Auditoria e detecção de intrusão no Windows

Nesta página

	Neste módulo
	Objetivos
	Aplica-se a
	Como usar este módulo
	Auditoria
	Monitorando eventos de segurança e invasões
	Resumo
	Mais informações

Neste módulo

Não basta simplesmente implantar sistemas seguros para manter um ambiente realmente protegido. É perigoso supor que você não será atacado ou que suas defesas o protegerão adequadamente. Para manter a segurança dos seus sistemas, é também necessário monitorar ativamente as invasões e os ataques.

Há diversos motivos pelos quais a monitoria e a auditoria de invasões são importantes. São eles:

Este módulo mostra como auditar o ambiente para que você possa identificar e rastrear um ataque. O módulo mostra como monitorar invasões e aborda o uso de sistemas de detecção de invasões (softwares projetados especificamente para identificar comportamentos que indiquem que um ataque está ocorrendo).

Início da página

Objetivos

Use este módulo para:

Início da página

Aplica-se a

Este módulo aplica-se aos seguintes produtos e tecnologias:

Início da página

Como usar este módulo

Use as orientações deste módulo para iniciar um processo de monitoramento que detectará ativamente as invasões e os ataques. Isso permitirá que você intervenha rapidamente caso haja um ataque e reduza o impacto de um incidente e o risco de danos sérios à organização.

Para aproveitar este módulo ao máximo:

Início da página

Auditoria

Em qualquer ambiente seguro, você deve monitorar ativamente as invasões e os ataques. Seria contraproducente implementar sistemas seguros e não realizar qualquer auditoria, com base na suposição de que você não será atacado.

Como parte de sua estratégia de segurança geral, você deve determinar o nível de auditoria apropriada para o ambiente. A auditoria deve identificar ataques, sejam bem-sucedidos ou não, que representem uma ameaça à rede ou a recursos que você determinou que são valiosos por meio da avaliação de riscos.

Ao decidir o quanto auditar, tenha em mente que quanto mais você auditar, mais eventos gerará e mais difícil poderá ser a identificação de eventos críticos. Se você estiver realizando uma auditoria extensiva, deverá considerar seriamente o uso de ferramentas adicionais, como a MOM (Microsoft Operations Manager), para ajudar a filtrar eventos que tenham maior importância.

Os eventos de auditoria podem ser divididos em duas categorias: eventos de êxito e eventos de falha. Um evento de êxito indica que um usuário obteve acesso com êxito a um recurso, enquanto um evento de falha mostra que ele tentou, mas não conseguiu.

Os eventos de falha são muito úteis para controlar tentativas de ataques ao ambiente, mas os eventos de êxito são muito mais difíceis de ser interpretados. Embora a grande maioria dos eventos de auditoria bem-sucedidos serem simplesmente indicações de atividade normal, um invasor que consiga obter acesso a um sistema também gerará um evento de êxito. Com freqüência, um padrão de eventos é tão importante quanto os próprios eventos. Por exemplo, uma série de falhas seguida de um êxito pode indicar que uma tentativa de ataque acabou sendo bem-sucedida.

Sempre que possível, você deve combinar eventos de auditoria a outras informações que você tenha sobre os usuários. Por exemplo, se os usuários saírem de férias, você deverá desabilitar suas contas enquanto eles estiverem fora e auditá-las quando forem reabilitadas.

Quando habilitar a auditoria

A auditoria é habilitada por meio da Diretiva de Grupo, no nível do site, da UO (unidade organizacional) ou do computador local. Você encontrará as configurações de diretiva de auditoria em:

Configuração do Computador\Configurações do Windows\Configurações de Segurança\Diretivas Locais\Diretiva de Auditoria

Geralmente, você deve implementar a auditoria em um nível alto na hierarquia de serviço de diretório do Microsoft Active Directory™, pois isso ajudará a manter a consistência das configurações de auditoria. A Contoso implementou auditoria nos níveis de UO do Servidor Membro e do Controlador de Domínio.

Você pode ter optado por manter alguns servidores separados do domínio. A auditoria pode ser configurada nesses computadores por meio da edição da Diretiva de Grupo do computador local ou por meio do utilitário Auditpol.exe no Windows 2000 Server Resource Kit.

Observação: para acessar a Diretiva de Grupo de um computador local, inicie o MMC (Microsoft Management Console) e adicione o snap-in da Diretiva de Grupo, que tornará o computador local o foco do snap-in.

Definindo configurações do log de eventos

Todos os eventos gerados pela auditoria aparecerão em Visualizar Eventos. Você deve determinar como os logs de eventos armazenarão os eventos que serão gerados. Cada uma das configurações pode ser definida diretamente em Visualizar Eventos ou na Diretiva de Grupo. Para este guia, definimos as configurações de Visualizar Eventos na Diretiva de Grupo.

Se você remover as configurações de Visualizar Eventos da Diretiva de Grupo, poderá defini-las diretamente em Visualizar Eventos. No entanto, é recomendável definir as configurações de Visualizar Eventos na Diretiva de Grupo para garantir a consistência das configurações em computadores semelhantes.

No ambiente da Contoso, a Diretiva de Grupo não é configurada para desligar os sistemas na organização se o log de segurança atingir sua capacidade. Em vez disso, os sistemas são configurados para sobrescrever os logs de eventos conforme o necessário.

Eventos a serem auditados

O Microsoft Windows 2000 oferece várias categorias de auditora de eventos de segurança. Ao projetar sua estratégia de auditoria empresarial, você precisará decidir se inclui as seguintes categorias de eventos de auditoria de segurança:

As seções a seguir detalham algumas das identificações de eventos mais comuns que são retornadas quando a auditoria está habilitada para categorias específicas.

