Esse artigo é uma cartilha de segurança que deve ser seguida pelos administradores de sistemas. Nele abordaremos desde a concepção de um ataque, sua prevenção, detecção e rastreamento de um invasor, além de aprendermos também como recuperar arquivos excluídos do sistema.
Parte 3: Descobrindo como o invasor entrou no seu sistema
*/ SysLog */
Quase tudo que acontece em seu sistema Linux é gravado no
syslog, pois todo e qualquer programa pode gerar um log
deste tipo, que será enviado para o syslogd.
O syslogd deve ser configurado de maneira que tudo possa
ser gravado em disco. O seu arquivo de configuração se encontra
em /etc/syslog.conf. Configure o syslog como descrito
abaixo:
*.* /var/log/syslog
Assim o sistema estará configurado para gravar todo tipo de log,
até mesmo um log de uma conexão remota a partir de um serviço shell.
*/ Logs no Apache */
/usr/local/apache/logs
Os logs gerados pelo Apache são uma grande arma contra o
invasor, por serem preciosos. Um exemplo disso: quando o invasor
altera a página, ele sempre entra nela para ver o seu feito. Quando
ele entra pra visualizar a página, o Apache grava a hora, data e o
IP do mesmo, ficando fácil descobrir quando o arquivo da página
principal foi alterado e, logo depois, o acesso foi feito.
Com certeza, o primeiro acesso feito é do invasor.
*/ TcpDump */
TcpDump é uma ferramenta de captura de pacotes que, estando
ativo no sistema, irá interceptar e avaliar os pacotes recebidos. O
comando abaixo pode executar o software em uma operação de
interceptação sem filtragem, sendo exibido o resultado no terminal.
# tcpdump tcpdump: listening on eth0
Onde procurar provas: procure por IPs suspeitos e grave as horas e
datas dos pacotes recebidos. Maiores informações sobre tcpdump:
#1Comentário enviado por JuNiOx em 08/01/2004 - 02:48h
ae xpapas, muito legal seu artigo! primeiro de vários né? ;-)
mas.. melhor que teu artigo tá essa foto heim? hehehe
falowz
JuNiOx
#2Comentário enviado por removido em 08/01/2004 - 05:01h
hehehe, fiquei bem na foto ne' ?
faze o que quem mandou eu ser lindo huauhahua
Valeu, que bom que gostou do artigo, espero que este seja o primeiro de vários :)
#3Comentário enviado por malako em 08/01/2004 - 11:07h
muito louko esse artigo . parabens
#4Comentário enviado por tudo03 em 11/01/2004 - 19:38h
legal mesmo.
#5Comentário enviado por faiper em 11/01/2004 - 22:24h
FICOU MASSA =]
#6Comentário enviado por removido em 14/01/2004 - 17:45h
Muito bom esse arquivo. Mais tenho um critica a fazer.
Vc fala de olhar os logs de sistemas pra indentificar se houve invasão ou para saber o que foi alterado (no caso da invasao).. Nao acho que isso seja possivel. Se eu fosse um hacker a primeira coisa que eu faria. seria limpar meus rastros. (logs).. E acho que a marioria deles fazem isso.
Valeu.. ate +
#7Comentário enviado por removido em 17/01/2004 - 16:47h
hehe com certeza
como dizem " os verdadeiros hacker nunca são pegos"
pq sabem ocultar seus rastros, mas o que mais temos hoje em dia são Kids/defacers que o que sabem fazer é apenas copilar um exploit ( de terceiros) e executar, e nao se lembram ou talvez nem saibam como apagar os logs :)
Mas valeu pela critica, acima de critica que vamos nos aperfeicoando e acertando cada dia mais
Thanks :)
#8Comentário enviado por y2h4ck em 18/05/2004 - 10:35h
"Entrar em contato com as autoridades locais de seu estado. Sim, literalmente, chame a polícia informando o sobre o caso e orientando - se sobre como você poderá proceder; Se o invasor for pego, ele poderá responder a processos"
Muito dificil isso ocorrer devido a inesperiencia da pessoa que manipula a maquina alvo. O alvo comprometido pode ter as infos de provas do crime facilmente anteradas e informações as vezes de suma importancia sao perdidas.
