Módulo 10 - Roteiro 1

Tarefas

No final deste módulo você deve submeter em um ÚNICO arquivo PDF os seguintes prints:

Atividade 10.1: passo 13.
Atividade 10.2: passo 10.
Atividade 10.3: passo 6.
Atividade 10.4: passo 5.
Atividade 10.5: passo 9.

Atividade 10.1 – Explorando os recursos de Integridade de Memória e Manutenção de Segurança no Windows Server 2022

Nesta atividade, vamos usar o Windows Server 2022 (cliente) para conhecer o recurso Memory Integrity do Windows Security. O "Windows Security" no Windows Server 2022 é uma ferramenta integrada de segurança que oferece várias funcionalidades para proteger o sistema operacional contra ameaças, gerenciar configurações de segurança e monitorar atividades relacionadas à segurança. Anteriormente conhecido como "Windows Defender Security Center", o "Windows Security" é o centro unificado de segurança no Windows Server 2022.

1) Vamos começar inicializando o Windows Server 2022 (cliente) - lembre-e da senha: compUFMT123@

2) Na barra de tarefas, clique onde está escrito “Type here to search”, escreva “Device security” e clique em “Device security”.

3) Veja a seção “Core Isolation”. Ela utiliza a virtualização baseada em hardware para isolar os processos do kernel, como o hypervisor do Windows, dos demais componentes do sistema, reduzindo assim a superfície de ataque e mitigando ameaças como rootkits e outras técnicas de ataques que visam comprometer o kernel.

4) Clique em “Core isolation details” (texto na cor azul).

5) Veja a seção “Memory integrity”. Ela protege contra ataques de manipulação de memória, como injeção de código malicioso e exploração de vulnerabilidades de segurança.

6) Ao habilitar o "Memory Integrity", o sistema operacional protege a integridade da memória do kernel usando tecnologias de hardware e software, como a execução confiável e a verificação de código de integridade. Clique no interruptor de “Off” para “On” com o objetivo de habilitar o "Memory Integrity".

7) Veja que o aviso de restart é mostrado. Na barra de tarefas, clique com o botão direito no símbolo do Windows --> “Shut down or sign out” --> “Restart” --> “Continue”. A máquina será reiniciada.

8) Espere a reinicialização e efetue novamente o passo 1 para acessar o Windows Server 2022 (cliente).

9) Agora, vamos explorar o recurso de Segurança e Manutenção. clique onde está escrito “Type here to search”, escreva “Security and Maintenance” e clique em “Security and Maintenance”.

10) Clique no texto em azul “Maintenance”. Na expansão de texto, clique em “View reliability history”. Ela permite aos administradores visualizar um histórico detalhado de eventos, falhas e problemas de estabilidade do sistema. Ao acessar essa funcionalidade, os usuários podem examinar gráficos e relatórios que destacam eventos.

11) Clique em “View all problem reports”. Nesse campo podem ser visualizados eventos como falhas de aplicativos, travamentos do sistema, instalações de atualizações e outros problemas que possam impactar a confiabilidade e a estabilidade do servidor. Clique em “Ok” 2 vezes para sair dos gráficos.

12) Clique no texto em azul “Maintenance”. Na expansão de texto, clique em “Change Maintenance Settings”. Por meio dessa funcionalidade, os administradores podem ajustar as configurações de agendamento de manutenção automática, definir o período de tempo durante o qual as atividades de manutenção são permitidas e personalizar as notificações relacionadas a tarefas de manutenção, oferecendo maior controle sobre quando e como as atividades de manutenção são realizadas no servidor. Clique em “Cancel”.

13) Clique no texto em azul “Maintenance”. Na expansão de texto, clique em “Start maintenance” (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO!). Ao selecionar essa opção, os administradores podem iniciar processos como atualizações de software, verificação de integridade do sistema, limpeza de disco e outras tarefas de manutenção programadas ou necessárias.

14) Verifique que a verificação começou com o aviso “Maintenance in progress”. Feche todas as janelas.

Parabéns! Você sabe como habilitar a integridade de memória e checar a manutenção no Windows Server 2022.

