Folha Online
Cinco horas para trocar "scraps" e xeretar a vida alheia e uma hora e 40 minutos para mandar e ler e-mails por mês. Foi esse o tempo que o brasileiro com internet em casa --e usuário destes dois serviços-- gastou em média no Orkut e no e-mail em 2007, respectivamente.
O tempo gasto na rede social do Google foi três vezes maior que o utilizado para o correio eletrônico neste ano. Em 2006, o Orkut tomava pouco menos de quatro horas dos internautas residenciais.
Página do Orkut, site de relacionamentos do Google, mostra que brasileiros são maioria no serviço, seguidos pelos indianos
Os dados, revelados pelo Ibope/NetRatings com exclusividade à Folha Online, mostram o que enfrentarão as novas redes sociais que tentam ganhar espaço no país, como MySpace e Facebook.
O fato de o Orkut estar mais arraigado no dia-a-dia virtual do brasileiro do que a própria conta de e-mails expõe ainda um traço comportamental importante do internauta ".br". O e-mail, quem diria, está virando um instrumento sisudo e protocolar.
"Com o avanço das comunidades e mensageiros instantâneos, impulsionados pelos jovens, os e-mails se consolidam como uma ferramenta mais formal, com mais afinidade com os adultos", pondera José Calazans, analista do Ibope. "Os jovens utilizam e-mails, até porque para cadastrar-se no Orkut e no MSN é preciso ter uma conta de e-mail, mas o uso maior é mesmo dos mais velhos."
O levantamento foca os 12 milhões de internautas que usam os dois serviços, considerando usuário de e-mail aquele que usa qualquer conta "web-based", daquelas que podem ser acessadas pelo navegador.
O Brasil tem 20 milhões de pessoas que entram na internet de casa ao menos uma vez ao mês e 30,1 milhões que acessam a rede de qualquer lugar, como do trabalho e de lan-houses.
Segundo dados de outubro, aproximadamente 2 milhões de pessoas acessaram o Orkut de casa sem olhar sua conta de e-mail. O Ibope também conseguiu traçar qual é o perfil do usuário mais tarado pela ferramenta: garotas de 12 a 17 anos. As adolescentes abrem, em média, 2.400 páginas por mês do Orkut de casa. É o público que mais circula pela rede de relacionamentos do Google.
FELIPE GUTEMBERG
segunda-feira, 24 de dezembro de 2007
sábado, 22 de dezembro de 2007
Comércio deve faturar R$ 43,2 bi neste fim de ano, no melhor resultado em 11 anos
O faturamento do varejo neste Natal deve alcançar R$ 43,2 bilhões, no melhor resultado dos últimos 11 anos. Calculada pela consultoria Gouvêa de Souza & MD, a cifra considera todos os segmentos, da loja de roupas na Saara, no Centro, à receita de gigantes como Pão de Açúcar.
Só ficaram de fora da conta os gastos com combustíveis e compra de automóveis. Todo esse movimento no varejo terá impacto na indústria. Com os estoques reduzidos, muitas empresas cancelaram férias coletivas e prevêem entrar em 2008 com produção mais acelerada do que nos outros anos.
Neste sábado, os consumidores que deixaram as compras para a última hora levaram um susto no Centro e na Zona Sul do Rio. A luz acabou devido a um problema na subestação de
Pelos dados da Gouvêa de Souza, o faturamento projetado para o Natal deste ano vai corresponder a um aumento de 12,2% em relação ao mesmo período de 2006 (R$ 38,5 bilhões). Na comparação com 2005 (R$ 35 bilhões), a variação chega a 23,4%. Números tão vistosos assim são efeito da redução do desemprego e da explosão do crédito, com financiamentos cada vez mais esticados. Com dinheiro extra no bolso, o consumidor foi às compras.
FELIPE GUTEMBERG
Só ficaram de fora da conta os gastos com combustíveis e compra de automóveis. Todo esse movimento no varejo terá impacto na indústria. Com os estoques reduzidos, muitas empresas cancelaram férias coletivas e prevêem entrar em 2008 com produção mais acelerada do que nos outros anos.
Neste sábado, os consumidores que deixaram as compras para a última hora levaram um susto no Centro e na Zona Sul do Rio. A luz acabou devido a um problema na subestação de
Pelos dados da Gouvêa de Souza, o faturamento projetado para o Natal deste ano vai corresponder a um aumento de 12,2% em relação ao mesmo período de 2006 (R$ 38,5 bilhões). Na comparação com 2005 (R$ 35 bilhões), a variação chega a 23,4%. Números tão vistosos assim são efeito da redução do desemprego e da explosão do crédito, com financiamentos cada vez mais esticados. Com dinheiro extra no bolso, o consumidor foi às compras.
FELIPE GUTEMBERG
domingo, 16 de dezembro de 2007
Mantega rejeita criação de "nova CPMF" por medida provisória
Folha Online
O ministro da Fazenda, Guido Mantega, rejeitou neste domingo que exista a intenção de criar um tributo, por meio de medida provisória, para substituir a perda da CPMF (o "imposto do cheque"). Em comunicado oficial distribuído neste sábado, o Ministério da Fazenda desmentiu notícia publicada no jornal "O Estado de S. Paulo", em sua edição de sábado, com a manchete "Mantega quer uma nova CPMF".
"Em momento algum, na entrevista que foi gravada, mesmo ao ser perguntado de forma explícita, o ministro diz que o governo criará o tributo por medida provisória e, muito menos, que o fará ainda este ano", afirma o Ministério.
Em outra entrevista, publicada na edição deste domingo da Folha, o ministro responde, ao ser questionado sobre uma possível reapresentação da CPMF: "não devemos reapresentar a CPMF. A CPMF já está desgastada. Acho melhor pensarmos em algum outro tributo que seja totalmente dirigido para a saúde e que também possa ajudar no combate à sonegação fiscal".
Ele acrescenta: "todos nós sabemos que não há como criar um tributo por medida provisória. A medida provisória só pode ser usada para modificar as alíquotas existentes, mas não para criar novos tributos. Só por meio da emenda constitucional que se pode criar um novo imposto e por isso mesmo temos de contar com o apoio da maioria".
Na entrevista ao "Estado", o ministro dá uma resposta mais curta quando questionado sobre a possibilidade da criação do tributo para a Saúde por meio de medida provisória: "é uma fórmula que exige maioria simples no Congresso".
PAC
As declarações do ministro, na entrevista à Folha, sobre um possível corte nos gastos sociais e no PAC (Programa de Aceleração do Crescimento) provocaram um desmentido público do presidente Luiz Inácio da Silva.
"É importante que o equilíbrio fiscal seja preservado. O superávit primário é um dos pilares de sustentação da economia. Já o PAC, os programas sociais e os investimentos em geral serão reexaminados. Vai haver redução de despesas", disse o ministro.
Hoje, o presidente Lula, fez declarações no sentido contrário. "Ele vai ter que me convencer da necessidade disso [do novo tributo]. Falou para vocês [da imprensa] agora vai ter que colocar na minha mesa. Eu vou decidir se precisamos ou não precisamos, quero ver todas as contas", disse ele, após votar na sede do PT, em Brasília.
"Não existe nenhuma razão para ninguém ficar nervoso, nenhuma razão para que ninguém faça uma loucura de aumentar a carga tributária. Obviamente, nós vamos ter que encontrar uma saída, porque nós não vamos parar nenhuma obra do PAC, não vamos parar nenhuma política social que estamos fazendo", completou.
FELIPE GUTEMBERG
O ministro da Fazenda, Guido Mantega, rejeitou neste domingo que exista a intenção de criar um tributo, por meio de medida provisória, para substituir a perda da CPMF (o "imposto do cheque"). Em comunicado oficial distribuído neste sábado, o Ministério da Fazenda desmentiu notícia publicada no jornal "O Estado de S. Paulo", em sua edição de sábado, com a manchete "Mantega quer uma nova CPMF".
"Em momento algum, na entrevista que foi gravada, mesmo ao ser perguntado de forma explícita, o ministro diz que o governo criará o tributo por medida provisória e, muito menos, que o fará ainda este ano", afirma o Ministério.
Em outra entrevista, publicada na edição deste domingo da Folha, o ministro responde, ao ser questionado sobre uma possível reapresentação da CPMF: "não devemos reapresentar a CPMF. A CPMF já está desgastada. Acho melhor pensarmos em algum outro tributo que seja totalmente dirigido para a saúde e que também possa ajudar no combate à sonegação fiscal".
Ele acrescenta: "todos nós sabemos que não há como criar um tributo por medida provisória. A medida provisória só pode ser usada para modificar as alíquotas existentes, mas não para criar novos tributos. Só por meio da emenda constitucional que se pode criar um novo imposto e por isso mesmo temos de contar com o apoio da maioria".
Na entrevista ao "Estado", o ministro dá uma resposta mais curta quando questionado sobre a possibilidade da criação do tributo para a Saúde por meio de medida provisória: "é uma fórmula que exige maioria simples no Congresso".
PAC
As declarações do ministro, na entrevista à Folha, sobre um possível corte nos gastos sociais e no PAC (Programa de Aceleração do Crescimento) provocaram um desmentido público do presidente Luiz Inácio da Silva.
