Ameaças e Vulnerabilidades Ataques para obtenção de informações

Transcrição

Ameaças e Vulnerabilidades
Ataques para obtenção de informações
$
Técnicas:
–
–
–
–
–
–
Dumpster diving ou Trashing
Engenharia Social
Eavesdropping ou Packet Sniffing
Scanning
War dialing
Firewalking
$
Dumpster diving ou Trashing
–
–
$
Revirar o lixo a procura de informações.
Pode revelar informações pessoais e confidenciais.
Engenharia Social
–
–
–
Tem como objetivo enganar e ludibriar pessoas.
Ataca o elo mais fraco da segurança ! “o usuário”.
Normalmente o atacante se faz passar por um
funcionário da empresa.
$
Eavesdropping ou Packet Sniffing
–
–
–
A interface de rede é colocada em “modo
promíscuo”.
Captura pacotes no mesmo segmento de rede.
Senhas trafegam em claro (Telnet, FTP, POP, etc)
14:54:00.356981 10.1.1.45.ftp
0x0000
4500 0052 9957 4000
0x0010
0a01 015a 0015 05b2
0x0020
5018 16d0 8e1c 0000
0x0030
776f 7264 2072 6571
0x0040
7220 6164 6d69 6e69
0x0050
0d0a
> 10.1.1.90.1458: P 69:111(42) ack 21 win 5840 (DF)
4006 8ac6 0a01 012d
E..R.W@[email protected] 8112 1da0 6849
...Z....$W....hI
3333 3120 5061 7373
P.......331.Pass
7569 7265 6420 666f
word.required.fo
7374 7261 646f 722e
r.administrador.
14:54:12.986981 10.1.1.90.1458 > 10.1.1.45.ftp: P 21:36(15) ack 111 win 17410 (DF)
0x0000
4500 0037 a96e 4000 8006 3aca 0a01 015a
E..7.n@...:....Z
0x0010
0a01 012d 05b2 0015 1da0 6849 2457 813c
...-......hI$W.<
0x0020
5018 4402 06c2 0000 5041 5353 2070 736b
P.D.....PASS.psk
0x0030
4036 3779 640d 0a
@67yd..
$
Scanning
–
Port Scanning
$
–
Scanning de vulnerabilidades
$
$
Obtém informações a respeito dos serviços acessíveis
(portas abertas) em um sistema.
Obtém informações sobre vulnerabilidades específicas
(conhecidas) para cada serviço em um sistema.
War dialing
–
–
Realiza uma busca por modens.
Modem ! entrada alternativa para a rede
$
Firewalking
–
Obtém informações sobre uma rede remota
protegida por um firewall.
Funcionamento similar ao traceroute.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
143.106.16.148 (143.106.16.148) 1.970 ms
saserver.grad.dcc.unicamp.br (143.106.16.150) 0.582 ms
143.106.7.1 (143.106.7.1) 3.139 ms
capivari.dcc.unicamp.br (143.106.7.15) 1.288 ms
ansp-gw.unicamp.br (143.106.2.45) 1.730 ms
unicamp-fe02-core.cas.ansp.br (143.106.99.25) 3.485 ms
advansp-border.core.unicamp.br (143.106.99.73) 3.104 ms
spo-cps.ansp.br (143.108.254.129) 5.765 ms
rnp.ix.spo.ansp.br (200.136.34.2) 6.527 ms
mg-atm108.bb3.rnp.br (200.143.254.153) 21.774 ms
tutu.pop-mg.rnp.br (200.131.1.2) 17.328 ms
ufv4.pop-mg.rnp.br (200.19.158.18) 56.750 ms
* * *
atenas.cpd.ufv.br (200.17.79.41) 45.060 ms
–
Ataques ativos contra o TCP/IP
$
Técnicas:
–
Spoofing
$
$
$
–
Man-in-the-middle
$
–
–
ARP Spoofing
IP Spoofing
DNS Spoofing
Session Hijacking
Replay attack
Fragmentação de pacotes
$
Spoofing
–
$
Enganar a vítima fazendo-se passar por outro host.
Tipos:
–
ARP Spoofing