Atividade 10.2 – Explorando o controle de aplicativos e navegadores do Windows Security no Windows Server 2022

Nesta atividade, vamos continuar a atividade anterior no Windows Server 2022 (cliente) para explorar os recursos de controle de aplicativos e navegadores, assim como a saúde e performance do dispositivo.

1) Vamos começar inicializando o Windows Server 2022 (cliente).

2) Na barra de tarefas, clique onde está escrito “Type here to search”, escreva “App & browser control” e clique em “App & browser control”.

3) Na nova janela aberta, veja que o campo “Reputation-based protection” está desabilitado e pronto para ser habilitado com o botão “Turn on”. Essa funcionalidade utiliza informações de reputação coletadas de fontes confiáveis para determinar se um arquivo ou aplicativo é potencialmente malicioso. Ao tomar decisões com base na reputação, o sistema pode bloquear ou permitir a execução de programas com base em seu histórico de comportamento e na confiabilidade da fonte de onde foram baixados.

4) Clique no texto em azul “Reputation-based protection settings”.

5) Veja que o campo "Check apps and files" está habilitado. Aqui são realizadas verificações automáticas em aplicativos e arquivos em busca de possíveis ameaças com base em sua reputação.

6) Veja que o campo "Potentially unwanted app blocking" está desabilitado. Habilite o este campo clicando no interruptor de “Off” para “On”.

7) Volte à página anterior clicando no botão de retorno no canto superior esquerdo (botão de seta esquerda).

8) Agora, veja que a funcionalidade “Reputation-based protection” está habilitada, contrário ao passo 3.

9) Em seguida, veja o campo “Exploit Protection”. Ele é um recurso de segurança avançada que visa proteger o sistema contra técnicas de exploração usadas por malware e cibercriminosos. Ele ajuda a proteger o sistema operacional e os aplicativos instalados contra vulnerabilidades conhecidas que podem ser exploradas para comprometer a segurança do sistema. Clique no texto azul “Exploit protection settings”.

10) Veja que temos muitos campos de proteção de sistema que estão ativados por padrão na aba “System settings” (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO!):

Control Flow Guard (CFG): é uma técnica de segurança avançada que visa proteger os programas contra ataques de desvio de fluxo. Ele adiciona proteções extras ao código do programa, monitorando e verificando o fluxo de execução para garantir que ele siga apenas caminhos legítimos e predefinidos, bloqueando tentativas de exploração que tentem desviar esse fluxo para áreas maliciosas de código.
Data Execution Prevention (DEP): é uma funcionalidade que ajuda a proteger o sistema contra ataques de exploração que visam executar códigos maliciosos em áreas de memória não destinadas à execução de dados. Ele monitora e impede que programas executem códigos maliciosos armazenados em regiões de memória que deveriam conter apenas dados, ajudando a mitigar o risco de exploração e aumentando a segurança do sistema operacional e dos aplicativos.
Force randomization for images (Mandatory ASLR): é uma medida de segurança que garante que os módulos de imagem do sistema operacional e dos aplicativos sejam carregados em locais de memória aleatórios a cada execução. Isso dificulta a previsibilidade dos endereços de memória utilizados por esses módulos, tornando mais difícil para os atacantes explorarem vulnerabilidades conhecidas ou desconhecidas, já que eles não podem confiar nos endereços fixos de memória. Essa técnica, chamada de Address Space Layout Randomization (ASLR), fortalece a segurança do sistema ao dificultar a execução bem-sucedida de ataques que dependem da localização específica de módulos de imagem na memória.
Randomize memory allocations (Bottom-up ASLR): é uma medida de segurança que aleatoriza as alocações de memória durante a execução de programas. Ele garante que as regiões de memória utilizadas pelos programas sejam alocadas em locais aleatórios na pilha e no heap, dificultando a previsibilidade dos endereços de memória. Isso ajuda a mitigar o risco de ataques que dependem da exploração de endereços de memória específicos, tornando mais difícil para os invasores aproveitarem vulnerabilidades e comprometerem a segurança do sistema operacional e dos aplicativos.
High-entropy ASLR: Ao habilitar o High-entropy ASLR, a alocação de memória é feita com maior aleatoriedade e complexidade, resultando em uma proteção mais robusta contra ataques de exploração. Isso dificulta a previsibilidade dos endereços de memória utilizados pelos programas, tornando mais difícil para os invasores explorarem vulnerabilidades e executarem ataques bem-sucedidos.
Validate exception chains (SEHOP): Verifica e valida as cadeias de exceção (exception chains) durante a execução de um programa. Ele ajuda a proteger contra ataques que tentam explorar o mecanismo de manipulação de exceções do sistema operacional, impedindo que código malicioso se infiltre nas cadeias de exceção e seja executado. Essa verificação ajuda a mitigar o risco de ataques de desvio de fluxo e aumenta a segurança do sistema operacional e dos aplicativos, garantindo que apenas as exceções legítimas sejam tratadas corretamente.
Validate heap integrity: Verifica a integridade das estruturas de dados do heap durante a execução de um programa. Ele ajuda a detectar e mitigar ataques que visam corromper ou explorar vulnerabilidades no heap, como estouros de buffer e corrupção de memória. Ao validar a integridade do heap, o sistema pode identificar comportamentos suspeitos ou alterações não autorizadas, impedindo que código malicioso comprometa a integridade dos dados armazenados na memória e aumentando a segurança do sistema operacional e dos aplicativos.