Observação: as ferramentas usadas para pesquisar e coletar informações do log de eventos são discutidas na seção "Métodos de detecção passiva" adiante neste módulo.

Eventos de logon

Se você auditar eventos de logon — sempre que um usuário fizer logon ou logoff de um computador — será gerado um evento no log de segurança do computador em que a tentativa de logon ocorreu. Além disso, quando um usuário se conectar a um servidor remoto, um evento de logon será gerado no log de segurança do servidor remoto. Os eventos de logon são criados quando a sessão e o símbolo de logon forem criados ou destruídos, respectivamente.

Os eventos de logon podem ser úteis para controlar tentativas de logon interativo em servidores ou para investigar ataques iniciados a partir de um determinado computador. As auditorias com êxito geram uma entrada de auditoria quando uma tentativa de logon é bem-sucedida. As auditorias de falha geram uma entrada de auditoria quando uma tentativa de logon falha.

Observação: os eventos de logon incluem eventos de logon de computador e de usuário. Você precisará ver entradas do log de eventos de segurança separadas para a conta de computador e a conta de usuário se for feita uma tentativa de conexão de rede a partir de um computador com Microsoft Windows NT® ou Windows 2000. Os computadores com Windows 9x não têm contas de computador no diretório e não geram entradas de eventos de logon de computador para eventos de logon de rede.

Como parte das diretivas Servidor Membro e de Base dos Controladores de Domínio, a auditoria de eventos de êxito e de falha é habilitada. Portanto, você deve esperar ver, no log de eventos de segurança, as seguintes identificações de eventos de logons interativos e logons de Serviços de Terminal que se conectam a computadores com Serviços de Terminal.

Tabela 1: eventos de logon que aparecem no log de eventos de segurança

Os seguintes eventos de segurança podem ser diagnosticados por meio das entradas de eventos de logon:

A Contoso monitora um grande número de falhas de tentativa de logon e um grande número de bloqueios de contas. Não é raro em seu ambiente que os usuários deixem sessões de terminal desconectadas por motivos legítimos.

Eventos de logon de contas

Quando um usuário faz logon em um domínio, o logon é processado em um controlador de domínio. Se você auditar eventos de logon de contas em controladores de domínio, verá essas tentativas de logon registradas no controlador de domínio que valida a conta. Os eventos de logon de contas são criados quando um pacote de autenticação valida as credenciais de um usuário. Quando as credenciais do domínio são usadas, os eventos de logon de contas são gerados somente nos logs de eventos dos controladores de domínio. Se as credenciais apresentadas forem do banco de dados SAM (Gerenciador de Contas de Segurança) local, os eventos de logon de conta serão criados no log de eventos de segurança do servidor.

Como o evento de logon de contas pode ser registrado em qualquer controlador de domínio válido no domínio, você deve garantir que o log de segurança seja consolidado em todos os controladores de domínio a fim de analisar todos os eventos de logon de contas no domínio.

Observação: assim como os eventos de logon, os eventos de logon de conta incluem eventos de logon de computador e de usuário.

Como parte das diretivas Servidor Membro e de Base dos Controladores de Domínio, a auditoria de eventos de logon de contas com êxito e sem êxito é habilitada. Assim, você deve esperar ver as seguintes identificações de eventos para logons de rede e autenticação de serviços de terminal.

Tabela 2: eventos de logon de contas que aparecem no log de eventos

Para cada um desses eventos, o log de eventos mostra informações detalhadas sobre cada logon específico. Os seguintes eventos de segurança podem ser diagnosticados por meio das entradas de eventos de logon de contas:

A Contoso está monitorando números incomuns de falhas de tentativas de logon de domínio. Com base em seu ambiente, os outros eventos não são relevantes. Ao definir essas configurações, eles determinaram que a melhor abordagem era começar com uma configuração relativamente restrita e reduzi-la até que o número de alertas falsos fosse reduzido. Atualmente, eles monitoram todos os casos em que ocorrem 10 falhas de logon em um período de 10 minutos. Esses números podem ser diferentes em todos os ambientes.

Gerenciamento de Contas

A auditoria de Gerenciamento de Contas é usada para determinar quando os usuários ou grupos são criados, alterados ou excluídos. Essa auditoria pode ser usada para determinar quando um objeto de segurança foi criado e quem realizou a tarefa.

Como parte das diretivas Servidor Membro e de Base dos Controladores de Domínio, a auditoria com êxito e sem êxito no Gerenciamento de Contas é habilitada. Portanto, você deve esperar ver as seguintes identificações de eventos registradas no log de segurança.

Tabela 3: eventos de Gerenciamento de Contas que aparecem no log de eventos

Os seguintes eventos de Gerenciamento de Contas podem ser diagnosticados por meio de entradas do log de segurança:

Como a Contoso é uma empresa relativamente grande, eles executam um grande volume de manutenção de contas diariamente. O monitoramento de todos esses eventos resultaria em um volume de alertas grande demais para ser resolvido adequadamente no ambiente.

Acesso a objetos

A auditoria pode ser habilitada para todos os objetos em uma rede com Windows 2000 que tenham uma SACL (lista de controle de acesso ao sistema). A SACL contém uma lista de usuários e grupos para os quais as ações no objeto devem ser auditadas. Praticamente todos os objetos que um usuário pode manipular no Windows 2000 têm uma SACL. Isso inclui arquivos e pastas em unidades com sistema de arquivos NTFS, impressoras e chaves do Registro.

Uma SACL compõe-se de ACEs (entradas de controle de acesso). Cada ACE contém três informações:

Se desejar que os eventos apareçam no log de segurança, primeiramente você deverá habilitar Auditoria de Acesso a Objetos e definir a SACL de cada objeto a ser auditado.

As auditorias no Windows 2000 são geradas quando um identificador de objeto é aberto. O Windows 2000 usa um subsistema de segurança de modo de kernel que só permite que os programas acessem objetos através do kernel. Isso impede que os programas tentem contornar o sistema de segurança. Como o espaço de memória do kernel é isolado dos programas em modo de usuário, um programa refere-se a um objeto por meio de uma estrutura de dados chamada de identificador. A seguir há uma descrição de uma tentativa de acesso típica:

É muito importante observar que, quando a auditoria ocorre e o evento é gerado, nada aconteceu ainda ao objeto. Isso é decisivo para interpretar eventos de auditoria. Auditorias de gravação são geradas antes que um arquivo seja gravado e auditorias de leitura são geradas antes que um arquivo seja lido.

Como em todas as auditorias, é muito importante ter uma abordagem orientada para auditar o acesso a objetos. No seu plano de auditoria, decida o tipo de objeto que você precisa auditar e determine que tipo de tentativas de acesso (êxito, falha ou ambas) devem ser monitoradas para cada tipo de objeto auditado. Uma abordagem muito ampla para a auditoria terá um impacto significativo no desempenho do sistema e resultará na coleta de muito mais dados do que o necessário ou útil.

Geralmente, você auditará todos os acessos aos objetos escolhidos, incluindo de contas não confiáveis. Para isso, adicione o Grupo Todos à SACL dos objetos a serem auditados. Você deve ser cauteloso com a auditoria com êxito de acesso a objetos, pois isso pode criar um volume muito grande de entradas de auditoria no log de segurança. No entanto, por exemplo, se você estiver investigando a exclusão de um arquivo importante, precisará examinar eventos de auditoria com êxito para determinar qual conta de usuário excluiu o arquivo.

As diretivas Servidor Membro e Diretiva de Base dos Controladores de Domínio são definidas para auditar o êxito e a falha de acesso a objetos. No entanto, nenhuma SACL é definida nos próprios objetos e você precisará defini-las de acordo com as necessidades do ambiente. As SACLs podem ser definidas diretamente nos objetos ou por meio da Diretiva de Grupo. Se o objeto que exige auditoria existir em vários computadores, você deverá refinar as SACLs na diretiva de Grupo.

A auditoria de acesso a objetos fará com que os eventos a seguir apareçam no log de segurança.

Tabela 4: eventos de acesso a objetos que aparecem no log de eventos

Se você estiver procurando eventos de acesso a objetos específicos, precisará pesquisar principalmente os eventos com identificação 560. As informações úteis estão nos detalhes do evento e você precisará pesquisá-los para encontrar os eventos que procura. A tabela a seguir mostra algumas ações que poderão ser necessárias e como você pode executá-las.

Tabela 5: Como executar as principais ações de auditoria do evento 560 de acesso a objetos

A Contoso não está monitorando especificamente quaisquer eventos de acesso a objetos, mas está auditando o acesso a objetos de alguns arquivos. Essas informações podem ser extremamente úteis ao responder a um incidente de segurança.

Acesso ao Serviço de Diretório

Os objetos do Active Directory têm SACLs associadas a eles e, portanto, podem ser auditados. Como mencionado anteriormente, você audita contas de usuários e de grupos do Active Directory por meio da auditoria do Gerenciamento de Contas. No entanto, se desejar auditar a modificação de objetos em outros contextos de nomeação, como de Configuração e de Esquema, você deverá auditar o acesso a objetos e, então, definir a SACL para os recipientes específicos a serem auditados. As entradas de auditoria são geradas quando os usuários listados na SACL de um objeto to Active Directory tenta acessar esse objeto.

Você pode modificar a SACL de recipientes e objetos no contexto de nomeação de Configuração (e outros) usando o snap-in MMC ADSIEDIT. Isso é conseguido exibindo-se o contexto necessário no console do ADSIEDIT e, então, modificando-se a SACL do objeto na caixa de diálogo Configurações de Segurança Avançadas.

É muito difícil encontrar eventos específicos de acesso ao serviço de diretório devido ao grande volume (geralmente inofensivo) de eventos que ocorrem. Por isso, as diretivas Servidor Membro e de Base dos Controladores de Domínio somente auditam eventos sem êxito de acesso ao serviço de diretório. Isso o ajudará a identificar quando um invasor tentar acesso não autorizado ao Active Directory.

A tentativa de acesso ao diretório será mostrada como um evento do serviço de diretório com identificação 565 no log de segurança. Somente ao verificar os detalhes do evento de segurança você poderá determinar a qual objeto o evento corresponde.

A Contoso não está monitorando especificamente quaisquer eventos de acesso ao serviço de diretório, mas está auditando o acesso a objetos de alguns arquivos. Essas informações podem ser extremamente úteis ao responder a um incidente de segurança.

Uso de Privilégios

Quando os usuários trabalham em um ambiente de TI, eles exercem direitos de usuário definidos. Se você auditar o Uso de Privilégios para êxito e falha, um evento será gerado sempre que um usuário tentar exercer um direito de usuário.

Mesmo se você auditar o Uso de Privilégios, nem todos os direitos de usuário serão auditados. Por padrão, os seguintes direitos de usuário são excluídos:

Você pode substituir o comportamento padrão de não-auditoria dos direitos de usuário Backup e Restauração por meio da habilitação da opção de segurança Uso de Auditoria para Backup e Privilégio de Restauração.

A auditoria com êxito do Uso de Privilégios criará um volume muito grande de entradas no log de segurança. Por isso, as diretivas Servidor Membro e de Base dos Controladores de Domínio somente auditam as falhas do Uso de Privilégios.

Os eventos a seguir serão gerados se a auditoria do Uso de Privilégios estiver habilitada.

