Слайд 13 Типовая корпоративная сеть, понятие уязвимости и атаки Раздел 1 – Тема 2. - презентация

1 Слайд 13 Типовая корпоративная сеть, понятие уязвимости и атаки Раздел 1 – Тема 2

2 Слайд 14 DMZ-2 DMZ-1 Типовая корпоративная сеть Внутренние серверы Рабочие места Филиал Мобильные сотрудники РесурсыInternet Пользователи Internet МЭ

3 Слайд 15 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

4 Слайд 16 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ TCP/IPNetBEUIIPX/SPX

5 Слайд 17 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

6 Слайд 18 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

7 Слайд 19 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

8 Слайд 20 Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

9 Слайд 21 Классификация уязвимостей и атак Раздел 1 – Тема 3

10 Слайд 22 Примерный сценарий атаки Сбор информации Получение доступа к наименее защищённому узлу (возможно с минимальными привилегиями) Получение полного контроля над одним из узлов или несколькими Повышение уровня привилегий или использование узла в качестве платформы для исследования других узлов сети

11 Слайд 23 Этап сбора информации

12 Слайд 24 WHOIS Search

13 Слайд 25 ACMETRADE.COM

14 Слайд 26 Registrant: Acmetrade.com, Inc. (ACMETRADE-DOM) 6600 Peachtree Dunwoody Road Atlanta, GA Domain Name: ACMETRADE.COM Administrative Contact: Vaughn, Danon (ES2394) (678) (FAX) (678) Technical Contact, Zone Contact: Bergman, Bret (ET2324) (678) (FAX) (678) Billing Contact: Fields, Hope (ET3427) (678) (FAX) (678) Record Last updated on 27-Jul-99. Record created on 06-Mar-98. Database last updated on 4-Oct-99 09:09:01 EDT Domain servers in listed order: dns.acmetrade.com www1.acmetrade.com www2.acmetrade.com

15 Слайд 27

16 Слайд 28

17 Слайд 29

18 Слайд 30 hacker]$ nmap Starting nmap V by ( ) Interesting ports on ( ): (The 1516 ports scanned but not shown below are in state: closed) Port State Service 21/tcp open ftp 25/tcp open smtp 80/tcp open http 135/tcp open loc-srv 139/tcp open netbios-ssn 443/tcp open https 465/tcp open smtps Nmap run completed -- 1 IP address (1 host up) scanned in 1 second hacker]$

19 Слайд 31 hacker:/export/home/hacker>./rpcscan dns.acmetrade.com cmsd Scanning dns.acmetrade.com for program cmsd is on port hacker:/export/home/hacker>

20 Слайд 32

21 Слайд 33

22 Слайд 34 hacker:/export/home/hacker> id uid=1002(hacker) gid=10(staff) hacker:/export/home/hacker> uname -a SunOS evil.hacker.com 5.6 Generic_ sun4u sparc SUNW,UltraSPARC-IIi-Engine hacker:/export/home/hacker>./cmsd dns.acmetrade.com using source port 53 rtable_create worked Exploit successful. Portshell created on port hacker:/export/home/hacker> Trying Connected to dns.acmetrade.com. Escape character is '^]'. # id uid=0(root) gid=0(root) # uname -a SunOS dns Generic_ sun4m sparc SUNW,SPARCstation-5 # telnet dns.acmetrade.com Этап получения доступа к узлу

23 Слайд 35 # # nslookup Default Server: dns.acmetrade.com Address: > > ls acmetrade.com Received 15 records. ^D [dns.acmetrade.com] www1.acmetrade.com www2.acmetrade.com margin.acmetrade.com marketorder.acmetrade.com deriv.acmetrade.com deriv1.acmetrade.com bond.acmetrade.com ibd.acmetrade.com fideriv.acmetrade.com backoffice.acmetrade.com wiley.acmetrade.com bugs.acmetrade.com fw.acmetrade.com fw1.acmetrade.com Использование узла в качестве платформы для исследования других узлов сети

24 Слайд 36 (AcmeTrades Network) UNIX Firewall DNS Server Web Server Filtering Router NT Clients & Workstations Network UNIX NTUNIX rpc.cmsd Схема сети

25 Слайд 37 Уязвимости и атаки Атака - действие нарушителя, которое приводит к реализации угрозы путем использования уязвимостей информационной системы. Уязвимость - любая характеристика или свойство информационной системы, использование которой нарушителем может привести к реализации угрозы.

26 Слайд 38 Классификация уязвимостей узлов, протоколов и служб IP - сетей узлов, протоколов и служб IP - сетей

27 Слайд 39 Классификация уязвимостей по причинам возникновения ошибки проектирования (технологий, протоколов, служб) ошибки реализации (программ) ошибки эксплуатации (неправильная настройка, неиспользуемые сетевые службы, слабые пароли)

28 Слайд 40 Классификация по уровню в информационной инфраструктуре Уровень сети Уровень операционной системы Уровень баз данных Уровень персонала Уровень приложений

29 Слайд 41 Высокий Высокий уровень риска Средний Средний уровень риска Низкий Низкий уровень риска Классификация уязвимостей по уровню (степени) риска Уязвимости, позволяющие атакующему получить непосредственный доступ у узлу с правами суперпользователя Уязвимости, позволяющие атакующему получить доступ к информации, которая с высокой степенью вероятности позволит в последствии получить доступ к узлу Уязвимости, позволяющие злоумышленнику осуществлять сбор критичной информации о системе

30 Слайд 42 Источники информации о новых уязвимостях о новых уязвимостях - координационный центр CERT/CC - база данных компании ISS llnl.ciac.gov - центр CIAC - российский CERT/CC

31 Слайд 43

32 Слайд 44 Примеры уязвимостей Уровень: Уровень: сеть Степень риска: Степень риска: средняя Источник возникновения: Источник возникновения: ошибки реализации Описание Описание: посылка большого числа одинаковых фрагментов IP-дейтаграммы приводит к недоступности узла на время атаки Название: Название: ip-fragment-reassembly-dos

33 Слайд 45 Уровень: Уровень: ОС Степень риска: Степень риска: высокая Источник возникновения: Источник возникновения: ошибки реализации Название: Название: nt-getadmin-present Описание Описание: проблема одной из функций ядра ОС Windows NT, позволяющая злоумышленнику получить привилегии администратора Примеры уязвимостей

34 Слайд 46 Уровень: Уровень: СУБД Степень риска: Степень риска: низкая Источник возникновения: Источник возникновения: ошибки реализации Название: Название: mssql-remote-access-option Описание Описание: уязвимость в реализации возможности подключения со стороны других SQL-серверов Примеры уязвимостей

35 Слайд 47 Уровень: Уровень: приложения Степень риска: Степень риска: средняя Источник возникновения: Источник возникновения: ошибки реализации Название: Название: iis-url-extension-data-dos Описание Описание: посылка большого числа некорректно построенных запросов приводит к повышенному расходу ресурсов процессора Примеры уязвимостей

36 Слайд 48 Уровень: Уровень: приложения Степень риска: Степень риска: средняя Источник возникновения: Источник возникновения: ошибки реализации Название: Название: win-udp-dos Описание Описание: OC Windows 2000 и Windows 98 уязвимы к атаке «отказ в обслуживании», вызываемой исчерпанием всех UDP-сокетов Примеры уязвимостей

37 Слайд 49 Уровень: Уровень: Персонал Степень риска: Степень риска: высокая Источник возникновения: Источник возникновения: ошибки обслуживания Название: Название: win95-back-orifice Описание Описание: узел заражён серверной частью троянского коня, позволяющей установить полный контроль над узлом Примеры уязвимостей

38 Слайд 50 Единая система наименований для уязвимостей Стандартное описание для каждой уязвимости Обеспечение совместимости баз данных уязвимостей

39 Слайд 51 CAN CVE Кандидат CVE Индекс CVE

40 Слайд 52 Ситуация без CVE ISS RealSecure CERT Advisory Cisco Database Axent NetRecon land attack (spoofed SYN) Impossible IP Packet Bugtrag CA Teardrop_Land Land NT4-SP3and 95 [latierra.c] Уязвимость Land IP denial of service

41 Слайд 53 Поддержка CVE CVE Land IP denial of service CVE CERT Advisory Bugtrag ISS RealSecure Cisco Database Axent NetRecon

42 Слайд 54 CVE entry CVE Arbitrary command execution via IMAP buffer overflow in authenticate command. Reference: CERT:CA imapd Reference: SUN:00177 Reference: BID:130 Reference: XF:imap-authenticate-bo Номер Описание Ссылки

43 Слайд 55 Классификация атак в IP- сетях

44 Слайд 56 Классификация атак по целям Нарушение нормального функционирования Нарушение нормального функционирования объекта атаки (отказ в обслуживании) объекта атаки (отказ в обслуживании) Получение конфиденциальной информации Получение конфиденциальной информации Модификация или фальсификация Модификация или фальсификация критичных данных критичных данных Получение полного контроля над Получение полного контроля над объектом атаки объектом атаки