"É importante que o equilíbrio fiscal seja preservado. O superávit primário é um dos pilares de sustentação da economia. Já o PAC, os programas sociais e os investimentos em geral serão reexaminados. Vai haver redução de despesas", disse o ministro.
Hoje, o presidente Lula, fez declarações no sentido contrário. "Ele vai ter que me convencer da necessidade disso [do novo tributo]. Falou para vocês [da imprensa] agora vai ter que colocar na minha mesa. Eu vou decidir se precisamos ou não precisamos, quero ver todas as contas", disse ele, após votar na sede do PT, em Brasília.
"Não existe nenhuma razão para ninguém ficar nervoso, nenhuma razão para que ninguém faça uma loucura de aumentar a carga tributária. Obviamente, nós vamos ter que encontrar uma saída, porque nós não vamos parar nenhuma obra do PAC, não vamos parar nenhuma política social que estamos fazendo", completou.
FELIPE GUTEMBERG
sexta-feira, 14 de dezembro de 2007
Diferença entre Tributos, Impostos, Taxas e Contribuições
Entenda a diferença entre tributos, impostos, taxas e contribuições
ANA PAULA RIBEIRO
da Folha Online, em Brasília
Tributos - os tributos formam a receita da União, Estados e municípios e abrangem impostos, taxas, contribuições e empréstimos compulsórios. O Imposto de Renda é um tributo, assim como a taxa do lixo cobrada por uma prefeitura e a CPMF (Contribuição Provisória sobre Movimentação Financeira).
Eles podem ser diretos ou indiretos. No primeiro caso, são os contribuintes que devem arcar com a contribuição, como ocorre no Imposto de Renda. Já os indiretos incidem sobre o preço das mercadorias e serviços.
Imposto - Não há uma destinação específica para os recursos obtidos por meio do recolhimento dos impostos. Em geral, é utilizado para o financiamento de serviços universais, como educação e segurança. Eles podem incidir sobre o patrimônio (como o IPTU e o IPVA), renda (Imposto de Renda) e consumo, como o IPI que é cobrado dos produtores e o ICMS que é pago pelo consumidor.
Taxa - esse tributo está vinculado (contraprestação) a um serviço público específico prestado ao contribuinte e prestado pelo poder público, como a taxa de lixo urbano ou a taxa para a confecção do passaporte.
Contribuições - elas são divididas em dois grupos: de melhoria ou especiais. No primeiro caso estão as contribuições cobradas em uma situação que representa um benefício ao contribuinte, como uma obra pública que valorizou seu imóvel. Já as contribuições especiais são cobradas quando há uma destinação específica para um determinado grupo, como o PIS (Programa de Integração Social) e Pasep (Programa de Formação do Patrimônio do Servidor Público), que são direcionados a um fundo dos trabalhadores do setor privado e público.
Empréstimos compulsórios - o governo pode defini-los em situações de emergência.
ANA PAULA RIBEIRO
da Folha Online, em Brasília
Tributos - os tributos formam a receita da União, Estados e municípios e abrangem impostos, taxas, contribuições e empréstimos compulsórios. O Imposto de Renda é um tributo, assim como a taxa do lixo cobrada por uma prefeitura e a CPMF (Contribuição Provisória sobre Movimentação Financeira).
Eles podem ser diretos ou indiretos. No primeiro caso, são os contribuintes que devem arcar com a contribuição, como ocorre no Imposto de Renda. Já os indiretos incidem sobre o preço das mercadorias e serviços.
Imposto - Não há uma destinação específica para os recursos obtidos por meio do recolhimento dos impostos. Em geral, é utilizado para o financiamento de serviços universais, como educação e segurança. Eles podem incidir sobre o patrimônio (como o IPTU e o IPVA), renda (Imposto de Renda) e consumo, como o IPI que é cobrado dos produtores e o ICMS que é pago pelo consumidor.
Taxa - esse tributo está vinculado (contraprestação) a um serviço público específico prestado ao contribuinte e prestado pelo poder público, como a taxa de lixo urbano ou a taxa para a confecção do passaporte.
Contribuições - elas são divididas em dois grupos: de melhoria ou especiais. No primeiro caso estão as contribuições cobradas em uma situação que representa um benefício ao contribuinte, como uma obra pública que valorizou seu imóvel. Já as contribuições especiais são cobradas quando há uma destinação específica para um determinado grupo, como o PIS (Programa de Integração Social) e Pasep (Programa de Formação do Patrimônio do Servidor Público), que são direcionados a um fundo dos trabalhadores do setor privado e público.
Empréstimos compulsórios - o governo pode defini-los em situações de emergência.
quinta-feira, 13 de dezembro de 2007
Segurança da Informação - 20 Maiores Causas de Insegurança, de acordo com o SANS/FBI
Para aqueles que pretendem se especializar na área ou se interessam pelo assunto, a Tecnologia da Informação faz parte do gerenciamento do Sistema de Informações.
Procurem, também, a NBR ISO17799.
AS 20 MAIORES CAUSAS DE INSEGURANÇA, DE ACORDO COM O SANS/FBI
Analisamos abaixo os 20 maiores motivos de falhas de segurança em sistemas, de acordo com a lista dos 20 mais (Top 20), mantido pelo SANS , instituto de pesquisas de segurança de sistemas mantido pelo governo norte-americano. Os primeiros sete problemas de segurança são gerais, se referindo a qualquer sistema operacional. Depois seguem seis problemas exclusivos do ambiente Windows e sete problemas exclusivos do ambiente UNIX. No site http://www.cisecurity.org/ é possível achar uma ferramenta de varredura automática destas vulnerabilidades, com o qual é possível testar os sistemas administrados.Há ainda uma série de ferramentas comerciais que testam estas e outras vulnerabilidades.
Falhas Gerais, encontrados em todos os ambientes:
1. INSTALAÇÃO DEFAULT
O maior motivo para o surgimento de problemas de segurança está relacionado com a instalação default de sistemas operacionais e aplicativos, sem a aplicação de correções e sem uma visão do que seja uma configuração segura.
Até recentemente, a maioria dos fabricantes de software buscava a facilidade de instalação por parte de seus usuários. Assim, todas as configurações eram deixadas num formato de maior comodidade, sendo necessário que o usuário alterasse as configurações para melhorar a segurança. Por outro lado, também por uma questão de comodidade, a maioria dos administradores de sistemas e a quase totalidade dos usuários domésticos deixa de aplicar as correções de segurança de seus sistemas operacionais e aplicativos. Com o passar do tempo, estas correções se acumulam e a quantidade de aberturas prontas para a ação de um hacker se avoluma também. Cada falha detectada é reportada e passa a ser de conhecimento comum dos hackers, sendo que estes circulam listas de vulnerabilidades conhecidas dentro de sua comunidade.
Por outro lado, a maioria dos usuários domésticos utiliza a versão doméstica do sistema operacional Windows, qual seja o Windows95, Windows98 ou Windows ME, os quais mantém o mesmo nível de autoridade de execução de programas para todos os usuários. Com isto, qualquer usuário consegue executar um programa malicioso com todos os poderes de escrita em qualquer área do sistema operacional. Com isto, a proliferação de vírus e cavalos de tróia é garantida. Sistemas Operacionais do tipo Windows NT, Windows 2000 ou qualquer sabor de Unix mantém severas restrições ao usuário comum, somente permitindo acesso às áreas do sistema operacional para quem tem poderes administrativos. Nestes sistemas, a segurança é maior do que nos sistemas operacionais de uso doméstico. Mesmo assim, estes sistemas operacionais são sujeitos a falhas de segurança e requerem freqüentes correções emitidas por seus respectivos fabricantes. Como exemplo, podemos citar os 10 pacotes de atualização do sistema AIX da IBM apenas na sua versão 4.3.3, ou então as mais de 60 correções de segurança do Linux Conectiva na sua verão 7.0. No caso da Microsoft, ocorre a emissão de Service Packs, que saem sempre que há um volume razoável de correções, ou então de Hot Fixes, que são correções pontuais.
Para resolver este problema, é necessário tomar bastante cuidado por ocasião da instalação de um sistema operacional quanto à configuração dos serviços oferecidos e pela desativação de todo serviço ou protocolo de comunicação desnecessário. Quanto aos serviços e protocolos utilizados, é importante tomar cuidado para garantir uma configuração segura, seguindo manuais ou guias com diretrizes para uma configuração segura. Especificamente no caso de Web Servers, estes cuidados devem incluir a remoção de todos os scripts de exemplo, cuja maioria inclui sérias vulnerabilidades de segurança.
O SANS sugere o uso de checklists, e alguns são listados no seu site.
2. SENHAS FRACAS OU INEXISTENTES
O segundo maior motivo de insegurança em sistemas ocorre por conta da existência de contas sem senha (senha em branco) ou contas com senhas fracas. Isto ocorre quando não há regras impostas via sistema, e os usuários não são orientados quanto à importância da senha. Havendo senhas fracas ou em branco, e não havendo proteção contra o uso de quebradores de senhas na rede (isto é feito via bloqueio de chaves por tentativas em excesso), é fácil usar um quebrador de senhas. Uma senha de 5 caracteres, formada apenas por letras e números, pode ser quebrada em cerca 10 minutos, utilizando-se um notebook padrão Pentium II e uma ferramenta quebradora de senhas livremente disponível na Internet. Se houver a opção de senha em branco, é certo que algum usuário vai acabar deixando a sua senha em branco, o que facilita enormemente o trabalho de um eventual mal-intencionado hacker. Uma vez conseguindo acesso a algum sistema, é fácil conseguir o que se chama de escalação de privilégio, ou seja, conseguir uma conta com privilégios administrativos.