11) Feche todas as janelas.

Parabéns! Agora você conhece como controlar a segurança de aplicativos e navegadores no Windows Server 2022.

Atividade 10.3 – Explorando as atualizações no Windows Server 2022

Nesta atividade, vamos continuar a atividade anterior no Windows Server 2022 (cliente) para explorar o ambiente de atualizações do Windows.

1) Vamos começar inicializando o Windows Server 2022 (cliente).

2) Na barra de tarefas, clique onde está escrito “Type here to search”, escreva “Windows Update settings” e clique em “Windows Update settings”.

3) Agora vamos verificar se há atualizações. Na coluna da direita, clique no botão azul “Check for updates”. Espere que finalize e veja como as atualizações são baixadas e instaladas (demora alguns minutos).

4) Ao final da atualização, provavelmente você deve reiniciar o Windows Server 2022. Clique em “Restart Now”.

5) Veja que agora é apresentada a mensagem “You´re up to date”.

6) Clique em “Advanced options” e ative todos os campos de “Update options” e “Update notifications”. Volte clicando na seta para a esquerda no canto superior esquerdo (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO!).

7) Clique em “View update history” para visualizar o histórico de atualizações.

8) Feche todas as janelas.

Atividade 10.4 – Escaneando vírus com o antivírus ClamAV no Kali Linux

Nesta atividade, vamos usar o Kali Linux para implementar o antivírus ClamAV. O ClamAV é um antivírus de código aberto projetado para detectar vírus, malware e outras ameaças em sistemas Linux. Ele oferece proteção em tempo real e suporte para verificação programada de arquivos e diretórios.

Vamos começar inicializando nosso Kali Linux.

1) Abra o Terminal e execute o seguinte comando para ser super usuário:

┌──(aluno㉿kali)-[~]
└─$ sudo -i
[sudo] senha para aluno:

2) Neste laboratório o ClamAV já vem instalado no seu Kali Linux. Veja a versão dele:

┌──(root㉿kali)-[~]
└─# clamscan --version
ClamAV 1.4.6/27833/Thu Out 27 06:13:22 2026

3) Agora, vamos parar o serviço de atualização do ClamAV para poder fazer os próximos ajustes:

┌──(root㉿kali)-[~]
└─# systemctl stop clamav-freshclam.service

4) Em seguida atualizar o banco de dados de assinaturas de vírus executando o seguinte comando:

