João Paulo
Boa tarde.
Aqui temos alguns conceitos bacanas para analisarmos que podem ajudar na tomada de decisão sobre o que e como proteger.
O primeiro tema é, quais portas estão abertas e eu preciso me preocupar? Uma forma rapida de descobrir é abrir o prompt de comando e digitar o comando "netstat -nao | findstr LISTENING". A saida deste comando será algo semelhante
a este:
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 1052
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:1098 0.0.0.0:0 LISTENING 1880
TCP 0.0.0.0:3164 0.0.0.0:0 LISTENING 2244
TCP 0.0.0.0:3165 0.0.0.0:0 LISTENING 2244
TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING 968
TCP 0.0.0.0:8081 0.0.0.0:0 LISTENING 284
TCP 0.0.0.0:32111 0.0.0.0:0 LISTENING 1832
TCP 10.212.92.18:139 0.0.0.0:0 LISTENING 4
TCP 127.0.0.1:1057 0.0.0.0:0 LISTENING 2296
TCP 127.0.0.1:5152 0.0.0.0:0 LISTENING 2024
TCP 127.0.0.1:9421 0.0.0.0:0 LISTENING 1880
TCP 127.0.0.1:9422 0.0.0.0:0 LISTENING 1880
TCP 127.0.0.1:9423 0.0.0.0:0 LISTENING 1880
As columas que precisamos nos preocupar são a segunda e a ultima. A primeira coluna indica que algum serviço esta rodando na maquina e escutando na porta após o :
A primeira analise que faço aqui é: Eu não preciso me preocupar em fechar portas, pois elas somente estão abertas se eu tiver um serviço rodando e esperando por conexões.
A ultima columa é a indicação do PID ou Process ID, que pode ajudar a identificar qual é o processo escutando naquela porta (muito util para portas acima de 1024 que não são conhecidas). No task manager você
pode abrir a visualização do PID e verificar qual processo esta rodando com o PID listado.
Agora que sabemos todos os serviços que estão rodando na maquina e no seu caso você deve encontrar portas como 1433/1434 (MSSQL / SQL Browser) e a 3389 (terminal server) o que devo fazer para protegelas ? Algumas dicas:
1) Aplique todos os services packs, patchs, fix que o produto instalado precisa. Uma ótima ferramenta para descobrir o que esta aberto ou não, é o MBSA
http://bit.ly/lvYFlV
2) Por exemplo, o MSSQL será utilizado apenas por uma equipe ou sistema? Podemos utilizar o firewall interno do Windows e limitar as conexões a porta1433/1434 apenas para os IPs/Redes de quem realmente precisa acessar. O mesmo exemplo pode
ser dado ao Terminal Server e qualquer outro componente.
3) Habilite auditoria. Para serviços mais criticos, quando houver a possibilidade, habilite a auditoria de acordo com o tipo e a quantidade de informações que precisa. No SQL, podemos criar traces sobre logins, consultas, acessos etc
e ativamos apenas o que é conveniente a nossa politica interna.
Bom, com estes passos você ja torna o seu ambiente mais seguro e mitica alguns problemas.
Espero ter ajudo .... se possivel, classifique :)
abraços
Eroi
