.10 #esse ip eu inventei agora > > Ai se o seu resolv.conf apontar para um servidor DNS alterado quando voce digitar no browser www.itau.com.br > ao inves de ir para o verdadeiro site do itau em 200.246.143.40 ira para um site clonado do itau em 200.246.112.10 > , o site sera igualzinho ao site original e a vitima talvez nem desconfie. As vezes o site gera um erro proposital apos voce > inserir seus dados e a partir dai te redireciona ao verdadeiro site, para tentar dificultar a percepcao da vitima, mas ai sera > tarde demais, eles ja terao seus dados sigilosos. > > Desconfie de e-mails com promocoes e surpresas. Procure saber o ip verdadeiro do site de banco que voce costuma acessar > e va direto via ip ou coloque no /etc/hosts ou crie um DNS proprio. > > Para deixar seu sistema ainda menos vulneravel sempre atualize seus softwares. Leia sobre arquivos SUID/SGID, muito explorados > localmente para obtencao de privilegios ate chegar ao ROOT. Qualquer servico rodando, seja ele openssh, apache, bind,postfix, > rsync (este ultimo possibilitou a obtencao de privilegios de superusuario recentemente em uma invasao aos computadores da universidade > de Stantford), etc..., salve os dois links a seguir em seus favoritos e leia-os com frequencia: > > http://www.infodesktop.com/infonews/seg/ > http://gomesllc.vilabol.uol.com.br/noticias.htm > > Eles falam sobre as ultimas noticias em relacao a seguranca. > > Use senhas fortes mesclando caracteres e numeros. Proteja sua senha ROOT a qualquer custo, leia sobre PAM e sshd (existe um problema com > fork em muitos sistemas linux que um usario sem nenhum previlegio que executaro o codigo a seguir: > > #!/usr/bin/perl > use strict; > fork and exit ; > ######### <- linha censurada pra nao incentivar o uso do codigo! > fork ; > } > >  Ira travar a maquina completamente instantaneamente com a criacao de processos ate sugar todos os recursos da maquina, incrivelmente > muitos sistemas em sua instalacao default vem desprotegidos disso (eu me dei mal uma vez, dei acesso a um amigo na minha maquina que fez essa brincadeirinha comigo, a partir dai nao dei mais mole :P ) mas isso pode ser resolvido com a implementacao de pam/limits.conf + sshd. >  > E por ai vai.. > Espero ter ajudado um pouco Luiz, boa sorte. > > > > "Primeiro eles o ignoram. > Depois, riem de voce. > Chega um ponto em que lutam contra voce. > Ate o dia em que voce vence." Gandhi > > SlackWare Linux user #349702 > *************************************************** De:  Alexandro Corrêa Para:  Linux-BR (Lista) Assunto:  RE: (linux-br) seguranca a acesso a banco Data:  Fri, 16 Apr 2004 14:40:46 -0300 (ART) Olá Estivalet,   Para que o sistema fique mais seguro, recomendo primeiramente que você desabilite todos os serviços que não forem necessários, tipo Apache, ProFTP, Bind, Sendmail, etc... Deixe funcionando apenas o que você for utilizar, além disso pode remover também os pacotes que não for utilizar (para ver os pacotes instalados, entre em /var/log/packages e para remover "removepkg nomedopacote", aproveitando o gancho, para instalar "installpkg nomedopacote.tgz").   Outra medida de segurança é sempre deixar o sistema atualizado, para isso eu recomendo o uso do "slackpkg", que atualiza o sistema "sozinho", você pode encontrar mais informações sobre no www.vivaolinux.com.br.   Depois disso, recomendo ainda a instalação do firewall Iptables. Já que sua máquina é para uso doméstico, você não precisa permitir conexões de entrada. Então defina REJECT como politica padrão da cadeia INPUT do iptables, e permita apenas sockets RELATED e ESTABILISHED... assim quem tentar conectar em você vai ser rejeitado (socket NEW). No site do VivaoLinux você enconta mais sobre IPtables...   Se você quiser ainda pode instalar o Tripware e o Snort que são IDS (Intrusion Detection System)... depois disso, se fizer tudo certo, acho que ninguém mais entra! :)   Ai estão as dicas, agora é só correr atrás para deixar tudo funcionando... recomendo os sites www.vivaolinux.com.br www.underlinux.com.br www.linuxsecurity.com.br www.linuxit.com.br   Um abraço a todos!   Att,   Alexandro Corrêa > Acabei de instalar um Slackware, instalacao padrao. > Gostaria de acessar meu banco...mas tenho duvidas em > relacao a seguranca do sistema em relacao a essa > operacao. O que tenho q configurar para deixar o meu > sistema mais seguro? Usar um firewall ? Qual? Enfim, > como deixo meu sistema seguro de invasoes e etc? > Se puderem me dar algumas dicas ou indicar sites > com bons artigos sobre o assunto agradeço! > > Obrigado, > L.F.Estivalet ===== Alexandro Corrêa - Porto Alegre - RS WebSite: www.alexsuperweb.rg3.net MSN: alexandro_correa@yahoo.com.br ICQ: 41588504 Linux user: #339537 *************************************************** ***************************************************