Expediente editorial

Diretor Geral
Rafael Peregrino da Silva
Artífices da história
rperegrino@linuxmagazine.com.br
Editores
Em uma madrugada (insone) dessas, estava assistindo novamente ao
Flávia Jobstraibizer filme Forrest Gump: O Contador de Histórias (título nacional do filme de
fjobs@linuxmagazine.com.br
Robert Zemeckis, com Tom Hanks no papel-título). Por obra e graça de

EDITORIAL
Kemel Zaidan
kzaidan@linuxmagazine.com.br
alguma conjunção universal, também estava lendo no livro A Cabeça de
Editora de Arte
Larissa Lima Zanini Steve Jobs um trecho no qual o fundador da Apple comenta que, mais do
llima@linuxmagazine.com.br
que ser bem-sucedido em suas empreitadas comerciais, ele está preocupado
Colaboradores
Alexandre Borges, Alexandre Santos, Augusto em deixar uma marca no universo. Forrest Gump acabou por deixar uma
Campos, Hans-Peter Merkel Kay-Uwe Königsman,
James Mohr, Kurt Seifried, Marcel Gagné, marca no universo, pois, mais do que contar suas histórias, ele as viveu. Isso
Markus Feilner, Michael Gotwald, Oliver Kluge,
Stefan Wintermeyer, Thomas Bader.
requer obstinação, algo que também não falta a Steve Jobs, além de uma
Tradução visão que beira a profecia e que leva o visionário a uma quase certeza de suas
Pablo Hess, Emersom Satomi, Michelle Ribeiro
aspirações e de seus planos estarem fadados ao sucesso. A história é pródiga
Editores internacionais
Uli Bantle, Andreas Bohle, Jens-Christoph Brendel,
de exemplos desse tipo, e a maioria esmagadora deles comungava de um
Hans-Georg Eßer, Markus Feilner, Oliver Frommel, traço comum, que ia além da própria obstinação: o acesso à informação –
Marcel Hilzinger, Mathias Huber, Anika Kehrer,
Kristian Kißling, Jan Kleinert, Daniel Kottmair, ou a uma infraestrutura qualquer que garantia esse acesso. Esse ambiente
Thomas Leichtenstern, Jörg Luther, Nils Magnus.
de troca aberta de ideias, com mentes brilhantes concentradas em resolver
Anúncios:
Rafael Peregrino da Silva (Brasil) tarefas similares, em um regime de saudável coopetição, foi decisivo para
anuncios@linuxmagazine.com.br
Tel.: +55 (0)11 3675-2600
dar cabo de problemas embricados e introduzir a revolução que culminou
Penny Wilby (Reino Unido e Irlanda)
na criação da Teoria da Relatividade e da Mecânica Quântica.
pwilby@linux-magazine.com O ato de criação é profundamente marcante e impele a cultura e o avan-
Amy Phalen (América do Norte)
aphalen@linuxpromagazine.com ço humanos desde que “descemos das árvores”. Entretanto, essa atividade é
Hubert Wiest (Outros países) fortemente influenciada pelas condições de contorno da sociedade em que
hwiest@linuxnewmedia.de
Diretor de operações
ela acontece. Não fosse Charles Darwin um homem de princípios, e um res-
Claudio Bazzoli peitado membro da nobreza britânica quando da época da criação da Teoria
cbazzoli@linuxmagazine.com.br
da Evolução, Alfred Russel Wallace, o biólogo de origem humilde que vinha
Na Internet:
www.linuxmagazine.com.br – Brasil trabalhando por mais de uma década na mesma teoria, jamais teria recebido
www.linux-magazin.de – Alemanha
www.linux-magazine.com – Portal Mundial crédito algum na co-autoria da importante revelação da referida teoria. Assim,
www.linuxmagazine.com.au – Austrália
www.linux-magazine.es – Espanha
na vasta maioria das vezes, não basta pioneirismo ou brilhantismo para que as
www.linux-magazine.pl – Polônia
www.linux-magazine.co.uk – Reino Unido
ideias e conceitos floresçam. Há todo um entorno que, senão imprescindível,
www.linuxpromagazine.com – América do Norte é fundamentalmente determinante para dar vazão à genialidade humana.
Afinal, atores só podem brilhar quando há plateia para aplaudir.
Apesar de todos os cuidados possíveis terem sido tomados
durante a produção desta revista, a editora não é responsável No segmento da TI, a situação desse ambiente de criação era precária,
por eventuais imprecisões nela contidas ou por consequên-
cias que advenham de seu uso. A utilização de qualquer ma- até que Richard Stallman definiu o conceito de Software Livre em meados
terial da revista ocorre por conta e risco do leitor.
da década de 1980. Isso levou a IDC a afirmar em 2006 que “o software de
Nenhum material pode ser reproduzido em qualquer meio, em
parte ou no todo, sem permissão expressa da editora. Assume-se código aberto é a iniciativa mais importante e abrangente em tecnologia da
que qualquer correspondência recebida, tal como cartas, emails,
faxes, fotografias, artigos e desenhos, sejam fornecidos para pu- informação desde os anos 1980”. Essa iniciativa permitiu o assentamento
blicação ou licenciamento a terceiros de forma mundial não-ex-
clusiva pela Linux New Media do Brasil, a menos que explicita- das bases de um ecossistema aberto de desenvolvimento de software que
mente indicado.
culminou na criação do Linux na década seguinte, abriu as portas para a
Linux é uma marca registrada de Linus Torvalds.
Linux Magazine é publicada mensalmente por:
ascensão do Google e do Facebook uma década mais tarde, levou à criação
Linux New Media do Brasil Editora Ltda. da Wikipédia e conduziu à materialização do conceito de computação em
Rua São Bento, 500
Conj. 802 – Sé nuvem como o conhecemos hoje, bem como disseminou o uso da compu-
01010-001 – São Paulo – SP – Brasil
Tel.: +55 (0)11 3675-2600 tação móvel. Tudo isso – inclusive o kernel dos produtos da Apple, que iro-
Direitos Autorais e Marcas Registradas © 2004 - 2011–: nicamente foi batizado com o codinome Darwin e é baseado no kernel do
Linux New Media do Brasil Editora Ltda.
Impressão e Acabamento: RR Donnelley FreeBSD – tem como base o Software Livre. Esse ecossistema democratiza
Distribuída em todo o país pela Dinap S.A.,
Distribuidora Nacional de Publicações, São Paulo. a atividade de criação de software em todas as plataformas e nos transforma
Atendimento Assinante de partícipes em potenciais artífices da história da tecnologia. Agora, cabe
www.linuxnewmedia.com.br/atendimento
São Paulo: +55 (0)11 3512 9460 a cada um escolher se deseja ser ator ou permanecer um telespectador da
Rio de Janeiro: +55 (0)21 3512 0888
Belo Horizonte: +55 (0)31 3516 1280
história contada por esse filme.
ISSN 1806-9428 Impresso no Brasil printf(“G0, F0rr3st, g0!\n”);

Rafael Peregrino da Silva

Diretor de Redação

Linux Magazine #76 | Março de 2011 3

ÍNDICE

CAPA
Segurança em alta 29
Monitorar e manter seu sistema e rede seguras,
atualmente não é mais um bicho de sete cabeças.

Identidade livre e segura 30

A CAcert fornece diversas opções a seus membros
para obter certificados digitais gratuitos.

Invasão com Metasploit 36

O framework para testes de invasão Metasploit fornece
todas as ferramentas que os agressores usam – você
pode até praticar suas habilidades em um servidor
propositalmente inseguro que acompanha o pacote.

Monitoramento eficiente 42
Se você precisa monitorar redes de grande escala, vai precisar
de um software poderoso. O OpenNMS oferece recursos
robustos de monitoramento em um pacote aberto.

Câmera indiscreta 47
Já imaginou o que mais você poderia fazer com sua webcam?
Apresentamos algumas ferramentas para configurar um
sistema doméstico de câmeras de monitoramento.

Em órbita 52
Preveja e rastreie a órbita de satélites e controle equipamentos de
rádio amador com o software de rastreamento de satélites gpredict.

4 www.linuxmagazine.com.br
 Linux Magazine 76 | ÍNDICE

COLUNAS SEGURANÇA
Klaus Knopper 08 Dados seguros 62

Charly Kühnast 09
Augusto Campos 12
Zack Brown 14
Kurt Seifried 16
Alexandre Borges 18

NOTÍCIAS
Geral 20
➧ Mistura de telefone e console portátil da
Sony será lançado com Android 2.3 Um pequeno descuido pode custar a você horas de trabalho extra ou
milhares de reais para sua empresa. Conheça algumas ferramentas
➧ Canonical disponibiliza Ubuntu 11.04 Alpha 2
de backup para ajudar na prevenção e recuperação de falhas.
➧ Qt não será plataforma de desenvolvimento para
telefones Nokia equipados com o Windows Proteção de servidores web 70
➧ Logmein apresenta protótipo de aplicativo para
tablets Android Honeycomb no MWC
➧ Parceria entre NVIDIA e Samsung dá origem ao tablet Galaxy Tab 10.1

CORPORATE
Notícias 22
➧ Dell compra a SecureWorks
➧ Tuxera passa a fazer parte da Linux Foundation
➧ Servidores vendidos pela Dell nos EUA terão o
Ubuntu Enterprise Cloud pré-instalado
Até mesmo servidores web configurados e atualizados com
➧ HP anuncia novo diretor de vendas da divisão
correções de segurança, podem ser comprometidos por
Enterprise Services no Brasil
conta de vulnerabilidades em aplicações web. O mod_security
➧ Exército Brasileiro disponibiliza nova solução no Portal do Software Público é uma extensão do Apache que atua como um firewall de
➧ Intel se diz desapontada com parceria entre Nokia e Microsoft aplicação para proteger o servidor web de ataques.

Entrevista com Victor Arnaud 24

A ALOG, é um dos principais datacenters do Brasil e atende TUTORIAL
aproximadamente 1.200 clientes corporativos nas capitais do
VoIP com Asterisk – parte V 76
Rio de Janeiro e São Paulo. Confira a entrevista realizada com
Victor Arnaud, diretor de processos e produtos, e que fala sobre
os planos para este ano no mercado de cloud corporativo.

Coluna: Jon “maddog” Hall 26

Coluna: Alexandre Santos 28

REDES
Nomes seguros 56

O sistema telefônico ultrapassado, presente até pouco

tempo atrás nas empresas, é prolífico em cobranças:
cada novo recurso ativado requer uma nova ativação de
serviço, com o preço adicionado ao pagamento mensal.
É hora de mudar. É hora de criar sua própria central VoIP.

SERVIÇOS
São necessários vários elementos para fortalecer o vulnerável sistema Editorial 03
DNS legado: um protocolo estável, servidores de nome confiáveis, Emails 06
configuração eficiente e, acima de tudo, chaves. Após longa espera, o Linux.local 78
DNSSEC finalmente está disponível para a zona-raiz, e os domínios de
topo já estão evoluindo ao oferecer compatibilidade com a tecnologia. Preview 82

