-Nesta lição, vamos
nos concentrar no monitoramento e na auditoria.
Vamos começar com o monitoramento primeiro.
Quando falamos em monitoramento,
uma das principais tarefas de um analista de segurança
é realmente monitorar a rede.
Somos como detetives.
Estamos tentando eliminar
qualquer coisa que não pareça correta
e isso pode ser feito manualmente ou por meios automatizados.
Agora, o syslog é um protocolo que permite que diferentes dispositivos
e aplicativos de software transmitam seus logs ou registros
de eventos para um servidor centralizado.
Agora, o syslog seguirá um modelo padrão de cliente-servidor.
E esse é o padrão de fato para o registro de eventos
de sistemas distribuídos em uma rede.
Você verá o syslog em uso em muitos dos sistemas em
que trabalhará diariamente.
Atualmente, o syslog é executado na maioria dos sistemas operacionais
e na maioria dos equipamentos de rede.
Portanto, quer você esteja usando um roteador
Cisco ou uma máquina Windows ou um servidor Linux, todos
eles podem usar o syslog.
Agora, quando enviamos essas mensagens
de volta, qual é a aparência de uma mensagem syslog?
Bem, uma mensagem de syslog conterá algumas coisas.
Ele contém um código PRI, que é um código de prioridade.
Ele contém um cabeçalho e uma parte da mensagem.
Vamos falar sobre cada um deles.
Primeiro, temos esse código PRI, essa prioridade,
que será calculada com base na instalação
e no nível de gravidade dos dados.
Em seguida, temos um cabeçalho,
que conterá o registro de data e hora do
evento e o nome do host.
Portanto, sabemos de onde veio e em que época foi.
E, por fim, temos a parte da mensagem, que contém
o processo de origem do evento e o conteúdo relacionado,
basicamente quais dados aconteceram e sobre o que você quer nos
contar?
E essa é a ideia aqui com a parte da mensagem.
Essa é a essência desta mensagem.
Agora, quando tratamos do
syslog, há algumas desvantagens na versão original.
O protocolo original se baseava no UDP.
Isso pode causar problemas de entrega em redes congestionadas
porque o UDP é um protocolo do tipo "dispare e esqueça".
Ele o envia e não espera pela resposta
e pelo reconhecimento.
Assim, ele simplesmente presume que chegou lá.
Se a rede estiver congestionada,
os dados poderão ser descartados e,
portanto, as informações não chegarão ao servidor de
registro e não serão registradas.
Nos primórdios, isso pode ter sido aceitável, porque
as pessoas presumiam que todos
em sua rede eram confiáveis, mas hoje
em dia não queremos isso.
Queremos garantir que nossos dados cheguem lá.
Portanto, teremos que encontrar uma solução para isso.
A segunda coisa é que não há muitos
controles básicos de segurança.
Não havia nada como criptografia ou autenticação
incluído por padrão no syslog.
E isso também foi outra desvantagem.
Portanto, nas implementações modernas do syslog,
corrigimos esses problemas.
Agora, devido a esses problemas de segurança,
nossas implementações mais recentes de syslog adicionaram muitos
recursos e capacidades diferentes.
E vamos falar sobre alguns deles aqui.
As primeiras implementações mais recentes usam o TCP
para entrega consistente.
Dessa forma, se a rede ficar congestionada
e a mensagem não puder chegar,
ela será reenviada várias vezes,
pois está usando TCP.
O segundo aprimoramento, as implementações mais
recentes, podem usar TLS, ou segurança da camada de transporte,
para criptografar as mensagens enviadas aos servidores.
Dessa forma, os dados em trânsito não podem
ser lidos por outra pessoa na rede.
Ele só pode ser lido pelo ponto de extremidade que o
enviou e pelo servidor que o está recebendo.
O terceiro aspecto
é que as implementações mais recentes também usam MD5 e SHA1 para
fornecer autenticação e integridade.
Dessa forma, as mensagens podem ter autenticação e integridade
de mensagens enquanto transitam pela sua rede para
garantir que não sejam manipuladas por ninguém.