Tabela 6: Eventos de uso de privilégio que aparecem no log de eventos

Aqui estão exemplos de algumas das entradas do log de eventos que podem existir quando direitos de usuário específicos são usados:

A Contoso está monitorando especificamente eventos que indiquem um desligamento normal ou forçado a partir de um sistema remoto, assim como todos os eventos que indiquem que o log de auditoria e de segurança tenha sido modificado.

Controle de Processos

Se você auditar informações detalhadas de controle de processos em execução em computadores com Windows 2000, o log de eventos mostrará tentativas de criar e de terminar processos. Ele também registrará quando um processo tentar gerar um identificador para um objeto ou obter acesso indireto a um objeto.

Devido ao volume muito grande de entradas de auditoria criadas, as diretivas Servidor Membro e de Base dos Controladores de Domínio não habilitam a auditoria de controle de processos. No entanto, se você optar por auditar êxitos e falhas, as identificações de eventos a seguir serão registradas no log de eventos.

Tabela 7: eventos de Controle de Processos que aparecem no log de eventos

A Contoso não está monitorando eventos de controle de processos e não os habilitou em quaisquer diretivas de servidor.

Eventos do sistema

Os eventos do sistema são gerados quando um usuário ou um processo altera aspectos do ambiente do computador. Você pode auditar tentativas de alterar o sistema, como desligar o computador ou alterar o horário do sistema.

Se você auditar eventos do sistema, também deverá auditar quando o log de segurança é limpo. Isso é muito importante, pois, geralmente, os invasores tentarão limpar seus rastros após alterar um ambiente.

As diretivas Servidor Membro e de Base dos Controladores de Domínio auditam os eventos do sistema com e sem êxito. Isso resultará nas identificações de eventos a seguir no log de eventos.

Tabela 8: eventos do sistema que aparecem no log de eventos

Você pode usar essas identificações de eventos para capturar uma série de questões de segurança:

A Contoso está monitorando desligamentos ou reinicializações de computadores e a limpeza do log de segurança.

Alteração de diretiva

Sua diretiva de auditoria define quais alterações do ambiente serão auditadas, ajudando-o a determinar se houve tentativas de atacar o ambiente. No entanto, um determinado invasor procurará alterar a própria diretiva de auditoria, para que todas as alterações que ele fizer não sejam auditadas.

Se você auditar alterações de diretiva, verá tentativas de alteração da diretiva de auditoria, juntamente com alterações de outras diretivas e de direitos de usuários. As diretivas Servidor Membro e de Base dos Controladores de Domínio auditam a alteração de diretiva com e sem êxito. Você verá estes eventos registrados no log de eventos.

Tabela 9: eventos de alteração de diretiva que aparecem no log de eventos

Os dois eventos mais importantes a serem procurados são as identificações de evento 608 e 609. Um número de tentativas de ataque pode resultar no registro desses eventos. Os exemplos a seguir gerarão a identificação de evento 608 se o direito de usuário for atribuído ou a identificação 609 se for removido. Em cada caso, o SID específico ao qual o direito de usuário é atribuído, juntamente com o nome de usuário do objeto de segurança que atribuiu o direito, são incluídos nos detalhes do evento:

Observação: esses eventos de auditoria somente identificam que o direito de usuário foi atribuído a um objeto de segurança específico. Isso não significa que o objeto de segurança realizou uma tarefa com esse direito de usuário. Os eventos de auditoria determinam quando a diretiva de direito de usuário foi modificada.

A Contoso não está monitorando eventos de alteração de diretiva. Esses eventos serão utilizados para solução de problemas ou resposta a incidentes.

O monitoramento de alterações de diretivas de grupo pode ser muito difícil e resultar em diversos alertas falsos. Isso ocorre porque o snap-in MMC para edição de diretivas de grupo, gpedit.msc, sempre abre diretivas com privilégios de leitura e de gravação. Mesmo que não haja alterações na diretiva, o evento 578 é gravado no log de segurança do controlador de domínio, como mostrado a seguir.

O Console de Gerenciamento de Diretivas de Grupo, lançado como download gratuito logo após o lançamento do Windows Server 2003, ajuda a contornar esses problemas ao permitir que usuários autorizados vejam configurações de diretivas de grupo sem que precisam abri-las no gpedit.msc. Para obter mais informações sobre o Console de Gerenciamento de Diretivas de Grupo, consulte http://www.microsoft.com/windowsserver2003/gpmc/gpmcwp.mspx.

Protegendo logs de eventos

Para garantir que as entradas do log de eventos sejam mantidas para referência futura, você deve seguir uma série de etapas para proteger a segurança dos logs de eventos. Elas são:

A Contoso implementou essas configurações nos objetos de diretiva de grupo Servidor Membro e Controlador de Domínio.

Além dessas etapas, você deve tomar as seguintes medidas práticas para garantir que as informações do log de eventos estejam o mais seguras possível:

Observação: impedir o acesso de convidados a logs de eventos somente restringe que membros que não sejam do domínio acessem os logs de eventos. Por padrão, todos os usuários de um domínio podem acessar os logs do sistema e de aplicativos. Somente o acesso ao log de segurança é restrito. Os objetos de segurança que recebem o direito de usuário Gerenciar log de auditoria e de segurança podem acessar o log de segurança. Por padrão, ele só é atribuído a Administradores e Exchange Enterprise Servers.

Outras práticas recomendadas de auditoria

Além de configurar a auditoria, há outras práticas que devem ser implementadas para auditar com eficácia a segurança do ambiente do servidor. São eles:

Agendar a revisão regular dos logs de eventos

Como mencionado anteriormente, o log de segurança e potencialmente outros logs de eventos devem ser gravados em material removível ou consolidados em um local central para revisão. A revisão dos logs é, com freqüência, a etapa de auditoria mais esquecida.

A Contoso se esforçou muito para garantir que haja uma única pessoa ou uma equipe responsável pela revisão dos logs de eventos como uma tarefa regular. Essa revisão dos logs de eventos pode ser agendada como evento diário ou semanal, dependendo da quantidade de dados coletados no log de segurança. Isso geralmente depende do nível de auditoria implementado na rede. Se forem incluídos mais eventos na auditoria, o volume das entradas do log será maior. Se você agendar revisões regulares do log de eventos, ajudará a obter o seguinte:

Revisar outros arquivos de log de aplicativos

Além de revisar os logs de eventos do Windows 2000 em busca de eventos de segurança, você também deve revisar os logs criados pelos aplicativos. Os logs de aplicativos podem incluir informações valiosas sobre ataques potenciais que podem complementar as informações encontradas nos logs de eventos. Dependendo do ambiente, você poderá precisar analisar um ou mais destes arquivos de log:

Observação: todos os computadores que mantêm arquivos de log devem usar relógios sincronizados. Isso permite que um administrador compare eventos entre computadores e serviços a fim de estabelecer as ações que foram tomadas pelo invasor. Para obter mais detalhes sobre sincronização de horário, consulte a seção "Importância da sincronização de horário" mais adiante neste modulo.

Monitorar serviços e drivers instalados

Vários ataques contra um computador são implementados por meio do ataque a serviços instalados no computador-alvo ou pela substituição de drivers válidos por versões que incluem um cavalo de Tróia, permitindo que um invasor acesse o computador-alvo.

As ferramentas a seguir podem ser usadas para monitorar os serviços e drivers instalados nos computadores:

Observação: nem todos os serviços (como o serviço Estação de Trabalho) podem ser parados diretamente, apesar de ser possível consultá-los. Se o usuário tiver várias conexões ativas, você não poderá forçar o serviço a ser desligado remotamente, apesar de poder pausar ou consultá-lo. Alguns serviços têm outros serviços que são dependentes deles; não haverá êxito ao tentar desligar tais serviços, a menos que os serviços dependentes sejam desligados antes.

Monitorar portas abertas

Geralmente, os ataques são iniciados por meio de um exame de portas para identificar serviços conhecidos que estejam em execução no computador-alvo. Monitore cuidadosamente quais portas devem ser abertas nos servidores, o que geralmente significa examinar as portas por conta própria a fim de determinar o que pode ser acessado.

Você deve realizar os exames lógicos localmente no computador-alvo e de um computador remoto. Se o computador puder ser acessado de uma rede pública, o exame de portas poderá ser realizado com um computador externo. Ele garantirá que o software de firewall só permita o acesso às portas desejadas.

Netstat.exe é um utilitário de linha de comando que pode mostrar todas as portas abertas para TCP e UDP. O comando Netstat usa a seguinte sintaxe:

NETSTAT [-a] [-e] [-n] [-s] [-p proto] [-r] [intervalo] 

Onde:

Quando você lista as portas TCP e UDP abertas no computador local, os números de portas são convertidos em nomes com base nas entradas do arquivo de serviços encontrado na pasta \%WinDir%\System32\Drivers\Etc\. Se preferir ver apenas números de portas, você poderá usar a opção -n.

Se alguma porta for descoberta e não reconhecida, você deverá investigá-la para determinar se o serviço correspondente é necessário no computador. Se não for, você deverá desabilitar ou remover o serviço associado para impedir que o computador escute nessa porta. Diversos serviços foram desabilitados nas diretivas Servidor Membro e de Base dos Controladores de Domínio incluídas neste guia.

Como vários servidores são protegidos por firewalls ou roteadores com filtragem de pacotes, também é recomendável examinar as portas a partir de um computador remoto. Diversas ferramentas de terceiros (inclusive algumas freeware) estão disponíveis para fazer exames de portas remotos. O exame de portas remoto revela quais portas estão disponíveis para usuários externos quando eles tentam se conectar ao computador.

Observação: o exame de portas também pode ser usado para testar seu sistema de detecção de invasão a fim de garantir que ele detecte o exame de portas enquanto estiver ocorrendo. Para obter mais informações sobre sistemas de detecção de invasões, consulte a seção "Métodos de detecção ativa" mais adiante neste módulo.

Início da página

Monitorando eventos de segurança e invasões

O monitoramento de eventos de segurança e invasões inclui tarefas passivas e ativas. Muitas invasões são detectadas após o ataque por meio da inspeção de arquivos de log. Freqüentemente, essa detecção pós-ataque é chamada de detecção passiva de invasão. Apenas com a inspeção dos arquivos de log o ataque pode ser visualizado e construído novamente com base nas informações do log.

Outras tentativas de invasão podem ser detectadas quando o ataque ocorre. Essa metodologia, chamada de detecção ativa de invasão, procura padrões ou comandos conhecidos de ataque e bloqueia a execução desses comandos.

Esta seção examinará ferramentas que podem ser usadas para implementar ambas as formas de detecção de invasão e proteger a rede contra ataques.

Importância da sincronização de horário

Quando você monitora eventos de segurança e invasões em vários computadores, é essencial que os relógios dos computadores estejam sincronizados. O horário sincronizado permite que o administrador reconstrua um ataque ocorrido em vários computadores. Se o horário não estiver sincronizado, será muito difícil determinar exatamente quando eventos específicos ocorreram e como os eventos estão interligados.

Métodos de detecção passiva

Os sistemas de detecção passiva de invasão envolvem a revisão manual de logs de eventos e logs de aplicativos. A inspeção envolve a análise e a detecção de padrões de ataque em dados do log de eventos. Existem vários utilitários, ferramentas e aplicativos que podem ajudar a revisar logs de eventos. Esta seção descreve como cada ferramenta pode ser usada para coordenar informações.