Linux Magazine #76 | Março de 2011 5

 Coluna do Augusto
A opinião de Linus
COLUNA
Em entrevista, Linus Torvalds dá sua opinião
sobre as distribuições Debian e Ubuntu.
A Linux.conf.au (LCA) [1] é um evento australiano
que há alguns anos faz parte do calendário do Linux, e
que tradicionalmente conta com a presença do criador
do sistema, o finlandês Linus Torvalds.
Linus, aliás, tem longos laços com a Austrália – foi lá
que, em um zoológico da capital, o desenvolvedor foi
bicado, ainda na primeira metade da década de 1990,
por um pinguim – fato que acabou tendo relação com
a escolha do mascote do Linux.
Já é fato esperado que, a cada participação na LCA,
Linus dê entrevistas a veículos variados, frequentemente
não se furtando a responder questões sobre temas inco-
muns ou mesmo a perguntas difíceis.  chave do sistema operacional certamente deve ter feito
E na LCA deste ano não foi diferente: entrevistado
por um mantenedor do blog OMG!Ubuntu, o criador
original do kernel deu sua opinião sobre o Ubuntu e,
de quebra, comentou o que pensa sobre o Debian [2].
Claro que todos somos livres para concordar ou dis-
cordar, mas como se trata de uma opinião vinda de fon-
te relevante, vale a pena conhecer e ter assunto para a
hora do cafezinho do lado de fora da sala de servidores.
Sobre o Ubuntu, o resumo é que Linus o testou al-
gumas vezes ao longo dos anos, enfrentou problemas e
desistiu de utilizá-lo – mas ele entende que desenvolve-
dores do kernel não são o público-alvo da distribuição.
A razão pela qual ele diz que testou o Ubuntu é curio-
sa: segundo ele, a razão principal é “o que o Ubuntu faz
tão bem, que é deixar o Debian usável”. Se o comen-
tário não foi claro o suficiente, ele explica: “Sempre
senti que o Debian era um exercício sem uma razão,
porque para mim a razão para uma distribuição é fazer
tudo ficar mais fácil. Fácil de instalar, de ficar bonito,
amigável, e o Ubuntu fez isso ao Debian.”
Humildemente discordo de Linus: não gosto de pro-
dutos que se tornam mais complexos do que o necessá-
12
rio, mas não acho que toda distribuição é obrigada a ter
a facilidade como seu critério principal. Mas estamos
de acordo quanto à conclusão: o Ubuntu também me
parece muito mais usável e, ao contrário do finlandês,
eu faço parte do seu público-alvo, e o uso.
E ele vai além no louvor: “Penso que o Ubuntu fez
um trabalho realmente bom em tornar o Linux dispo-
nível a um público maior e diferente, o tipo de público
que vem de uma experiência intrínseca com Windows
e Mac OS X.”
Elogios não enchem a barriga de ninguém, mas ter
esse tipo de endosso por parte de um desenvolvedor-
a alegria de muitos dos seus distribuidores e colabo-
radores do Ubuntu – assim como acontece com seus
pares entre distribuições que ele realmente usa em seu
desktop, como o Fedora.
Não vejo grande graça ou vantagem em discutir
distribuições como se fossem times de futebol, mas o
assunto é sempre popular, portanto ficam registrados
novos argumentos para manter abastecidos os debates
nos próximos meses! ■
Mais informações:
[1] Linux Conference Austrália:
http://lca2011.linux.org.au/
[2] Entrevista com Linus publicada no blog omgbuntu.com:
http://www.omgubuntu.co.uk/2011/01/our-
exclusive-interview-with-linus-torvalds-lca2011/
Augusto César Campos é administrador de TI e, desde 1996, mantém o
site BR-linux.org, que cobre a cena do Software Livre no Brasil e no mundo.
www.linuxmagazine.com.br
 Coluna do Alexandre
Você se valoriza
COLUNA
adequadamente?
A importância da especialização, vai além das fronteiras da
remuneração, passando atualmente pelo descaso e desvalorização
dos profissionais em algumas empresas do mercado.
É
curioso observar como cada vez mais algumas
empresas estão praticando o pagamento de sa-
lários menores para seus funcionários, mesmo
que estes se tornem cada vez mais especializados e
completos e consigam – com muito esforço e estudo –
certificações na área de TI.
As certificações de TI estão muito elaboradas atual-
mente e criam os melhores filtros possíveis para con-
firmar que os candidatos a suas provas sejam, de fato,
merecedores das certificações que elas lhes concede.
Entre estas certificações mais populares estão: Red Hat
(RHCE e RHCA), Novell (CLP e CLE), Oracle (OCP
e Solaris), EC-Coucil (CEH e CHFI), VMware (VCP
e VCAP), (ISC)2 (CISSP), LPI (LPIC 1, 2 e 3), Cisco
(CCNP, CCNA e CCIE), Symantec (Netbackup, Ve-
ritas Cluster, BE, SEP) etc. Não preciso dizer o quanto
essas empresas ou organizações notáveis dedicam de
esforço e empenho para criar uma marca que tenha
valor no mercado de trabalho mundial.
Na ampla maioria dos países, ter uma certificação
dessas representa a certeza de que o profissional está
apto a lidar com aquela tecnologia associada e mais
ainda: o peso dessas provas é, inclusive, maior do que
determinados títulos acadêmicos, por vários motivos.
Primeiro, pela qualidade. Segundo, porque, atualmente,
o ensino proporcionado pelas universidades (sobretudo
no Brasil) é via de regra sofrível e o estudante recém
formado não tem condições de atuar no mercado de TI.
Terceiro, por exigir uma educação continuada, ou seja,
impedir o comodismo de simplesmente não se dedicar
mais a aprender.
Mesmo com todos esses argumentos, é muito pro-
vável que você já tenha ouvido a frase: “Ter certifica-
ção não quer dizer nada”. Se você ouviu isso, pode ter
certeza de que quem disse isso a você é incompeten-
18
te para ser aprovado na avaliação para a certificação
e, quase com certeza, não sabe do que está falando.
Essa frase pode vir de um profissional de baixa quali-
ficação ou mesmo de um contratante que está dimi-
nuindo o esforço do profissional certificado para não
precisar valorizá-lo e, assim, não ter de pagar aquilo
que ele vale. Aliás, vou além, perguntando quem está
mais apto: os departamentos de educação das multi-
nacionais e/ou organizações que empregam tempo,
expertise e dinheiro para qualificar os profissionais
seguidores de suas tecnologias ou alguns gerentes de
TI que muitas vezes nunca lidaram com uma tecno-
logia complexa e sabem, no máximo, enviar emails
ou fazer apresentações?
Isso, acima de tudo, representa uma inversão de me-
tas e valores: ao invés de algumas pequenas e médias
empresas terem como objeto o lucro sobre a venda do
seu produto ou serviço para o cliente, no Brasil, essas
empresas tentam aumentar seu lucro sobre o funcioná-
rio, pagando menos do que o merecido. Há duas razões
para esse comportamento: a conivência de profissionais
que aceitam valores abaixo da sua qualificação por ne-
cessidade de ganhar dinheiro, todavia desvalorizando
todos os outros profissionais de sua área; e a má forma-
ção de gestores, que ainda acreditam ingenuamente
que apresentar resultados de cortes de custos de curto
prazo é mais relevante do que o crescimento sólido da
companhia, sobretudo através da evolução e motivação
profissional dos seus comandados.
É possível ter profissionais certificados que não este-
jam aptos o suficiente para exercer o cargo pretendido?
Claro que sim. Porém, quantos profissionais não certi-
ficados têm ainda menos condições de atuar naquele
cargo? Certamente um número muito maior. É fato
que o advento dos simulados deturparam, de início,
www.linuxmagazine.com.br
alguns resultados de provas; con-
tudo, isso já foi melhorado pelas
principais empresas certificadoras
através de tarefas práticas em suas
provas ou, no caso das avaliações
com questões teóricas, do pedido
de análise de cenários e resoluções
de situações críticas.
Outro ponto indispensável é
não acreditar que o fato de saber
uma série de comandos e proce-
dimentos seja saber tecnologia.
Para qualquer analista que exe-
cute sempre os mesmos proce-
dimentos, é quase certo que ele
vá acabar decorando tais infor-
mações. No entanto, apenas os
grandes profissionais entendem
de fato os conceitos envolvidos,
as possibilidades da tecnologia e
sabem raciocinar de modo fun-
damentado para encontrar so-
luções para problemas novos e
projetos desafiadores.
O mercado de TI é muito com-
petitivo e por esse motivo meu
conselho é: estude bastante, não
se importe com profissionais que
não têm a mesma competên-
cia que você e, sempre quando
alguma empresa se propuser a
pagar menos do que você real-
mente vale, mude de empresa.
As melhores companhias estão
interessadas nos lobos. Deixe as
ovelhas para empresas que, com o
passar do tempo, irão desaparecer
do mercado. ■

Gostou do artigo?
Este artigo no nosso site:
http://lnm.com.br/article/4839

Alexandre Borges (alex_sun@terra.com.br,

twitter: @ale_sp_brazil) é Especialista Sênior
em Solaris, OpenSolaris e Linux. Trabalha com
desenvolvimento, segurança, administração e
análise de desempenho desses sistemas ope-
racionais, atuando como instrutor e consultor.
É pesquisador de novas tecnologias e assun-
tos relacionados ao kernel.

Linux Magazine #76 | Março de 2011 19

 Coluna do Alexandre Santos
CORPORATE
O Linux salvou
os mainframes?
O que mudou com a presença do Linux nos mainframes?
Por que esse casamento tem sido tão feliz, mesmo antes
do lançamento recente dos mainframes híbridos?
T
enho visto nos últimos anos vários especialistas
e “interessados” afirmarem que o fato do Linux
ter sido portado em alta plataforma “salvou” es-
ses dinossauros da extinção. Será?
Para avaliarmos se esta afirmativa faz sentido, é impor-
tante voltar um pouco no tempo. Se observarmos o cenário
de 1999 para cá, podemos perceber que a carga não-linux
nos mainframes continua sadia e sem nenhum sinal de que
será substituída. O uso de mainframes com outros sistemas
está em alta, pois os fornecedores de hardware específico
ainda têm o compromisso de manter em funcionamento,
mesmo nas máquinas recentes, os bilhões de dólares de in-
vestimento já realizados pelos clientes há décadas. Mesmo
hoje, a quase totalidade das transações financeiras mun-
diais passa por uma máquina destas, por suas imbatíveis
características de robustez, segurança e escalonabilidade.
Mas, enfim, o que mudou com a presença do Linux nos
mainframes? Por que esse casamento tem sido tão feliz, mes-
mo antes do lançamento recente dos mainframes híbridos?
Para facilitar um pouco a compreensão dessa parce-
ria campeã pinguim-dinossauro, é importante fazermos
uma rápida comparação entre o que foi considerado por
Através das ferramentas de
virtualização do mainframe,
provisionar um ambiente inteiro
de servidores Linux incluindo
produção, homologação e testes
em centenas de máquinas se
torna uma tarefa corriqueira,
otimizada, eficiente e segura.
28
muitos estrategistas militares uma das maiores revolu-
ções em máquinas de guerra: “o porta-aviões”.
Essa invenção foi capaz de aliar o benefício de carre-
gar com segurança enormes contingentes e toneladas de
carga bélica à flexibilidade dos pequenos e ágeis aviões,
sendo capazes de serem provisionados rapidamente e se
infiltrar nas linhas inimigas com eficiência e excelente
relação custo benefício.
Através das ferramentas de virtualização do mainframe
(avós dos atuais hypervisors), provisionar um ambiente
inteiro de servidores Linux incluindo produção, homo-
logação e testes em centenas de máquinas se torna uma
tarefa corriqueira, otimizada, eficiente e segura. Grandes
clientes, mesmo aqui no Brasil, já experimentam esse tipo
de abordagem há mais de uma década, provando que essa
combinação, além de eficiente, tem o melhor TCO (to-
tal cost of ownership, estimativa financeira projetada para
consumidores e gerentes de empresas para avaliar os custos
diretos e indiretos relacionados todo investimento impor-
tante para a empresa, como software e hardware, além do
gasto inerente de manutenção para mantê-los em funcio-
namento), comprovado em centenas de estudos feitos por
órgãos independentes, em clientes no mundo todo.
Essa mudança criou novas oportunidades para os
fornecedores de aplicativos, que agora conseguem
executá-los em sistemas abertos, acessando aplicações
legadas pelo uso de uma arquitetura orientada a servi-
ços que protegem o investimento realizado. Além disso,
grandes fornecedores de software passaram a investir
bilhões de dólares em sistemas abertos, melhorando a
cada dia as características desse pinguim-turbinado que,
mesmo com pequenas asas, consegue pousar e decolar
nos porta-aviões mais rápidos do mundo. ■
Alexandre Santos (alexos@br.ibm.com) é gerente de estratégia e marke-
ting de System z da IBM Brasil.
www.linuxmagazine.com.br
Monitoramento e segurança

Segurança em alta

CAPA
Monitorar e manter seu sistema e rede seguras, atualmente não é mais um bicho de sete cabeças.
por Flávia Jobstraibizer

O monitormento de sistemas e sua respectiva seguran-
ça atualmente são assuntos comuns no dia a dia de um
profissional da área de TI, seja ele um analista ou um
especialista em segurança. Os especialistas criam regras
e tentam mantê-las todos os dias, protegendo o maior pa-
trimônio empresarial dos dias de hoje: a informação. Os
analistas, administradores e todos os outros espectros de
profissionais de TI, muitas vezes desconhecem algumas
regras de ouro na proteção da informação e acabam por
ser vítimas de roubo de dados, engenharia social e até mes-
mo, por ingenuidade, comentam e entregam informações
importantes da empresa para usuários mal intencionados.
É comum abrir os principais sites de notícias da In-
ternet e encontrar uma variedade de manchetes sobre
falhas de segurança, dados que deveriam ser confiden-
ciais e que foram distribuídos através da grande rede,
vulnerabilidades nos aplicativos que você usa todo dia
– seja em seu celular ou em seu computador –, e que
são potenciais facilitadores para que seus dados se tor-
nem públicos sem que você perceba.
Pensando nisso, nesta edição da Linux Magazine, temos
uma grande variedade de artigos sobre monitoramento e
segurança de informações, a começar por um completo
artigo abordando uma das mais importantes vertentes
da segurança de dados: o backup. Diversas ferramentas
de backup são abordadas e comentadas entre seus prós,
contras, uso doméstico ou corporativo e outras variantes.
As invasões também são uma constante fonte de preo-
cupações para qualquer usuário de computador, novato
ou especialista. Confira o artigo Invasão com Metasploit,
que irá abrir seus olhos quanto à falhas de segurança que
você nem imaginava existir!
E por falar nisso, você sabia que pode montar um
sistema de vigilância via vídeo, com sua webcam doméstica?
Não deixe de conferir o artigo Câmera indiscreta e garanta
um novo e importantíssimo uso para aquela webcam aban-
donada em sua mesa e que até pouco tempo atrás servia
apenas para raras e corriqueiras conversas com amigos.
Outros destaques imperdíveis desta edição são um
artigo sobre DNSSEC, que aborda as melhores formas
de evitar as vulnerabilidades na resolução de nomes
de DNS legados e um artigo cobre CAcert, uma for-
ma gratuita e livre de obter certificados digitais para
aumentar a segurança dos seus sistemas!
Fique seguro e boa leitura!

