[FUG-BR] sobre a captura logs e arquivamento.

Sexta Setembro 16 10:57:06 BRT 2011

Nao gosto do tcpdump, ele coloca a interface em modo promiscuo.

Eu faria pelo firewall, faria log dos 40 (talvez mais, talvez menos) primeiros bytes do cabeçalho, evitando assim capturar dados do cliente.

--
Eduardo Schoedler
Enviado via iPhone

Em 16/09/2011, às 10:28, "Enio .'. Marconcini" <eniorm em gmail.com> escreveu:

> 2011/9/16 Eduardo Schoedler <listas em esds.com.br>
> 
>> Nao esqueça que access.log guarda somente dados de navegação... como ficam
>> o POP3/IMAP/SMTP, alem de MSN, Skype, etc?
>> 
>> O ideal seria capturar ao menos os cabeçalhos ip dos pacotes da sua rede e
>> armazenar.
>> 
>> Eu sou muito fã do pflog.
>> 
>> Abs.
>> 
>> --
>> Eduardo Schoedler
>> Enviado via iPhone
>> 
>> Em 16/09/2011, às 09:52, "Enio .'. Marconcini" <eniorm em gmail.com>
>> escreveu:
>> 
>>> 2011/9/16 Marcelo Gondim <gondim em bsdinfo.com.br>
>>> 
>>>> Em 16/09/2011 08:26, Enio .'. Marconcini escreveu:
>>>>> pessoal,
>>>>> estive conversando com um amigo delegado que tem acompanhado muitos
>> casos
>>>> de
>>>>> crimes digitais, e o mesmo me havia dito que, quando algo do tipo
>>>> acontece,
>>>>> a PF (policia federal, e não o packet filter, rsrs) solicita aos
>>>> provedores
>>>>> os logs para ajudar nas investigações.
>>>>> 
>>>>> minha dúvida é, neste caso, que tipos de logs devem ser mantidos, para
>> um
>>>>> eventual problema desse tipo. Eu imagino que um log do tipo access.log
>> do
>>>>> squid viria a ajudar em algumas coisas, porém, e nos casos de portas
>>>>> nateadas ou outros tipos de acessos que não são registrados pelo squid,
>>>> como
>>>>> por exemplo, conexões ftp, msn, email, etc etc
>>>>> 
>>>>> o que seria a melhor saída para ter tais informações? e alguém sabe
>> dizer
>>>>> por quanto tempo é necessário mantes tais logs? me parece que não
>> existe
>>>> uma
>>>>> legislação vigente para tais casos, mas a Anatel em suas mudanças
>> parece
>>>> que
>>>>> irá exigir que tais registros sejam mantidos.
>>>>> 
>>>>> 
>>>> Oi Enio,
>>>> 
>>>> Aqui no provedor somos muitas vezes citados para problemas de justiça e
>>>> normalmente o que nos é pedido é para identificar o assinante que estava
>>>> utilizando aquele determinado IP na data e hora. O documento da justiça
>>>> sempre nos passa a informação:
>>>> 
>>>> - IP
>>>> - Data
>>>> - Hora
>>>> 
>>>> Com esses dados conseguimos identificar o indivíduo. Com relação ao
>>>> tempo que deve se manter os logs, nós aqui guardamos por 5 anos porque
>>>> nossa justiça é muiiiiiiito lenta. Já recebi aqui intimações para
>>>> identificar clientes que conectaram, por exemplo, à 2 anos atrás.
>>>> Um grande problema é relacionado quando a empresa possui acesso por NAT
>>>> N:1 nesse caso apenas 1 IP fica constando para a justiça e se o
>>>> administrador não tiver log de acesso dos IPs internos aí fica bem
>>>> complicado. Não é nosso caso aqui porque temos AS mas já vi muitos casos
>>>> assim.
>>>> Cuidado com logs do tipo do squid, porque as pessoas tem que saber que
>>>> estão sendo monitoradas, salvo se você for autorizado pela Justiça à
>>>> fazer esse tipo de coisa. Porque pode caracterizar uma invasão de
>>>> privacidade. Melhor consultar um advogado antes de fazer qualquer coisa
>>>> nesse sentido. Normalmente nas grandes empresas são feitos termos para
>>>> os funcionários lerem, ficarem cientes e assinarem que estarão sendo
>>>> monitorados quanto à e-mails(da empresa) e acessos. Termos de
>>>> Confidencialidade e outros que a empresa julgar necessários. Trabalhei
>>>> em uma empresa de Segurança da Informação onde tive que assinar um Termo