$
$
–
IP Spoofing
$
–
Gerar respostas ARP falsas
ARP (Address Resolution Protocol)
Mapeia: Endereços IP ! Endereços MAC
Gerar pacotes com endereço IP falso
DNS Spoofing
$
$
Gerar respostas de DNS falsas
DNS (Domain Name Service)
Mapeia: Nomes ! Endereços IP
$
ARP Spoofing
1º Passo:
Roteador
10.1.1.1
00:C0:3B:47:02:D4
arp reply 10.1.1.1 is-at 00:E0:4C:39:01:F3
Atacante
10.1.1.7
00:E0:4C:39:01:F3
10.1.1.2
10.1.1.3
10.1.1.4
10.1.1.5
00:50:56:C0:00:08
$
ARP Spoofing
2º Passo:
Roteador
10.1.1.1
00:C0:3B:47:02:D4
arp reply 10.1.1.5 is-at 00:E0:4C:39:01:F3
Atacante
10.1.1.7
00:E0:4C:39:01:F3
10.1.1.2
10.1.1.3
10.1.1.4
10.1.1.5
00:50:56:C0:00:08
$
ARP Spoofing
Resultado:
Roteador
10.1.1.1
00:C0:3B:47:02:D4
Atacante
10.1.1.7
10.1.1.2
10.1.1.3
10.1.1.4
10.1.1.5
00:50:56:C0:00:08
00:E0:4C:39:01:F3
IP forwarding ligado
$
IP Spoofing
–
–
UDP e ICMP: trivial
TCP: maior grau de dificuldade
1)
É necessário impedir que o host confiável responda.
Impede que o host verdadeiro responda
Internet
Host confiável
64.221.8.50
Atacante
200.131.10.20
rsh vítima comando
src: 64.221.8.50
dst: 143.106.7.8
Vítima
143.106.7.8
$
IP Spoofing
2)
É necessário prever o número de sequência inicial.
atacante
servidor
cliente
$
DNS Spoofing
–
–
Contaminar o cache do servidor com resposta falsa.
Dificuldade: Adivinhar o transaction ID.
Atacante
$
Man-in-the-middle
O atacante intercepta
os dados e responde
pelo cliente, podendo
alterar os dados.
–
Session hijacking
– O atacante derruba
o cliente e mantém a
conexão em andamento.
Cliente
IP
IP
Dados
Dados
Servidor
Dados
alterados
Atacante
Conexão em
andamento
IP
Dados
X
Cliente
Impede que o
host responda
Atacante
Mantém a
conexão em
andamento
Servidor
$
Replay attack
–
–
Dados interceptados podem ser retransmitidos
pelo atacante.
É possível utilizar dados cifrados.
IP
Dados
Cliente
Interceptação
dos dados
Atacante
Servidor
Cliente
IP
Dados
Servidor
Reenvio dos
dados
Atacante
$
–
–
Se tamanho do pacote > MTU do meio, então
ocorre fragmentação.
É possível sobrescrever cabeçalhos durante a
remontagem dos pacotes ! driblar as regras de
filtragem do firewall.
Fragmentação
IP
UDP
IP
UDP
IP
UDP
Fragmentação
Dados
Início dos dados
IP
Dados
Remontagem
Restante dos dados
IP
UDP
Dados
IP
UDP
Início dos dados
IP
TCP
Dados alterados
IP
TCP
Remontagem
Dados alterados
Ataques de negação de serviço (DoS)
$
Técnicas:
–
Flooding
$
$
$
–
–
–
–
TCP SYN flooding
UDP flooding
ICMP flooding
Smurf e Fraggle
Teardrop
Land Attack
Ping of Death
$
Flooding
–
$
Inundar o servidor com requisições falsas.
Tipos:
–
–
–
TCP SYN flooding
UDP flooding
ICMP flooding
...
SYN SEQ=0
SYN SEQ=0
SYN SEQ=0
src=1.2.3.4:7
src=1.2.3.4:6
src=1.2.3.4:5
dst=64.221.8.50:80 dst=64.221.8.50:80 dst=64.221.8.50:80
Internet
Atacante
200.131.10.20
SYN SEQ=5324761 ACK=1
src=64.221.8.50:80
dst=1.2.3.4:5
Vítima
64.221.8.50
1. src=1.2.3.4:5 SEQ=1
2. src=1.2.3.4:6 SEQ=1
