Skip to content
17/04/2007 / Thiago

Palestra do FISL: HLBR – Um IPS Invisível para a Segurança de Redes de Computadores

Assim começou mais um dia na capital gaúcha: acordar cedo, tomar o café, encontrar os doidos do hotel e ir à FIERGS, onde estava ocorrendo o evento. Ao chegar ao evento, fui bater um papo com o pessoal da comunidade Ubuntu-br e logo após ir ver minha primeira palestra do dia: HLBR – Um IPS Invisível para a Segurança de Redes de Computadores.

A palestra foi ministrada por João Eriberto Mota Filho, professor e gerente de segurança, sobre o projeto em que é líder, o HLBR. HLBR é a sigla de Hogwash Light BR, projeto que tem o objetivo de se tornar um IPS de camada 2 no modelo OSI.

Eriberto iniciou a palestra explicando alguns conceitos básicos de redes de computadores, como o modelo de referência OSI,como funciona o roteamento entre redes distintas, a utilização de pontes e as ferramentas de segurança presentes em um sistema de Firewall.

Um conceito bem interessante que foi discutido é o HIDS, ou Host-based Intrusion Detection System, que é um sistema de IDS localizado no destino ou origem do tráfego. A vantagem da utilização deste tipo de sistema, é que conexões criptografadas podem ser então analisadas, já que durante todo o percurso não é possível por estar ilegíveis os dados.

O palestrante também explicou a diferença entre um IDS e um IPS: um age de maneira passiva ou de maneirar ativa. Sendo assim, um IDS tem apenas a capacidade de realizar detecções e gerar alarmes, ou também chamados, positivos. Por sua vez, um IPS tem a capacidade de agir ativamente na análise do tráfego, podendo inclusive bloquear conexões suspeitas.

Agora falando mais sobre o projeto HLBR, suas principais características são:

  • Deve ser posicionado nas extremidades do sistema de Firewall, irá depender se você irá querer segurar a rede interna ou a rede externa.
  • Não realiza modificações no cabeçalho dos pacotes, até porque ele fica localizado na camada 2 do modelo, apesar de poder realizar operações de filtragem na camada 7.
  • Não utiliza um endereço IP para realizar suas operações.

Apartir da versão 1.0 do HLBR, é possível utilizar expressões regulares para a detecção de padrões de intrusões, vírus, worms e phising. Para tanto, Eriberto demonstrou um exemplo de expressão no HLBR, exaltando a simplicidade de configuração. O exemplo irá bloquear a tentativa de envio de um e-mail que contenha um anexo com extensão .scr. Segue abaixo o exemplo:

<rule>

ip dst(email)

tcp dst(25)

tcp regex(filename=”[^[:cntrl:]]+\.scr”)

message=.scr attach

action=action1

</rule>

Maiores informações, de acordo com o palestrante, podem ser obtidas aqui ou no sítio web do projeto aqui.

Volto depois aqui para postar mais alguma palestra, o FISL desse ano foi muito bom!🙂

Inté!😀

Deixe uma resposta

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair / Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair / Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair / Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair / Alterar )

Conectando a %s

%d blogueiros gostam disto: