     |
Aqui está contida a proposta de trabalho que entreguei no dia 10 de julho.
Introdução: Meu trabalho de formatura está se baseando em um estágio na empresa Americanas.com. Estou trabalhando lá desde o dia 15 de Maio de 2000 atuando na área de segurança. Como o trabalho está relacionado à área de segurança, não posso entrar em detalhes mais aprofundados sobre o que é feito na empresa, no entanto tentarei disponibilizar o máximo de informação possível sem que a segurança do site da Americanas.com seja comprometida.
A Empresa: Algo à primeira vista muito curioso sobre a Americanas.com é que a empresa não é uma subdivisão ou uma subempresa das Lojas Americanas S/A. Embora as duas pertençam ao mesmo grupo, a Americanas.com é uma empresa totalmente independente das Lojas Americanas. A Americanas.com foi fundada em setembro de 1999 com o objetivo de explorar o comércio eletrônico no Brasil através do uso de um nome já bem conhecido no mercado. Existe ainda uma certa ligação entre as duas empresas no que diz respeito à coerência entre os preços para produtos iguais, com o objetivo de não confundir o consumidor. Mas muitos dos produtos que cada empresa vende são diferentes, já que cada uma atinge um público diferente. No escritório em que a empresa opera trabalham cerca de 70 pessoas nas diversas áreas necessárias à manutenção do site como arte, conteúdo, recursos humanos e sistemas. Existe também um centro de distribuição para onde são encaminhados os pedidos e de onde saem os diversos itens para entrega. O ambiente de trabalho bastante descontraído e os equipamentos de última geração fornecidos aos funcionários tornam o trabalho ainda mais agradável. Além disso, assim como fazem muitas empresas “pontocom” hoje em dia, a Americanas.com não mantém regras rígidas nos horários de trabalhos de seus funcionários. Para mim isso teve uma importância bastante significativa já que ainda tenho que alocar tempo para as atividades relacionadas à faculdade. A Equipe: Pedro Donati, formado em Ciência da Computação no IME, lidera uma equipe de 7 pessoas da qual eu faço parte. Fábio, Lílian e Mirian, recém formados do IME, trabalham com a integração entre os sistemas da Americanas.com com o de outras empresas. Nikolaj, Eliel e Luís Paulo trabalham no gerenciamento dos bancos de dados. Apesar de pertencer a essa equipe, eu trabalho sozinho na área de segurança.
O que eu faço: De forma sucinta, minha função é, manter o site protegido contra eventuais ataques de pessoas mal intencionadas, não necessariamente hackers, mas também pessoas que tentam fazer compras de maneira fraudulenta, usando cartões de crédito roubados, por exemplo. Ultimamente tenho atuado mais na área de prevenção a ataques. Procuro manter os sistemas atualizados com os mais recentes patches e atualizações de modo a neutralizar as falhas de segurança que são freqüentemente encontradas nos mais populares softwares como bind e ftpd. Até agora já instalei e configurei algumas máquinas que permitem a geração de logs mais detalhados e a monitoração da rede para a detecção de possíveis ataques. Já cheguei até a escrever um programa que permite a detecção de certos tipos de ataques DDoS (Distributed Denial of Service). Para isso foi necessária uma boa quantidade de pesquisa sobre tais ataques e um pouco de estudo sobre o funcionamento de uma rede em um nível mais baixo. Tive de compreender com certo detalhe o funcionamento do protocolo TCP, por exemplo. Através de relatórios de segurança sobre nossa rede gerados por terceiros, aprendi bastante sobre falhas de segurança que já vêm ligadas por default em alguns sistemas operacionais (principalmente Windows), com se fossem “recursos” ao invés de falhas. A maior fonte de conhecimentos, no entanto, ainda é a Internet. Existem inúmeros sites de segurança que explicam em detalhe os bugs presentes em diversos daemons e como os hacker fazem para explorá-los. Os sites mais divertidos são mesmo aqueles publicados para hackers por outros hackers em que se fala, muitas vezes com deboche, de ferramentas de segurança utilizadas em larga escala seguida por uma breve explicação de como fazer para contornar tais obstáculos. Um exemplo disso é a ferramenta “tripwire” que detecta alterações feitas em arquivos do sistema. Por incrível que pareça, muitos administradores guardam os dados gerados pelo tripwire em partições montadas como “read-only”, no próprio sistema, ignorando o fato de que, se um hacker conseguir acesso de root na máquina, ele poderá montar a mesma partição como “read-write”. É impressionante também ver como evoluem as ferramentas utilizadas pelos hackers. Já estão disponíveis na rede os chamados “rootkits” que são pacotes de programas alterados que, uma vez que um hacker invade um sistema, basta rodar um script (já incluído no pacote) para que todos os seus rastros sejam apagados automaticamente e para que vários programas do sistema como “ps” e “netstat” sejam substituídos por versões que escondem a presença do hacker.
O Futuro: Por mais que possa fazer ajustes na configuração de uma máquina para que ela fique segura, ela dificilmente continuará segura por muito tempo. Todos os dias descobrem-se novas vulnerabilidades que podem derrubar até mesmo os mais bem protegidos sistemas do mundo. Pensando nisso, posso esperar que ainda terei muito trabalho pela frente e muito mais a aprender sobre segurança. No futuro imediato estarei aumentando minha área de atuação. Começarei a entrar mais no mundo da detecção de fraudes de cartões de crédito. Para esse propósito estou aprendendo a usar um sistema de banco de dados da Oracle, e melhorando meus conhecimentos (ainda precários) de SQL. Em breve também estarei estudando mais sobre IDS, Intrusion Detection System. Ferramentas de IDS ajudam a detectar quando um sistema sofreu (ou está sofrendo) algum tipo de invasão. Também estarei difundindo mais o uso de criptografia dentro da empresa e padronizando documentos e especificações criadas por funcionários de modo a incluir uma assinatura digital para que se possa verificar autenticidade e garantir a integridade dos mesmos. As maiores preocupações no momento são relativas à proteção contra pessoas mal intencionadas de fora da empresa. À medida que a empresa cresce também cresce a preocupação com a segurança interna. Algumas medidas já estão sendo tomadas em relação à isso. Com uma visão um pouco mais à frente, está sendo planejada a implantação de uma política de segurança interna. Em relação ao meu futuro junto à empresa, pretendo continuar meu estágio pelo menos até o fim do meu curso. Penso que hajam boas chances de efetivação por lá e grandes oportunidades a serem tiradas de lá.
|
|
Copyright © 2000 - Denis Celestino de Souza
|