┌──(root㉿kali)-[~]
└─# freshclam
Fri Dec  5 17:43:00 2025 -> ClamAV update process started at Fri Dec  5 17:43:00 2025
Fri Dec  5 17:43:00 2025 -> daily database available for update (local version: 27833, remote version: 27841)
Current database is 8 versions behind.
Downloading database patch # 27834...
Time:    0.1s, ETA:    0.0s [========================>]    1.58KiB/1.58KiB
Downloading database patch # 27835...
Time:    0.0s, ETA:    0.0s [========================>]       791B/791B
Downloading database patch # 27836...
Time:    0.1s, ETA:    0.0s [========================>]    3.39KiB/3.39KiB
Downloading database patch # 27837...
Time:    0.1s, ETA:    0.0s [========================>]    2.18KiB/2.18KiB
Downloading database patch # 27838...
Time:    0.1s, ETA:    0.0s [========================>]      1023B/1023B
Downloading database patch # 27839...
Time:    0.1s, ETA:    0.0s [========================>]    3.99KiB/3.99KiB
Downloading database patch # 27840...
Time:    0.1s, ETA:    0.0s [========================>]    4.57KiB/4.57KiB
Downloading database patch # 27841...
Time:    0.1s, ETA:    0.0s [========================>]       790B/790B
Fri Dec  5 17:43:03 2025 -> Testing database: '/var/lib/clamav/tmp.6ea2feafb0/clamav-a484adb123cfedf1746b313bb5ea45b2.tmp-daily.cld' ...
Fri Dec  5 17:43:13 2025 -> Database test passed.
Fri Dec  5 17:43:13 2025 -> daily.cld updated (version: 27841, sigs: 2077269, f-level: 90, builder: svc.clamav-publisher)
Fri Dec  5 17:43:13 2025 -> main.cvd database is up-to-date (version: 62, sigs: 6647427, f-level: 90, builder: sigmgr)
Fri Dec  5 17:43:13 2025 -> bytecode.cld database is up-to-date (version: 339, sigs: 80, f-level: 90, builder: nrandolp)
WARNING: Fri Dec  5 17:43:13 2025 -> Clamd was NOT notified: Can't connect to clamd through /var/run/clamav/clamd.ctl: No such file or directory

5) Após a atualização do banco de dados, vamos usar comandos como clamscan para escanear arquivos e diretórios em busca de malware. Por exemplo o home. Espere finalizar, pode demorar até 15 minutos (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO! – Printe as últimas linhas após SCAN SUMMARY)

┌──(root㉿kali)-[~]
└─# clamscan -r /home
Loading:    21s, ETA:   0s [========================>]    8.71M/8.71M sigs       
Compiling:   5s, ETA:   0s [========================>]       41/41 tasks 

/home/aluno/.zshrc: OK
/home/aluno/.xsession-errors: OK
/home/aluno/.local/share/nautilus/scripts/Terminal: OK
/home/aluno/.local/share/keyrings/login.keyring: OK
/home/aluno/.local/share/keyrings/user.keystore: OK
/home/aluno/.local/share/xrdp/xrdp-chansrv.10.log: OK
/home/aluno/.local/share/torbrowser/tbb/x86_64/tor-browser/start-tor-browser.desktop: OK 

...

----------- SCAN SUMMARY -----------
Known viruses: 8708962
Engine version: 1.4.3
Scanned directories: 1015
Scanned files: 6128
Infected files: 0
Data scanned: 1319.81 MB
Data read: 1553.00 MB (ratio 0.85:1)
Time: 583.507 sec (9 m 43 s)
Start Date: 2025:12:05 17:45:28
End Date:   2025:12:05 17:55:12

6) Veja os dados do escaneamento mostrados acima! O escaneamento mostra a quantidade de arquivos e MB escaneados e infectados, o tempo demorado e a data de início e fim do escaneamento.

