WIXLIB

ESTÁGIO RELATÓRIO FINAL2021Figura 7 - Regras firewallAs regras têm que estar devidamente ordenadas, pois há uma grande influência. Ou seja, asregras mais abrangentes devem ser colocadas no início, e as regras mais especificas devemde ser deixadas para o fim.OpenVPNÉ mais uma funcionalidade opensource desta firewall, que permite criar com segurança redesprivadas virtuais. Estas ligações são tuneis criptografados entre dois pontos através dequalquer rede pública, por exemplo: o cliente e a rede da empresa. Podem ser do tipo pontoa-ponto, ou de um servidor para múltiplos clientes.No decorrer do estágio, o OpenVPN [8] era diariamente usado para aceder remotamente àsredes dos clientes da WebMóvel, através da internet, facilitando assim a resolução deproblemas.Estas ligações eram possíveis após a configuração da rede virtual privada e dos utilizadoresna pfSense do cliente. Depois bastava ao utilizador aceder ao OpenVPN para clientes e utilizaras suas credenciais de acesso.BERNARDO ROCHA16

ESTÁGIO RELATÓRIO FINAL2021Windows ServerO Windows Server [9] é um sistema operativo usado em servidores e contém inúmerastecnologias para facilitar a gestão da rede informática. Estas tecnologias são facilmenteinstaladas no servidor, o que torna o Windows Server bastante prático, não sendo quasenecessário instalar programas de terceiros.Ao longo do estágio interagi com as versões 2012, 2016 e 2019 do Windows Server, e deiespecial uso às seguintes funcionalidades:Active DirectoryEste software é um diretório que armazena informações e configurações de uma redeinformática. Estas informações armazenadas podem ser: utilizadores, palavras-passe, grupos,membros de grupos, contas de computadores, informações sobre um domínio.Além de armazenar estas informações, o Active Directory entre muitas outrasfuncionalidades, também permite: Determinar quais são os privilégios que cada utilizador ou grupo tem na rede atravésdas políticas de rede. Criar um servidor para disponibilizar conteúdos para a web através do IIS (InternetInformation Services). Os utilizadores da AD façam login em qualquer computador que esteja adicionado aodomínio.Impressoras e pastas de documentos sejam partilhas pelo domínio, facilitando assima impressão de documentos numa impressora partilhada ou o acesso a uma pasta aque vários colaboradores necessitem de acesso. Criar um servidor de DNS (Domain Name Server), ou seja, permite associar um nomea um endereço IP (endereço numérico atribuído a cada dispositivo conectado a umarede). Criar um servidor de DHCP (Dynamic Host Configuration Protocol), ou seja, permitedinamicamente atribuir as configurações de rede a um posto.BERNARDO ROCHA17

ESTÁGIO RELATÓRIO FINAL2021Hyper-VEsta tecnologia permite fazer a virtualização (criar uma versão virtual) de um sistemaoperativo. Ou seja, permite ter um computador virtual a correr determinado sistemaoperativo, dentro do computador.No caso do servidor principal da empresa, o Hyper-V tinha uma máquina virtual com a firewallpfSense.CentOSÉ um sistema operativo gratuito distribuído pela Red Hat Enterprise Linux. O nome é umaabreviação de Community ENTerprise Operating System [10]. E tal como este indica, é umsistema operativo usado em empresas, especialmente em servidores, à semelhança doWindows Server é bastante estável e robusto.Ferramenta de trabalho remotoÉ um programa ou funcionalidade do sistema operativo que permite a um utilizador ligar-sea um computador que esteja localizado noutro lugar.Existem diversas ferramentas à disposição, no entanto destacaram-se o ambiente de trabalhoremoto do Windows (Remote Desktop), bem como a aplicação AnyDesk [11] foram usadasregularmente para resolver diversos problemas em clientes.VeeamÉ um software que oferece soluções para backup de dados e para a recuperação dos mesmos.O Veeam [12] pode ser utilizado em infraestruturas de dados físicas ou virtuais.BERNARDO ROCHA18