Visualizar Eventos

É claro que você pode exibir o log de segurança do Windows 2000 usando o console do MMC da opção Visualizar Eventos do Windows 2000. Visualizar Eventos permite exibir os logs de aplicativos, segurança e sistema. Você pode definir filtros para encontrar eventos específicos em Visualizar Eventos.

Na guia Filtro da caixa de diálogo Propriedades, defina os seguintes atributos para filtrar entradas de eventos:

Quando o filtro é aplicado, a lista de eventos filtrada pode ser exportada para uma listagem separada por vírgulas ou por tabulações; desse modo, ela poderá ser importada para um aplicativo de banco de dados.

Conforme mencionado anteriormente, na Contoso há várias pessoas responsáveis por cada função administrativa. Essas pessoas realizam a revisão de logs de eventos. Como parte dessa atribuição, elas revisam os logs diariamente a fim de verificar se houve algum evento relacionado a segurança que não tenha sido registrado pelo sistema de monitoramento.

Ferramenta Dump Event Log (Dumpel.exe)

Dump Event Log é uma ferramenta de linha de comando, incluída no Windows 2000 Server Resource Kit, Supplement One (Microsoft Press, ISBN: 0-7356-1279-X). Ela despejará um log de eventos de um sistema local ou remoto em um arquivo de texto separado por tabulações. Em seguida, esse arquivo poderá ser importado para uma planilha ou um banco de dados para a realização de investigações mais detalhadas. A ferramenta também pode ser usada para filtrar a entrada e a saída de certos tipos de eventos.

A seguinte sintaxe é usada pela ferramenta dumpel.exe:

dumpel -f arquivo [-s \\servidor] [-l log [-m origem]] [-e n1 n2 n3...] [-r] [-t] 
[-d x]  

Onde:

Observação: a ferramenta Dumpel só pode recuperar conteúdo dos arquivos de log de sistema, aplicativos e segurança. Você não pode usar a Dumpel para consultar conteúdo de logs de eventos do serviço de duplicação de arquivos, do DNS (sistema de nomes de domínios) ou do serviço de diretório.

EventCombMT

EventCombMT é uma ferramenta com vários segmentos que analisa logs de eventos de muitos servidores ao mesmo tempo, gerando um segmento separado de execução para cada servidor incluído nos critérios de pesquisa. EventCombMT foi incluída em Microsoft Windows Server 2003 Resource Kit Tools. Para obter mais informações, consulte:

http://www.microsoft.com/downloads/details.aspx?familyid=7af2e69c-91f3-4e63-8629-b999adde0b9e&displaylang=en.

A ferramenta permite:

Instalando a ferramenta

Para instalar a ferramenta, extraia o conteúdo do arquivo de extração automática SecWin2k.exe incluído neste guia. Isso criará a pasta C:\SCI\scripts\EventComb. Depois que os arquivos forem extraídos, você poderá executar a ferramenta EventCombMT clicando duas vezes no arquivo EventCombMT.exe.

Executando a ferramenta EventComb

A primeira etapa do uso da ferramenta EventComb é definir quais computadores serão incluídos na pesquisa de log de eventos.

•

Para adicionar computadores à pesquisa 1. No utilitário EventCombMT, verifique se o domínio correto foi detectado automaticamente na caixa de domínio. Se desejar pesquisar logs de eventos em outro domínio, digite manualmente o novo nome de domínio na caixa Domain. 2. Para adicionar computadores à lista de pesquisa, clique com o botão direito do mouse na caixa Select To Search/Right Click to Add. O menu pop-up mostrado na seguinte figura: Figura 1 Usando as configurações da caixa de diálogo EventCombMT para adicionar computadores não detectados automaticamente à lista de pesquisa As seguintes opções estão disponíveis: • Get DCs in Domain. Adiciona todos os controladores do domínio atual à lista. • Add Single Server. Permite adicionar à lista um servidor ou uma estação de trabalho por nome. • Add all GCs in this domain. Permite adicionar todos os controladores do domínio selecionado que estejam configurados para serem servidores de catálogo global. • Get All Servers. Adiciona todos os servidores encontrados no domínio por meio do serviço de localizador. Os servidores excluem todos os controladores de domínio. • Get Servers from File. Permite importar um arquivo que lista todos os servidores a serem incluídos no escopo da pesquisa. Cada servidor deve ser inserido em uma linha separada do arquivo de texto. 3. Depois que os servidores forem adicionados à lista, você deverá selecionar em quais servidores a pesquisa será executada. Quando selecionado, o servidor aparece realçado na lista. Você pode escolher vários servidores usando a combinação CTRL+clique.

Especificando os logs de eventos e os tipos de eventos a serem pesquisados

Depois de selecionar os servidores a serem incluídos na pesquisa de logs de eventos, você pode restringir o escopo da pesquisa selecionando quais logs e tipos de eventos devem ser incluídos.

No utilitário EventCombMT, faça seleções nos seguintes logs de eventos para pesquisa:

Você também pode selecionar os seguintes tipos de eventos para a pesquisa:

Observação: se você estiver ciente das especificidades do log de eventos em que uma identificação de evento aparece e o tipo de evento da identificação, sempre inclua essas informações nos critérios de pesquisa, pois elas reduzem o tempo da pesquisa.

Salvando pesquisas

EventCombMT permite salvar pesquisas e recarregá-las posteriormente. Isso poderá ser útil se você usar a ferramenta EventCombMT com freqüência para procurar um conjunto de eventos nos servidores IIS e outro conjunto de eventos nos controladores de domínio.

Os critérios de pesquisa são salvos no Registro, em:

HKLM\Software\Microsoft\EventCombMT e podem ser facilmente editados.