Para se evitar senhas fracas ou inexistentes, é necessário aplicar regras de formação de senhas via sistema, em cada um dos ambientes operacionais. Uma senha de 7 caracteres, com uso de letras maiúsculas e minúsculas, mais números, leva 4 meses para ser quebrada. Já se ocorrer o bloqueio da chave após um certo número de tentativas, o uso de quebradores de senhas estará afastado. Por outro lado, se o usuário for instado, via sistema, a trocar sua senha a cada 30 ou 60 dias, a quebra da senha em 4 meses fica inviabilizada, mesmo que um hacker consiga baixar o arquivo de senhas de algum servidor (possibilidade que tem que ser considerada).
3. INEXISTÊNCIA DE BACKUPS OU BACKUPS INCOMPLETOS
A maioria das organizações tem práticas de backup em seus órgãos de TI, porém muitas vezes estes não verificam se o backup está realmente operante, ou seja, não são verificadas as mídias quanto à possibilidade real de realização de uma restauração dos dados. Também, em muitas organizações, a guarda das mídias é falha, ou seja, em caso de desastre no CPD, as mídias de backup podem ser perdidas junto com os sistemas.
Muitas vezes, apenas os dados de usuário são gravados em backup, e no momento de um desastre, verifica-se que a configuração de um servidor não foi gravada, de modo que a sua recuperação pode levar horas ou dias, até que o aplicativo retorne de modo plenamente funcional. Por outro lado, muitas vezes, não se guarda em site seguro cópia das mídias de instalação dos softwares utilizados, bem como não se guarda o número de série das licenças.
O SANS sugere a manutenção de Procedimentos de Backup claros para todos os sistemas críticos, em que fique claro a freqüência (diária, semanal, etc.) e a forma (full, incremental, diferencial) dos backups realizados, bem como que hajam testes de recuperação dos sistemas, com regularidade previsível (mensal, por exemplo), e que fique claro a forma de guarda das mídias. Além disto, é importante que todo o processo de recuperação de dados tenha sido efetivamente testado na prática.
4. PORTAS DE COMUNICAÇÃO LIVRES
Toda a comunicação no protocolo TCP-IP é mantida através do uso de portas de comunicação, as quais são conhecidas pelo seu número. As portas de número inferior a 1024 são chamadas de bem conhecidas (well-known ports). As acima de 1024 são utilizadas pelos aplicativos, de acordo com a necessidade. Uma porta aberta pode ser utilizada por um usuário legítimo ou por um usuário mal intencionado.
O administrador de sistemas deve conhecer exatamente que aplicativos serão utilizados em um determinado sistema, e deve conhecer as portas de comunicação relacionadas com esta aplicação. Todas as portas de comunicação desnecessárias deverão ser fechadas, via sistema.
Para se descobrir que portas estão abertas em determinado sistema, é possível utilizar o comando netstat, porém o ideal é utilizar um software de varredura de portas. Toda porta aberta pode ser relacionada com um serviço. Assim, ao se saber as portas abertas, é só fechar os serviços relacionados a estas portas que são desnessários ou que não sejam utilizados.
5. INEXISTÊNCIA DE FILTRAGEM DE PACOTES NOS ROTEADORES OU SWITCHES
Sem a aplicação de filtros (ingress and egress filtering) nos equipamentos de interconexão de redes, é possível a ocorrência de packet spoofing, que significa o envio de pacotes com endereços falsos de remetente, o que pode levar a uma situação de packet flooding (excesso de pacotes enviados a um servidor ou estação), que resulta em indisponibilidade do sistema em questão.
O site do SANS indica o tipo de filtro que deve ser aplicado para evitar a ocorrência deste tipo de ataque de indisponibilidade (Denial Of Service).
6. INEXISTÊNCIA DE LOGS OU LOGS INCOMPLETOS
É comum que o serviço de Logs dos servidores e equipamentos de redes não seja analisado ou até que seja desabilitado. O Log é muito importante para a Detecção e Análise de Incidentes de Segurança, porém muitas vezes os administradores menosprezam seu uso, ou então não tem ferramentas de Análise que lhes permitam extrair as informações relevantes.
Outro problema é que, dependendo da atividade do servidor e da quantidade de usuários, o Log pode passar a ocupar tal área em disco que começa a comprometer o sistema. A solução deste problema é a adoção de um servidor de logs, para onde todos os dados são enviados pelos diversos servidores, e, de preferência, onde os dados são transferidos para algum tipo de mídia não-regravável (mídia ótica, por exemplo), para evitar que algum atacante consiga apagar seus rastros.
Ferramentas de logs devem permitir a correlação entre os logs de servidores e os equipamentos de rede, bem como de ferramentas de segurança, como um detector de intrusão (IDS). Muitos ataques podem ser identificados através de tal correlacionamento.
Se forem mantidos logs, é importante que haja um procedimento claro de análise e relatório dos mesmos, para que sua manutenção se justifique.
7. PROGRAMAS DE CGI INSEGUROS
Falhas de programação em programas CGI (Common Gateway Interface), escritos para todos os servidores Web conhecidos, tem sido a razão de muitas invasões de sistemas. Isto ocorre porque estes programas recebem autorização de execução no servidor em questão, com determinados privilégios que podem ser extrapolados, caso não sejam tomados cuidados no seu desenvolvimento. Neste caso está a maioria dos programas de exemplo que são fornecidos junto com os servidores Web mais conhecidos do mercado.
É importante que todos os programas exemplo sejam removidos, e é importante também que todo programa CGI (aqui incluímos todos os arquivos que geram home pages ativas, seja do tipo .asp, ou .cgi) seja auditado e testado contra os hacks ou exploits conhecidos para o Web Server em questão. O Web Server não deve rodar com privilégios de sistema ou de administrador, se possível. Se o Web Server apenas rodar páginas estáticas, a capacidade de execução de páginas ativas deve ser desativada. Todo programa de CGI deve ter rotinas de teste de tamanho de buffer, já que esta é uma das mais freqüentes falhas exploradas (Buffer Overflow).
Falhas restritas ao ambiente Windows:
8. FALHA DE UNICODE
O código Unicode é utilizado para a representação de caracteres de todos os alfabetos existentes no mundo, através do uso de dois bytes. A maioria dos fabricantes de software utiliza o Unicode. No caso do Web Server da Microsoft (o IIS), é possível enviar uma seqüência inválida de caracteres Unicode que resulta na execução de comandos arbitrários pelo servidor.
Este problema é contornado pelo Service Pack 2 do Windows 2000 ou por um Hot Fix, no caso do NT 4. O site da SANS indica diversas ferramentas de verificação quanto a esta vulnerabilidade, que podem ser utilizadas para testes.
9. BUFFER OVERFLOW NAS EXTENSÕES ISAPI
O servidor Internet Information Server (IIS), da Microsoft, é o software de servidor Web encontrado na maioria dos web sites operando nas plataformas Windows NT e Windows 2000. Quando o IIS é instalado, diversas extensões de ISAPI são instaladas automaticamente. O ISAPI (Internet Services Application Programming Interface), permite aos programadores estender as potencialidades de um servidor IIS utilizando bibliotecas DLLs. Várias DLLs, como idq.dll, contém erros de programação que resultam na realização imprópria da checagem de erros. Em particular, não bloqueiam strings de entrada longos (long input strings). Os atacantes podem enviar dados a estas DLLs, no que é conhecido como buffer overflow, resultando no controle completo do servidor IIS por parte do atacante.
Este problema é contornado pela aplicação do Service Pack 2 do Windows 2000 ou pelo Hot Fix “ Q299444 – The Windows NT 4.0 Security Roll-up Package ”, no caso do NT 4.
10. BRECHA NOS SERVIÇOS DE DADOS REMOTOS (RDS) DO IIS
Este problema somente afeta sistemas NT4 com o RDS instalado (esta instalação é default no NT4 com Option Pack e IIS versão 4). A sua correção depende da retirada do serviço RDS ou então de uma correção nas autorizações de acesso aos drivers ODBC. Veja no site da Microsoft http://support.microsoft.com/default.aspx?scid=kb;EN-US;q184375 como fazer isto.
11. NETBIOS: FALTA DE PROTEÇÃO NOS COMPARTILHAMENTOS EM REDES WINDOWS
O Compartilhamento de arquivos e diretórios pela rede é comum entre usuários. Só que este compartilhamento pode ser explorado por atacantes, que podem acessar dados importantes, e dependendo das autorizações de acesso, até apagar arquivos ou inserir programas do tipo Backdoor (porta de trás).
Para evitar este tipo de problema, é necessário que qualquer compartilhamento seja efetuado apenas em servidores de rede, corretamente configurados para acesso autenticado. Na configuração dos servidores, alguns cuidados devem ser tomados quanto a este compartilhamento, conforme listados no site da SANS, relativos a esta vulnerabilidade.