ESTÁGIO RELATÓRIO FINAL2021Trabalho desenvolvidoAo longo das 750 horas de estágio, foram várias as funções realizadas. Mas a principal tarefarealizada foi a de Helpdesk.Primeira abordagemNas primeiras semanas de estágio, foi proposto que fosse feita uma análise à rede, paraentender a estrutura da rede de dados e para encontrar possíveis vulnerabilidades.Análise à estrutura da redeA estrutura da rede é bastante simples, sendo semelhante a alguns casos já estudados emcertas disciplinas.Na empresa é possível encontrar seis sub-redes informáticas, para assegurar uma melhorsegurança e para facilitar a gestão da rede. Essas seis sub-redes são divididas da seguinteforma:- Rede P e B: dedicadas a clientes;- Rede W: é a sub-rede para os colaboradores da WebMóvel trabalharem;- Rede O: é uma sub-rede antiga, que veio a ser substituída pela sub-rede W;- Rede F: dedicada à firewall e alguns servidores de backup.- Rede G: esta não se encontra abrangida pela firewall e serve apenas para o uso deconvidados na empresa.Todas as sub-redes, expeto a de convidados, encontram-se protegidas pela firewall pfSense.BERNARDO ROCHA19

ESTÁGIO RELATÓRIO FINAL2021Figura 8 - Diagrama redeIntrodução ao pfSenseDepois de entender a estrutura da rede da empresa e dos clientes, foi altura de aprendersobre o pfSense e todas as suas funcionalidades.Na primeira abordagem decidi pesquisar, ver tutoriais e ler a documentação da firewall paracompreender melhor o sistema operativo. Posto isto foi-me dado acesso à firewall daempresa para pode perceber as regras utilizadas para que não haja comunicação entre asdiferentes sub-redes. As funcionalidades do pfSense referidas anteriormente na seção dastecnologias utilizadas, também foram exploradas.Ambiente de testesDe forma a conseguir desenvolver de forma segura e autónoma, foi proposto queconfigurasse um servidor de testes (sandbox). Neste servidor foi instalado o Windows Server2016, de forma a poder interagir com os serviços do Active Directory.Configuração inicialDepois da instalação do sistema operativo, foi instalado o Hyper-V onde foram criadas trêsmáquinas virtuais, uma com o pfSense, e duas com o CentOS.BERNARDO ROCHA20

ESTÁGIO RELATÓRIO FINAL2021As duas VM com o CentOS estavam destinadas a ser usadas para testes por parte de colegasde trabalho. Uma das máquinas estava a albergar serviços de uma API e outra com serviçosde MySQL.A seguinte figura representa a organização do servidor:Figura 9 - Diagrama SandboxInstalação do pfSenseCom a instalação do pfSense concluída, foram feitas configurações para que a máquina virtualdisponibilizasse três adaptadores de rede virtuais. Assim, com estas alterações, foi possívelcriar três sub-redes diferentes. Ou seja, cada máquina virtual estava isolada numa sub-rede.Mesmo que o pfSense seja uma máquina virtual dentro do servidor, o Windows Server estáconfigurado para passar pela firewall pfSense. As comunicações feitas pelo servidor têm comodestino a máquina virtual pfSense e só depois é que são enviados para o seu destino nainternet.Na figura 9, representa-se a rede:BERNARDO ROCHA21

ESTÁGIO RELATÓRIO FINAL2021Figura 10 - Rede da sandboxOs dois servidores com o CentOS, passam pelo mesmo processo. Encontram-se em sub-redesdistintas, mas a gateway (ponte de ligação) é a máquina virtual com o pfSense.Estas configurações vão permitir que a rede esteja mais segura e que a sua gestão sejafacilitada.Para me familiarizar melhor com o pfSense, apliquei algumas regras e funcionalidadessemelhantes à rede da WebMóvel. Inicialmente criei regras na firewall para que o tráfegodas sub-redes não se intersetasse. Depois configurei a sub-rede da máquina virtual do MySQLum pouco diferente, de modo a explorar os packages mencionados anteriormente, oSquidGuard, Snort e pfBlocker. Após a sua instalação dos mesmos, as funcionalidades foramlentamente analisadas, optando por selecionar as configurações mais básicas numa primeirafase.No caso do SquidGuard, comecei por bloquear certas listas de conteúdos. Neste casoselecionei “cars” como conteúdo a bloquear (figura 11). De forma a testar se realmente oconteúdo relacionado com carros estava a ser bloqueado, pesquisei pelo site www.audi.pt namáquina virtual com o MySQL, e o site encontrava-se indisponível devido às configuraçõesfeitas.BERNARDO ROCHA22