>>>> de Confidencialidade de 3 anos, onde nesses 3 anos não poderia nem falar
>>>> quais eram os nomes dos clientes que tínhamos. rsrsrsr
>>>> 
>>>> Agora se a justiça mandar e autorizar então faça. Porque manda quem pode
>>>> e obedece quem tem juízo. hahahah
>>>> 
>>>> Uma vez fomos processados por um advogado pois o mesmo deu uma bobeada
>>>> com a sua conta no gmail e entram e fizeram a festa. Ele conseguiu o IP
>>>> de quem acessou a conta veio aqui no provedor e exigiu que disséssemos
>>>> quem foi o cliente responsável. Bem sem uma intimação formal nada feito.
>>>> Aí ele nos processou porque não passamos uma informação sigilosa para
>>>> ele só porque ele era um advogado. Bem não precisa dizer que ele perdeu
>>>> na justiça. No final das contas o IP de onde partiu o acesso era da
>>>> própria OAB aqui da Cidade. Ou seja ele provavelmente acessou e-mail
>>>> dele de lá, não fez logoff e aí alguém entrou e fez a festa. Só queria
>>>> ver agora ele processar a OAB por isso.
>>>> 
>>>> É isso e grande abraço
>>>> -------------------------
>>>> Histórico: http://www.fug.com.br/historico/html/freebsd/
>>>> Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
>>>> 
>>> 
>>> 
>>> 
>>> Gondim, obrigado pelos esclarecimentos enriquecedores, tenho assunto para
>>> uma boa discussão com o amigo delegado.
>>> 
>>> No caso do log do squid é fácil eu conseguir uma autorização. Quanto ao
>>> email institucional, bem, penso eu que, se eu for gravar tudo que os
>>> usuários enviam e recebe, vou pŕecisar de muito espaço, ou tem como eu
>>> capturar apenas um log que registre por exemplo, de onde e para onde com
>> a
>>> data acho que já ajudaria. Mas eu penso no caso dos que usam email
>> externo
>>> do tipo hotmail, não teria como capturar muita coisa, a não ser a data e
>>> hora que ele acessou o email.
>>> 
>>> Agora, no meu caso como não tenho AS o jeito é natear as conexões dos
>>> usuários, e neste caso, como eu vou capturar tais informações? Penso eu
>> que
>>> bastaria setar a regra do nat para ser logado, e armazenar estes logs,
>> estou
>>> certo?
>>> 
>>> abraços
>>> 
>>> --
>>> *ENIO RODRIGO MARCONCINI*
>>> @eniomarconcini <http://twitter.com/eniomarconcini>
>>> skype: eniorm
>>> facebook.com/eniomarconcini <http://www.facebook.com/eniomarconcini>
>>> 
>>> *"UNIX was not designed to stop its users from doing stupid things,
>>> as that would also stop them from doing clever things."
>>> *
>>> -------------------------
>>> Histórico: http://www.fug.com.br/historico/html/freebsd/
>>> Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
>> -------------------------
>> Histórico: http://www.fug.com.br/historico/html/freebsd/
>> Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
>> 
> 
> 
> 
> Eduardo, é isso mesmo que eu também preciso saber.... esses cabeçalhos
> poderiam ser capturados até mesmo com um tcpdump? seria prático fazer dessa
> forma? ou ainda seria melhor logar direto pelo fw que está fazendo o nat?
> 
> Alexandre, sim o teu cliente precisa saber que está sendo monitorado, porém
> eu usaria outra palavra no contrato, para não pegar mal... usaria algo do
> tipo "seus acessos serão gravados e mantidos sob sigilo; para eventual
> necessidade da policia federal" ou algo do tipo,
> 
> -- 
> *ENIO RODRIGO MARCONCINI*
> @eniomarconcini <http://twitter.com/eniomarconcini>
> skype: eniorm
> facebook.com/eniomarconcini <http://www.facebook.com/eniomarconcini>
> 
> *"UNIX was not designed to stop its users from doing stupid things,
> as that would also stop them from doing clever things."
> *
> -------------------------
> Histórico: http://www.fug.com.br/historico/html/freebsd/
> Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd