Diferència entre revisions de la pàgina «UF2-NF1. Atacs i contramesures en sistemes personals»

Revisió del 16:37, 18 ago 2011

tornar M11 - UF2 Seguretat activa i accés remot

Tipus d'atacs. Amenaces lògiques

UF1-NF1._Introducció_a_la_seguretat#Atacs

Les amenaces lògiques fan referència a programari que pot atemptar contra la seguretat del nostre sistema (Integritat, disponibilitat, confidencialitat), tant de manera intencionada (software maliciós) com per error (bugs).

• Backdoors (Portes falses), programari que permet l'accés al sistema sense autorització, pot ser un programari específic (rootkits, eines amagades que permeten l'administració remota normalment amb privilegis de root) o camins que els propis programadors del sistema han deixat oberts durant fases de test per exemple. Alguns tipus de programes maliciosos poden crear o utilitzar aquestes portes falses. Exemple NetCat.
• Virus, programari maliciós que altera el correcte funcionament i/o la seguretat de l'ordinador. Normalment és codi inserit en un executable (hoste) i s'executa amb aquest (i amb els seus privilegis), després pot seguir executant-se de manera autònoma o replicar-se. Per exemple
  • Bombes Lògiques, parts de codi que resten inactives fins un determinat moment
  • Troians. Ocults dins altres programes amb aparença inofensiva roben informació o permeten l'accés extern no autoritzat.
  • Espies (Spyware). Recopila informació i la transmeten a una entitat externa.
  • Adware. Genera publicitat que es mostra a l'usuari.
  • Cucs. Pot duplicar-se i propagar-se a través de xarxes.
  • Hijacker. Modifiquen configuració del navegador per carregar pàgines no autoritzades.
  • Exploits. Programa que aprofita (explota) una vulnerabilitat.
  • Conills o bactèries. Es repliquen fins esgotar els recursos del sistema.
  • Al correu electrònic. Alguns poden accedir a la llista de contactes i reenviar-se.
• Canals encoberts, transferència d'informació a destinataris no autoritzats.
• KeyLoggers, registren les pulsacions de teclat en un fitxer. Alguns programes permeten enviar aquesta informació a un servidor ftp per exemple.
• Falses Alarmes (Hoaxes), missatges falsos de correu electrònic.
• Amenaces a pàgines web
  • Cross-site scripting: Execució de codi scripting (Javascript per exemple).
  • SQL injection: Execució de codi SQL amagat.
  • Format Strings
• Enginyeria Social, contacta amb l'usuari (personalment: per correu o telèfon) per obtenir dades personals.
  • Phishing, orientat a fraus suplantant entitats bancàries
• Errors en el programari (bugs)
• Eines de seguretat. De manera paradoxal els atacants poden usar-les per detectar forats de seguretat. Exemples: Nessus, satan, saint

Script Kiddies: Persona (noi) sense coneixements que utilitza eines o tutorials d'altres per atacar sistemes.

Exercici. Windows

Prova els següents keyloggers: Douglas, rk (Revealer Keylogger)

Utilitza els detectors de keyloggers: KL - detector, I hate keyloggers

Exercici. Linux

Prova els següents keyloggers:lkl (Linux Key Logger), Uberkey

Exercici. Navegació anti key loggers
KeyScrambler http://www.qfxsoftware.com/Download.htm

Exercici.

Carrega i executa [[http://packetstormsecurity.org/files/view/103601/miniphpshell-27.9-2.tgz miniphpshell-27.9-2.tgz]]

Simula terminal via web (php) i altres backdoor, ftp cracking...

http://www.segu-info.com.ar/ataques/ataques.htm

http://www.segu-info.com.ar/ataques/tipos.htm

http://www.segu-info.com.ar/ataques/ataques_dos.htm

http://www.mmc.igeofcu.unam.mx/LuCAS/Manuales-LuCAS/doc-unixsec/unixsec-html/node12.html

http://foro.elhacker.net/tutoriales_documentacion/tutorial_de_netcat_pagravera_newbies-t65764.0.html

http://foro.elhacker.net/hacking_basico/jugando_con_netcat-t159799.0.html

http://stackoverflow.com/questions/6269311/emulating-netcat-e

http://acacha.org/mediawiki/index.php/Hacking_Tools

http://acacha.org/mediawiki/index.php/Seguretat

http://www.iec.csic.es/criptonomicon/articulos/virus.html

http://sectools.org/crackers.html

Anatomia d'atacs i anàlisi de programari maliciós

Evolució dels riscos:

• Xarxes més grans, complexes i més utilitzades
• Usuaris amb més coneixements tècnics
• Eines cada vegada més sofisticades

Cal diferencia quan algú vol entrar al nostre sistema concretament o som víctimes involuntàries (Virus).

http://arco.esi.uclm.es/~david.villa/seguridad/modulo-B-I.2x4.pdf

En general els passos per a realitzar un atac objectiu concret

1. Identificar l'objectiu (Un ordinador, una xarxa, una informació concreta) i l'atac que es vol realitzar. UF1-NF1._Introducció_a_la_seguretat#Atacs
2. Obtenir informació de l'objectiu (p.e. enginyeria social o eines per obtenir informació del sistema, la xarxa, els recursos compartits) .
3. Cercar vulnerabilitats a partir d'aquesta informació
4. Accedir a l'objectiu i/o informació
5. Esborrar les empremtes

A partir d'aquí es pot pensar com evitar-ho i realitzar les accions necessàries.

Les conseqüències de les accions dels virus poden ser variades. http://es.wikipedia.org/wiki/Virus_inform%C3%A1tico#Acciones_de_los_virus

Les formes de propagació també. http://es.wikipedia.org/wiki/Virus_inform%C3%A1tico#M.C3.A9todos_de_propagaci.C3.B3n

Contramesures

Per evitar els atacs es poden fer servir eines:

• Preventives. Eviten l'accés del programari maliciós
• Pal·liatives. Eviten les accions del programari maliciós

També és necessari mantenir el sistema i les aplicacions actualitzades.

A vegades també pot ser interessant simular/realitzar atacs al sistema per comprovar-ne la seguretat.

Eines preventives i pal·liatives

Les eines o accions poden ser per exemple:

• Antivirus.
  • Comprovació. Examinar arxius cercant virus coneguts. Utilitza base de dades actualitzada.
  • Vigilància. Identificar possibles comportaments sospitosos (obtenció de dades, monitoratge de ports, etc...)
• Tallafocs.
• IDS (Intrusion Detection System) i IPS (Intrusion Prevention System)
  • Analitzen i/o monitoritzen els sistema i la xarxa cercant activitat maliciosa, els IPS en general inclouen les funcionalitats dels IDS afegint sistemes que s'activen en cas de detectar intrusions.
  • De Host. AIDE, tripwire
  • De xarxa. Snort (Específic, interfase php BASE + http://nebula.carnivore.it), Wireshark i tcpdump (Genèrics de monitoratge), netstat o nmap, finger (Altres eines de detecció).
• Xifratge de les dades. UF1-NF1._Informació_i_dades#Emmagatzemar_dades_xifrades
• Còpies de seguretat. UF1-NF1._Informació_i_dades#C.C3.B2pies_de_seguretat

Hi ha virus a linux? i antivirus? són necessaris? http://ubuntuforums.org/showthread.php?t=510812

Com a curiositat comentar que existeixen unes eines anomenades Honeypots (http://es.wikipedia.org/wiki/Honeypot), que tenen com objectiu atreure els atacants per recollir informació o distreure d'altres màquines importants, aquestes eines simulen ser vulnerables.

Exercici. Test IDS host AIDE

AIDE comprova la integritat del sistema de fitxers, crea una base de dades a partir de les regles (regular expressions que indiquen
quins directoris i fitxers mirar) en els fitxers de configuració.
Després es poden verificar els fitxers cercant inconsistències
(canvis de mida, inode - indiquen que s'ha substituit el fitxer, dates, permisos, etc...).
Per defecte s'instal·la al cron i s'executa diàriament, envia mail amb els resultats.

http://aide.sourceforge.net/stable/manual.html#config

aide -c /etc/aide/aide.conf --init
mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
aide -c /etc/aide/aide.conf --check


Regular expressions

/ Selecció regular (recursiva)
! Negació
$ Un únic fitxer


Per exemple
/bin R    # Regla R, tot, als fitxers i subdirectoris de bin (recursivament)
/home/alex  p+i+l+n+u+g  # Fitxers que poden canviar de mida


Al fitxer de configuració hi ha regles predefinides.


Canvia permisos amb 'touch'
Modifica propietari del fitxer amb chwon
Crea nous fitxers

Exercici. Test IDS xarxa

Instal·lar Snort.

Instal·lar BASE (Basic Analysis and Security Engine). Interface Web.

Utilitzar snort i Firewall Tester http://www.inversepath.com/ftester.html

http://www.howtoforge.com/test_your_linux_firewall_with_ftester


Altres: http://tomahawk.sourceforge.net/, sneeze (http://www.securiteam.com/tools/5DP0T0AB5G.html), scapy

http://jessland.net/JISK/IDS_IPS/Network/Testing.php

Actualització i verificació de sistemes i aplicacions

Resum actualització sistema

Utilitzar programari del qual es desconeix l'origen pot suposar un risc de seguretat, verificar la autenticitat i la integritat d'aquest minimitza (no elimina) aquest risc. Existeixen múltiples mètodes de verificació de programari:

• Signatura digital del fitxer.
• Comprovacions integritat, algorismes MD5 o HASH
• Sistemes específics de Windows: WGA (Windows Genuine Advantage) o OGA (Office Genuine Advantage).

Simulació d'atacs

Es pot fer servir qualsevol de les eines que podria fer servir un atacant, també existeixen eines específiques

http://www.backtrack-linux.org

http://wiki.backbox.org/Tools

Seguretat en la connexió amb xarxes públiques

La xarxes públiques com Internet comporten riscos de seguretat, són necessaris mecanismes que permetin garantir la confidencialitat de les dades o la identitat dels usuaris.

La confidencialitat de les dades es pot garantir usant protocols segurs per part de qui ofereix els serveis, UF1-NF1._Informació_i_dades#Transmetre_dades_xifrades. Per exemple en comerç electrònic, serveis de correu, transferència i emmagatzematge de dades.

En els casos que calgui garantir la identitat dels clients, aquests poden fer servir sistemes com les signatures i certificats digitals. La base d'aquests sistemes d'identificació és el Xifratge asimètric.

Signatura Digital

La signatura és la manera de identificar l'autor d'una certa informació digital i garantir que aquesta no ha estat modificada posteriorment.

Es basa en tècniques criptogràfiques asimètriques (clau pública), l'autor disposa de les claus pública i privada. Amb la clau privada xifra la informació i distribueix la clau publica als destinataris.

Un document signat digitalment garanteix:

• Autenticitat
• Integritat
• No repudiació

Certificat Digital

És un document (digital) que a través d'una autoritat de certificació ha de garantir que una clau pública pertany a un subjecte. El certificat no garanteix la identitat del subjecte.

Aquest certificat es distribueix junt amb el document signat digitalment i la clau pública, d'aquesta manera es garanteix l'autoria del document.

El certificat normalment constarà de:

• Informació de la entitat de certificació (signatura digital d'aquesta)
• Dades del titular
• Clau pública de l'usuari
• El mecanisme de xifratge
• Altres dades com dates d'emissió i expiració

Autoritat de certificació locals:

• http://www.catcert.cat
• http://www.cert.fnmt.es

Per exemple, per accedir a una web segura (https), el navegador Firefox comprovarà si té certificat i si és vàlid.


* Primer accedeix a la web https://www.idcat.net

* Observa l'error i visualitza el certificat

* Instal·la el certificat de CATcert (les claus públiques) a Firefox

http://www.catcert.cat/web/cat/6_5_1_baixada_claus.jsp


* Torna a accedir a la web i observa la informació de seguretat des de la barra de navegació

Pautes i pràctiques segures

(Pendent)