Atualmente
é cada vez mais crescente a utilização da Internet como
meio para a troca de informações nas empresas. Conseq�entemente,
a demanda por segurança e confidencialidade das informações
teve que acompanhar esse crescimento, originando uma
solução eficiente e de excelente custo benefício conhecida
como redes VPN (Virtual Private Network) que, entretanto,
apresenta algumas limitações.
Rede Privada Virtual
Por definição, uma Rede
Privada Virtual (VPN) é uma rede com acesso restrito,
construída sobre a infra-estrutura de uma rede p�blica,
sendo composta basicamente por dois ou mais equipamentos
interligados em rede, formando um grupo e compartilhando
informações, onde apenas os equipamentos pertencentes
aquele grupo podem ter seus dados compartilhados.
Uma solução VPN deve
garantir alta qualidade e disponibilidade para a rede,
além de integração e capacidade de expansão, ou seja,
deve possibilitar a adição de novos pontos de comunicação
com flexibilidade, rapidez e baixo investimento.
As conexões em uma rede
privada virtual acontecem geralmente através de hubs
ou switches interligando os equipamentos existentes.
Outra característica marcante é a localização distribuída
dos equipamentos que a formam. Em uma solução VPN, há
no mínimo, dois Gateways VPN em localidades geograficamente
distantes e comunicando-se através de um t�nel.
Administração Complexa
Uma VPN pode ser
implementada por equipamentos variados, desde roteadores,
gateways, servidores de acesso remoto e outros equipamentos
específicos, ou ainda por software instalado em estações
da rede.
Como as redes de computadores
atuais, por menores que sejam, apresentam uma variedade
significativa de equipamentos em termos de tipos, quantidades
e configurações, é praticamente impossível conseguir
um ambiente absolutamente seguro. Considerando a disposição
geográfica e quantidade dos seus elementos constituintes,
aliados aos aspectos de segurança requeridos para cada
sistema local, a administração de uma rede utilizando
VPN pode se tornar uma tarefa complexa. Essa complexidade
pode aumentar ainda mais com o aumento do n�mero de
equipamentos, tornando difícil manter um mínimo de segurança
para a rede privada.
Falhas na VPN
As falhas em redes
de comunicação utilizando VPN estão ligadas ao risco
envolvido em determinadas configurações em função do
investimento feito na solução, mas que se traduzem em
riscos calculados.
Como a principal motivação
para a constituição de VPN�s é financeira, é muito comum
configurar em um gateway da VPN serviços que não fazem
parte do contexto de segurança, como servidores de e-mail
e Web, com o objetivo de reduzir custos operacionais
na contratação de links dedicados ou redes de pacotes.
Essa atitude acaba por comprometer a segurança porque
os equipamentos passam a ficar sujeitos aos ataques
externos à rede e infecção por vírus através de e-mails
ou conexão com a Internet.
Outra falha em VPN acontece
devido à forma como a segurança é tratada (ou menosprezada)
dentro da política de segurança adotada nas empresas.
Pesquisas recentes demonstraram que a maioria dos ataques
sofridos nas empresas não ocorre sobre os elementos
da VPN, como o firewall, por exemplo, mas direcionados
aos servidores de fax, de web (a exploração de falhas
em servidores web é uma das práticas mais utilizadas
na Internet), modems para acesso remoto e estações de
usuários utilizando uma senha-padrão que nunca foi modificada.
As pesquisas também
apontaram que os maiores problemas dentro de um ambiente
controlado com firewall, VPN, etc, são os que ocorrem
dentro da própria infra-estrutura da rede. Esses problemas
tornam a rede vulnerável a outros tipos de falhas consideradas
altamente críticas e não calculadas, que podem expor
a rede a ataques do tipo negação de serviço - DoS (Denial
of Service) - identificação remota de serviços ativos
e manipulação da configuração do firewall, entre outros.
Figura 1
- Principais pontos de invasão em uma rede
Providências
Apenas uma política
ampla de segurança lógica e física, onde o acesso aos
equipamentos passa a ser controlado, quer seja pela
eliminação de drivers para mídias removíveis como disquetes
e CD�s (principais fontes de vírus e programas maliciosos
em uma rede), ou pela restrição do uso de modems nas
estações pelos usuários, aliada a uma política de troca
periódica de senhas, poderiam reforçar os aspectos de
segurança da rede como um todo.
Conclusão
Pior que não ter
segurança nos sistemas é possuir uma falsa impressão
de segurança. A segurança de uma rede não é apenas uma
questão técnica, envolve também aspectos gerenciais
e humanos. Não adianta adquirir uma série de equipamentos
de hardware e software sem treinar e conscientizar o
nível gerencial da empresa e todos os funcionários,
todos usuários da rede de comunicação.
Os riscos podem ser
identificados, quantificados e então reduzidos, mas
não é possível eliminá-los completamente. Por esse motivo,
deve-se considerar a existência de uma equipe especializada,
treinada para gerenciamento e suporte das conexões,
a fim de garantir agilidade na recuperação dos serviços
no caso de falhas ou de interrupção da rede. |