12. VAZAMENTO DE INFORMAÇÕES ATRAVÉS DE SESSÃO ANÔNIMA “NULL SESSION”
Uma conexão de sessão nula, também conhecida como o início de uma sessão anônima, é um mecanismo que permite que um usuário anônimo recupere informação (tal como nomes de usuários e arquivos compartilhados) sobre a rede, ou para conectar sem autenticação. É usada por aplicativos como explorer.exe para listar arquivos compartilhados em servidores remotos. Em sistemas Windows NT e Windows 2000, muitos dos serviços funcionam sob a conta SYSTEM, conhecido como LocalSystem no Windows 2000. A conta SYSTEM é usada para várias operações críticas do sistema. Quando uma máquina precisa recuperar dados de outro sistema, a conta SYSTEM abre uma sessão nula com a outra máquina.
A conta SYSTEM tem privilégios virtualmente ilimitados e não possui senha, o que impede que seja realizado o login com a conta SYSTEM. SYSTEM às vezes precisa acessar informações em outras máquinas como compartilhamentos, nomes de usuários, etc. -- funcionalidade do tipo Network Neighborhood. Como não é possível logar nos outros sistemas utilizando um identificador de usuário (UserID) e senha, é utilizada a sessão nula para se conseguir o acesso. Infelizmente, hackers também podem realizar o login utilizando-se do mesmo mecanismo.
Para evitar de todo este problema, seria necessário retirar o NETBIOS do servidor, desativando o serviço NETBIOS do TCP-IP (esta opção é absolutamente essencial em se tratando de servidores Web diretamente conectados à Internet). Como isto nem sempre é possível (este é o caso de quem tem compartilhamento de impressoras e de arquivos na rede), resta diminuir a quantidade de informações disponíveis através da chave de Registry
HKLM/System/CurrentControlSet/Control/LSA/RestrictAnonymous=1
Isto se aplica sistemas NT4. No caso de sistemas W2000, esta chave pode ser colocada no valor 2, o que restringe ainda mais as informações disponíveis para um atacante anônimo.
13. CODIFICAÇÃO FRACA DE SENHAS NO SAM (LAN MANAGER HASH)
O Lan Manager Hash é utilizado para permitir a autenticação de senhas em ambientes que contenham estações mais antigas, do tipo Windows 95 e 98. Por esta falha, é possível que um atacante quebre senhas, mesmo que estas sejam senhas consideradas fortes, utilizando para tanto ferramentas livremente disponíveis na Internet.
Para fechar esta vulnerabilidade, é necessário ter o NT 4 SP4 em diante ou o Windows 2000 na rede e aplicar uma correção no Registry, para forçar autenticação apenas no formato NTLMv2. Para que as estações mais antigas possam continuar sendo autenticados na rede, é necessário instalar o cliente Directory Services disponível no CD de instalação do W2000. Veja mais no site da Microsoft http://support.microsoft.com/search/preview.aspx?scid=kb;en-us;Q239869 .
Obs. Tanto a modificação do Registry como a implantação do serviço de diretório em clientes W9X deve ser feito com cuidado e planejamento para evitar problemas.
Falhas restritas ao ambiente UNIX:
14. BUFFER OVERFLOW NOS SERVIÇOS REMOTE PROCEDURE CALL (RPC)
Os serviços RPC permitem a execução de instruções em servidores remotos, e são muito utilizados pelos administradores e por serviços como o NIS. Estes serviços normalmente não checam os dados quanto ao seu comprimento, permitindo a ocorrência do que se chama de “Buffer Overflow” (o dado extrapola a área de memória reservada e resulta em execução de comandos em áreas de memória não previstas). Esta vulnerabilidade tem sido muito explorada em ataques recentes contra sites da Internet operados com sistemas UNIX.
Para contornar esta vulnerabilidade, é interessante simplesmente bloquear os serviços RPC, caso estes não sejam necessários. Caso algum serviço RPC seja realmente necessário, é importante manter aplicados os últimos patches disponíveis, de acordo com a versão do UNIX em questão. Outras ações importantes são o bloqueio da porta 111 (RPC) nos roteadores de borda, e as portas de Loopback de RPC, portas 32770 a 32789, tanto para TCP como para UDP.
É importante lembrar ainda que constantemente novas falhas estão sendo descobertas, de modo que patches novos podem ser lançados a qualquer momento. A assinatura de listas de distribuição de informes sobre estes patches ajuda a manter os administradores de sistemas atualizados, porém é importante ter uma política de aplicação de patches, de modo a garantir a sua imediata aplicação, de preferência após um teste de compatibilidade num servidor de testes.
15. VULNERABILIDADES NO SENDMAIL
O Sendmail é o serviço de correio eletrônico padrão do ambiente UNIX, e é normalmente instalado para que seja possível enviar e receber mensagens a partir do sistema operacional UNIX. Por ser de uso generalizado na maioria dos servidores da Internet, tem sido bastante atacada. A maioria destes ataques ocorre pelo envio de mensagens especialmente formatadas para que seu conteúdo seja entendido como comandos a serem executados pelo servidor.
Estas vulnerabilidades tem sido contornadas através de frequentes patches. É importante saber em que estações e servidores UNIX e Linux o Sendmail está ativo, e manter o Sendmail destas estações e servidores atualizados até a última versão do Sendmail. Veja no site a seguir a última versão e os respectivos patches a serem aplicados a esta última versão:
http://www.cert.org/advisories/CA-1997-05.html
16. BIND WEAKNESSES
O BIND (Berkeley Internet Name Domain) é o programa para resolução de DNS utilizado na maioria dos sistemas operacionais UNIX (e o mais utilizado em sistemas diretamente conectados à Internet). Várias vulnerabilidades tem sido descobertas para este aplicativo, que permitem que usuários não autenticados instalem software não autorizado e apaguem os logs de segurança de um servidor de DNS que esteja utilizando o BIND. Isto acontece freqüentemente quando um servidor de DNS é instalado e deixado sem nenhuma atualização por algum tempo. Em um tal ataque reportado pelo SANS, os hackers tomaram controle do servidor de DNS em alguns minutos e , depois de apagar os logs, instalaram um servidor de IRC (Internet Relay Chat) e passaram então a procurar outros servidores vulneráveis, utilizando Port Scanners, sob a identidade do servidor DNS atacado.
Este tipo de vulnerabilidade somente pode ser contornado mantendo o BIND atualizado e com os últimos patches disponíveis. Veja no site do SANS todas as outras ações que devem ser tomadas para evitar esta vulnerabilidade.
17. COMANDOS REMOTOS (r)
Os comandos remotos (rlogin, rsh, rcopy) são freqüentemente utilizados, dentro de uma relação de confiança nos ambientes UNIX, o que resulta em maior simplicidade para os administradores de sistema. Porém, por permitir o acesso a sistemas sem nenhum procedimento de criptografia e sem solicitar nenhuma autenticação adicional, apresentam sérias vulnerabilidades, pois é relativamente simples simular a identidade de uma estação confiada na rede, driblando o processo de confiança.
O ideal é simplesmente retirar ou bloquear os comandos remotos. Se de todo se tornar absolutamente necessário mantê-los, é importante administrar os arquivos de relação de confiança, que são o /etc/hosts.equiv ou o /.rhosts. Não deve ser permitida a criação de um arquivo ./rhosts para a conta root. Lembre-se que a autenticação por endereço IP (ou, por conseqüência, o nome de DNS) é muito fácil de ser burlado, via spoofing, assim uma autenticação segura seria apenas via tokens ou com o uso de senhas.
18. LPD (DAEMON DO SERVIÇOS DE IMPRESSÃO REMOTA)
Em ambientes Unix, o in.lpd permite aos usuários interagir com a impressora local. O LPD aguarda requisições através da porta 515 TCP. Os programadores que desenvolveram o código responsável por transferir trabalhos para impressão de uma máquina para outra cometeram um erro que originou uma vulnerabilidade de buffer overflow. Se o daemon receber muitos trabalhos para impressão dentro de um curto intervalo de tempo, ele deixará de funcionar ou processará código arbitrário com privilégios elevados.
Este problema afeta alguns sistemas Solaris e a maioria dos sistemas Linux. A correção passa pela aplicação de patches.
19. SERVIÇOS SADMIND E MOUNTD
O Sadmind permite a administração remota de sistemas Solaris, através de uma interface gráfica que disponibiliza funções de administração do sistema. O Mountd controla o acesso aos arquivos mapeados pelo NFS em hosts UNIX. As falhas de buffer overflows existentes nestes aplicativos, originados por erros de programação, podem ser explorados, permitindo aos atacantes obter o controle do sistema com privilégios de "root".
A correção destas vulnerabilidades passa pela aplicação de patches, disponíveis nos sites dos fabricantes.
20. MENSAGENS-PADRÃO DO SNMP – SIMPLE NETWORK MANAGEMENT PROTOCOL
O protocolo SNMP (Simple Network Management Protocol) é muito usado pelos administradores de rede para monitorar e administrar todos os tipos de equipamentos conectados à rede, desde roteadores e impressoras, até servidores e estações de trabalho. O SNMP usa uma "community string" sem criptografia, como seu único mecanismo de autenticação. A falta de criptografia por si só já é um fato ruim, além disto, a community string definida como padrão e usada por grande parte dos equipamentos SNMP é "public", sendo que somente alguns dos fabricantes de equipamentos de rede "mais espertos" alteram a community para "private", quando se trata de informações mais sensíveis. Os atacantes podem usar esta vulnerabilidade no SNMP para reconfigurar ou desligar remotamente os equipamentos. O tráfego SNMP, quando interceptado ("sniffed"), pode revelar muitas informações sobre a estrutura de sua rede, bem como dos sistemas e os equipamentos conectados a ela. Os invasores usam tais informações para escolher alvos e planejar os ataques. Se a comunidade SNMP com permissão de escrita for de fácil detecção, é possível utilizar as vulnerabilidades conhecidas para executar comandos nos equipamentos que tem o SNMP ativo, com execução de comandos ilegais e com bloqueio de serviços.
Para corrigir esta vulnerabilidade, que é usada principalmente contra sistemas UNIX e equipamentos de rede, é importante manter os “community strings” de SNMP com strings difíceis de decifrar (mesmo critério de senhas complexas). O ideal é desativar o SNMP sempre que não for necessário.
Tecnologia da Informação
Artigo escrito por Alfred John Bacon,
com material extraído do site
www.sans.org
Procurem, também, a NBR ISO17799.
AS 20 MAIORES CAUSAS DE INSEGURANÇA, DE ACORDO COM O SANS/FBI
Analisamos abaixo os 20 maiores motivos de falhas de segurança em sistemas, de acordo com a lista dos 20 mais (Top 20), mantido pelo SANS , instituto de pesquisas de segurança de sistemas mantido pelo governo norte-americano. Os primeiros sete problemas de segurança são gerais, se referindo a qualquer sistema operacional. Depois seguem seis problemas exclusivos do ambiente Windows e sete problemas exclusivos do ambiente UNIX. No site http://www.cisecurity.org/ é possível achar uma ferramenta de varredura automática destas vulnerabilidades, com o qual é possível testar os sistemas administrados.Há ainda uma série de ferramentas comerciais que testam estas e outras vulnerabilidades.
Falhas Gerais, encontrados em todos os ambientes:
1. INSTALAÇÃO DEFAULT
O maior motivo para o surgimento de problemas de segurança está relacionado com a instalação default de sistemas operacionais e aplicativos, sem a aplicação de correções e sem uma visão do que seja uma configuração segura.
Até recentemente, a maioria dos fabricantes de software buscava a facilidade de instalação por parte de seus usuários. Assim, todas as configurações eram deixadas num formato de maior comodidade, sendo necessário que o usuário alterasse as configurações para melhorar a segurança. Por outro lado, também por uma questão de comodidade, a maioria dos administradores de sistemas e a quase totalidade dos usuários domésticos deixa de aplicar as correções de segurança de seus sistemas operacionais e aplicativos. Com o passar do tempo, estas correções se acumulam e a quantidade de aberturas prontas para a ação de um hacker se avoluma também. Cada falha detectada é reportada e passa a ser de conhecimento comum dos hackers, sendo que estes circulam listas de vulnerabilidades conhecidas dentro de sua comunidade.
Por outro lado, a maioria dos usuários domésticos utiliza a versão doméstica do sistema operacional Windows, qual seja o Windows95, Windows98 ou Windows ME, os quais mantém o mesmo nível de autoridade de execução de programas para todos os usuários. Com isto, qualquer usuário consegue executar um programa malicioso com todos os poderes de escrita em qualquer área do sistema operacional. Com isto, a proliferação de vírus e cavalos de tróia é garantida. Sistemas Operacionais do tipo Windows NT, Windows 2000 ou qualquer sabor de Unix mantém severas restrições ao usuário comum, somente permitindo acesso às áreas do sistema operacional para quem tem poderes administrativos. Nestes sistemas, a segurança é maior do que nos sistemas operacionais de uso doméstico. Mesmo assim, estes sistemas operacionais são sujeitos a falhas de segurança e requerem freqüentes correções emitidas por seus respectivos fabricantes. Como exemplo, podemos citar os 10 pacotes de atualização do sistema AIX da IBM apenas na sua versão 4.3.3, ou então as mais de 60 correções de segurança do Linux Conectiva na sua verão 7.0. No caso da Microsoft, ocorre a emissão de Service Packs, que saem sempre que há um volume razoável de correções, ou então de Hot Fixes, que são correções pontuais.
Para resolver este problema, é necessário tomar bastante cuidado por ocasião da instalação de um sistema operacional quanto à configuração dos serviços oferecidos e pela desativação de todo serviço ou protocolo de comunicação desnecessário. Quanto aos serviços e protocolos utilizados, é importante tomar cuidado para garantir uma configuração segura, seguindo manuais ou guias com diretrizes para uma configuração segura. Especificamente no caso de Web Servers, estes cuidados devem incluir a remoção de todos os scripts de exemplo, cuja maioria inclui sérias vulnerabilidades de segurança.
O SANS sugere o uso de checklists, e alguns são listados no seu site.
2. SENHAS FRACAS OU INEXISTENTES
O segundo maior motivo de insegurança em sistemas ocorre por conta da existência de contas sem senha (senha em branco) ou contas com senhas fracas. Isto ocorre quando não há regras impostas via sistema, e os usuários não são orientados quanto à importância da senha. Havendo senhas fracas ou em branco, e não havendo proteção contra o uso de quebradores de senhas na rede (isto é feito via bloqueio de chaves por tentativas em excesso), é fácil usar um quebrador de senhas. Uma senha de 5 caracteres, formada apenas por letras e números, pode ser quebrada em cerca 10 minutos, utilizando-se um notebook padrão Pentium II e uma ferramenta quebradora de senhas livremente disponível na Internet. Se houver a opção de senha em branco, é certo que algum usuário vai acabar deixando a sua senha em branco, o que facilita enormemente o trabalho de um eventual mal-intencionado hacker. Uma vez conseguindo acesso a algum sistema, é fácil conseguir o que se chama de escalação de privilégio, ou seja, conseguir uma conta com privilégios administrativos.
Para se evitar senhas fracas ou inexistentes, é necessário aplicar regras de formação de senhas via sistema, em cada um dos ambientes operacionais. Uma senha de 7 caracteres, com uso de letras maiúsculas e minúsculas, mais números, leva 4 meses para ser quebrada. Já se ocorrer o bloqueio da chave após um certo número de tentativas, o uso de quebradores de senhas estará afastado. Por outro lado, se o usuário for instado, via sistema, a trocar sua senha a cada 30 ou 60 dias, a quebra da senha em 4 meses fica inviabilizada, mesmo que um hacker consiga baixar o arquivo de senhas de algum servidor (possibilidade que tem que ser considerada).
3. INEXISTÊNCIA DE BACKUPS OU BACKUPS INCOMPLETOS
A maioria das organizações tem práticas de backup em seus órgãos de TI, porém muitas vezes estes não verificam se o backup está realmente operante, ou seja, não são verificadas as mídias quanto à possibilidade real de realização de uma restauração dos dados. Também, em muitas organizações, a guarda das mídias é falha, ou seja, em caso de desastre no CPD, as mídias de backup podem ser perdidas junto com os sistemas.
Muitas vezes, apenas os dados de usuário são gravados em backup, e no momento de um desastre, verifica-se que a configuração de um servidor não foi gravada, de modo que a sua recuperação pode levar horas ou dias, até que o aplicativo retorne de modo plenamente funcional. Por outro lado, muitas vezes, não se guarda em site seguro cópia das mídias de instalação dos softwares utilizados, bem como não se guarda o número de série das licenças.
O SANS sugere a manutenção de Procedimentos de Backup claros para todos os sistemas críticos, em que fique claro a freqüência (diária, semanal, etc.) e a forma (full, incremental, diferencial) dos backups realizados, bem como que hajam testes de recuperação dos sistemas, com regularidade previsível (mensal, por exemplo), e que fique claro a forma de guarda das mídias. Além disto, é importante que todo o processo de recuperação de dados tenha sido efetivamente testado na prática.
4. PORTAS DE COMUNICAÇÃO LIVRES
Toda a comunicação no protocolo TCP-IP é mantida através do uso de portas de comunicação, as quais são conhecidas pelo seu número. As portas de número inferior a 1024 são chamadas de bem conhecidas (well-known ports). As acima de 1024 são utilizadas pelos aplicativos, de acordo com a necessidade. Uma porta aberta pode ser utilizada por um usuário legítimo ou por um usuário mal intencionado.
O administrador de sistemas deve conhecer exatamente que aplicativos serão utilizados em um determinado sistema, e deve conhecer as portas de comunicação relacionadas com esta aplicação. Todas as portas de comunicação desnecessárias deverão ser fechadas, via sistema.
Para se descobrir que portas estão abertas em determinado sistema, é possível utilizar o comando netstat, porém o ideal é utilizar um software de varredura de portas. Toda porta aberta pode ser relacionada com um serviço. Assim, ao se saber as portas abertas, é só fechar os serviços relacionados a estas portas que são desnessários ou que não sejam utilizados.