ESTÁGIO RELATÓRIO FINAL2021Figura 11 - Categorias SquidGuardNa abordagem ao pfBlocker, foi feita uma configuração semelhante ao SquidGuard paratestar as funcionalidades deste package. A secção de Feeds, é onde é possível ativar listas comsites considerados inseguros por parte de empresas como: MalwareBytes (antivírus) ou Talos(grupo de inteligência da Cisco). O próprio pfBlocker já vem com algumas destas listasativadas por omissão como é o caso da lista da Talos, que conta com milhares de sitesmaliciosos. Ao aceder a esta lista, e ao tentar pesquisar por um desses mesmos sites na subrede da VM do MySQL, foi obtido o mesmo resultado que o SquidGuard, não sendo possívelaceder ao endereço “pretendido”. A captura de ecrã seguinte representa as listas ativas nopfBlocker:Figura 12 - FeedsNo Snort, a configuração foi simples. Bastou selecionar a interface de rede na qual ele vaiatuar e depois escolher quais a política que vai usar: conectividade, balanceado ou segurança.Conectividade é o nível menos seguro, mas que oferece melhor performance, ou seja, nestemodo o Snort vai bloquear quase todas as grandes ameaças e não irá ter nenhum, ou quasenenhum, falso positivo. Balanceado é um modo em que o Snort tenta manter performance esegurança. E no caso do modo de segurança, é usado para situações bastantes delicadas, emque a segurança é o mais importante. No ambiente de testes em que me encontrava, opteiBERNARDO ROCHA23

ESTÁGIO RELATÓRIO FINAL2021por utilizar apenas o modo de conectividade. Depois de algumas pesquisas na internet, foipossível ver a analise feita ao tráfego por parte do Snort. Perceber o endereço IP da origem edo destino, portas utilizadas, classificação da ligação (se é ameaça ou não) e descrição damesma (figura 11). Além disto, o Snort divide estes registos (logs) para facilitar a leitura. Nasecção de bloqueados, o Snort indica os endereços IP que bloqueou por considerar malicioso.Aqui podemos desbloquear ou adicionar a uma lista de endereços suprimidos. Nesta lista oSnort passa a ignorar as possíveis ameaças que os endereços apresentem.Figura 13 - SnortAlém destas funcionalidades de firewall, foram também configuradas duas VPN’s, para acederàs máquinas virtuais da API e de MySQL. A configuração é feita no OpenVPN, no pfSense, e édividida em três partes: configuração de um servidor VPN, criação dos utilizadores ecertificados para os mesmos e por fim a configuração da ligação no posto do utilizador. Paraa configuração do servidor, é necessário ter em atenção determinadas definições, como é ocaso da encriptação usada (imagem 12), a porta em que vai atuar, a interface de rede, o tipode ligação (no caso era SSL/TLS autenticação do utilizador), a camada de endereços que osutilizadores da VPN vão utilizar (imagem 13) e o endereço local da sub-rede em questão(imagem 14). Com a configuração do servidor concluída é preciso criar os utilizadores, paraisso é preciso definir um nome de utilizador e uma palavra-passe, que depois serão utilizadospara se autenticar. Além disto também é necessário criar um certificado de autoridade (CA)no OpenVPN, para que o mesmo possa provar que tem posse da chave pública, e assim elevara segurança das ligações remotas. Por fim é necessário exportar os ficheiros de configuraçãoda ligação para puder aceder no OpenVPN para cliente. A implementação do OpenVPN nestasduas sub-redes foi com a intenção de facilitar o acesso às máquinas virtuais situadas nasmesmas.BERNARDO ROCHA24

