Spam, scan e pirataria: conheça os incidentes no Sul do Brasil

Arquivo do Clipping 2003

15 de setembro de 2003

Veículo: Módulo Security Magazine
Autor: Luis Fernando Rocha

O aumento do número de incidentes de segurança ocorridos até esse exato momento em 2003 nos traz dois avisos importantes: ou as empresas e usuários passam a adotar medidas de segurança como fatores primordiais em seus sistemas, ou em breve a internet se tornará um território sem lei, oásis cada dia mais almejado de nove entre 10 criminosos.

A constatação acima está presente nos principais estudos realizados por grupos de segurança do mundo. Somente no primeiro semestre desse ano, o Computer Emergency Response Team (CERT/CC), centro de pesquisas em segurança na Internet da universidade de Carnegie Mellon, EUA, registrou 76.404 incidentes.

No Brasil, essa realidade transparece nos dados monitorados pelo grupo de resposta a incidentes de segurança NIC BR Security Office (NBSO), ligado ao Comitê Gestor da Internet no Brasil. O levantamento, realizado no mesmo período do estudo do CERT, revela o registro de 20.220 incidentes.

Cenário no Sul do Brasil

Como parte de nosso trabalho em revelar a real situação do mercado de segurança pelo Brasil, nesta semana abordamos com exclusividade o mapeamento de incidentes ocorridos pelas redes no Sul do país.

Esse levantamento é feito mensalmente pelo grupo de resposta a incidentes de segurança CERT-RS. Estruturado a partir de 1995, foi oficialmente montado em 1997 para atender às redes de mais de 50 instituições pertencentes à Rede Tchê e clientes do POP-RS, abrangendo quase toda a comunidade acadêmica do Rio Grande do Sul e totalizando mais de dez mil hosts diretamente expostos à internet.

Para se ter uma idéia de como faz falta uma política eficiente na atualização de sistemas, no primeiro semestre de 2003 o grupo constatou um alto índice de incidentes relacionados com uma antiga vulnerabilidade no Microsoft SQL Server.

"A vulnerabilidade do Microsoft SQL Server foi a que gerou maior impacto na rede, visto que hosts de diferentes instituições foram infectados, gerando um alto tráfego na rede estadual. Nesse acontecimento a equipe do CERT-RS esteve ainda mais empenhada em providências para minimizar e tratar o impacto desta vulnerabilidade", afirmam Leandro Bertholdo e Andrey Vedana, especialistas em segurança do grupo.

Acompanhando os resultados obtidos pelo NBSO no primeiro semestre de 2003, a atividade de worms foi uma das mais efetivas nas redes do Sul. "De forma contínua, a ação dos worms também surpreendeu por seu aumento, visto que tais ocorrências em geral eram descobertas através de scans que os hosts infectados tentavam fazer em outras redes a fim de novas infecções. Por esse motivo, os incidentes envolvendo worms foram agrupados como scans, visto que seu comportamento tem sido muito semelhante aos scans", relatam.

2003: Spam, scan e pirataria

Diante dos resultados obtidos ao longo de 2002 e nos primeiros seis meses de 2003, a equipe do CERT-RS revela que a proporção de spam frente aos demais incidentes contabilizados até julho de 2003 já supera o total obtido nos anos anteriores. "Isso revela um aumento que poderá se tornar ainda mais evidente ao longo de 2003", constatam Vedana e Bertholdo.

Eles explicam que a posição do grupo em tratar o spam como um incidente de segurança, está no fato dessa atividade consumir banda e servidores, além de prejudicar o usuário final. E esses prejuízos se tornam muito preocupantes para o futuro da internet no país. "Lamentavelmente, o Brasil tem sido considerado uma das maiores fontes de spam, segundo países da Europa e América do Norte, provocando o bloqueio de blocos de IP que envolvem inclusive instituições não diretamente relacionadas", revelam.

Além do aumento do tráfego de spam, o grupo relata que as atividades de scanning têm sido contínuas e devem se manter altas nos próximos meses. Os especialistas do Sul revelam ainda o surgimento de uma nova categoria de incidentes: denúncias de pirataria, a partir do uso de software P2P, como o Kazaa e assemelhados, por parte de gravadoras como a Universal Studios. "Hoje eles estão agrupados na categoria de 'Outros Incidentes'. Porém, logo os incidentes com pirataria estarão ocupando um grupo exclusivo para essa natureza frente ao aumento de suas ocorrências", constatam.

Importância de medidas de segurança

Para diminuir o tráfego de spam, um dos incidentes mais registrados nos últimos anos, o CERT-RS tomou duas atitudes. "A tarefa primária, desenvolvida desde 2000, é a de evitar que hosts da Rede Tchê estejam vulneráveis a mail relay, permitindo o envio de SPAM por terceiros. Tal tarefa tem envolvido a aplicação de testes pró-ativos desta vulnerabilidade, periodicamente realizado nas redes clientes do CERT-RS, o que tem diminuído a ocorrência de envio de SPAM a taxas muito pequenas", explicam.

A segunda foram as medidas de proteção para o recebimento de spam, através de testes com ferramentas, como o SPAMAssassin, com intuito de oferecer recomendações as instituições clientes. "Adicionalmente, o CERT-RS, em conjunto com o POP-RS, tem realizado uma análise de fluxos envolvendo a porta 25 (SMTP), com o objetivo de observar o crescimento e comportamento desse padrão de tráfego, juntamente com seu impacto no tráfego global", revelam.

Fatores para o aumento dos incidentes

Segundo a equipe do CERT-RS, um dos principais fatores que contribui para o aumento de incidentes no país é a indiferença de alguns provedores em relação ao tratamento de incidentes envolvendo seus usuários.

Outra questão apontada pelos especialistas é o aumento dos serviços de banda larga. "Infelizmente não tem se observado a devida preocupação no impacto de segurança que o uso indiscriminado de tais serviços pode atingir. Freqüentemente isso tem feito com que blocos do Brasil estejam listados como mais vulneráveis e como maiores concentradores de ataques a redes de toda a Internet", explicam Bertholdo e Vedana.

Recomendações de segurança

Leandro Bertholdo e Andrey Vedana explicam que o mais importante no combate e prevenção de incidentes de segurança no país é que todo o qualquer administrador ou usuário esteja atento a dinamicidade em que novas vulnerabilidades e ataques são descobertos, diante do leque cada vez maior de serviços e aplicações na Internet.

Assim, eles indicam que técnicas de firewall, IDS e controle/análise de fluxos sejam estudadas e aplicadas sempre de acordo com o cenário existente. "Tais técnicas, se bem empregadas, podem evitar um grande número de incidentes, além de auxiliar em sua detecção pró-ativa e tratamento", afirmam.

Para finalizar, os especialistas sugerem para os usuários finais a utilização de pacotes atualizados de antivírus, além do uso de firewalls pessoais em seus computadores.