5. INEXISTÊNCIA DE FILTRAGEM DE PACOTES NOS ROTEADORES OU SWITCHES
Sem a aplicação de filtros (ingress and egress filtering) nos equipamentos de interconexão de redes, é possível a ocorrência de packet spoofing, que significa o envio de pacotes com endereços falsos de remetente, o que pode levar a uma situação de packet flooding (excesso de pacotes enviados a um servidor ou estação), que resulta em indisponibilidade do sistema em questão.
O site do SANS indica o tipo de filtro que deve ser aplicado para evitar a ocorrência deste tipo de ataque de indisponibilidade (Denial Of Service).
6. INEXISTÊNCIA DE LOGS OU LOGS INCOMPLETOS
É comum que o serviço de Logs dos servidores e equipamentos de redes não seja analisado ou até que seja desabilitado. O Log é muito importante para a Detecção e Análise de Incidentes de Segurança, porém muitas vezes os administradores menosprezam seu uso, ou então não tem ferramentas de Análise que lhes permitam extrair as informações relevantes.
Outro problema é que, dependendo da atividade do servidor e da quantidade de usuários, o Log pode passar a ocupar tal área em disco que começa a comprometer o sistema. A solução deste problema é a adoção de um servidor de logs, para onde todos os dados são enviados pelos diversos servidores, e, de preferência, onde os dados são transferidos para algum tipo de mídia não-regravável (mídia ótica, por exemplo), para evitar que algum atacante consiga apagar seus rastros.
Ferramentas de logs devem permitir a correlação entre os logs de servidores e os equipamentos de rede, bem como de ferramentas de segurança, como um detector de intrusão (IDS). Muitos ataques podem ser identificados através de tal correlacionamento.
Se forem mantidos logs, é importante que haja um procedimento claro de análise e relatório dos mesmos, para que sua manutenção se justifique.
7. PROGRAMAS DE CGI INSEGUROS
Falhas de programação em programas CGI (Common Gateway Interface), escritos para todos os servidores Web conhecidos, tem sido a razão de muitas invasões de sistemas. Isto ocorre porque estes programas recebem autorização de execução no servidor em questão, com determinados privilégios que podem ser extrapolados, caso não sejam tomados cuidados no seu desenvolvimento. Neste caso está a maioria dos programas de exemplo que são fornecidos junto com os servidores Web mais conhecidos do mercado.
É importante que todos os programas exemplo sejam removidos, e é importante também que todo programa CGI (aqui incluímos todos os arquivos que geram home pages ativas, seja do tipo .asp, ou .cgi) seja auditado e testado contra os hacks ou exploits conhecidos para o Web Server em questão. O Web Server não deve rodar com privilégios de sistema ou de administrador, se possível. Se o Web Server apenas rodar páginas estáticas, a capacidade de execução de páginas ativas deve ser desativada. Todo programa de CGI deve ter rotinas de teste de tamanho de buffer, já que esta é uma das mais freqüentes falhas exploradas (Buffer Overflow).
Falhas restritas ao ambiente Windows:
8. FALHA DE UNICODE
O código Unicode é utilizado para a representação de caracteres de todos os alfabetos existentes no mundo, através do uso de dois bytes. A maioria dos fabricantes de software utiliza o Unicode. No caso do Web Server da Microsoft (o IIS), é possível enviar uma seqüência inválida de caracteres Unicode que resulta na execução de comandos arbitrários pelo servidor.
Este problema é contornado pelo Service Pack 2 do Windows 2000 ou por um Hot Fix, no caso do NT 4. O site da SANS indica diversas ferramentas de verificação quanto a esta vulnerabilidade, que podem ser utilizadas para testes.
9. BUFFER OVERFLOW NAS EXTENSÕES ISAPI
O servidor Internet Information Server (IIS), da Microsoft, é o software de servidor Web encontrado na maioria dos web sites operando nas plataformas Windows NT e Windows 2000. Quando o IIS é instalado, diversas extensões de ISAPI são instaladas automaticamente. O ISAPI (Internet Services Application Programming Interface), permite aos programadores estender as potencialidades de um servidor IIS utilizando bibliotecas DLLs. Várias DLLs, como idq.dll, contém erros de programação que resultam na realização imprópria da checagem de erros. Em particular, não bloqueiam strings de entrada longos (long input strings). Os atacantes podem enviar dados a estas DLLs, no que é conhecido como buffer overflow, resultando no controle completo do servidor IIS por parte do atacante.
Este problema é contornado pela aplicação do Service Pack 2 do Windows 2000 ou pelo Hot Fix “ Q299444 – The Windows NT 4.0 Security Roll-up Package ”, no caso do NT 4.
10. BRECHA NOS SERVIÇOS DE DADOS REMOTOS (RDS) DO IIS
Este problema somente afeta sistemas NT4 com o RDS instalado (esta instalação é default no NT4 com Option Pack e IIS versão 4). A sua correção depende da retirada do serviço RDS ou então de uma correção nas autorizações de acesso aos drivers ODBC. Veja no site da Microsoft http://support.microsoft.com/default.aspx?scid=kb;EN-US;q184375 como fazer isto.
11. NETBIOS: FALTA DE PROTEÇÃO NOS COMPARTILHAMENTOS EM REDES WINDOWS
O Compartilhamento de arquivos e diretórios pela rede é comum entre usuários. Só que este compartilhamento pode ser explorado por atacantes, que podem acessar dados importantes, e dependendo das autorizações de acesso, até apagar arquivos ou inserir programas do tipo Backdoor (porta de trás).
Para evitar este tipo de problema, é necessário que qualquer compartilhamento seja efetuado apenas em servidores de rede, corretamente configurados para acesso autenticado. Na configuração dos servidores, alguns cuidados devem ser tomados quanto a este compartilhamento, conforme listados no site da SANS, relativos a esta vulnerabilidade.
12. VAZAMENTO DE INFORMAÇÕES ATRAVÉS DE SESSÃO ANÔNIMA “NULL SESSION”
Uma conexão de sessão nula, também conhecida como o início de uma sessão anônima, é um mecanismo que permite que um usuário anônimo recupere informação (tal como nomes de usuários e arquivos compartilhados) sobre a rede, ou para conectar sem autenticação. É usada por aplicativos como explorer.exe para listar arquivos compartilhados em servidores remotos. Em sistemas Windows NT e Windows 2000, muitos dos serviços funcionam sob a conta SYSTEM, conhecido como LocalSystem no Windows 2000. A conta SYSTEM é usada para várias operações críticas do sistema. Quando uma máquina precisa recuperar dados de outro sistema, a conta SYSTEM abre uma sessão nula com a outra máquina.
A conta SYSTEM tem privilégios virtualmente ilimitados e não possui senha, o que impede que seja realizado o login com a conta SYSTEM. SYSTEM às vezes precisa acessar informações em outras máquinas como compartilhamentos, nomes de usuários, etc. -- funcionalidade do tipo Network Neighborhood. Como não é possível logar nos outros sistemas utilizando um identificador de usuário (UserID) e senha, é utilizada a sessão nula para se conseguir o acesso. Infelizmente, hackers também podem realizar o login utilizando-se do mesmo mecanismo.
Para evitar de todo este problema, seria necessário retirar o NETBIOS do servidor, desativando o serviço NETBIOS do TCP-IP (esta opção é absolutamente essencial em se tratando de servidores Web diretamente conectados à Internet). Como isto nem sempre é possível (este é o caso de quem tem compartilhamento de impressoras e de arquivos na rede), resta diminuir a quantidade de informações disponíveis através da chave de Registry
HKLM/System/CurrentControlSet/Control/LSA/RestrictAnonymous=1
Isto se aplica sistemas NT4. No caso de sistemas W2000, esta chave pode ser colocada no valor 2, o que restringe ainda mais as informações disponíveis para um atacante anônimo.
13. CODIFICAÇÃO FRACA DE SENHAS NO SAM (LAN MANAGER HASH)
O Lan Manager Hash é utilizado para permitir a autenticação de senhas em ambientes que contenham estações mais antigas, do tipo Windows 95 e 98. Por esta falha, é possível que um atacante quebre senhas, mesmo que estas sejam senhas consideradas fortes, utilizando para tanto ferramentas livremente disponíveis na Internet.
Para fechar esta vulnerabilidade, é necessário ter o NT 4 SP4 em diante ou o Windows 2000 na rede e aplicar uma correção no Registry, para forçar autenticação apenas no formato NTLMv2. Para que as estações mais antigas possam continuar sendo autenticados na rede, é necessário instalar o cliente Directory Services disponível no CD de instalação do W2000. Veja mais no site da Microsoft http://support.microsoft.com/search/preview.aspx?scid=kb;en-us;Q239869 .
Obs. Tanto a modificação do Registry como a implantação do serviço de diretório em clientes W9X deve ser feito com cuidado e planejamento para evitar problemas.
Falhas restritas ao ambiente UNIX:
14. BUFFER OVERFLOW NOS SERVIÇOS REMOTE PROCEDURE CALL (RPC)
Os serviços RPC permitem a execução de instruções em servidores remotos, e são muito utilizados pelos administradores e por serviços como o NIS. Estes serviços normalmente não checam os dados quanto ao seu comprimento, permitindo a ocorrência do que se chama de “Buffer Overflow” (o dado extrapola a área de memória reservada e resulta em execução de comandos em áreas de memória não previstas). Esta vulnerabilidade tem sido muito explorada em ataques recentes contra sites da Internet operados com sistemas UNIX.
