Resumo

  • O artigo de 1993 de Dan Farmer e Wietse Venema propôs testar serviços de rede pela perspectiva de um invasor; o SATAN levou a ideia para uma rotina de auditoria executável por administradores.
  • O CERT descreveu o SATAN como ferramenta de teste e relatório, mas alertou que seu modo exploratório podia sondar hosts não especificados, inclusive fora do domínio administrativo de quem operava o programa.
  • Uma varredura informa o que seus testes observaram, em certos alvos e durante determinado período. Sozinha, ela não comprova autorização, intenção, invasão nem a segurança do que ficou de fora.

Transformar a visão externa em rotina

Pedir que uma equipe pense como um invasor é fácil. Mais difícil é oferecer uma maneira repetível de confrontar essa perspectiva com os serviços que a própria organização expõe. Em “Improving the Security of Your Site by Breaking Into It”, publicado em 1993, Farmer e Wietse Venema defenderam o exame dos sistemas pela rede. Uma checagem feita somente dentro de cada máquina pode não mostrar o que um observador externo consegue alcançar.

Os documentos usam expansões diferentes para SATAN. O artigo de 1993 emprega “Security Analysis Tool for Auditing Networks”; o alerta posterior do CERT usa “Security Administrator Tool for Analyzing Networks”. Essa variação deve ser lida como parte do registro histórico. Também é importante manter a coautoria visível: o artigo foi escrito por Farmer e Venema. Em entrevista à USENIX em 2014, Farmer lembrou que a menção ao SATAN no artigo gerou mais interesse do que os dois esperavam e os levou a pensar com mais seriedade em como construí-lo. É uma lembrança retrospectiva, não prova de implantação ou de um uso específico.

O CERT descreveu o SATAN como uma ferramenta para testar e relatar informações sobre hosts. Ela examinava serviços como finger, NFS, NIS, FTP e rexd, podia resumir os dados e aplicava regras simples para investigar problemas potenciais. Os relatórios indicavam brevemente o tipo de problema e apontavam correções ou alternativas. O programa ainda reunia informações sobre topologia e sobre hardware e software da rede. Assim, tarefas dispersas de inspeção podiam ser repetidas e comparadas em uma escala maior.

Mas um achado não é uma prova de exploração. Um sinal de vulnerabilidade pede confirmação e correção; não demonstra que alguém já tenha se aproveitado dela. Da mesma forma, um relatório sem achados não certifica que a rede esteja segura. Ele descreve apenas os alvos, serviços, verificações e o momento incluídos naquela execução.

O perímetro acompanha o processo

O aviso CA-1995-06, de 3 de abril de 1995, começou com a análise da versão beta 0.51 e foi revisto depois da publicação da versão oficial 1.1.1. O CERT explicou que o modo exploratório podia investigar hosts que não haviam sido especificados explicitamente, possivelmente fora do domínio administrativo da equipe. O alerta mencionou tanto o uso malicioso para localizar máquinas vulneráveis quanto a chance de uma equipe legítima sondar outro site sem querer.

Por isso, a fronteira não é definida apenas pela intenção declarada. É necessário saber quais eram os alvos iniciais, o que o programa descobria a partir deles e até onde as verificações seguintes avançavam. Serviços compartilhados, redes de terceiros ou sistemas vizinhos podem receber sondagens mesmo sem fazer parte do teste que o operador acreditava ter iniciado. “Examinar minha rede” não descreve o tráfego se o mecanismo de descoberta puder ampliar o conjunto de destinos.

O CERT separou essa questão de outro problema: após o lançamento do SATAN 1.0, publicou CA-95.07a sobre uma vulnerabilidade no próprio programa. Sondagens além de um alvo declarado e uma falha no scanner são eventos distintos. Misturá-los confunde tanto a história técnica quanto a responsabilidade.

O registro sustenta uma conclusão delimitada: o SATAN tornou a auditoria mais acessível, e seu modo exploratório podia ultrapassar a lista explicitamente informada. Ele não identifica uma varredura específica, uma vítima, uma invasão bem-sucedida ou a intenção de determinado operador. A Nota 65 de Heng Lu, “Running-Code Primacy”, é usada somente como lente editorial para insistir que uma observação de um sistema em operação se limite ao que o teste realmente executou. Não é fonte histórica sobre Farmer, Venema ou SATAN.

Fontes