Existem várias formas de ataques de intrusão em servidores de e-mail: existem ataques que usam vulnerabilidades de buffer overflow, ataques de negação de serviço, ataques de coleta de diretórios, etc. Medidas como fortalecer os servidores de e-mail, usar ferramentas de filtragem de e-mail, usar serviços gerenciados e instalar software integrado podem impedir ataques a servidores de e-mail de diferentes lados. Este artigo descreve essas medidas em detalhes.
Proteger seu servidor de e-mail, instalando primeiro uma ferramenta de rede de filtragem de e-mail na frente dele ou usando um serviço gerenciado de filtragem de e-mail ajudará a mitigar ataques de spammers e outras fontes.
À medida que aumentam os ataques contra usuários finais e seus desktops, os ataques diretos a servidores de e-mail diminuem (embora essa diminuição seja relativa). No entanto, os servidores ainda estão vulneráveis, pois os invasores continuam a encontrar vulnerabilidades no servidor EXChange da Microsoft e até mesmo no Sendmail. Aqui estão dois ataques comuns e maneiras de reduzir ou eliminar a exposição do seu servidor de e-mail a esses ataques.
Uma das causas principais: vulnerabilidade de buffer overflow
Um buffer overflow ocorre quando um programa de software, como um software de servidor de correio, armazena mais dados em um buffer de dados do que o permitido originalmente e falha na proteção contra entradas inesperadas. Um invasor pode explorar essa falha para fazer com que o servidor de e-mail execute outros procedimentos além dos pretendidos. Se o servidor de e-mail estiver rodando com privilégios, a segurança de todo o sistema ficará comprometida. Mesmo que o servidor de e-mail não seja privilegiado, um invasor ainda pode comprometer sua segurança e obter controle total sobre seus recursos.
Embora os buffer overflows sejam causados por erros acidentais de programação, eles são uma vulnerabilidade de segurança muito comum em termos de integridade de dados. Quando ocorre um buffer overflow, o excesso de dados pode conter código projetado para acionar ações específicas, como o envio de novas instruções ao servidor comprometido que podem corromper arquivos do usuário, modificar dados ou expor informações ultrassecretas.
Os invasores já provaram suas habilidades no passado explorando vulnerabilidades de buffer overflow para permitir que worms viajassem entre diferentes servidores na Internet. Mas recentemente, as vulnerabilidades de buffer overflow assumiram um alvo mais específico. Eles permitem que invasores comprometam um servidor de e-mail, que podem então usar para enviar spam.
Este ataque tem duas consequências graves. Primeiro, um servidor de e-mail comprometido significa que um invasor pode ler os e-mails recebidos e enviados da empresa. Os resultados podem ser catastróficos. Segundo, os invasores podem usar os recursos do servidor de uma empresa para enviar spam. Essa situação pode trazer má reputação à empresa, violar o contrato do ISP e muitas vezes significar o encerramento do serviço.
É importante proteger seu servidor de e-mail (e qualquer outro servidor público) contra vulnerabilidades de buffer overflow e outras formas de ataques. Existem outras medidas de proteção que podem ser tomadas.
Uma resposta: proteção do servidor
A melhor maneira de reduzir a chance de a segurança do seu servidor de e-mail ser comprometida é fortalecer o próprio servidor de e-mail. De qualquer forma, o reforço vale o esforço. Em servidores protegidos, especialmente aqueles na Internet, poucos serviços são vulneráveis a vulnerabilidades, e esses serviços são geralmente tratados de forma “diferente”. O reforço geralmente requer as seguintes medidas:
• Computadores fisicamente seguros;
• Atualizar sistemas operacionais e softwares aplicativos;
• Habilitar o registro para registrar as operações dos administradores sobre acesso e uso de recursos;
• Remover aplicativos, serviços e ferramentas desnecessários;
• Habilitar serviço de firewall local;
• Restrinja o uso de contas privilegiadas.
Ao fortalecer seus servidores, seus pontos fracos podem ser bastante reduzidos. Mas simplesmente proteger o seu servidor de e-mail muitas vezes não é suficiente. Uma solução melhor seria proteger o servidor e, ao mesmo tempo, fornecer filtragem adicional do tráfego de e-mail antes que o e-mail realmente chegue ao servidor.
O tráfego de e-mail pode ser pré-filtrado através do uso de ferramentas de rede, serviços de gerenciamento e software integrados em sistemas de e-mail existentes (como o EXChange da Microsoft). Lembre-se de ter diferentes camadas de defesa – por exemplo, fortalecendo seus servidores de e-mail internos e implantando ferramentas de rede reforçadas pelo fornecedor para proteger o ambiente circundante.
Resposta 2: Ferramentas de rede
As ferramentas de rede de filtragem de correio são implantadas na frente dos servidores de correio internos. Essas ferramentas normalmente fornecem dois tipos de firewalls: firewalls de filtragem de pacotes e firewalls em nível de aplicativo. As ferramentas de rede que atuam como firewalls de filtragem de pacotes permitem apenas tráfego TCP/IP válido para portas usadas por serviços de correio (como SMTP, geralmente POP3 e IMAP). A ferramenta como um firewall em nível de aplicativo garante que o servidor de envio use SMTP corretamente e siga as solicitações e convenções relevantes do IEEE para comentários (RFCS) (por exemplo, suporta configurações de DNS reverso).
As ferramentas de rede não são vulneráveis a ataques por vários motivos. Primeiro, a grande maioria das ferramentas é executada em sistemas operacionais altamente personalizados. Esses sistemas operacionais desativaram a maioria dos serviços adicionais que permitiriam aos invasores ganhar uma posição segura (ou foram personalizados desde o início especificamente para as ferramentas a serem usadas).
Em segundo lugar, os engenheiros aderem estritamente às melhores práticas ao endurecer ferramentas.
Finalmente, uma ferramenta permite apenas um tipo limitado de comunicação de e para o servidor de correio (ou seja, comunicação relacionada ao transporte de correio), e mesmo este tipo de comunicação está sujeito a uma inspeção cuidadosa.
Resposta 3: Serviços gerenciados
Com os serviços gerenciados, todos os emails são enviados primeiro para um serviço externo que filtra os emails, que então encaminha os emails válidos para o servidor de email da empresa.
Para utilizar esta estratégia para prevenir eficazmente ataques utilizando protocolos de correio direto, o servidor de correio interno deve aceitar apenas ligações iniciadas pelo serviço gerido e não quaisquer outras ligações. Mas esses serviços estão disponíveis apenas para comunicações recebidas por e-mail. O tráfego de e-mail de saída ainda é enviado diretamente para outros servidores na Internet, ativando assim possíveis vulnerabilidades no uso de protocolos de e-mail (por exemplo, um servidor de e-mail receptor pode explorar uma vulnerabilidade de buffer overflow no software do servidor de envio de e-mail durante a transmissão SMTP).
Resposta 4: Software integrado
Finalmente, um software integrado pode ser instalado para ajudar a proteger o seu servidor de e-mail. Este software instalado localmente protege contra ataques de rede e torna o servidor mais robusto. O software integrado normalmente é executado na camada de aplicação (ou seja, SMTP) para proteger os servidores contra explorações. Alguns softwares de integração substituem a pilha TCP/IP nativa do servidor por uma versão reforçada personalizada.
No entanto, é mais comum que o software de filtragem local funcione com o software de e-mail, em vez de construir uma barreira entre o software de e-mail e o sistema externo. O software integrado que utiliza esta abordagem pode ser útil quando um invasor tem acesso direto ao servidor de e-mail (por exemplo, se um usuário interno confiável iniciar o ataque).
Resposta 5: Ataques de negação de serviço e ataques de coleta de diretório
Os ataques Denia1 of Service (DoS) reduzem as capacidades do sistema alvo. Digamos que um servidor de e-mail, por exemplo, e um invasor esteja tentando desacelerá-lo ou desativá-lo. Os invasores lançam ataques de negação de serviço de diversas maneiras, inclusive consumindo recursos de rede e lançando ataques de coleta de diretórios.
Quando um invasor conduz um ataque de negação de serviço por meio do consumo de recursos da rede, o ataque geralmente se concentra no consumo de todas as conexões de entrada disponíveis para a máquina alvo. Como o SMTP é um protocolo TCP, uma exploração bem-sucedida requer apenas que o invasor solicite mais conexões TCP do que as disponíveis. Ou seja, o invasor cria mais conexões com o servidor de correio do que o servidor de correio pode suportar. Desta forma, o servidor de correio não poderá mais aceitar conexões de entrada válidas de servidores de correio legítimos.
Existem poucas soluções baseadas em servidor para evitar ataques de negação de serviço. A maioria dos servidores de e-mail é executada em sistemas operacionais de uso geral que não estão ajustados para proteção contra ataques de negação de serviço. Mesmo em um sistema UNIX reforçado, aumentar a capacidade do servidor de resistir a um grande número de ataques de negação de serviço requer configurações de rede diferentes. Como resultado, as empresas frequentemente adquirem sistemas criados especificamente para detectar e prevenir ataques de negação de serviço ou ferramentas de filtragem reforçadas que podem aceitar muito mais conexões simultâneas do que um servidor de correio de uso geral. Esses dispositivos de filtragem costumam ser mais capazes de detectar ataques de negação de serviço e tomar medidas defensivas.
Os ataques de coleta de diretório são ataques que consomem muitos recursos, lançados por spammers para identificar endereços válidos disponíveis para spam futuro. Quando ocorre um ataque de coleta de diretório, a carga no servidor de correio aumenta bastante, afetando a transmissão de correio eficaz. Além disso, o servidor de e-mail local retornará relatórios de falha na entrega para endereços inválidos que tentam acessar o endereço De usado pelo spammer.
O retorno de relatórios de falha na entrega gera tráfego de e-mail de saída adicional, consumindo largura de banda cara e aumentando assim a carga no servidor de e-mail. Como a maioria dos endereços De usados pelos spammers são falsos, os relatórios de falha na entrega sempre expiram, exigindo que o servidor de e-mail tente a transmissão novamente mais tarde. Em resumo, um ataque de coleta de diretório é uma forma cara de ataque a um servidor de correio.
Infelizmente, existem poucas maneiras de mitigar os perigos dos ataques de coleta de diretórios. Uma solução é usar serviços gerenciados. Normalmente, os serviços gerenciados mantêm muito mais servidores de e-mail do que uma empresa pode fornecer, portanto, os ataques de coleta de diretórios não afetam em grande parte a entrega de e-mails.
Outra solução é instalar ferramentas de filtragem front-end otimizadas para esse tipo de ataque. Mantenha uma lista de usuários de e-mail legítimos na ferramenta (por meio de uma lista estática ou acesso Light Directory Access Protocol a um diretório interno) para que os filtros não enviem e-mails para usuários inválidos