Arquivos de resultados da pesquisa

Por padrão, os resultados da pesquisa são salvos na pasta C:\Temp. Esses resultados incluem um arquivo de resumo chamado EventCombMT.txt, e, para cada computador incluído na pesquisa de log de eventos, um arquivo de texto separado chamado ComputerName-EventLogName_LOG.txt é gerado. Esses arquivos de texto individuais contêm todos os eventos extraídos dos logs de eventos que correspondem aos critérios de pesquisa.

Exemplos do uso da ferramenta EventCombMT

Para mostrar como EventCombMT pode ser usada, mostraremos como essa ferramenta pode ser configurada para detectar reinicializações de controladores de domínio e bloqueios de contas.

•

Para usar EventCombMT para procurar por reinicializações de controladores de domínio 1. Na ferramenta EventCombMT, verifique se o domínio está configurado para o nome de domínio correto. 2. Na caixa Select to Search/Right Click to Add abaixo do nome de domínio, clique com o botão direito do mouse na caixa e, em seguida, clique em Get DCs in Domain. Observação: ao procurar por eventos, como eventos de logon de conta e gerenciamento de contas, certifique-se de pesquisar todos os controladores de domínio. Como o Windows 2000 usa um modelo multimestre para o gerenciamento de contas, uma conta pode ser adicionada, modificada ou excluída em qualquer controlador do domínio. Da mesma forma, a autenticação pode ser validada por qualquer controlador do domínio. Por isso, você não pode ter certeza sobre o local onde a tentativa de autenticação ou atualização ocorre. 3. Clique com o botão direito do mouse na caixa Select to Search/Right Click to Add e, em seguida, clique em Select All Servers in List. 4. Na seção Choose Log Files to search da ferramenta, selecione somente o log System. 5. Na seção Event Types da ferramenta, selecione Error e Informational. 6. Na caixa Event IDs, digite as seguintes identificações do evento: 1001 6005 6006 6008. 7. Antes de clicar no botão Search, verifique se os critérios de pesquisa estão definidos como mostrado na figura abaixo. Em seguida, clique em Search. Figura 2 Definindo critérios de pesquisa na caixa de diálogo Event Comb MT

Quando a pesquisa é concluída, os resultados são exibidos no diretório de log, que deve ser aberto automaticamente quando a pesquisa é concluída.

1001,INFORMATIONAL,Save Dump,Wed Nov 28 05:45:50 2001,, 
The computer has rebooted from a bugcheck. The bugcheck was:  
0x000000d1 (0x00000004, 0x00000002, 0x00000000, 0x84c983dc).  
A dump was saved in: C:\WINDOWS\MEMORY.DMP. 
6005,INFORMATIONAL,EventLog,Wed Nov 28 05:45:46 2001,, 
The Event log service was started. 
6008,ERROR,EventLog,Wed Nov 28 05:45:46 2001,, 
The previous system shutdown at 5:33:47 AM on 11/28/2001 
 was unexpected. 6005,INFORMATIONAL,EventLog,Tue Nov 
 27 14:10:53 2001,,The Event log service was started. 
6006,INFORMATIONAL,EventLog,Tue Nov 27 14:09:26 2001,, 
The Event log service was stopped. 6005,INFORMATIONAL, 
EventLog,Tue Nov 27 10:11:37 2001,,The Event log service 
was started. 

O evento 6006 indica um desligamento planejado iniciado por um usuário com direitos para desligar o controlador de domínio. O evento 6005 indica que o serviço de log de eventos foi iniciado. Isso ocorre na inicialização.

Os eventos 6008 e 1001 indicam que o computador foi desativado sem ser desligado, que foi reiniciado devido a um travamento ou então que ocorreu um erro de interrupção. Se um erro de interrupção ocorrer, o evento 1001 ocorrerá; as informações de depuração associadas e a referência ao arquivo de depuração estarão incluídas.

Deverá ser realizada uma verificação cruzada dos eventos retornados pela ferramenta EventCombMT com o tempo de inatividade conhecido e os eventos sem correspondência deverão ser pesquisados para garantir que o servidor não foi atacado.

EventCombMT inclui várias pesquisas pré-configuradas que podem ser usadas na procura de eventos de segurança. Por exemplo, há uma pesquisa predefinida que procura por eventos de bloqueio de conta.

Observação: outras pesquisas predefinidas incluídas em EventcombMT contêm pesquisas de serviços de duplicação de arquivos, procuras por SIDs duplicados e falhas de registro de DNS de LOGON DE REDE no Active Directory, erros no disco de hardware e erros de interface DNS. Você também pode definir e salvar suas próprias pesquisas personalizadas.

A Contoso usa EventCombMT quando tenta diagnosticar problemas ou determinar causas de questões durante um resposta a incidentes. Além disso, eles verificam rotineiramente bloqueios de conta ou senhas inválidas em todos os controladores de domínio. Isso ajuda a identificar manualmente padrões estranhos que podem não ser detectados por um sistema de monitoramento.

Coleta de eventos

Um dos principais objetivos da auditoria é identificar as ações executadas por invasores na rede. Um invasor pode tentar comprometer vários computadores e dispositivos da rede. Portanto, para compreender a extensão de um ataque, você deve ser capaz de coordenar e consolidar informações de muitos computadores.

Se os utilitários de log forem importados para um banco de dados, será mais fácil coordenar as informações em vários logs. Desde que o horário esteja sincronizado em todos os computadores, você poderá classificar em campos de hora e facilitar o controle de eventos com base em intervalos de tempo.

As seções a seguir descrevem algumas ferramentas e utilitários que você pode usar para coletar informações de log de eventos em um local central.