45 Слайд 57 Классификация атак по местонахождению атакующего и объекта атаки Атакующий и объект атаки находятся в одном сегменте Атакующий и объект атаки находятся в разных сегментах Маршру- тизатор

46 Слайд 58 Классификация атак по механизмам реализации Провоцирование отказа объекта (компонента) Подозрительная активность (разведка) Запуск кода (программы) на объекте атаки Бесполезное расходование вычислительных ресурсов (перегрузка) Нарушение навигации (ложный маршрут) Пассивное прослушивание

47 Слайд 59 Статистика по уязвимостям и атакам за 2000 год Источник: Internet Security Systems

48 Слайд 60 Top Переполнение буфера в Linux-приложениях 2. Слабые пароли (системная политика) 3. IIS (Microsoft Internet Information Server) 4. Уязвимости СУБД 5. Уязвимости Web-приложений 6. Электронная почта 7. Разграничение доступа к общим ресурсам 8. RPC (удаленные процедуры) 9. Bind 1. Выведение из строя («Denial of Service»)

49 Слайд 61 Top Linux Buffer Overflows 2. Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open Sendmail 7. File Sharing 8. RPC 9. Bind 1. Denial of Service Exploits

50 Слайд 62 Linux Buffer Overflows Wu-ftp BO IMAP BO Qpopper BO Overwrite stack Common script kiddie exploits Poor coding standards Переполнение буфера в Linux - приложениях

51 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open Sendmail 7. File Sharing 8. RPC 1. Denial of Service Exploits 10. Linux Buffer Overflows 9. Bind Top 10

52 Слайд 64 Уязвимости BIND BIND qinv –Compile flag turned on by default, activated buffer-overflow, client request to server, script kiddie BIND nxt –Server to server response, buffer handling overflowable, more advanced

53 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open Sendmail 7. File Sharing 1. Denial of Service Exploits 9. Bind 10. Linux Buffer Overflows 8. RPC (Remote Procedure Calls) Top 10

54 Слайд 66 RPC (Remote Procedure Calls) rpc.cmsd (sun-rpc.cmsd) rpc-statd (sun-rpc-statd) Sadmin (sol-sadmind-amslverify-bo) Amd (amd-bo) Mountd (linux-mountd-bo)

55 Слайд RPC 9. Bind 10. Linux Buffer Overflows 7. File Sharing 2. Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open Sendmail 1. Denial of Service Exploits Top 10

56 Слайд 68 File Sharing Netbios NFS Троянские кони + + Rhosts для Unix - серверов Предоставление доступа к общим ресурсам

57 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 1. Denial of Service Exploits 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 6. Open (электронная почта) Top 10

58 Слайд 70 Электронная почта Sendmail Pipe Attack (smtp-pipe) Sendmail MIMEbo root access (sendmail-mime-bo2) Вирусы типа «ILOVEYOU»

59 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 1. Denial of Service Exploits 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 5. E-Business Web Applications Top 10

60 Слайд 72 E-business Web Applications NetscapeGetBo (netscape-get-bo) control server HttpIndexserverPath (http-indexserver-path) path info Frontpage Extensions (frontpage-ext) readable passwords FrontpagePwdAdministrators (frontpage-pwd-administrators) reveal pwd

61 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 1. Denial of Service Exploits 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 4. Open Databases Top 10

62 Слайд 74 Уязвимости СУБД Oracle (пароли по умолчанию) Oracle setuid root oratclsh SQL Server Xp_sprintf buffer overflow SQL Server Xp_cmdshell extended

63 Слайд Open Databases 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 3. IIS (Microsoft Internet Information Server) 2. Weak Accounts 1. Denial of Service Exploits Top 10

64 Слайд 76 IIS (Microsoft Internet Information Server) RDS HTR Malformed header Htdig Remote Shell Execution PWS File Access CGI Lasso read arbitrary files PHP3 safe mode metachar remote execution PHP mlog.html read files

65 Слайд IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 2. Weak Accounts (слабые пароли) 1. Denial of Service Exploits Top 10

66 Слайд 78 Слабые пароли Бюджеты по умолчанию –Routers –Servers Отсутствие пароля SNMP with public/private community strings set

67 Слайд Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows 1. Denial of Service Exploits Top 10

68 Слайд 80 Атаки «Denial of Service» Trinity TFN TFN2k Trin00 Stacheldraht Запуск в назначенное время –Windows platform (W9x/2K/NT) –Настройка времени и цели Распределённость

69 Слайд Denial of Service Exploits 2. Weak Accounts 3. IIS (Microsoft Internet Information Server) 4. Open Databases 5. E-Business Web Applications 6. Open 7. File Sharing 8. RPC 9. Bind 10. Linux Buffer Overflows Top 10