Capa » Notícias

Lista SANS/FBI de vulnerabilidades está em português

Terça, 26 de fevereiro de 2002, 10h39
A lista das 20 vulnerabilidades de segurança mais críticas da Internet agora pode ser consultada em português. A relação foi preparada pelo SANS Institute e pelo FBI e foi divulgada inicialmente em inglês, em outubro do ano passado. As vulnerabilidades mais perigosas foram divididas em três categorias: as gerais, que podem atingir qualquer site, as específicas do Windows, e as específicas de sistemas Unix.

Entre as vulnerabilidades gerais, chama a atenção o fato de que as maiores fraquezas decorrem de desatenção dos próprios administradores de sistemas. Isto inclui: instalação padrão de sistemas operacionais e aplicativos; contas sem senhas, ou com senhas facilmente identificáveis; backups e logs inexistentes ou incompletos; grande número de portas desnecessárias abertas nos sistemas; ausência de filtros de pacotes de entrada e saída de dados.

Entre as principais vulnerabilidades do Windows e do Unix também se encontram algumas largamente divulgadas. No caso do Windows, a lista inclui o famoso bug Unicode, conhecido por qualquer garoto candidato a "hacker" e que já possui correção há cerca de um ano e meio.

Entre as vulnerabilidades do Unix ainda muito exploradas estão as chamadas RPC (Remote Procedure Call), que permitem que programas de um computador executem tarefas num outro computador. Segundo o SANS, "há evidências de que a maioria dos sistemas que participaram dos ataques DDoS ocorridos durante 1999 e 2000, foi comprometida por meio de vulnerabilidades no serviço de RPC". O ataque contra sistemas militares dos E.U.A. conhecido como "Solar Sunrise", também explorou uma falha do RPC encontrada em centenas de sistemas no Departamento de Defesa daquele país.

A lista do SANS/FBI, batizada de Top 20, vem sendo atualizada constantemente, à medida que novas descobertas e procedimentos de segurança são divulgados. O documento também possui seções extras, como uma relação das portas associadas aos serviços verificados e atacados com maior freqüência, e métodos manuais para verificar se um sistema possui ou não as vulnerabilidades mencionadas.

Há ainda uma lista das ferramentas que automatizam a identificação dos problemas, entre as quais uma chamada SARA, criada por Bob Todd e projetada especificamente para identificar a presença das vulnerabilidades da lista "Top 20". A ferramenta pode ser baixada aqui.

A tradução do documento foi um trabalho conjunto de Mike Poor, da empresa Compugenx e de pesquisadores do Centro de Atendimento a Incidentes de Segurança (CAIS) da Rede Nacional de Ensino e Pesquisa (RNP). A versão em português pode ser encontrada aqui.

Giordani Rodrigues

Volta para a capa | Volta para as notícias

Copyright © InfoGuerra 2000-2001. Todos os direitos reservados.