Guia do Servidor Linux

Capítulo 8. Segurança no Servidor
Consulte outras informações na Internet no site Linux IP Masquerade Resource
(http://ipmasq.cjb.net); você pode encontrar informações sobre configuração do
“IP Masquerade” no site Masq Apps (http://www.tsmservices.com/masq/).
Verificando a Integridade do Sistema
Uma das primeiras ações de um invasor costuma ser substituir arquivos e programas
do sistema com o intuito de mascarar sua visita atual e, principalmente,
facilitar as visitas futuras. Portanto, se houver a possibilidade de verificar a integridade
de arquivos do sistema, há uma grande possibilidade de detectar uma
invasão. E o melhor é que este recurso permite que se saiba quais arquivos foram
modificados, possibilitando que o administrador decida entre reinstalar o sistema
ou apenas substituir o arquivos alterados pelos originais.
Após perceber que a máquina foi invadida, o administrador costuma analisar o
sistema utilizando programas como ps, ls, netstat e who. Ocorre que estes programas
são os primeiros a serem substituídos, ocultando, assim, a invasão e o invasor
propriamente dito. Mesmo que se tenha a informação de data e tamanho dos
arquivos originais, estas informações, sozinhas, não podem ser utilizadas como
parâmetro, pois podem ser facilmente modificadas. Contudo, se além destas informações
estiver disponível algo como o checksum MD5 dos arquivos, torna-se
bem mais simples encontrar arquivos indevidamente modificados.
O AIDE (Advanced Intrusion Detection Environment) é um programa que tem
justamente a finalidade de verificar a integridade dos arquivos do sistema. Ele
constrói uma base de dados com várias informações dos arquivos especificados
em seu arquivo de configuração. Esta base de dados pode conter vários atributos
dos arquivos, como:
• permissões;
• número do inode;
• dono;
• grupo;
• tamanho;
225