7) Finalmente, vamos conhecer os parâmetros de configuração do ClamAV com o seguinte comando:

┌──(root㉿kali)-[~]
└─# clamconf                        
Checking configuration files in /etc/clamav

Config file: clamd.conf
-----------------------
AlertExceedsMax disabled
CacheSize = "65536"
PreludeEnable disabled
PreludeAnalyzerName = "ClamAV"
LogFile = "/var/log/clamav/clamav.log"
LogFileUnlock disabled
LogFileMaxSize = "9223372036854775807"
LogTime = "yes"
LogClean disabled

...

clamav-milter.conf not found

Software settings
-----------------
Version: 1.4.3
Optional features supported: MEMPOOL AUTOIT_EA06 ICONV 

Database information
--------------------
Database directory: /var/lib/clamav
bytecode.cld: version 339, sigs: 80, built on Thu Sep 11 09:29:19 2025
main.cvd: version 62, sigs: 6647427, built on Thu Sep 16 09:32:42 2021
daily.cld: version 27841, sigs: 2077269, built on Fri Dec  5 06:23:11 2025
Total number of signatures: 8724776

Platform information
--------------------
uname: Linux 6.16.8+kali-cloud-amd64 #1 SMP PREEMPT_DYNAMIC Kali 6.16.8-1kali1 (2025-09-24) x86_64
OS: Linux, ARCH: x86_64, CPU: x86_64
Full OS version: Kali GNU/Linux Rolling
zlib version: 1.3.1 (1.3.1), compile flags: a9
platform id: 0x0a21d5d508000000000e0300

Build information
-----------------
GNU C: 14.3.0 (14.3.0)
sizeof(void*) = 8
Engine flevel: 213, dconf: 213

Veja que há parâmetros interesantes como a quantidade máxima de tamanho de arquivos "MaxFileSize", geração de logs produto do escaneamento, vários alertas que podem ser mostrados, etc. Agora você conhece um antivírus para Linux! Os vírus podem transitar inclusive em máquinas Linux, por esse motivo é importante contar com um antivírus em Linux! Feche o Terminal.

Parabéns! Agora você sabe como usar o Antivirus ClamAV no Kali Linux!

Atividade 10.5 – Conhecendo o Suricata HIDS no Kali Linux

Nesta atividade, vamos usar o Kali Linux para implementar o HIDS chamado Suricata. Vamos usar as regras de detecção de intrusão da comunidade para monitorar o computador.

Vamos começar inicializando nosso Kali Linux.

1) Abra o Terminal e execute o seguinte comando para ser super usuário:

┌──(aluno㉿kali)-[~]
└─$ sudo -i
[sudo] senha para aluno:

2) Habilite o Suricata para ter certeza de que está disponível:

┌──(root㉿kali)-[~]
└─# systemctl enable suricata.service
Created symlink '/etc/systemd/system/multi-user.target.wants/suricata.service' → '/usr/lib/systemd/system/suricata.service'.

3) Suspenda a execução do Suricata para que possamos editar o arquivo de configuração dele e baixe o arquivo de regras da comunidade:

┌──(root㉿kali)-[~]
└─# systemctl stop suricata.service                    

┌──(root㉿kali)-[~]
└─# cd /var/lib/suricata/rules/     

┌──(root㉿kali)-[/var/lib/suricata/rules]
└─# wget https://raw.githubusercontent.com/seanlinmt/suricata/master/files/rules/emerging-exploit.rules 
--2025-12-05 21:49:23--  https://raw.githubusercontent.com/seanlinmt/suricata/master/files/rules/emerging-exploit.rules
Resolvendo raw.githubusercontent.com (raw.githubusercontent.com)... 185.199.108.133, 185.199.111.133, 185.199.109.133, ...
Conectando-se a raw.githubusercontent.com (raw.githubusercontent.com)|185.199.108.133|:443... conectado.
A requisição HTTP foi enviada, aguardando resposta... 200 OK
Tamanho: 209126 (204K) [text/plain]
Salvando em: “emerging-exploit.rules.1”

emerging-exploit.rules.1   100%[=======================================>] 204,22K  --.-KB/s    em 0,003s  

2025-12-05 21:49:23 (66,0 MB/s) - “emerging-exploit.rules.1” salvo [209126/209126]

┌──(root㉿kali)-[/var/lib/suricata/rules]
└─# cd ~

4) Agora vamos configurar o Suricata para que as regras da comunidade sejam utilizadas. Para isso, modificaremos o arquivo de configuração:

┌──(root㉿kali)-[~]
└─# nano /etc/suricata/suricata.yaml

O editor de texto nano abrirá o arquivo de configuração.