3. src=1.2.3.4:7 SEQ=1
...
$
Smurf e Fraggle
–
–
–
–
Consistem em ataques de flood distribuído.
Utilizam broadcasting em redes inteiras para
amplificar seus efeitos.
Utilizam o endereço IP da vítima como endereço de
origem dos pacotes (IP Spoofing).
Protocolo utilizado:
Smurf ! ICMP (ping)
Fraggle ! UDP (echo)
$
Smurf e Fraggle
Internet
Vítima
200.221.8.50
Atacante
200.131.10.20
icmp echo request
src: 200.221.8.50
dst: 143.106.10.255
Etapa 1:
143.106.7.8
Roteador
143.106.10.1
143.106.10.0/24
...
143.106.10.2
143.106.10.3
143.106.10.4
143.106.10.254
$
Smurf e Fraggle
Internet
Vítima
200.221.8.50
Atacante
200.131.10.20
Etapa 2:
143.106.7.8
Roteador
143.106.10.1
143.106.10.0/24
...
143.106.10.2
143.106.10.3
143.106.10.4
143.106.10.254
$
Smurf e Fraggle
Internet
Vítima
200.221.8.50
Atacante
200.131.10.20
Resultado:
143.106.7.8
Roteador
143.106.10.1
143.106.10.0/24
...
143.106.10.2
143.106.10.3
143.106.10.4
143.106.10.254
$
Teardrop
–
–
–
$
Se aproveita de uma falha na implementação das
rotinas de remontagem de pacotes.
Consiste em enviar um pacote com um tamanho
inválido ! o sistema obtém um nº negativo ao
calcular o offset.
Resulta em crash do sistema.
Land Attack
–
–
Consiste em conectar uma porta de um sistema a
ela mesma.
Causa o travamento do sistema em diversas
plataformas.
$
Ping of Death
–
–
–
–
–
Consiste em enviar um pacote de “ICMP echo
request” (ping) com mais de 65.507 bytes de
dados.
Tamanho máximo de um datagrama IP = 65.535
(216-1) bytes (RFC 791)
Datagrama – cabeçalho IP – cabeçalho ICMP =
65.535 – 20 – 8 = 65.507 bytes de dados.
Implementações do ping não permitem a emissão
de datagramas inválidos, exceto Windows 95 e NT.
Resulta em reboot, panic ou travamentos.
Ataques coordenados (DDoS)
$
Ferramentas:
–
–
–
–
–
–
–
–
–
Fapi (1998)
Blitznet
Trin00 (jun/99)*
TFN (ago/99)*
Stacheldraht(set/99)*
Shaft
TFN2K(dez/99)*
Trank
Trin00 win version
$
Etapas:
1.
2.
3.
$
Intrusão em massa
Instalação do software DDoS
Disparo do ataque
Técnicas utilizadas:
–
–
–
–
–
–
IP Spoofing
SYN Flooding
Pacotes decoy
Execução de comandos remotos
Criptografia na comunicação entre o atacante e os masters
$
Personagens
Atacante
Masters
Agentes
Vítima

Ameaças e Vulnerabilidades Ataques para obtenção de informações

Transcrição

Documentos relacionados

saiba mais - Nalba Tech

Teste de Intrusão

uma defesa unificada contra ataques cibernéticos

CompForense_Exercicios_03

FireEye as a Service

Segurança da Informação

faculdade do litoral sul paulista - fals leonardo almeida dos santos

A Segurança Digital - oficinadapesquisa.com.br

Coquetel molotov e o desmoramento do Estado: as classes

Artigo - Hábitos seguros no desenvolvimento de software

SSP contabiliza 46 presos e três mortos em confronto

do documento

Diagnóstico de Vulnerabilidades através da Injecç˜ao

Prof. Cristiano Borges - Seguranca na Internet

Alfredo Del Fabro Neto - Redes de Computadores