Se todo admin soubesse como preservar a maquina que foi comprometida de maneira correta a ter uma prova lícita aceita como prova em um tribunal ai sim ... caso contrario vc vai ter apenas um boletim de ocorrencia em suas mãos e nenhum resultado realmente interessante.
Regards.
#9Comentário enviado por lacierdias em 26/05/2004 - 23:35h
mandou bem....
#10Comentário enviado por Grillo em 31/05/2004 - 21:21h
Imagina a policia chegando na sua casa e voce falando que ele estao la por causa que seu pc foi invadido! ahuauhauuah
infelizmente o Brasil ainda nao tem essa maturidade
#11Comentário enviado por removido em 01/06/2004 - 13:29h
Falaê galera, tenho recebi vários comentário sobre o fato, de que não irá adiantar nada a respeito de avisar as autoridades competentes no caso de invasão de sistemas, isto com certeza, nós não temos leis especificas em vigor, mas podemos enquadrar os "invasor" em outras leis já existente.
Um site muito bom, e util sobre o assunto é o http://www.modulo.com.br/ lá você irá encontrar várias maneiras de se portar durante uma invasão. Com certeza é um site que deve ser adicionado ao favoritos de qualquer administrador de sistemas.
Não estou discordando dos amigos, sobre que o Brasil ainda é muito imaturo no caso de crimes virtuais, apesar do Brasil liderar os TOP 10 de invasões em todo mundo ( veja site www.zone-h.com ) , não existem leis em vigor para punir o invasor, mas pode muito causar uma [*****] dor de cabeça, para o acusado!
[]'s
Rafael Lamana
#12Comentário enviado por removido em 15/07/2004 - 12:34h
kra muito bom seu artigo.....do kralho!
foi mal o palavreado, mas eu tava procurando algo sobre segurança e achei oq eu keria saber!!
valeu mesmo!
t+
#13Comentário enviado por Xxoin em 16/07/2004 - 00:09h
Muito bom seu artigo!
Que tal mandar uma Parte_II, tratando de IDS, etc...????????
#14Comentário enviado por cherokee em 18/07/2004 - 20:54h
Very good!
Agora só me falta um artigo sobre IDS, SNORT-ACID!
Vc tem ai? Obrigado!!!
#15Comentário enviado por tr3t4 em 30/10/2004 - 09:49h
e ai rafa...Teu artigo fico massa cara, bem completo e detalhado continue assim e que os próximos sejam ainda melhores ;)
e naum esqueça... Slackware na veia!!!
#16Comentário enviado por removido em 07/02/2006 - 22:18h
Muito bom o artigo.
Correto para administradores que já tiveram seu sistema comprometido.
Parabéns!
Rafael Lamana
#17Comentário enviado por thorking em 08/08/2006 - 00:25h
lol cara parabens cada vez admiro mais esse site! aprendo pacas!
bem detalhado!
exceto a parte de procurar as autoridades locais, eles nunca fazem nada mesmo!
#18Comentário enviado por Tainan em 14/08/2007 - 22:03h
De parabéns! :)
#19Comentário enviado por diogojp em 06/11/2008 - 21:36h
Ótimo artigo
Mas a realidade e,,,,,,,,,
Em 99,99% dos casos os administradores de servidores estão mais preocupados em restabelecer o sistema que o invasor fica esquecido.
Sem contar que em grande parte dos casos o administrador quer mais e ocultar a invasão. Evitando ter que dar maiores explicações sobre o fato.
Preferências de cookies
Usamos cookies essenciais para manter o site funcionando. Cookies de estatísticas e anúncios só serão carregados se você permitir.
mas.. melhor que teu artigo tá essa foto heim? hehehe
falowz
JuNiOx