Matérias de capa
Invasão com Metasploit 36
Monitoramento eficiente 42
Câmera indiscreta 47
Em órbita 52

Linux Magazine #XX | Mês de 200X 29

 SEGURANÇA | Ferramentas de backup
Ferramentas de backup
Dados seguros
SEGURANÇA
Um pequeno descuido pode custar a você horas de trabalho extra ou
milhares de reais para sua empresa. Conheça algumas ferramentas de
backup para ajudar na prevenção e recuperação de falhas.
por James Mohr
C
omputadores têm pouco va-
lor quando não fazem o que
deveriam, seja porque para-
ram de funcionar ou porque não estão
corretamente configurados. Sistemas
redundantes e máquinas sobressalen-
tes são métodos comuns de, em caso
de problemas, voltar rapidamente à
operação, mas não ajudam muito caso
o problema seja causado por confi-
gurações incorretas e esses arquivos
de configuração sejam copiados para
as máquinas sobressalentes. Às vezes,
a única solução é restaurar as confi-
gurações a partir do backup.
Fazer backup de todos os seus dados
todos os dias não é sempre a melhor
solução. O tempo e o espaço de ar-
mazenamento necessários podem ser
fatores limitantes. Em estações com
apenas alguns arquivos de configura-
ção e poucos arquivos de dados, pode
ser suficiente guardar esses arquivos em
mídias externas, tais como pendrives e
discos rígidos USB. Então, se o sistema
falhar, pode ser mais simples reinstalar
62
e restaurar os poucos dados necessários.
Fazer uma recuperação completa do
sistema geralmente leva mais tempo.
Como cada sistema é diferente dos
demais, não existe uma única solução
ideal. Mesmo que você descubra um
produto com todos os recursos que se
possa imaginar, o tempo e o esforço
necessários para administrar o soft-
ware devem ser restritivos. Portanto,
é fundamental conhecer os aspec-
tos mais significativos dos backups
e como eles podem ser abordados
no software escolhido para decidir
qual produto implantar (quadro 1).
Cópia simples
Uma cópia simples dos seus dados para
uma máquina na rede local com o utili-
tário rsync iniciado a partir de uma tarefa
agendada (cronjob) uma vez por dia é
uma forma eficaz de fazer backup dos
dados quando tudo vem de um único
diretório. Este método é simples demais
para empresas que possuem diversos ti-
pos de dados diferentes – às vezes tantos
dados que fica impossível fazer backup
de tudo todos os dias. Nestes casos, é
preciso decidir o que fará parte do ba-
ckup e quando (quadro 2).
Em termos de escolher o que
fará parte do backup e sua respectiva
Quadro 1: Suporte
Uma consideração frequentemente
ignorada é a quantidade de supor-
te disponível para o produto esco-
lhido. O suporte comercial pode ser
necessário no caso de implemen-
tação de uma solução de backup
para empresas. Entretanto, a quan-
tidade de suporte gratuito (fóruns,
listas de email etc.) pode ser um
problema. Ao considerar softwares
de código aberto de qualquer tipo
para uma empresa, é sempre viável
conferir o site do produto. Se o pro-
duto não possuir atualizações nos
últimos três anos, talvez seja me-
lhor procurar em outro local. Se os
fóruns possuem poucos posts e a
maioria estiver sem resposta, pro-
vavelmente você também não terá
sanadas as suas dúvidas.
www.linuxmagazine.com.br
 Ferramentas de backup | SEGURANÇA

Quadro 2: Alternativas de backup 20 máquinas definitivamente é me-

lhor cogitar um sistema centralizado.
Se você usa Linux e seus repositórios de software estão corretamente con-
figurados, há vários aplicativos de backup disponíveis e que podem ser en- Neste ponto também é preciso con-
contradas por meio da sua ferramenta de instalação (por exemplo, YaST, Sy- siderar a velocidade com que se conse-
naptic ou mesmo a Central de Programas do Ubuntu). Na verdade, através gue fazer um backup e possivelmente
destas ferramentas de instalação é possível descobrir mais de vinte produ-
recuperar os dados. Há empresas que
tos que se definem de uma forma ou de outra como ferramentas de backup
(sem contar aqueles explicitamente para backup de bancos de dados). possuem tantos dados a serem copiados
que é comum levar mais de um dia para
Algumas perguntas importantes para se fazer sobre seu software de backup:
realizar o backup de todas as máquinas.
Seu hardware tem suporte? Sendo assim, backups completos podem
Como o software lida com backups de banco de dados? ser agendados para realização em finais
É possível fazer uma recuperação dirigida (isto é, para um diretório diferente)? de semana, com seus respectivos incre-
O software é capaz de verificar a consistência dos dados após um backup mentais entre eles. Além disso, em um
e restauração? ambiente corporativo com dezenas de
O software consegue gravar dados em múltiplos volumes? máquinas, tentar descobrir exatamente
onde está localizada uma versão espe-
Você precisa mesmo de todos os recursos que a ferramenta oferece?
cífica dos dados aumenta considera-
O software consegue fazer backup de um sistema remoto? valmente seu tempo de recuperação.
Por último, também é preciso levar
frequência, os arquivos devem ser esco- Onde armazenar? em conta o custo. Apesar de talvez existir
lhidos por sua importância. Os arquivos Algumas empresas estão despreocu- a tentação de utilizar um único e imenso
mais importantes são seus dados pro- padas quanto ao armazenamento de disco rígido para armazenamento dos
priamente ditos, tais como arquivos de várias versões de arquivos de backup backups – por este ser mais barato do
banco de dados, documentos de texto, ao longo de extensos períodos de que dois discos com metade do tama-
planilhas, arquivos multimídia, emails e tempo. Entretanto, em alguns casos nho –, conseguir alternar entre dois (ou
assim por diante. São arquivos únicos e pode ser necessário guardar por me-
seria um grande desperdício de tempo e ses ou até mesmo anos essas versões Quadro 3: Incremental
dinheiro recriá-los caso fossem perdidos, de backups (como, por exemplo, nos vs diferencial
então precisam permanecer protegidos. casos de transações bancárias), e a Devido à quantidade de dados, as
As informações de configuração de única forma eficaz de armazená-los empresas frequentemente possuem
softwares do sistema, como o Apache é em mídias removíveis (um disco um esquema de backup de duas ca-
ou seu servidor de email, geralmente rígido externo, por exemplo). Outras madas. Uma vez por semana, é fei-
mudam frequentemente, mas ainda exigências praticadas por algumas to um backup completo (de todos
assim esses arquivos também precisam empresas, como a de guardar os back- os arquivos); nos dias seguintes são
feitos backups somente dos arquivos
fazer parte do backup. ups em locais diferentes, frequente- que sofreram alteração durante essa
A próxima definição deve ser a frequ- mente acrescentam complexidade ao semana. Essa técnica é chamada de
ência com que se deve realizar o backup problema, pois embora seja possível backup incremental. Apesar de eco-
dos arquivos. Por exemplo, arquivos de guardar arquivos em discos rígidos nomizar mídia, ela requer, potencial-
banco de dados podem receber backups ou mídias externas, essa estratégia se mente, mais tempo para a recupera-
em máquinas remotas a cada quinze torna pouco prática quando se chega ção. Com esse método, primeiro é
preciso recuperar o backup comple-
minutos, mesmo que os arquivos este- na casa dos terabytes de dados.
to e, dependendo de quais arquivos
jam em máquinas de um cluster com Para decidir qual tipo de mídia de foram alterados, talvez seja preciso
RAID por hardware. Máquinas locais backup você precisa usar, é preciso acessar todos os backups incremen-
podem receber backups até duas vezes considerar não apenas a quantidade tais e restaurá-los individualmente.
por dia: a primeira vez para copiar o total de dados, mas também quantas Uma alternativa é o backup diferen-
backup do dia anterior para um disco máquinas devem fazer parte do ba- cial, que armazena somente os ar-
rígido externo, e a segunda para criar ckup. Isso envolve a capacidade de quivos que foram alterados desde o
um novo backup completo. Também distinguir rapidamente quais serão as último backup completo. Ele tem a
pode ser considerada uma opção, rea- fontes de dados a serem copiadas de vantagem de economizar tempo em
comparação com o backup incre-
lizar uma vez por mês a gravação em máquinas distintas. Mover um disco mental, pois o máximo que se pode
DVD dos dados mais importantes, rígido externo entre duas máquinas ter de recuperar são dois backups.
apenas por segurança (quadro 3). pode ser a forma mais fácil, mas com