Para contornar esta vulnerabilidade, é interessante simplesmente bloquear os serviços RPC, caso estes não sejam necessários. Caso algum serviço RPC seja realmente necessário, é importante manter aplicados os últimos patches disponíveis, de acordo com a versão do UNIX em questão. Outras ações importantes são o bloqueio da porta 111 (RPC) nos roteadores de borda, e as portas de Loopback de RPC, portas 32770 a 32789, tanto para TCP como para UDP.
É importante lembrar ainda que constantemente novas falhas estão sendo descobertas, de modo que patches novos podem ser lançados a qualquer momento. A assinatura de listas de distribuição de informes sobre estes patches ajuda a manter os administradores de sistemas atualizados, porém é importante ter uma política de aplicação de patches, de modo a garantir a sua imediata aplicação, de preferência após um teste de compatibilidade num servidor de testes.
15. VULNERABILIDADES NO SENDMAIL
O Sendmail é o serviço de correio eletrônico padrão do ambiente UNIX, e é normalmente instalado para que seja possível enviar e receber mensagens a partir do sistema operacional UNIX. Por ser de uso generalizado na maioria dos servidores da Internet, tem sido bastante atacada. A maioria destes ataques ocorre pelo envio de mensagens especialmente formatadas para que seu conteúdo seja entendido como comandos a serem executados pelo servidor.
Estas vulnerabilidades tem sido contornadas através de frequentes patches. É importante saber em que estações e servidores UNIX e Linux o Sendmail está ativo, e manter o Sendmail destas estações e servidores atualizados até a última versão do Sendmail. Veja no site a seguir a última versão e os respectivos patches a serem aplicados a esta última versão:
http://www.cert.org/advisories/CA-1997-05.html
16. BIND WEAKNESSES
O BIND (Berkeley Internet Name Domain) é o programa para resolução de DNS utilizado na maioria dos sistemas operacionais UNIX (e o mais utilizado em sistemas diretamente conectados à Internet). Várias vulnerabilidades tem sido descobertas para este aplicativo, que permitem que usuários não autenticados instalem software não autorizado e apaguem os logs de segurança de um servidor de DNS que esteja utilizando o BIND. Isto acontece freqüentemente quando um servidor de DNS é instalado e deixado sem nenhuma atualização por algum tempo. Em um tal ataque reportado pelo SANS, os hackers tomaram controle do servidor de DNS em alguns minutos e , depois de apagar os logs, instalaram um servidor de IRC (Internet Relay Chat) e passaram então a procurar outros servidores vulneráveis, utilizando Port Scanners, sob a identidade do servidor DNS atacado.
Este tipo de vulnerabilidade somente pode ser contornado mantendo o BIND atualizado e com os últimos patches disponíveis. Veja no site do SANS todas as outras ações que devem ser tomadas para evitar esta vulnerabilidade.
17. COMANDOS REMOTOS (r)
Os comandos remotos (rlogin, rsh, rcopy) são freqüentemente utilizados, dentro de uma relação de confiança nos ambientes UNIX, o que resulta em maior simplicidade para os administradores de sistema. Porém, por permitir o acesso a sistemas sem nenhum procedimento de criptografia e sem solicitar nenhuma autenticação adicional, apresentam sérias vulnerabilidades, pois é relativamente simples simular a identidade de uma estação confiada na rede, driblando o processo de confiança.
O ideal é simplesmente retirar ou bloquear os comandos remotos. Se de todo se tornar absolutamente necessário mantê-los, é importante administrar os arquivos de relação de confiança, que são o /etc/hosts.equiv ou o /.rhosts. Não deve ser permitida a criação de um arquivo ./rhosts para a conta root. Lembre-se que a autenticação por endereço IP (ou, por conseqüência, o nome de DNS) é muito fácil de ser burlado, via spoofing, assim uma autenticação segura seria apenas via tokens ou com o uso de senhas.
18. LPD (DAEMON DO SERVIÇOS DE IMPRESSÃO REMOTA)
Em ambientes Unix, o in.lpd permite aos usuários interagir com a impressora local. O LPD aguarda requisições através da porta 515 TCP. Os programadores que desenvolveram o código responsável por transferir trabalhos para impressão de uma máquina para outra cometeram um erro que originou uma vulnerabilidade de buffer overflow. Se o daemon receber muitos trabalhos para impressão dentro de um curto intervalo de tempo, ele deixará de funcionar ou processará código arbitrário com privilégios elevados.
Este problema afeta alguns sistemas Solaris e a maioria dos sistemas Linux. A correção passa pela aplicação de patches.
19. SERVIÇOS SADMIND E MOUNTD
O Sadmind permite a administração remota de sistemas Solaris, através de uma interface gráfica que disponibiliza funções de administração do sistema. O Mountd controla o acesso aos arquivos mapeados pelo NFS em hosts UNIX. As falhas de buffer overflows existentes nestes aplicativos, originados por erros de programação, podem ser explorados, permitindo aos atacantes obter o controle do sistema com privilégios de "root".
A correção destas vulnerabilidades passa pela aplicação de patches, disponíveis nos sites dos fabricantes.
20. MENSAGENS-PADRÃO DO SNMP – SIMPLE NETWORK MANAGEMENT PROTOCOL
O protocolo SNMP (Simple Network Management Protocol) é muito usado pelos administradores de rede para monitorar e administrar todos os tipos de equipamentos conectados à rede, desde roteadores e impressoras, até servidores e estações de trabalho. O SNMP usa uma "community string" sem criptografia, como seu único mecanismo de autenticação. A falta de criptografia por si só já é um fato ruim, além disto, a community string definida como padrão e usada por grande parte dos equipamentos SNMP é "public", sendo que somente alguns dos fabricantes de equipamentos de rede "mais espertos" alteram a community para "private", quando se trata de informações mais sensíveis. Os atacantes podem usar esta vulnerabilidade no SNMP para reconfigurar ou desligar remotamente os equipamentos. O tráfego SNMP, quando interceptado ("sniffed"), pode revelar muitas informações sobre a estrutura de sua rede, bem como dos sistemas e os equipamentos conectados a ela. Os invasores usam tais informações para escolher alvos e planejar os ataques. Se a comunidade SNMP com permissão de escrita for de fácil detecção, é possível utilizar as vulnerabilidades conhecidas para executar comandos nos equipamentos que tem o SNMP ativo, com execução de comandos ilegais e com bloqueio de serviços.
Para corrigir esta vulnerabilidade, que é usada principalmente contra sistemas UNIX e equipamentos de rede, é importante manter os “community strings” de SNMP com strings difíceis de decifrar (mesmo critério de senhas complexas). O ideal é desativar o SNMP sempre que não for necessário.
Tecnologia da Informação
Artigo escrito por Alfred John Bacon,
com material extraído do site
www.sans.org
Seleção Pública de Projetos - Oportunidade!
Apresentação
Está sendo lançada a Seleção Pública de Projetos 2007 do programa Desenvolvimento & Cidadania Petrobras. Neste ano, serão destinados R$ 27 milhões a projetos que contribuam para a redução das desigualdades sociais nas comunidades mais excluídas do país.
Visando assegurar a igualdade de condições no acesso a seus recursos, a Petrobras está planejando, durante o período de inscrições, Caravanas Sociais. Tratam-se de oficinas presenciais e virtuais que visam capacitar as organizações sociais para a elaboração de projetos. As oficinas presenciais ocorrerão em todos os estados brasileiros, são livres e gratuitas. As oficinas virtuais e o cronograma das oficinas presenciais podem ser acessados no site da Petrobras, em breve.www.petrobras.com.br/desenvolvimentoecidadania.
As inscrições estão abertas de 21 de novembro a 11 de janeiro, com o limite máximo de solicitação de recursos de até R$ 690.000,00 por projeto por ano (12 meses), com a possibilidade de renovação por até dois anos (24 meses).
Está sendo lançada a Seleção Pública de Projetos 2007 do programa Desenvolvimento & Cidadania Petrobras. Neste ano, serão destinados R$ 27 milhões a projetos que contribuam para a redução das desigualdades sociais nas comunidades mais excluídas do país.
Visando assegurar a igualdade de condições no acesso a seus recursos, a Petrobras está planejando, durante o período de inscrições, Caravanas Sociais. Tratam-se de oficinas presenciais e virtuais que visam capacitar as organizações sociais para a elaboração de projetos. As oficinas presenciais ocorrerão em todos os estados brasileiros, são livres e gratuitas. As oficinas virtuais e o cronograma das oficinas presenciais podem ser acessados no site da Petrobras, em breve.www.petrobras.com.br/desenvolvimentoecidadania.
As inscrições estão abertas de 21 de novembro a 11 de janeiro, com o limite máximo de solicitação de recursos de até R$ 690.000,00 por projeto por ano (12 meses), com a possibilidade de renovação por até dois anos (24 meses).