ESTÁGIO RELATÓRIO FINAL2021Figura 14 - Encriptação usadaFigura 15 - Gama de IP's usada pela VPNFigura 16 – Endereço local da sub-redeActive DirectoryNo computador onde havia sido instalado o Windows Server, foram também instaladasalgumas funcionalidades a nível de servidor. Tendo em conta que na empresa também erausado o Active Directory do Windows Server, foi-me proposto que este fosse replicado.Comecei então por adquirir mais conhecimento em relação ao ecossistema do WindowsServer. Numa primeira fase segui tutoriais de como começar a utilizar o Active Directory e assuas funcionalidades.Para a criação do AD foi necessário criar um domínio, ao qual eu o denominei de“sandbox.local”. Assim qualquer dispositivo que esteja ligado à mesma rede e associado aeste domínio vai ser administrado perante as regras impostas.BERNARDO ROCHA25

ESTÁGIO RELATÓRIO FINAL2021Figura 17 - Configuração domínioDepois da criação do Active Directory, passei então a criar utilizadores e grupos no domínio.Para a criação destes utilizadores, bastou-me atribuir uma palavra-passe, primeiro e últimonome e um nome de utilizador. Seguidamente criei três grupos distintos ao qual adicionei 3utilizadores a cada um, de forma a testar os privilégios cedidos.Para testar se era possível fazer login com um destes utilizadores no domínio, criei outramáquina virtual com Windows 10, e atribui um endereço IP dentro da rede bem como odomínio “sandbox.local”. Depois bastou-me introduzir o nome de utilizador e a palavra-chavepré-definida.De maneira a testar se realmente as regras dos grupos estavam a funcionar, criei uma pastapartilhada no servidor. Desta forma qualquer utilizador que tivesse acesso à localização damesma poderia aceder e modificar os conteúdos da mesma. No entanto, no grupo “A” aoqual o utilizador “AA”, “AB” e “AC” pertencem, decidi que estes não teriam o privilégio demodificar ou apagar qualquer conteúdo que estivesse dentro da pasta. Ao aceder à pasta emquestão com um utilizador do grupo “A” e ao tentar apagar um ficheiro dessa mesma pastafoi-me notificado que este utilizador não tinhas as permissões necessárias. Ao contrário deum utilizador do grupo “B” ou “C” que continuava a ter as permissões para tal.Estas mudanças de permissões é algo que já tinha sido lecionado em aulas, embora o sistemaoperativo em questão fosse Linux.Foram também exploradas as funcionalidades do DHCP e DNS, contudo como a rede já estavaa ser gerida pelo pfSense não pus em funcionamento nenhum destes servidores.Em suma foram usados serviços que permitem a um administrador de sistemas gerir de umaforma simples e segura, os utilizadores de uma network.BERNARDO ROCHA26

ESTÁGIO RELATÓRIO FINAL2021Apoio técnico - HelpdeskHelpdesk é um termo da língua inglesa que designa o serviço de apoio a utilizadores parasuporte e resolução de problemas técnicos, informáticos e de tecnologias de informação. Esteapoio pode ser tanto dentro de uma empresa (profissionais que cuidam da manutenção deequipamentos e instalações dentro da empresa), quanto externamente (prestação deserviços a utilizadores), por meio de um sistema de gerenciamento de incidentes.Esta função não foi proposta de forma imediata, mas sim a pouco e pouco, à medida que asresponsabilidades dentro da empresa acresciam.Os problemas que surgiam nos clientes eram normalmente no

Hyper-V Esta tecnologia permite fazer a virtualização (criar uma versão virtual) de um sistema operativo. Ou seja, permite ter um computador virtual a correr determinado sistema operativo, dentro do computador. No caso do servidor principal da empresa, o Hyper-V tinha uma máquina virtual com a firewall pfSense. CentOS