5) Clique arquivo a ser configurado. Em seguida, clique em “Aplicativos” (canto superior esquerdo) --> “Aplicativos” --> “Aplicações habituais” --> “Acessórios” --> “Onboard” e abrirá um teclado virtual. No teclado virtual, clique em “Ctrl” --> “Ctrl” (duas vezes Ctrl) --> “w”. Perceba que no Terminal do nano a opção “Pesquisa:” foi ativada. Feche o teclado virtual clicando no X (canto superior direito). Em seguida pesquise o texto mostrado abaixo seguido de “Enter”.

default-rule

6) Agora, substitua o texto padrão:

default-rule-path: /var/lib/suricata/rules

rule-files:
  - suricata.rules

Pelo seguinte texto:

default-rule-path: /var/lib/suricata/rules

rule-files:
  - emerging-exploit.rules

Com esse procedimento vamos usar a pasta onde salvamos as regras da comunidade. Aperte “Ctrl+x”, “s” e “Enter” para sair e salvar.

7) Agora com as regras configuradas, vamos colocar para rodar o Suricata. Para isso, precisamos ver a interface de rede usada pelo Kali Linux:

┌──(root㉿kali)-[~]
└─# ifconfig
docker0: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        inet 172.17.0.1  netmask 255.255.0.0  broadcast 172.17.255.255
        ether 02:42:e1:ed:78:4a  txqueuelen 0  (Ethernet)
        RX packets 0  bytes 0 (0.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 9001
        inet 192.168.100.1  netmask 255.255.255.0  broadcast 192.168.100.255
        inet6 fe80::108d:b6ff:fe11:ff1d  prefixlen 64  scopeid 0x20<link>
        ether 12:8d:b6:11:ff:1d  txqueuelen 1000  (Ethernet)
        RX packets 249787  bytes 270983687 (258.4 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 101551  bytes 466777086 (445.1 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Loopback Local)
        RX packets 135  bytes 11357 (11.0 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 135  bytes 11357 (11.0 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

No nosso caso é a placa “eth0”, que se comunica com a placa de rede da AWS para sair à Internet.

8) Finalmente, vamos rodar o Suricata:

┌──(root㉿kali)-[~]
└─# suricata -c /etc/suricata/suricata.yaml -i eth0
i: suricata: This is Suricata version 8.0.2 RELEASE running in SYSTEM mode
W: detect-flowbits: flowbit 'ET.pdf.in.http' is checked but not set. Checked in 2017790 and 0 other sigs
i: mpm-hs: Rule group caching - loaded: 0 newly cached: 13 total cacheable: 13
i: threads: Threads created -> W: 2 FM: 1 FR: 1   Engine started.

9) O Suricata está rodando! Abra um segundo Terminal. Navegue até a pasta onde ficam os logs do Suricata e liste os arquivos de log (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO!):

┌──(aluno㉿kali)-[~]
└─$ cd /var/log/suricata

┌──(aluno㉿kali)-[/var/log/suricata]
└─$ ls
eve.json fast.log stats.log suricata.log

São nesses logs que ficarão registrados os eventos!

10) Feche o segundo Terminal. No primeiro Terminal, interrompa a execução do Suricata (Ctrl + c) e feche o Terminal.

┌──(root㉿kali)-[~]
└─# suricata -c /etc/suricata/suricata.yaml -i eth0
i: suricata: This is Suricata version 8.0.2 RELEASE running in SYSTEM mode
W: detect-flowbits: flowbit 'ET.pdf.in.http' is checked but not set. Checked in 2017790 and 0 other sigs
i: mpm-hs: Rule group caching - loaded: 0 newly cached: 13 total cacheable: 13
i: threads: Threads created -> W: 2 FM: 1 FR: 1   Engine started.
^Ci: suricata: Signal Received.  Stopping engine.
i: device: eth0: packets: 8624, drops: 0 (0.00%), invalid chksum: 0

Parabéns! Agora você sabe como fazer com que o Suricata rode no seu computador monitorando as conexões.