Linux Magazine #76 | Março de 2011 63

 SEGURANÇA | Ferramentas de backup
mais) discos acrescenta mais um nível
de segurança aos dados armazenados
caso um dos discos falhe. Além disso,
essa atitude permitiria potencialmente,
que, em caso de necessidade, um dos
discos possa ser levado para um cofre,
ou para uso em outro local.
Perfis de backup
Atualmente, a adoção da retirada de
todas as unidades externas após um
backup ser completado, é comum em
grandes empresas. Essa ação permite
que tais cópias de segurança sejam
armazenadas em um cofre à prova de
fogo ou em algum local fora da empre-
sa, para prevenir roubo de informação.
Isto significa que, ao criar backups in-
crementais, a cópia mais recente de
um arquivo específico pode estar em
qualquer uma das dezenas de unidades
externas (quadro 4). Para resolver esse
problema, o software de backup precisa
ser capaz de acompanhar qual versão
de qual arquivo está armazenada em
qual local (isto é, em qual dispositivo).
Quando um software de backup
alcança esse nível, ele geralmente tam-
bém é capaz de gerenciar múltiplas
versões de uma determinada cópia
de segurança. Às vezes, também é
preciso criar backups mensais ou até
anuais e que depois são armazenados
por maiores períodos. Essa configura-
Quadro 4: Dados de quem?
Um aspecto importante é a capaci-
dade de gravar dados de fontes di-
ferentes em mídias específicas. Por
exemplo, caso cada cliente possua
dispositivos de armazenamento es-
pecíficos (frequentemente chamados
de pool). Usando seus rótulos, o soft-
ware consegue decidir qual dispositi-
vo pertence a qual pool, então os da-
dos de ambientes diferentes não são
misturados. Esse esquema é muito
útil quando, por exemplo, um clien-
te quer que seus backups semanais
sejam armazenados fora da empresa
e outro cliente frequentemente pede
as fitas de backup para passá-las por
um sistema de teste local.
64
ção é comum quando existem dados
sensíveis, como cartões de crédito ou
informações bancárias. Para impedir
que o software sobrescreva dados em
dispositivos antigos, é necessário de-
finir um “tempo de reciclagem” que
especifique qual é o tempo mínimo
para que a mídia possa ser reutilizada.
Como nem todo backup é igual e
nem todas as empresas são iguais, é
preciso levar em conta a capacidade de
o software ser configurado segundo as
suas necessidades. Se você tiver tempo e
espaço de armazenamento suficientes,
um software capaz de fazer apenas um
backup completo talvez atenda às suas
necessidades. Por outro lado, talvez você
queira ter a opção de escolher somente
diretórios específicos, até mesmo ao
realizar um backup completo.
Muitos dos produtos que examina-
mos possuem a capacidade de definir
perfis. Por exemplo, você define um
perfil chamado Minha rede Linux,
atribui a ele um conjunto das máqui-
nas que serão as fontes de dados para
a cópia de segurança e o software de
backup automaticamente irá selecionar
quais diretórios incluir e quais ignorar.
Já em um outro perfil, chamado Meu
backup, você pode ter um conjunto
de diretórios diferente, selecionados so-
mente a partir da sua máquina, e tam-
bém pode incluir comandos a serem
executados antes do backup, seguido
de algum outro comando executado
imediatamente após sua conclusão.
Como funciona o
armazenamento
Como são armazenadas as informa-
ções do backup? O software de backup
tem o seu próprio formato interno ou
utiliza um banco de dados como o
MySQL para guardar todas as infor-
mações? Quanto mais sistemas você
armazenar, mais necessário será uti-
lizar um produto capaz de identificar
quais arquivos serão salvos e também
onde serão salvos. A menos que você
esteja fazendo um backup comple-
to toda noite para um único destino
(isto é, uma unidade externa ou um
diretório em uma máquina remota),
encontrar o local correto onde está
localizado um arquivo específico pode
ser um pesadelo. Mesmo que você
esteja lidando somente com alguns
sistemas, a administração dos backups
pode tornar-se um fardo.
Isso leva à questão da facilidade
de recuperação dos seus dados. Você
consegue, com facilidade, encontrar
arquivos de uma data específica caso
haja múltiplas cópias deste? Qual a
facilidade de recuperação de arqui-
vos individuais? E todos os arquivos
alterados em uma data específica?
Dependendo da sua empresa, tal-
vez haja obrigações legais em termos
de quanto tempo é necessário manter
certos tipos de dados. Em alguns casos,
pode ser questão de semanas; em ou-
tros, podem ser dez anos ou mais. Você
consegue recuperar dados tão antigos
assim? Mesmo que não seja necessário
pela lei, ter backups de longo prazo é
uma boa ideia. Se você apagar algo
acidentalmente e não notar por um
período maior que seu ciclo de backup,
talvez jamais recupere esta informação.
Qual a facilidade para seu software de
backup criar cópias completas no fi-
nal de cada mês – por exemplo, para
garantir que a mídia não seja sobres-
crita? São questões pertinentes e que
devem ser levadas em conta.
Agendamento
Se o seu cenário atual impedir que
você faça backups completos rotinei-
ramente, leve em conta a facilidade
de agendá-los. É possível garantir
que seja feito um backup completo
a cada fim de semana, por exemplo?
Além disso, é preciso levar em conta
as opções de agendamento da ferramen-
ta de backup escolhida. Ela consegue
iniciar backups automaticamente? Ela
depende de algum comando? É apenas
uma interface gráfica para uma ferra-
menta já existente, e todas as operações
precisam ser iniciadas manualmente?
www.linuxmagazine.com.br

Não é porque um sistema operacional
específico não tem um cliente de ba-
ckup que você está sem sorte: é possí-
vel montar sistemas de arquivos com
Samba ou NFS e depois fazer backup
dos arquivos normalmente.
Utilitário rsync
O utilitário rsync está disponível em
todas as distribuições Linux, todas as
principais versões de Unix, Mac OS
X e também em Windows. Caso você
tenha apenas algumas máquinas, con-
figurar o rsync manualmente pode ser
uma solução viável. Se você preferir
uma interface gráfica, existem várias
disponíveis. Na verdade, muitos apli-
cativos diferentes se baseiam no rsync
para realizar backups. O utilitário rsync
pode ser utilizado para copiar arquivos
tanto de uma máquina local para uma
remota quanto o contrário. Seus vários
recursos também o tornam uma ferra-
menta útil para sincronizar diretórios.
Por exemplo, o rsync pode ignorar ar-
quivos que não tenham sido alterados
desde o último backup, e pode apagar
arquivos do sistema de destino que não
existam mais na origem. Se você não
quiser que arquivos já existentes sejam
sobrescritos mas ainda quiser que todos
os arquivos sejam copiados, é possível
solicitar ao rsync que adicione um
sufixo aos arquivos que já existam no
destino. A capacidade de especificar
arquivos e diretórios é muito útil para
fazer backups. Ela pode ser utilizada
com o nome completo do arquivo ou
diretório ou então a partir de curingas.
O rsync também permite especificar um
arquivo como fonte das informações
de inclusão e exclusão de dados. Ao
determinar se um arquivo é uma nova
versão ou não, o rsync pode verificar seu
tamanho e sua data de modificação, e
também pode comparar a chave única
de identificação dos arquivos. É possível
usar o modo lote, presente na grande
maioria dos sofwares de backup, para
atualizar múltiplos destinos a partir de
uma única máquina. Por exemplo, al-
terações em arquivos de configuração
Linux Magazine #76 | Março de 2011
podem ser propagadas para todas as
máquinas sem precisar especificar os
arquivos alterados em cada destino. O
rsync também possui uma interface
gráfica, o Grsync (figura 1), que é de
fácil utilização.
luckyBackup
A princípio, estávamos em dúvida quan-
to a detalhar mais o utilitário luckyBa-
ckup [1], pois este ainda encontra-se
em uma versão 0.X e tem aparência um
tanto “amadora”. Porém, o ceticismo
quanto à ferramenta rapidamente se
desfaz quando começamos a trabalhar
com ela. O luckyBackup é muito fá-
cil de usar e oferece um número sur-
preendente de opções. Apesar de sua
simplicidade, tem o diferencial de ter
conquistado o terceiro lugar no prêmio
SourceForge Community Choice Awards
de 2009 como o “Melhor novo proje-
to”. A versão que utilizamos foi a 0.35,
em português, cujo código-fonte está
disponível nos repositórios do Ubuntu,
entre outras distribuições.
Descrevendo a si mesma como uma
ferramenta de backup e sincroniza-
ção, o luckyBackup também utiliza
o utilitário de sistema rsync, ao qual
envia várias opções de configuração.
Embora não seja um aplicativo cliente-
servidor, ele só precisa de uma cone-
xão com o rsync para criar backups a
partir de um sistema remoto.
Ao definir quais arquivos e dire-
tórios farão parte do backup, é cria-
do um perfil, que é armazenado no
diretório home do usuário. Os perfis
podem ser importados e exporta-
dos, o que possibilita criar modelos
de backup que podem ser copiados
para outras máquinas. Mas essas
máquinas ainda irão precisar do bi-
nário do luckyBackup para executar
os comandos do rsync.
Cada perfil contém uma ou mais
tarefas, cada uma com um diretório
específico de origem e destino, e inclui
as opções de configuração seleciona-
das (figura 2). Portanto, é possível ter
opções diferentes para diretórios dife-
Ferramentas de backup | SEGURANÇA
rentes (tarefas), todas em uma única
máquina (com perfis distintos).
Dentro de um perfil, a ferramenta
facilita a definição de uma tarefa de
recuperação com base em uma deter-
minada tarefa de backup. Essencial-
mente, é o inverso do que se definiu
para a tarefa de backup, mas é bem
fácil alterar opções para as restaurações
de dados, tais como a recuperação dos
dados para um diretório diferente.
O agendamento dos perfis de ba-
ckup é feito pelo utilitário de agen-
damento cron, mas a ferramenta
oferece uma interface simples para
auxiliar o usuário nesse processo. Os
parâmetros do cron são selecionados
na interface gráfica; basta clicar na
tarefa de backup a ser agendada.
O modo de console, ou linha de
comando, permite gerenciar e con-
figurar seus backups, até mesmo na
ausência da interface gráfica, como
ao usar um terminal Shell. Como os
perfis são armazenados no diretório
home do usuário, é possível que os
usuários criem seus próprios perfis
e façam seus próprios backups.
Apesar de não ser recomendado para
grandes empresas, por tratar-se de uma
versão em desenvolvimento, o lucky-
Backup oferece um conjunto básico
de recursos que pode satisfazer usuá-
rios domésticos e pequenas empresas.
Figura 1 Grsyng, uma interface
simples para o rsync.
65
 SEGURANÇA | Ferramentas de backup
Figura 2 Configuração de perfil
do luckyBackup.
Amanda
Inicialmente desenvolvido interna-
mente na Universidade de Maryland,
nos EUA, o Advanced Maryland Auto-
matic Network Disk Archiver (Amanda)
[2] é uma das ferramentas de backup
de código aberto mais utilizadas. O
desenvolvimento do software é pa-
trocinado pela empresa Zmanda [3],
que oferece uma versão enterprise do
software, com recursos adicionais, e
que pode ser comprada pelo site da
empresa. A versão para servidores do
software somente pode ser executa-
da em Linux e Solaris (incluindo
OpenSolaris), mas o Mac OS X e as
várias versões do Windows também
possuem clientes do Amanda.
A documentação descreve o aplica-
tivo como tendo sido projetado para
funcionar em “centros computacionais
de tamanho moderado”. Esta e outras
partes da descrição do produto pare-
cem indicar que a versão comunitária
gratuita talvez tenha problemas com
redes maiores e com muitos compu-
tadores. Talvez seja essa a razão de a
Zmanda vender uma versão enterprise
do produto. A versão mais recente é a
3.1.1, lançada em junho de 2010, mas
ela apenas corrigiu algumas falhas. A
versão 3.1.0 foi lançada em maio de 2010.
O Amanda armazena o índice dos
arquivos e suas localizações em um
arquivo de texto. Naturalmente, isso
tem o potencial de tornar mais lentas
as buscas quando for necessário recu-
perar arquivos específicos. Entretanto,
a versão comercial usa o MySQL para
guardar as informações.
66
Os backups de múltiplas máquinas
podem ser configurados para execução
em paralelo, mesmo que você tenha
somente um dispositivo para armaze-
namento de backups. Os dados são
gravados em um tipo de disco de es-
pera (holding disk) e, de lá, vão para
a unidade de armazenamento oficial.
Os dados são gravados com o uso de
ferramentas padrão como o tar, o
que significa que os dados podem ser
recuperados independentemente do
Amanda estar instalado na máquina.
O agendamento do backup também
é feito com uma ferramenta local, o cron.
Os comandos iniciam na hora desejada,
utilizando o arquivo de configuração
correspondente como argumento.
O Amanda suporta o conceito de
unidades virtuais, que são armazenadas
no disco local. Essas unidades podem
ter qualquer tamanho menor que o dis-
co rígido físico. Essa técnica é útil para
dividir seus arquivos em pedaços sufi-
cientemente pequenos para serem gra-
vados em DVD ou até mesmo em CD.
Os backups são definidos por níveis,
sendo o nível 0 (zero) a indicação de
um backup completo. Os níveis subse-
quentes são backups das alterações feitas
neste grupo de arquivos, desde a última.
O wiki da ferramenta indica que o me-
canismo de agendamento do Amanda
usa esses níveis para implementar uma
estratégia de otimização em seus back-
ups. Apesar de a otimização poder ser
útil em muitas situações, a explicação
é um pouco vaga a respeito de como
ela é alcançada – e descrições vagas de
como um sistema toma decisões sozi-
nho sempre são incômodas. Um ponto
negativo importante é que o Amanda
foi desenvolvido com um ambiente es-
pecífico em mente, e é possível (senão
provável) que você apanhe um pouco
para fazê-lo funcionar da forma dese-
jada em outros ambientes. O padrão
desejado de um software, é sempre
confiar no administrador do sistema.
Sendo assim, se o administrador qui-
ser configurá-lo de uma certa forma, o
produto não deve achar que sabe mais.
Por exemplo, é necessário definir se o
mecanismo de agendamento fará back-
ups completos em momentos diferentes
de quando você espera ou mesmo dese-
ja. Em muitos casos, grandes datacen-
ters fazem backups no final de semana
quando o tráfego é menor, e não a cada
cinco dias. Se sua instalação demonstrar
súbitos picos de dados, o Amanda talvez
pense que sabe a data melhor do que
você e altere o agendamento.
Apesar de essas situações poderem
ser resolvidas com ajustes no sistema, é
constante o mau pressentimento quan-
do um software tem o potencial de fazer
algo inesperado. Afinal, o administrador
de sistemas é quem foi contratado para
pensar e não apenas para apertar botões.
Para facilitar as coisas nesse sentido, a
Zmanda recomenda seu produto cor-
porativo comercial, é claro. Apesar de
o Amanda existir há anos e ser usado
por muitas organizações, boa parte das
informações no seu site estão defasa-
das e diversos links remeteram ao site
comercial da Zmanda, onde se pode
comprar seus produtos. Além disso, a
página com a lista de recursos deseja-
dos planejados é de 2004. Embora haja
uma nota declarando que a página é
antiga, ainda não existe qualquer ex-
plicação de quais itens da ferramenta
ainda são válidos. Metade das páginas
na tabela de conteúdo administrativo
(atualizada pela última vez em 2007)
simplesmente listam o título sem links
para outra página.
Além disso, devo admitir que fiquei
chocado quando li o “acordo de licen-
ça de contribuição da Zmanda”. O
Amanda é uma ferramenta de código
aberto disponível gratuitamente para
todos. Porém, no acordo, “você atribui
e transfere os direitos autorais da sua
contribuição à Zmanda”. Em troca,
recebe uma longa licença para usar e
distribuir sua contribuição. Traduzido,
isto significa que você abre mão dos
seus direitos autorais e não apenas dá
à Zmanda o direito de usá-los, como
também significa que a Zmanda tem
liberdade para incluir suas alterações
www.linuxmagazine.com.br