A MAIS NEGOCIADA
Petrobras é tricampeã da Bovespa
Na cerimônia de entrega dos prêmios "Destaques 2007", realizada pela Bolsa de Valores de São Paulo – Bovespa, nesta quarta-feira (12/12), a Petrobras recebeu, pela terceira vez consecutiva, o troféu "Categoria Companhias Abertas – A Mais Negociada". O prêmio é um reconhecimento da liquidez crescente das ações da companhia.
As ações preferenciais têm sido as mais líquidas na Bolsa, tanto em número de negócios quanto em volume financeiro. Essa liquidez é importante, pois influencia na participação das ações da Petrobras no cálculo dos pesos relativos dos papéis listados na chamada carteira teórica do Ibovespa. O grande interesse dos investidores faz da Petrobras a empresa com maior peso nesta carteira teórica, o que deverá se repetir no próximo ano, conforme indicou a 1ª prévia para o período de janeiro a abril de 2008.
A conquista do prêmio "A MAIS NEGOCIADA", por três vezes consecutivas, é um dos fatos que demonstram a permanente busca da Petrobras pela ampliação de sua base de acionistas, que apresentou um aumento de 52.385 novos participantes nos últimos dois anos, em parte como conseqüência do desdobramento realizado em setembro de 2005.
O troféu representa o reconhecimento do mercado pelo tratamento equânime dado pela companhia a todos os seus investidores. É, também, uma retribuição pelas iniciativas destinadas a facilitar o acesso de pequenos e médios investidores aos títulos de emissão da Petrobras. Reflete, ainda, a confiança do investidor na aplicação de suas economias em ações de uma companhia cujos investimentos estão inteiramente aderentes à estratégia de atuação divulgada ao mercado.
A atuação transparente, baseada em princípios éticos, no respeito ao meio-ambiente e à sociedade refletiu-se também na manutenção da Petrobras no Índice de Sustentabilidade Empresarial da Bovespa (ISE) e no principal índice mundial dessa categoria, que é o Índice Mundial de Sustentabilidade da Dow Jones (DJSI). A Petrobras espera continuar contribuindo para o fortalecimento e a democratização do mercado de capitais no Brasil e elevar ainda mais a confiança do investidor na sua atuação.
***Comunicação InstitucionalRio, 13/12/2007
Na cerimônia de entrega dos prêmios "Destaques 2007", realizada pela Bolsa de Valores de São Paulo – Bovespa, nesta quarta-feira (12/12), a Petrobras recebeu, pela terceira vez consecutiva, o troféu "Categoria Companhias Abertas – A Mais Negociada". O prêmio é um reconhecimento da liquidez crescente das ações da companhia.
As ações preferenciais têm sido as mais líquidas na Bolsa, tanto em número de negócios quanto em volume financeiro. Essa liquidez é importante, pois influencia na participação das ações da Petrobras no cálculo dos pesos relativos dos papéis listados na chamada carteira teórica do Ibovespa. O grande interesse dos investidores faz da Petrobras a empresa com maior peso nesta carteira teórica, o que deverá se repetir no próximo ano, conforme indicou a 1ª prévia para o período de janeiro a abril de 2008.
A conquista do prêmio "A MAIS NEGOCIADA", por três vezes consecutivas, é um dos fatos que demonstram a permanente busca da Petrobras pela ampliação de sua base de acionistas, que apresentou um aumento de 52.385 novos participantes nos últimos dois anos, em parte como conseqüência do desdobramento realizado em setembro de 2005.
O troféu representa o reconhecimento do mercado pelo tratamento equânime dado pela companhia a todos os seus investidores. É, também, uma retribuição pelas iniciativas destinadas a facilitar o acesso de pequenos e médios investidores aos títulos de emissão da Petrobras. Reflete, ainda, a confiança do investidor na aplicação de suas economias em ações de uma companhia cujos investimentos estão inteiramente aderentes à estratégia de atuação divulgada ao mercado.
A atuação transparente, baseada em princípios éticos, no respeito ao meio-ambiente e à sociedade refletiu-se também na manutenção da Petrobras no Índice de Sustentabilidade Empresarial da Bovespa (ISE) e no principal índice mundial dessa categoria, que é o Índice Mundial de Sustentabilidade da Dow Jones (DJSI). A Petrobras espera continuar contribuindo para o fortalecimento e a democratização do mercado de capitais no Brasil e elevar ainda mais a confiança do investidor na sua atuação.
***Comunicação InstitucionalRio, 13/12/2007
domingo, 9 de dezembro de 2007
Programa Agenda Ambiental na Administração Pública
A sobrevivência das organizações públicas ou privadas estará assentada - sem a menor dúvida - na nossa capacidade de atualizar o seu modelo de gestão, adequando-o ao contexto da sustentabilidade.Esse contexto envolve a inserção de critérios ambientais e sociais, mas é sobretudo uma ambiência nova, um modo de perceber as relações coletivas dentro de um constante aprimoramento da qualidade de vida do trabalhador, sua saúde e bem-estar.O momento em que vivemos é de correção de hábitos de desperdício e desatenção. Há a necessidade de motivar os servidores públicos para estarem abertos a mudanças nos procedimentos administrativos. Essa abertura requer a participação de profissionais de todas as áreas, independentemente de cargo ou grau de responsabilidade, em um processo que deve ser encarado com naturalidade e maturidade, pois além de muito dinâmico, está voltado para as exigências da sociedade e sua economia de mercado.O programa Agenda Ambiental na Administração Pública, identificado como A3P, é, nesta perspectiva, uma ação de caráter voluntário, que pretende induzir a adoção de um modelo de gestão pública que corrija e diminua impactos negativos gerados durante a jornada de trabalho. O meio de conseguir isso é o uso eficiente dos recursos naturais, materiais, financeiros e humanos.Este programa vêm sendo coordenado pela Secretaria de Políticas para o Desenvolvimento Sustentável e tem levado sua experiência aos órgãos governamentais, nos três níveis de governo, mediante solicitação dos interessados.
FELIPE GUTEMBERG
terça-feira, 4 de dezembro de 2007
Parte 4 - apostila de Direito admnistrativo, a empresa privada no meio público. Abaixo os meios pelos quais as empresas podem interagir com o poder público.
1.1. Concorrência nas PPP's
Segundo Edson Ronaldo Nascimento em seu artigo Alternativa do governo - Considerações sobre as Parcerias Público-Privadas, publicado na internet há nas PPP’s, inversão de fases, se assim o edital prever, resultando daí que o julgamento das propostas poderá ocorrer antes da habilitação dos licitantes, igualmente como ocorre nos pregões. Após o julgamento das propostas, será verificada a habilitação apenas do licitante que apresentou a melhor proposta. Se esse licitante estiver habilitado, será considerado o vencedor do certame. Visa tal legislação tornar a concorrência mais rápida e dinâmica, aumentando a competitividade entre os licitantes.
Outra novidade, diz o Autor, é tornar possível a previsão no edital de oferecimento de lances sucessivos em viva voz pelos licitantes, após a abertura dos envelopes com as propostas econômicas. O objetivo é aumentar a competitividade entre os concorrentes.
Traz ainda uma outra inovação a Lei nº 10.079/2004, continua o Autor, que é a possibilidade de saneamento de falhas na habilitação e nas propostas apresentadas. Isso possibilita aos licitantes a apresentação de elementos adicionais às propostas iniciais com vistas a corrigir dados técnicos apresentados, complementar informações, etc. Adverte, no entanto, ser o “dispositivo questionável na medida em que poderá gerar abusos ou mesmo manipulação de propostas e deverá ser acompanhado, quando ocorrer, com cuidado pelo poder público para que não seja prejudicado o certame e se coloque em dúvida todo o processo”.
Brenno Pamplona Cavalcante
1.1. Concorrência nas PPP's
Segundo Edson Ronaldo Nascimento em seu artigo Alternativa do governo - Considerações sobre as Parcerias Público-Privadas, publicado na internet há nas PPP’s, inversão de fases, se assim o edital prever, resultando daí que o julgamento das propostas poderá ocorrer antes da habilitação dos licitantes, igualmente como ocorre nos pregões. Após o julgamento das propostas, será verificada a habilitação apenas do licitante que apresentou a melhor proposta. Se esse licitante estiver habilitado, será considerado o vencedor do certame. Visa tal legislação tornar a concorrência mais rápida e dinâmica, aumentando a competitividade entre os licitantes.
Outra novidade, diz o Autor, é tornar possível a previsão no edital de oferecimento de lances sucessivos em viva voz pelos licitantes, após a abertura dos envelopes com as propostas econômicas. O objetivo é aumentar a competitividade entre os concorrentes.
Traz ainda uma outra inovação a Lei nº 10.079/2004, continua o Autor, que é a possibilidade de saneamento de falhas na habilitação e nas propostas apresentadas. Isso possibilita aos licitantes a apresentação de elementos adicionais às propostas iniciais com vistas a corrigir dados técnicos apresentados, complementar informações, etc. Adverte, no entanto, ser o “dispositivo questionável na medida em que poderá gerar abusos ou mesmo manipulação de propostas e deverá ser acompanhado, quando ocorrer, com cuidado pelo poder público para que não seja prejudicado o certame e se coloque em dúvida todo o processo”.
Brenno Pamplona Cavalcante
Assinar:
Postagens (Atom)