Novamente, muitos outros recursos.
No entanto, não estou me concentrando muito nesse conjunto
porque, na verdade, o que nos interessa são os três grandes itens
que mudamos para o TCP para obter uma entrega consistente.
Mudamos para o TLS para criptografia
e começamos a usar MD5 e SHA1 para autenticação
e integridade.
Agora, essa versão mais recente do
servidor é normalmente chamada de syslog-ng, para syslog next
generation, ou rsyslog.
Agora, o último aspecto que quero mencionar sobre
o syslog é que ele é frequentemente usado para significar três coisas.
Ele pode se referir ao protocolo pelo qual enviamos os dados.
Ele pode se referir ao servidor, como em um servidor syslog,
ou pode se referir às entradas de registro
em si, como em dados syslog.
Muitas vezes, as pessoas dizem apenas syslog
e estão se referindo a todos os três, ou a qualquer um deles,
dependendo do contexto.
Portanto, tenha cuidado
ao ouvir as pessoas falando sobre o setor,
para ter certeza de que você
entendeu qual dos três eles estão falando
sobre SNMP, que é o próximo.
SNMP é o protocolo de gerenciamento de rede simples.
É um protocolo TCP que auxilia no monitoramento de
dispositivos e computadores conectados à rede.
O SNMP é incorporado aos sistemas de gerenciamento
e monitoramento de rede e é muito usado no conceito
de gerenciamento e monitoramento.
O SNMP é dividido em três componentes.
Há os dispositivos gerenciados, o agente e os
próprios sistemas de gerenciamento de rede.
Falamos sobre dispositivos gerenciados.
Trata-se de computadores e outros dispositivos conectados
à rede que são monitorados por meio do uso de agentes
por um sistema de gerenciamento de rede.
Os agentes são softwares carregados em um dispositivo gerenciado.
E isso nos permite redirecionar as informações
para o sistema de gerenciamento de rede
que fará o monitoramento.
E um sistema de gerenciamento de rede, ou NMS,
é o software executado em um ou mais servidores que
controla o monitoramento
de todos os dispositivos e computadores conectados à
rede em toda a rede.
O SNMP é a cola que faz com que todos esses três elementos
se comuniquem entre si, usando o protocolo SNMP.
Então, como fica tudo isso dentro da rede?
Bem, aqui na tela, você pode ver um breve diagrama.
À esquerda, temos nossa estação de gerenciamento de rede,
ou NMS, que faz parte do nosso sistema de gerenciamento de rede.
Ele atuará como nosso gerente e enviará
e receberá mensagens para todos os
dispositivos gerenciados na rede, seus roteadores,
seus switches e seus servidores, certo?
Agora, quando ele quiser informações,
enviará uma solicitação de obtenção
e, em seguida, esses dispositivos enviarão informações de volta usando
uma solicitação de configuração.
Agora, há também algo chamado solicitação de armadilha,
que receberá informações não solicitadas desses dispositivos
de gerenciamento, em que eles apenas enviam
informações conforme necessário em intervalos
periódicos.
Portanto, ao realizar todo esse gerenciamento de rede usando o SNMP, você
tem duas opções de onde os dados podem ser enviados.
Você pode enviá-la pela rede que está usando,
o que é conhecido como comunicação dentro
da banda, ou pode enviá-la fora da banda.
Agora, quando você faz in-band,
isso significa que enviará esses dados de gerenciamento
pela mesma rede que transporta suas informações
corporativas e dados normais.
Isso é mais barato e mais fácil, mas é menos seguro.
Agora, para ter mais segurança,
você deve criar uma rede fora da banda.
Essa é uma rede secundária em que
ocorre todo o gerenciamento, mas
você ainda tem a rede primária em banda em
que ocorrem todos os dados que os usuários
receberão.
O gerenciamento sempre deve ser
realizado em uma rede fora de banda, pois aumenta a segurança
e retira a função de gerenciamento do local onde os usuários
podem tocá-la ou vê-la.