em seu produto comercial e ganhar
dinheiro com elas – e você só ganha
uma camiseta!
Areca Backup
Na intermediária do espectro de recur-
sos e um tanto menos conhecido está o
Areca Backup [4]. Executado a partir
de uma interface gráfica (figura 3) ou
da linha de comando, o Areca oferece
um design simples e uma ampla gama
de recursos. A documentação afirma
que ele pode ser executado em todos
os sistemas operacionais que possuam
instalado o Java 1.4.2 ou posterior, mas há
somente pacotes para Linux e Windows
disponíveis para download. A instalação
no Ubuntu ocorreu sem problemas e
não foi encontrada nenhuma referência
a limitações com distribuições específicas
ou outros sistemas operacionais.
O Areca não é um aplicativo cliente-
servidor, mas um aplicativo para ba-
ckup de sistemas de arquivos locais.
O site do Areca afirma explicitamente
que o software não é capaz de criar
imagens de sistemas de arquivos ou de
discos inteiros, e não consegue gravar
dados em CDs e DVDs. Os backups
podem ser gravados em máquinas re-
motas com FTP ou FTPS, e é possível
fazer backups a partir de sistemas de
arquivos remotos, mas sem nenhum
agente remoto. O Areca não oferece
um agendador, então é esperado que
você utilize algum outro software de
agendamento de tarefas (como o cron)
para iniciar seus backups automatica-
mente em horários agendados.
Figura 3 Interface do Areca Backup.
Linux Magazine #76 | Março de 2011
Na minha opinião, a interface não é
tão intuitiva quanto as dos outros, e ele
usa uma terminologia diferente da de
outras ferramentas de backup, tornan-
do o progresso mais lento no início. Por
exemplo, o diretório de configuração
se chama workspace (área de trabalho))
e um conjunto de configurações (que
podem ser iniciadas de uma só vez) é
chamado de group (grupo), em contraste
com um grupo de máquinas.
O Areca oferece três modos de exe-
cução, que definem como os arquivos
serão salvos: padrão, delta e imagem.
O modo padrão é mais ou menos um
backup incremental, que guarda todos
os novos arquivos e também aqueles
modificados desde o último backup.
O modo delta armazena as partes
modificadas dos arquivos. O modo de
imagem explicitamente não é uma
imagem de disco; basicamente, trata-
se de uma fotografia atual do sistema
que armazena um aglomerado único
de todos os seus arquivos em cada ba-
ckup. Os backups padrão (diferencial,
incremental ou completo) definem
quais arquivos incluir.
A interface gráfica fornece duas
visões dos seus backups. A visão fí-
sica lista os arquivos criados por um
determinado destino. A visão lógica
é uma visão consolidada dos arquivos
e diretórios contidos no aglomerado.
O Areca consegue efetuar ações antes
ou depois dos backups, como enviar um
relatório do backup por email, executar
scripts Shell antes ou depois do backup
e assim por diante. Ele também oferece
Figura 4 Tela de administração do Bacula..
Ferramentas de backup | SEGURANÇA
diversas variáveis, tais como o nome do
arquivo e do computador, que podem
ser passadas para um script. Além dis-
so, é possível definir múltiplos scripts
e especificar quando eles devem ser
executados. Por exemplo, é possível
iniciar um script quando o backup for
concluído com sucesso e iniciar outro
caso ele retorne erro.
O Areca oferece várias opções inte-
ressantes para criar backups. Ele per-
mite comprimir os arquivos individuais
assim como criar um único aglomera-
do comprimido. Para evitar problemas
com arquivos muito grandes, é possí-
vel configurar o backup para dividir o
aglomerado compactado em arquivos
de um tamanho definido. Além disso,
existe a opção de criptografar os arqui-
vos com os métodos AES 128 ou AES
256. Um aspecto muito agradável da
ferramenta, é a possibilidade de arrastar
diretórios diretamente do gerenciador
de arquivos para o Areca.
O fórum do Areca tem um tráfego
relativamente baixo, mas os posts são
bastante atuais. Entretanto, é possível
notar que diversos posts recentes per-
manecem sem resposta há um mês ou
mais. O wiki é bem limitado, então
provavelmente, a melhor fonte de aju-
da é a documentação do usuário, que
é bastante extensa e fácil de entender.
Ainda há dois assistentes para faci-
litar a criação de backups. O Backup
Shortcut simplifica o processo de cria-
ção dos comandos necessários do Are-
ca, que em seguida são armazenados
em um script que pode ser executado
67
 SEGURANÇA | Ferramentas de backup
pela linha de comando ou agendados
através do cron.
O assistente Backup Strategy gera
um script contendo um conjunto de
comandos de backup para implemen-
tar uma estratégia específica para o
parâmetro informado. Por exemplo,
é possível criar um backup todo dia
para uma semana, um backup sema-
nal por três semanas e um backup
mensal por seis meses.
Bacula
O Bacula [5] é um produto incrível.
Embora seja mais novo que o Aman-
da, certamente o ultrapassa tanto em
recursos quanto em qualidade. Para
ser honesto, a configuração não é do
tipo “clicar com o mouse”, mas não
é isso que se espera dada a variedade
de recursos oferecidos pelo Bacula.
Apesar de o aplicativo utilizar
ferramentas locais para a realiza-
ção do backup, ele é um produto
verdadeiramente cliente-servidor,
com cinco componentes principais
que usam comunicação autentica-
da: Director, Console, File, Storage
e Catalog. Estes elementos são im-
plementados individualmente com
base na função de cada máquina.
O componente Director supervi-
siona todas as operações de backup,
restauração e outras, incluindo o
agendamento das tarefas de backup.
As tarefas de backup podem iniciar
simultaneamente, ou com base em
prioridades. O Director também ofe-
rece controle e administração centra-
lizados e é responsável por manter o
catálogo de arquivos. O componente
Console é utilizado para interagir
com o componente Director e está
disponível como ferramenta gráfica
ou em linha de comando.
O componente File também é
chamado de programa cliente, pois
trata-se do software instalado nas
máquinas que enviarão seus arquivos
para backup. Como seu nome diz, o
componente Storage é responsável
pelo armazenamento e a recuperação
68
de dados de e para a mídia física. Ele
recebe instruções do Director e em
seguida transmite os dados de ou para
um script de execução em segundo
plano, sendo executado quando for
apropriado. Depois, ele atualiza o
componente Catalog enviando ao
Director informações sobre a loca-
lização dos arquivos.
O componente Catalog é respon-
sável por manter os índices de arqui-
vos e o banco de dados de volumes,
permitindo que o usuário localize e
recupere arquivos com rapidez. O Ca-
talog mantém um registro não apenas
dos arquivos, mas também das tarefas
executadas. Atualmente, o Bacula su-
porta MySQL, PostgreSQL e SQLite.
Um aspecto interessante do Bacu-
la é o interpretador Python embutido
que pode ser usado na confecção de
scripts, por exemplo, antes de iniciar
uma tarefa, ou em caso de erros, ou
ainda quando a tarefa termina e as-
sim por diante. Além disso, é possível
criar um CD de recuperação para
uma recuperação bare metal (sem
qualquer exigência quanto ao sistema
operacional ou software previamente
instalado), o que evita a necessidade
de reinstalar seu sistema manualmen-
te e depois recuperar seus dados. Este
processo é suportado por um arquivo
que contém uma forma compactada
de comandos do Bacula, permitindo
assim que se armazene o sistema sem
ter acesso ao componente Catalog.
A unidade básica é chamada de job
(trabalho), e consiste de um cliente e
um conjunto de arquivos, o nível do
backup, o que está sendo feito (efe-
tuando o backup, migrando, restau-
rando) e assim por diante (figura 4).
O Bacula suporta o conceito de
media pool, um conjunto de volu-
mes (isto é, discos ou unidades re-
movíveis), com volumes rotulados,
de onde é fácil comparar os rótulos
externos da mídia, assim como evitar
a sobrescrita acidental dessa mídia.
Ele também suporta o backup para
uma única mídia a partir de múlti-
plos clientes, mesmo que estejam
em sistemas operacionais diferentes.
O site do Bacula não é sofistica-
do como o do Amanda, mas é mais
útil em virtude de detalhes sobre o
funcionamento do programa serem
muito mais acessíveis e as informa-
ções estarem mais atualizadas.
Conclusão
Embora somente tenhamos analisa-
do os produtos superficialmente, este
artigo oferece uma boa ideia do que
se pode fazer com um aplicativo de
backup. Naturalmente, cada um de-
les possui muito mais recursos do que
os examinados aqui, então se algum
deles despertou seu interesse, confira
o site correspondente para descobrir
tudo que a solução tem a oferecer. ■
Mais informações
[1] luckyBackup:
http://luckybackup.
sourceforge.net/
[2] Amanda:
http://www.amanda.org/
[3] Zmanda:
http://www.zmanda.com/
[4] Areca Backup:
http://www.areca-
backup.org/
[5] Bacula:
http://www.bacula.org/
Sobre o autor
James Mohr é responsável pelo monitora-
mento de vários datacenters de um provedor
de soluções corporativas em Coburg, Alema-
nha. Além de organizar o site Linux Tutorial,
em http://www.linux-tutorial.info, James é au-
tor de diversos livros e dezenas de artigos so-
bre grande número de tópicos.
Gostou do artigo?
Queremos ouvir
vir sua opinião.
opinião
Fale conosco em
agazine.c m.br
cartas@linuxmagazine.com.br
Este artigo no nosso site:
m.br/ar e/485
http://lnm.com.br/article/4854
www.linuxmagazine.com.br
 SEGURANÇA  | Proteção de servidores web
SEGURANÇA
Até mesmo servidores web configurados e atualizados com correções de segurança, podem ser
comprometidos por conta em vulnerabilidades na aplicações web. O mod_security é uma extensão
do Apache que atua como um firewall de aplicação para proteger o servidor web de ataques.
Problemas de segurança na web
não são mais típicos de resultados de
configurações mal feitas ou em de-
corrência do servidor desatualizado.
Tomcat, Apache, e até mesmo o IIS,
tornaram-se extremamente maduros
através dos últimos anos – tanto que
mesmo que eles não tenham nenhu-
ma vulnerabilidade notável, exceções
podem sempre vir a tona e contrariar a
regra. Além disso, os crackers voltaram
suas atenções para aplicações web e
scripts que são executados nos servi-
dores. Requisições de usuários cada
vez mais rebuscadas estão tornando as
aplicações web ainda mais complexas:
Ajax, interação com bases de dados ex-
ternas, interfaces back-end e serviços
de diretório são parte do conjunto de
uma aplicação moderna. Vetores de
ataques crescem para acompanhar este
desenvolvimento (quadro 1).
Firewalls para a Web
Em contraste aos filtros de pacotes
legados, os WAF (Web Applications
Firewall, ou Firewall de Aplicações
Web) não inspecionam os dados na
70
Proteção de
servidores web
por Sebastian Wolfgarten e Kemel Zaidan
camada de rede ou transporte, mas
sim na camada nível 7 do protocolo
HTTP (camada 7 do modelo OSI)
[1]. Para isto acontecer, os firewalls
analisam os pacotes de entrada e saída,
requisições de clientes e respostas de
servidores para distinguirem entre
requisições legítimas e maliciosas
com base em regras.
Se necessário, podem até mesmo
lançar medidas de “contra-ataque”.
Ao serem configurados para isso,
podem até mesmo inspecionar co-
nexões HTTPS criptografadas.
Acessórios em Massa
Em firewalls da maior parte das re-
des – estamos exagerando um pouco
aqui – ou você permitirá alguma ou
nenhuma conexão HTTP. WAF tem
como alvo conexões HTTP indivi-
duais baseadas em seu conteúdo.
O ModSecurity é um WAF de alto
desempenho para o Apache e um
módulo complexo para o servidor de
Web Apache [2]. Originalmente de-
senvolvido por Ivan Ristic, o software
conta hoje com o apoio da empresa
Apache seguro
Breach Security, que patrocina sua
distribuição e desenvolvimento .
Duas variantes do softwares estão
disponíveis: a variante open-source
licenciada sob a GPLv2 e a versão
comercial, com suporte profissional,
softwares embarcados (appliances)
pré configurados, e console de ge-
renciamento. O ModSecurity pode
ser executado no Linux, Solaris, Fre-
eBSD, OpenBSD, NetBSD, AIX e
Windows, com as próximas versões
somente disponíveis para o Apache
2.x. Este artigo discute a versão 2.5.10;
o sucessor, 2.6.11 é meramente uma
correção de falhas.
O escopo funcional do software é
enorme, mas compreensivelmente do-
cumentado [3]. Ele registra requisições
HTTP e dá ao administrador acesso
irrestrito a elementos individuais de
uma requisição, como o conteúdo de
uma requisição POST. Ele também
identifica ataques em tempo real ba-
seado em modelos de segurança posi-
tivos ou negativos e detecta anomalias
baseado em padrões fornecidos de
vulnerabilidades conhecidas.
www.linuxmagazine.com.br
 Proteção de servidores web | SEGURANÇA

Quadro 1: Ataques em servidores web necido por algumas distribuições.