Criando scripts

Scripts podem ser escritos para coletar informações de log de eventos em computadores remotos e as armazenar em um local central. Ao criar scripts, você poderá decidir quando executar os scripts usando tarefas agendadas e que ações deverão ser executadas depois que o log de eventos for copiado com êxito para o local central.

Um exemplo simples é criar um arquivo em lotes que use o Dumpel.exe do Windows 2000 Server Resource Kit e iniciar esse arquivo em lotes em intervalos regulares usando tarefas agendadas no Painel de Controle.

O Windows 2000 Resource Kit, Supplement One inclui Eventquery.pl, um script Perl que exibe eventos dos logs de Visualizar Eventos em computadores locais e remotos com Windows 2000 e oferece uma grande variedade de filtros para ajudar você a encontrar eventos específicos.

Observação: para usar esse script, você precisará instalar o ActivePerl do Windows 2000 Server Resource Kit.

No momento, a Contoso não utiliza uma solução de coleta de eventos. No entanto, ela pretende utilizar o MACS (Microsoft Audit Collection System), que será lançado no próximo ano. O MACS é uma ferramenta de coleta de eventos de segurança que coleta eventos de maneira segura utilizando compactação, assinatura e criptografia. Depois de coletados, os eventos são carregados em um banco de dados SQL e otimizados para análise.

Microsoft Operations Manager

O MOM (Microsoft Operations Manager) 2000 oferece um abrangente conjunto de ferramentas que permite que empresas analisem detalhadamente o relatório de eventos interno e o monitoramento de desempenho do Windows 2000 e de seus aplicativos. O MOM 2000 pode coletar, armazenar e reportar eventos e dados de desempenho em um único local usando agentes inteligentes em computadores remotos, permitindo assim que um administrador revise de forma centralizada as informações coletadas.

O pacote de gerenciamento central do MOM 2000 coleta eventos que aparecem nos logs de eventos de sistema, de aplicativos e de segurança e agrega os resultados em um repositório central de eventos.

Observação: o MOM 2000 armazena as informações em um banco de dados do SQL Server e oferece vários métodos para recuperar e analisar os dados arquivados. Os administradores podem usar o Console do Administrador do Operations Manager, o Console da Web ou Relatórios do Operations Manager para exibir, imprimir ou publicar os dados. Cada modo inclui exibições predefinidas para a análise dos dados arquivados e permite que relatórios e exibições personalizadas sejam definidos.

Soluções de terceiros para coleta de log de eventos

Há diversos produtos de terceiros disponíveis que oferecem coleta centralizada e inspeção de logs de eventos. Quando você avaliar produtos de terceiros, inclua os seguintes recursos nos seus critérios:

Os produtos de terceiros que fornecem capacidade de coleta de eventos incluem:

Métodos de detecção ativa

Os sistemas de detecção ativa de invasão analisam o tráfego de entrada da rede na camada do aplicativo, procurando métodos de ataque bem conhecidos ou cargas da camada de aplicativo suspeitas. Se um pacote suspeito é recebido, o sistema de detecção de invasão normalmente descarta o pacote e registra uma entrada no arquivo de log. Alguns sistemas de detecção de invasão também podem alertar um administrador se um ataque grave for detectado.

Soluções de terceiros para detecção de invasão

Há soluções de terceiros para sistemas de detecção de invasão de rede e de pontos de extremidade. Essas soluções de terceiros fornecem suporte a protocolos além do HTTP e também verificam ataques bem conhecidos contra computadores em rede.

Os tipos comuns de ataques que os sistemas de detecção de invasão devem identificar incluem:

Um bom sistema de detecção de invasão deve ser capaz de identificar todas as três formas de ataque. Dois métodos diferentes são usados para identificar ataques:

Alguns produtos de terceiros disponíveis para teste e implantação incluem:

Avaliação de vulnerabilidades

Além de executar a detecção ativa de invasão, você também deve executar avaliações de vulnerabilidades periódicas. As avaliações de vulnerabilidades simulam um ataque à rede e detectam as vulnerabilidades que um invasor encontraria.

Ao realizar avaliações periódicas, você pode descobrir vulnerabilidades antes que um invasor o faça e proteger um ponto fraco da rede contra elas.

Ao pesquisar ferramentas de avaliação de vulnerabilidades, inclua os seguintes requisitos em seu processo de decisão:

Há diversas ferramentas de terceiros para executar avaliações de vulnerabilidades em uma rede com Windows 2000. Essas ferramentas incluem:

Como alternativa, pode ser mais adequado recorrer a um serviço de consultoria para realizar a avaliação de vulnerabilidades. A vantagem do uso de um serviço de terceiros é que eles têm conhecimento anterior sobre a rede e trabalharão do mesmo ponto de partida que um invasor externo. Em vários momentos, esses avaliadores externos fornecerão as informações mais úteis com base na neutralidade da equipe de avaliação.

Início da página

Resumo

A auditoria e a detecção de invasões é uma das principais partes da construção de uma defesa eficiente para seu ambiente. Como parte do seu processo de gerenciamento de riscos, você deve determinar quanta auditoria e detecção de invasões é adequada para seu ambiente. Para detecção de invasões em vários protocolos, talvez você considere ferramentas de terceiros.

Início da página

Mais informações

Para obter mais informações sobre o uso de direitos de usuário, consulte Writing Secure Code de Michael Howard e David LeBlanc (Microsoft Press, ISBN: 0-7356-1588-8).

Informação sobre ISA Server Partners: http://www.microsoft.com/isaserver/partners.

ISA Server Solution Developers Kit (SDK):
http://www.microsoft.com/isaserver/techinfo/productdoc/2000/SDKdownload.asp.

Para obter mais informações sobre o Console de Gerenciamento de Diretivas de Grupo, consulte:
http://www.microsoft.com/windowsserver2003/gpmc/gpmcwp.mspx.

Início da página