RNP > RNP na mídia > 2002

Lista SANS/FBI de vulnerabilidades está em português

Terra

Giordani Rodrigues

26.02.2002

A lista das 20 vulnerabilidades de segurança mais críticas da Internet agora pode ser consultada em português. A relação foi preparada pelo Sans Institute e pelo FBI e foi divulgada inicialmente em inglês, em outubro do ano passado. As vulnerabilidades mais perigosas foram divididas em três categorias: as gerais, que podem atingir qualquer site, as específicas do Windows, e as específicas de sistemas Unix.

Entre as vulnerabilidades gerais, chama a atenção o fato de que as maiores fraquezas decorrem de desatenção dos próprios administradores de sistemas. Isto inclui: instalação padrão de sistemas operacionais e aplicativos; contas sem senhas, ou com senhas facilmente identificáveis; backups e logs inexistentes ou incompletos; grande número de portas desnecessárias abertas nos sistemas; ausência de filtros de pacotes de entrada e saída de dados.

Entre as principais vulnerabilidades do Windows e do Unix também se encontram algumas largamente divulgadas. No caso do Windows, a lista inclui o famoso bug Unicode, conhecido por qualquer garoto candidato a "hacker" e que já possui correção há cerca de um ano e meio.

Entre as vulnerabilidades do Unix ainda muito exploradas estão as chamadas RPC (Remote Procedure Call), que permitem que programas de um computador executem tarefas num outro computador. Segundo o Sans, "há evidências de que a maioria dos sistemas que participaram dos ataques DDoS ocorridos durante 1999 e 2000, foi comprometida por meio de vulnerabilidades no serviço de RPC". O ataque contra sistemas militares dos E.U.A. conhecido como "Solar Sunrise", também explorou uma falha do RPC encontrada em centenas de sistemas no Departamento de Defesa daquele país.

A lista do Sans/FBI, batizada de Top 20, vem sendo atualizada constantemente, à medida que novas descobertas e procedimentos de segurança são divulgados. O documento também possui seções extras, como uma relação das portas associadas aos serviços verificados e atacados com maior freqüência, e métodos manuais para verificar se um sistema possui ou não as vulnerabilidades mencionadas.

Há ainda uma lista das ferramentas que automatizam a identificação dos problemas, entre as quais uma chamada Sara, criada por Bob Todd e projetada especificamente para identificar a presença das vulnerabilidades da lista "Top 20". A ferramenta pode ser baixada aqui.

A tradução do documento foi um trabalho conjunto de Mike Poor, da empresa Compugenx e de pesquisadores do Centro de Atendimento a Incidentes de Segurança (Cais) da Rede Nacional de Ensino e Pesquisa (RNP). A versão em português pode ser encontrada aqui .

fonte: http://www.terra.com.br/informatica/2002/02/26/002.htm