Você poderá usar a diretiva:
Comparado com aplicações locais, aplicações web são mais vulneráveis
porque elas envolvem diversos componentes diferentes – do navegador de LoadModule security2_module
Internet, ao servidor web e a estrutura de retaguarda. As vulnerabilidades modules/mod_security2.so
podem ocorrer em qualquer lugar, mas o servidor está sempre no centro
deste ambiente. para integrar o módulo no arquivo de
configuração do Apache httpd.conf ou
Caso a aplicação web não valide suficientemente as entradas do usuário e ao
apache.conf, caso sua distribuição não
invés disso forneça as informações a um banco de dados sendo executado em
segundo plano, os invasores poderão usar ataques de SQL injection para injetar faça isto. Após ser reiniciado, o servidor
seus próprios comandos na cadeia de comandos. Assim o invasor será capaz de web lista o módulo em seu error_log.
ler, modificar, deletar dados e assim exercer uma maior influência na aplicação.

Caso a aplicação também permita aos invasores armazenar arquivos no servidor e

Regras de filtragem
O ModSecurity tem uma série de opções
executá-los através da web, o invasor poderá configurar um Shell web. Isso acon-
tece porque o servidor executará os arquivos do invasor, e este poderá executar configuráveis, mas para entender como
comandos do sistema operacional no servidor web e finalmente escalonar seus elas funcionam, tudo que você precisa é
privilégios para ter acesso a um shell interativo. Assim, a arquitetura de um Apache da configuração básica. A opção SecRu-
cuidadoso e configurado, não dará acesso root ao invasor, o que é frequentemen- leEngine ativa o mecanismo de filtragem
te desnecessário para acessar dados sensíveis. E quanto mais serviços estiverem de módulos e permite processar regras
instalados no servidor, mais provável que o invasor encontre um que seja vulnerável.
de filtros. As configurações que podem
ser usadas aqui são On, Off e Detectio-
Poderosas regras descobrem se os curity uma boa escolha para proteger nOnly, que diz ao módulo para moni-
números de cartões de crédito estão en- servidores web e suas aplicações contra torar, mas para não tomar alguma ação
tre os dados enviados ou utiliza GeoIP vulnerabilidades. Mas antes mesmo em relação a conexão cliente-servidor,
para bloquear o acesso de determinadas de pensar em alterar as configurações mesmo que regras individuais estejam
regiões. O ModSecurity verifica não complexas, você primeiro precisará configuradas para permitir isto. Esta
somente requisições de entrada mas instalar módulos de terceiros . configuração é útil para testar módulos
também requisições de saída. O software e suas próprias regras. Para auxílio no
pode implementar ambientes chroot.
Como um proxy reverso, ele protege
Pacotes para início ou para depuração, ative a opção
SecDebugLog para definir um log de diag-
aplicações em outros servidores web, qualquer distribuição nóstico (exemplo: SecDebugLog /var/log/
como o Tomcat ou o IIS. Se optar por não compilar o pacote httpd/modsec_debug.log). Adicional-
A Breach Security também fornece para o Apache 2, poderá utilizar um mente poderá definido o parâmetro
uma coleção de regras que garantem a pacote pré-compilado para Debian, SecDebugLogLevel para especificar o
segurança básica do servidor web. Uma RHEL, CentOS, Fedora, FreeBSD, detalhamento em uma escala de 0 a
documentação compreensível, muitos Gentoo e Windows. A instalação 9, que envia comentários sobre sua
exemplos e listas de discussão fornecem manual requer o módulo mod_unique_ própria atividade e a maneira com
suporte ao usuário. Isso faz do ModSe- id, que não é automaticamente for- que ele processa regras definidas pelo

Tabela 1: Fases de processamento do ModSecurity

Número Fase Designador Atividades

1 Fase de REQUEST_HEADERS Filtragem o mais cedo possível de requisições antes

pré-visualização
2 Requisição
do cliente
3 Requisição POST
4 Resposta
do servidor
5 Logging
do controle de acesso, autenticação, autorização e
detecção MIME que são realizados pelo Apache.
REQUEST_BODY Acesso completo ao conteúdo de
requisições de cliente (caso normal).
RESPONSE_HEADERS Opção inicial para filtragem de respostas do servidor.
RESPONSE_BODY Acesso completo ao conteúdo de reposta do
servidor a uma requisição de entrada do cliente.
LOGGING Acesso a todas as informações relevantes antes de que
ela seja gravada nos arquivos de log do Apache.

Linux Magazine #76 | Março de 2011 71

 SEGURANÇA | Proteção de servidores web
Figura 1: Assim que o ModSecurity for ativado, ele registrará atividades suspeitas no nível de detalhe especificado
no SecauditLogParts – neste caso, um ataque SQL Injection.
usuário. Os níveis 4 ou 5 são úteis para
fazer um ajuste fino ou diagnóstico.
Em ambientes de produção, defina
este parâmetro como 0 (zero).
O parâmetro SecDefaultAction defi-
ne o comportamento padrão do Mo-
dSecurity para requisições que sejam
condizentes com uma regra de filtro
sem uma ação correspondente. A opção
também espera que você especifique
uma fase de processamento para a ação
padrão, como listado na tabela 1. O Mo-
dSecurity aplica regras de filtragem em
cinco diferentes fases de processamento
e resposta a requisições de clientes [4].
Na vida real, somente a fase 2, no qual
o cliente requisita o conteúdo, é filtra-
do (ou seja, dados de entrada), e a fase
4, que manipula a resposta do servidor
(dados de saída) são importantes. Na
prática, você poderá usar a opção de
definir uma ou múltiplas ações que
o software fará quando a conferência
ocorrer [5]. Para registrar requisições de
entrada do cliente na auditoria da fase
2 e responder a tentativa de requisição
com a mensagem de erro HTTP 403
(Forbidden) você deverá fazer:
SecDefaultAction phase:2,log,audit
log,deny,status:403
Uma função padrão de negativação
massiva como o padrão deny é altamen-
te restritivo, mas ele somente oferecerá
uma proteção máxima se você definir
filtros e ações (quadro 2). O software ofe-
rece algumas alternativas pré-definidas,
incluindo parâmetros de conversão de
requisições, execução de scripts externos
(por exemplo, executar um antivírus)
ou redirecionar requisições maliciosas.
O último é útil quando você estiver
investigando ataques ou desejar enca-
minhá-los a um honeypot (armadilha
destinada a atrair um invasor). A con-
figuração básica (listagem 1) também
72
registra o conteúdo de requisições de
entrada e respostas retornadas. Ele en-
via informações para o log de auditoria
como mencionado anteriormente. A
primeira diretiva, SecAuditEngine, ativa
este comportamento. A opção para a
segunda diretiva define se o software
armazena as entradas do log de audi-
toria em um arquivo único (Serial) ou
grava um arquivo para cada transação
(Concurrent). O Concurrent será ne-
cessário caso você tenha a intenção de
implementar o produto ModSecurity
Console add-on (console adicional do
ModSecurity). A Breach Security oferece
um software para gerenciar múltiplas
instâncias, desde que este não precise
monitorar mais do que três servidores.
A terceira instrução, define a loca-
lização do log de auditoria relativa ao
caminho de instalação do Apache.
Finalmente a instrução SecAuditLo-
gParts define a informação que o Mo-
dSecurity registra no log de auditoria
(tabela 2). Neste caso, será o cabeça-
lho e conteúdo da requisição, junto
com a reação do ModSecurity. Os
resultados são mostrados na figura 1.
Após esta preparação, você poderá
adicionar a diretiva mais importante
em sua configuração; SecRule. Esta
Listagem 1: Configuração
básica do ModSecurity
01 # saída do Dig no arquivo
dnssec_root.key:
01 SecRuleEngine On
02 SecAuditEngine On
03 SecAuditLogType Serial
04 SecAuditLog logs/audit.log
05 SecAuditLogParts ABCFHZ
06 SecDebugLog logs/debug.log
07 SecDebugLogLevel 5
08 SecRule REQUEST_URI “/etc/
passwd”
09 SecDefaultAction phase:2,
log,auditlog,deny,status:403
regra define a filtragem e opcional-
mente a ação que o módulo fará se
descobrir que a regra é pertinente. Se
não definir uma ação, a ferramenta
executará o comando padrão definido
na diretiva em SecDefaultAction. As
regras sempre seguem este padrão:
SecRule Variable Operator [Action]
O número de variáveis é enorme e
elas cobrem cada elemento da requisi-
ção do cliente (tanto para POST quan-
to para GET) assim como os detalhes
mais importantes do ambiente servidor
[6]. Além disso, você pode utilizar ex-
Quadro 2: Ataques internos
Uma vulnerabilidade na aplicação
web pode expor o servidor Apache
não importando o quanto ele esteja
bem configurado e atualizado. Isto
é particularmente perigoso se o ser-
vidor estiver em uma ambiente de
hospedagem onde muitos consu-
midores compartilham os recursos
de um único servidor físico. Os me-
canismos de proteção, como virtua-
lização, separarão instancias indivi-
duais; no entanto, a segurança de
todo o sistema depende do elo mais
fraco. Com um sniffer (rastreador de
pacotes), por exemplo, os invasores
podem simplesmente capturar con-
versas que não estiverem cripto-
grafadas. E isto dará ao invasor um
vetor de entrada.
Linguagens de script e camadas
como PHP ou Ruby on Rails ajudam
desenvolvedores web alcançarem
resultados mais rapidamente, mas
eles geralmente concentram-se em
perigos que podem ocorrer quan-
do não é dada a devida atenção
a segurança. Em ambientes mais
complexos, como Java, Tomcat e
JBoss, não são necessariamente a
resposta, já que ocultam muitos as-
pectos do desenvolvedor.
www.linuxmagazine.com.br
 Proteção de servidores web | SEGURANÇA

Tabela 2: Argumentos do SecAuditLogParts ção no log de auditoria e enviar uma

visão detalhada da maneira como o
Abreviação Descrição cliente foi processado até o log de de-
A Cabeçalho da linha (obrigatório). puração. Isto significa que o arquivo
error_log do Apache, terá uma nota
B Cabeçalho da requisição.
para demonstrar que a requisição do
C Conteúdo requisitado; somente disponível se o conteúdo cliente foi efetivamente bloqueada,
existir e o ModSecurity estiver configurado para armazená-lo
como mostrado na listagem 2. Uma vez
D Reservado que o ModSecurity esteja funcionan-
E Conteúdo de resposta temporária; somente disponível do corretamente, você poderá iniciar
se o Modsecurity estiver configurado para isso. a adição de regras e modificá-las para
F Cabeçalho de reposta final após possível manipulação pelo as aplicações web que deseja proteger.
ModSecurity; O Apache gravará os cabeçalhos Date e Server.
G Reservado A arte de
H Trailer de auditoria equivalente ao C, exceto que quando a
requisição contém alguma forma de dado; neste caso, o
detectar ataques
software construirá uma requisição adequada que exclui Para fornecer proteção efetiva contra
o conteúdo do arquivo para simplificar as conferências. diversos tipos de ataques, os adminis-
J Reservado tradores de sistema precisam configu-
rar um conjunto de regras robustas
K Lista todas as regras que conferem linha
por linha na ordem da aplicação. para o ModSecurity. Para formular
regras que os protejam contra SQL
Z Fim da linha (obrigatório).
injections, scripts cross-site, ou ata-
pressões regulares. Por exemplo, para detectar que o navegador da requisi- que de inclusão de arquivos locais e
investigar uma requisição HTTP com ção do cliente da fase 2 conferir. A remotos, por exemplo, você precisará
o intuito de investigar se o cliente esta regra então substitui a ação padrão de conhecimento de como ataques
requisitanto a string (cadeia de carac- drop, que é definida por SecDefaul- em servidores web funcionam.
teres) /etc/passwd com um método tAction com a ação pass. Isto permite É claro que nem todo administra-
GET, você usaria esta regra: ao cliente requisições de passagem. A dor tem esse conhecimento e tempo
listagem 1 mostra uma visão geral da para reinventar a roda. Para contornar
Secrule REQUEST_URI “/etc/passwd”
configuração básica para fins de testes isso, o projeto Open Web Application
Se a requisição for condizente com do ModSecurity discutidos até aqui. (OWASP) oferece um conjunto de
a regras, o ModSecurity executará a regras para o ModSecurity [8] que se
ação padrão deny. A filtragem por tipo de Na prática apoia na detecção de anomalias para
navegador poderá ser feita desta forma: Após iniciar o Apache, uma requisição proteger servidores web contra alguns
como http://www.exemplo.com/index. ataques padrões, como requisições
SecRule REQUEST_HEADERS: User-
Agent “nikto” html?file=/etc/passwd conferirá com inválidas de clientes, SQL injections,
a regra modelo da linha 8. Então a scripts cross-site, e ataques remotos
Este exemplo diz ao servidor web ação definida na linha 9 bloqueará ou locais de injeção de comandos
para recusar tentativas de acesso do a requisição. O cliente verá um erro ou email. Isso fornece uma proteção
scanner de segurança Nikto [7]. Se HTTP 403 Forbidden (negado). Ao robusta básica, que poderá ser então
desejar que o Modsecurity execute mesmo tempo, as linhas 3 a 7 dirão ao modificada para se adaptar ao seu am-
uma ação específica para uma regra, ModSecurity para registrar a transa- biente de aplicações, caso necessário.
você poderá substituir a ação padrão:

Secrule REQUEST_HEADERS: User-

Agent “nikto”
“phase:2,pass,msg:’Scan do Nikto
detectado’”
Esta regra diz ao módulo para gra-
var uma mensagem “scan do Nikto
detectado” no arquivo de log quando
Listagem 2: Requisição bloqueada
01 SecAuditLogType Serial Wed Nov 04 05:39:19
02 [error] client ModSecurity: Access
03 denied with code 403 (phase 2). Pattern match
04 "/etc/passwd" at REQUEST_URI. [file "/usr/local/
05 httpd‐2.2.14/conf/httpd.conf"] [line "420"] [hostname
06 "www.example.com"] [uri "/index.html"] [unique_id
07 "SvFZ138AAQEAAAc4AgQAAAAA"]

Linux Magazine #76 | Março de 2011 73

 SEGURANÇA | Proteção de servidores web
Listagem 3: Acesso ao GeoIP
01 LoadModule geoip_module modules/mod_geoip.so
02 LoadModule security2_module modules/mod_security2.so
03 GeoIPEnable On
04 GeoIPDBFile /usr/tmp/GeoLiteCity.dat
05 SecRuleEngine On
06 SecGeoLookupDb /usr/tmp/GeoLiteCity.dat
07 SecRule REMOTE_ADDR "@geoLookup"
08 "chain,drop,msg:’Connection attempt from .CN!’"
09 SecRule GEO:COUNTRY_CODE "@streq CN: "t:none"
Para instalar estas regras básicas,
baixe o pacote e descompacte-o no
diretório de configuração do Apache.
Então mova as regras, incluindo o sub-
diretório base_rules para o diretório do
ModSecurity. Você poderá ver os ar-
quivos de configuração modsecurity_
crs_10_global_config.conf e modsecurity_
crs_10_config.conf e modificá-los para
atender suas necessidades. As regras são
bem documentadas. Adicionalmente
você deverá ativar os logs de auditoria
e depuração para ver exatamente o que
o módulo está fazendo. Para fazer isso,
você precisará incluir as regras padrão
no seu arquivo httpd.conf como segue:
Include conf/modsecurity/*.conf
Include conf/modsecurity/base_
rules/*.conf
Após reiniciar, o seu servidor Apa-
che terá uma proteção sólida que
responderá com o erro HTTP 403
Figura 2: O site do secretário-geral
da ONU Ban Ki-moon foi
afetado por uma vulne-
rabilidade de validação
de parâmetro de variável.
Uma regra ModSecurity
virtual patching protegeu o
website temporariamente
até que o administrador
corrigisse o problema.
74
para quaisquer requisições de clientes
classificadas como ataques.
Os desenvolvedores devem primeiro
testar as regras padrão exaustivamente
em um ambiente de testes antes de
colocá-las em um ambiente de pro-
dução. Caso contrário corre-se o risco
de bloquear acessos de usuários legí-
timos. Também é necessário lembrar
que o ModSecurity adicionará uma
carga extra de aproximadamente 5%
no processamento do seu servidor web.
Evitando ataques
nas Nações Unidas
Em algumas situações, você não
pode corrigir uma vulnerabilidade
em aplicações web imediatamente.
Imagine uma loja online descobrindo
uma falha de segurança uma semana
antes do Natal e serão necessários di-
versos dias para corrigir o problema,
significando que a loja deverá ficar
offline durante aquele tempo: o dono
deverá tomar uma decisão: viver com
o risco e manter a loja, incluindo a
vulnerabilidade online e assim tendo
o benefício da lucratividade das com-
pras de Natal, ou proteger a empresa
e seus consumidores desligando o we-
bsite e corrigindo a vulnerabilidade.
O ModSecurity fornece uma
técnica para contornar o problema
na forma de um patch virtual, per-
mitindo definir uma ou mais regras
que evitem que a vulnerabilidade
seja explorada, porém sem removê-la.
A documentação do ModSecurity
refere-se ao caso que data do ano de
2007, quando tentaram invadir o site
das Nações Unidas [9]. A sub-página de
comunicação com o secretário Gene-
ral Ban Ki-moon [10] teve o parâmetro
statID que expôs uma vulnerabilidade
SQL Injection (figura 2). Se descobrir
uma vulnerabilidade deste tipo, você
poderá temporariamente definir uma
regra para o Modsecurity que evitará que
os hackers explorem a vulnerabilidade
mesmo que ela continue a existir. No
entanto, esta não é uma boa solução a
longo prazo, pois ela não evita um de-
sastre até que os desenvolvedores web
removam a vulnerabilidade do código
fonte da página. A seguinte solução
deverá funcionar para corrigir a falha:
<Location /apps/news/infocus/
sgspeeches/statements_full.asp>
SecRule &ARGS “!@eq 1”
SecRule ARGS_NAMES “!^statid$”
SecRule ARGS:statID “!^\d{1,3}$”
</Location>
Três linhas adicionadas em um con-
tainer de localização do Apache assegu-
ram que as requisições válidas de usuá-
rios para o arquivo statements_full.asp
somente serão permitidas se tiverem um
argumento (primeira regra) chamado
statid (segunda regra) com números
de 1 a 3 dígitos (terceira regra) como
terceiro parâmetro. Quaisquer requi-
sições que não seguirem este padrão,
serão limpas pela ação padrão, como
definido em SecDefaultAction. Isto efeti-
vamente evitará que um invasor explore
a vulnerabilidade de SQL injection.
Sem informações
internas
O Modsecurity também filtra dados
de saída, especificamente requisi-
ções de respostas do servidor para
informações internas. A linguagem
de programação PHP mostra men-
sagens de erro desta forma:
Fatal Error: Connecting to MySQL
server ‘dbserv.example.com’ failed.
No entanto, você poderá desati-
var mensagens de erro do PHP nas
respostas. O Google lista uma série
de sites onde mensagens de erros de
www.linuxmagazine.com.br
PHP revelam muitos detalhes das apli-
cações. Estas informações são muito
úteis a invasores, pois podem ajudá-los
a entender o funcionamento interno
e a estrutura de uma aplicação web e
direcionar melhor o ataque. Para dizer
ao ModSecurity para bloquear men-
sagens de erro do PHP e evitar que
estas sejam exibidas aos usuários, você
poderá definir uma regra como esta:
SecRule RESPONSE_BODY “Fatal error:”
O cabeçalho RESPONSE_BODY refere-se
ao conteúdo de respostas a um cliente,
e apesar de não ser particularmente
elegante, ele indica o que você poten-
cialmente tem em mãos. Com uma
expressão regular cuidadosamente
trabalhada, você pode, por exemplo,
utilizar a mesma técnica para evitar
que números de cartões de crédito
sejam revelados por uma aplicação
web comprometida após um ataque
de SQL injection feito com sucesso.
Localização geográfica
Outro cenário avançado para o Mo-
dSecurity envolve cooperar com um
provedor GeoIP, o Maxmind [11]. O
GeoIP localiza os usuários geografi-
camente, a partir do seu endereço IP,
o que significa que poderá restringir
o acesso de um website a uma região
específica, por exemplo, a Pensilvânia
– se você administrar um site com con-
teúdo em Holandês da Pensilvânia que
ninguém mais entenda – e ou bloque-
ar totalmente um determinado país.
Para fazer isto, você deverá instalar o
módulo mod_geoip2 no Apache2, junto
com o software GeoIP e o banco de
dados GeoLitecity.dat [12].
Imagine que o engenheiro mecânico
de uma empresa da Alemanha esteja
preocupado com a possibilidade de es-
pionagem industrial vinda do oriente;
neste caso, ele deverá usar a configura-
ção da listagem 3 para evitar o acesso a
partir da China – isso se os usuários da
China não falsificarem a sua origem. As
últimas duas linhas formam uma cadeia
de regras de filtragem. A linha 6 locali- Mais informações
za a região geográfica para o endereço
[1] Melhores Práticas da
IP de requisição, então a linha 7 efetua
OWASP: Uso de firewalls
a requisição e envia a mensagem para para aplicações web: http://
um arquivo de log caso ela venha da www.owasp.org/index.php/
China. Isto pode não ser politicamente [2] ModSecurity:
correto, mas é tecnicamente efetivo. http://modsecurity.org/
[3] Manual de referencia
Conclusão do modSecurity:
http://modsecurity.
O ModSecurity possui um grande es- org/documentation/
modsecurity-apache/2.5.10/
copo de características, e pode levar
html-multipage
algum tempo para entendê-lo com-
pletamente. Mas se você enfrentar o [4] Fases de processamento
do ModSecurity:
desafio de desvendar as profundezas http://modsecurity.
deste módulo, ele te retornará dividen- org/documentation/
dos através de métodos compreensivos modsecurity-apache/2.5.10/
que darão proteção adicional contra html-multipage/
processing-phases.html
ataques em aplicações web, graças ao
esquema de regras pré-definidas que [5] Ações do ModSecurity:
torna o inicio fácil. E também ao de- http://modsecurity.org/
documentation/modsecurity-
senvolvedor por trás do projeto que apache/1.9.3/html-
fornece produtos comerciais e serviços multipage/05-actions.html
como treinamentos. Os administradores
[6] Variáveis do ModSecurity:
armados com o ModSecurity, podem http://modsecurity.org/
sentar-se bem no alto de suas suas ce-
las, até mesmo se invasores estiverem
documentation/modsecurity-
apache/2.1.0/html-
tentando derrubá-los do cavalo. ■ multipage/05-variables.html
[7] Nikto:
http://cirt.net/nokto2
Sobre os autores
[8] Projeto da OWASP
Sebastian Wolfgarten trabalha como es-
pecialista de segurança da informação com
de regras padrões do
ModSecurity: http://www.
o Banco Central da Europa como um con-
sultor, gerente e auditor de projetos internos owasp.org/index.php/
com o objetivo de aumentar a segurança da
infraestrutura de TI. Antes disto, ele passou [9] Blog do ModSecurity,
diversos anos trabalhando para o Ernst & “Correções virtuais durante
Young AG na Alemanha e como um asses- reposta a incidente: Deface
sor de Segurança da Informação na Irlanda. das Nações Unidas”:
Ele também trabalhou como perito em segu- http://blog.modsecurity.
rança da informação na T-Mobile Alemanha.
org/2007/08/27/
Kemel Zaidan é escritor com formação em
dramaturgia pela USP. Membro ativo da co-
[10] Conferencias do Secretário
munidade Ubuntu e de software livre bra- Geral das Nações Unidas:
sileira, graduando em Análise de Sistemas http://www.un.org/apps/
pela FATEC, Faculdade de Tecnologia de news/infocus/sgspeeches/
São Paulo, já palestrou em diversos even-
tos pelo país e é editor da Linux New Media. [11] Serviço de prevenção à
fraudes GeoIP Maxmind:
http://www.maxmind.com/
Gostou do artigo? [12] Bloqueando tráfego
Queremos ouvir sua opinião. específico de países com
o Apache ModSecurity e
Fale conosco em
agazine.com br
cartas@linuxmagazine.com.br o GeoIP por Suvabrata
Mukherjee: http://
te:
Este artigo no nosso site: linuxhelp123.wordpress.
m.br/ar /488
http://lnm.com.br/article/4885 com/2008/12/11/apache
 TUTORIAL | VoIP com Asterisk - Parte V
Asterisk descomplicado
TUTORIAL
VoIP com
Asterisk – parte V
O sistema telefônico ultrapassado, presente até pouco tempo atrás nas empresas, é prolífico
em cobranças: cada novo recurso ativado requer uma nova ativação de serviço, com o preço
adicionado ao pagamento mensal. É hora de mudar. É hora de criar sua própria central VoIP.
por Stefan Wintermeyer
N
a edição 75 da Linux Maga-
zine, apresentamos recursos
como ramificações no plano
de discagem, operações aritméticas
com expressões e operações sobre tex-
to. Você pôde conhecer ainda o que
é e como funciona o banco de dados
do Asterisk, e como terceirizar partes
do plano de discagem. Nesta quinta
parte do tutorial, vamos abordar con-
troles remotos e estacionamento de
chamadas. Mãos à obra!
Controle remoto
Uma instalação do Asterisk sem
patches tem basicamente três for-
mas de ser controlado remotamente:
➧ com o comando asterisk -rx
<comando>;
➧ com arquivos de chamada ( callfiles);
➧ pelo gerenciador Asterisk Manager
Interface – AMI.
A opção -rx no comando asterisk
é uma interface conveniente para
automatizar scripts Shell e a criação
Listagem 1: Arquivo
features.conf
01 parkext => 700
02 parkpos => 701-720
03 context => parkedcalls
04 parkingtime => 45
05 blindxfer => #1
06 atxfer => *2
76
e consulta de variáveis do Asterisk.
Por exemplo, executar o comando
asterisk -rx ‘sip show peers’ no
console listará os pares SIP.
Os arquivos de chamada são mini-
scripts sem inteligência, executados
automaticamente pelo Asterisk se
localizam no diretório /var/spool/
asterisk/outgoing/. Se a data do
arquivo de chamada estiver no fu-
turo (digamos que você salvou seu
arquivo de chamada com uma data
de daqui três meses, por exemplo), é
possível agendar eventos como cha-
madas de despertador, por exemplo.
Um arquivo simples pode conter as
seguintes linhas:
Channel: SIP/500
Context: chamada-interna
Extension: 501
Assim que o Asterisk solicitar
um callfile, o telefone SIP 500 será
chamado e o Asterisk irá esperar até
que o telefone seja atendido. Quan-
do isso ocorrer, o Asterisk iniciará a
extensão 501 no contexto chamada-
interna, que chama o telefone 501
e permite, assim, a conexão entre
as duas pontas da chamada. Estes
arquivos de chamada parecem, a
princípio, muito simples, mas, para
muitos profissionais Asterisk, são o
meio encontrado para o controle
de processos bem mais complexos.
A AMI é, teoricamente, a ferramenta
mais poderosa e mais complexa de todas.
Uma complicação extra é o fato de que
seu processamento em grandes sistemas
telefônicos sempre sofre panes. O servi-
ço AMI do Asterisk pode ser alcançado
via telnet, o que permite o acesso por
outros e inseguros serviços. Para usar a
AMI, consulte a documentação [1].
Briga no
estacionamento
Para “estacionar” chamadas em anda-
mento, é preciso observar o arquivo
features.conf (listagem 1). Na linha
parkext => 700 é definida a extensão
na qual o usuário pode estacionar a
chamada. Os números das “vagas”
no estacionamento são definidos pela
diretiva parkpos => 701-720.
A linha parkingtime => 45, define
o tempo de estacionamento da cha-
mada em segundos. Com isso, o As-
terisk retorna a conversa estacionada
automaticamente à extensão original.
Para atender uma chamada estaciona-
da, desligá-la ou transferi-la para outra
extensão, basta selecionar o número
da “vaga” ocupada por ela. Para isso,
é preciso adicionar o contexto de es-
tacionamento ao seu plano de disca-
gem – caso contrário, o Asterisk não
encontrará a posição da vaga (quadro 1).
www.linuxmagazine.com.br

Listagem 2: Inclusão de
arquivos externos
01 [vendas]
02 include => emergencia
03 include => interna
04 include => externa
05
06 [producao]
07 include => emergencia
08 include => interna
09
10 [interna]
11 exten => _XX,1,Dial(SIP/
${EXTEN},90)
12 exten => _XX,n,Voicemail
(${EXTEN},u)
13 exten => 99,1,VoiceMailMain
(${CALLERID(num),s)
14
15 [externa]
16 exten => _0X.,1,Dial(SIP/
${EXTEN:1}@ProvedorSIP)
17
18 [emergencia]
19 exten => 190,1,Dial(SIP/
${PREFIXO}190@ProvedorSIP)
20 exten => 193,1,Dial(SIP/
${PREFIXO}193@ProvedorSIP)
Planos de
discagem claros
Mesmo que o seu plano de discagem
seja bem estruturado com expressões
regulares, instalações de médio porte po-
dem ficar desorganizadas. Felizmente,
é possível usar a linha #include arquivo
para incluir arquivos inteiros no plano
de discagem. No plano de discagem em
uso, digite include nomesdoscontextos
para incluir os contextos. Isso pode ser
visto no exemplo da listagem 2. Nele,
todos telefonam a partir do contexto
vendas, internamente sem alteração
e externamente com o uso de um 0
(zero) no início. Ambos os contextos
permitem telefonar para os números
de emergência 190 e 193 (e você pode
adicionar outros números de emer-
gência, caso deseje). Nas linhas 19 e
20, observe que o ${PREFIXO} guarda o
código de área que está armazenado
em uma variável. Também deve-se ve-
rificar com o provedor SIP se ele roteia
corretamente esses números.
Linux Magazine #76 | Março de 2011
VoIP com Asterisk - Parte V | TUTORIAL
Quadro 1: Mediação e “estacionamento” de chamadas
Todo administrador que usa Dial(SIP/1234) para chamar o telefone 1234 tem
a chance de mediar a conversação já estabelecida. No Asterisk, este recurso
já está embutido na aplicação Dial() e pode ser ativado com um único parâ-
metro. Com o parâmetro T, o originador da chamada tem a possibilidade de
transferir a chamada, e com t (minúsculo), o receptor da chamada pode fazer
o mesmo. Então, Dial(SIP/1234,,tT) cria a conectividade citada acima.
A forma como os demais participantes se juntarão à chamada é definida pelo ar-
quivo /etc/asterisk/features.conf. Ele especifica, por exemplo, blindxfer=>#1,
que passa a ser a combinação de teclas da “transferência às cegas” (Blind Trans-
fer), no jargão do Asterisk. Para transferir uma chamada para o telefone interno 345,
digite, sob estas condições, a combinação de teclas [#][1][3][4][5] e pressione o bo-
tão de transferir do seu aparelho (caso possua) ou aguarde o timeout.
Algumas linhas abaixo, ainda no arquivo features.conf, é definida a com-
binação para transferência assistida (attended transfer) como atxfer => *2.
Esta função informa, antes de transferir a chamada, que o destino será o nú-
mero 345. A versão 1.4 do Asterisk tem algumas diferenças relativas à forma
como são feitas as transferências às cegas e assistidas.
Para a maioria dos usuários, a melhor forma é a transferência assistida, pois eles
podem simplesmente desligar caso não desejem ser transferidos. Dependen-
do do tipo de telefone, a função de transferência pode ter uma tecla específica.
Temporização Listagem 3: Arquivo
com includes extensions.conf
Com os includes, é possível estruturar 01 ; Feriados
02 include =>
seu plano de discagem não apenas
com mais facilidade e clareza, mas
feriado|*|*|24|dec
03 include =>
também utilizá-los para ocasiões dis- feriado|*|*|01|jan
tintas. A sintaxe é emprestada pelo 04
crontab, e fica parecida com: 05 ; Dia
06 include => diautil|09:00-
18:00|mon-fri|*|*
include=>contexto|horas|dia da
semana|dia do mês|mês 07 include => diautil|09:00-
18:00|sat|*|*
08
No caso de múltiplos includes, 09 ; Caso não coincida com
o Asterisk os lê de cima para baixo. nada, deve ser noite.
Um exemplo típico para empresas 10 include => noite
é mostrado na listagem 3.
Desde o começo desta série de
tutoriais, você aprendeu a utilizar Mais informações
as ferramentas para programar novas [1] Documentação do AMI:
aplicações telefônicas com fluxos de http://www.asterisk.org/
astdocs/node201.html
dados complexos – com lógica, base-
adas em tempo e com interatividade
com arquivos de voz.
Na próxima edição da Linux Ma- Gostou do artigo?
rtigo?
gazine, você aprenderá como misturar Queremos ouvir sua opinião.
ISDN e telefones analógicos ao Aste- Fale conosco em
gazine.com r
cartas@linuxmagazine.com.br
risk e à telefonia VoIP e também sobre
como trabalhar com fax e adaptadores e:
Este artigo no nosso site:
de telefone analógico (ATAs). Até lá! ■ m.br/ar /485
http://lnm.com.br/article/4854
77
 Calendário de eventos Índice de anunciantes
Empresa Pág.
Evento Data Local Informações
Tecla 02
Othos 07
www.websecforum.com.br/
SERVIÇOS

Plusserver 08
Web Security Forum 09 e 10 de abril São Paulo, SP
evento/ Central Server 13
UOL Host 15

Seminário de Senac 25
13 de abril São Paulo, SP www.ideti.com.br/cloud/
Cloud Computing Komputer 35
Impacta 41
http://www.tecsi.fea.usp.br/ F13 51
8º CONTECSI 1 a 3 de junho São Paulo, SP
eventos/contecsi/
WatchGuard 69
SOA + Cloud Symposium 81
17 e 18 de http://events.linuxfoundation.
LinuxCon Brasil 2011 São Paulo, SP Bull 83
novembro org/events/linuxcon-brazil
Sony 84

Nerdson – Os quadrinhos mensais da Linux Magazine

80 www.linuxmagazine.com.br
 Linux Magazine #77
PREVIEW

Tablets
Os tablets estão tomando conta do
mercado de dispositivos móveis. Muitos
usuários estão até mesmo apostando seus
netbooks e smartphones, inutilizando-os
em detrimento desta novidade portátil.
Muitas são as opções de escolha, desde
aparelhos simples, com recursos básicos,
até verdadeiros super minicomputadores,
com poder de processamento, velocidade
e memória compatíveis com desktops,
smartphones e notebooks poderosos.
Aliando forma à função, os tablets atu-
almente possuem capacidade para ver
vídeos, fazer ligações, navegar na Inter-
net e até mesmo desenvolver software!
Na próxima edição da Linux Magazi-
ne, você vai conhecer alguns destes
poderosos aparelhos, seus sistemas e
particularidades. Não perca! ■

Ubuntu User #22

Ubuntu 11.04
O novo Ubuntu 11.04, codinome Natty
Narwhal, está saindo do forno. Muitas
mudanças são esperadas e previstas para
este lançamento. Entre elas, podemos
destacar o novo modo de organização
da área de trabalho, que agora utiliza
o Unity, interface de usuário padrão
adotada pela versão 10.10 para netbooks,
embora o Gnome continue ativo e fun-
cional no sistema. Os recursos multitou-
ch também vêm aperfeiçoados e com
muitas novidades.

82 www.linuxmagazine.com.br