Ameaças e Vulnerabilidades Ataques para obtenção de informações
Transcrição
Ameaças e Vulnerabilidades Ataques para obtenção de informações
Ameaças e Vulnerabilidades Ataques para obtenção de informações $ Técnicas: – – – – – – Dumpster diving ou Trashing Engenharia Social Eavesdropping ou Packet Sniffing Scanning War dialing Firewalking Ameaças e Vulnerabilidades Ataques para obtenção de informações $ Dumpster diving ou Trashing – – $ Revirar o lixo a procura de informações. Pode revelar informações pessoais e confidenciais. Engenharia Social – – – Tem como objetivo enganar e ludibriar pessoas. Ataca o elo mais fraco da segurança ! “o usuário”. Normalmente o atacante se faz passar por um funcionário da empresa. Ameaças e Vulnerabilidades Ataques para obtenção de informações $ Eavesdropping ou Packet Sniffing – – – A interface de rede é colocada em “modo promíscuo”. Captura pacotes no mesmo segmento de rede. Senhas trafegam em claro (Telnet, FTP, POP, etc) 14:54:00.356981 10.1.1.45.ftp 0x0000 4500 0052 9957 4000 0x0010 0a01 015a 0015 05b2 0x0020 5018 16d0 8e1c 0000 0x0030 776f 7264 2072 6571 0x0040 7220 6164 6d69 6e69 0x0050 0d0a > 10.1.1.90.1458: P 69:111(42) ack 21 win 5840 (DF) 4006 8ac6 0a01 012d E..R.W@[email protected] 8112 1da0 6849 ...Z....$W....hI 3333 3120 5061 7373 P.......331.Pass 7569 7265 6420 666f word.required.fo 7374 7261 646f 722e r.administrador. 14:54:12.986981 10.1.1.90.1458 > 10.1.1.45.ftp: P 21:36(15) ack 111 win 17410 (DF) 0x0000 4500 0037 a96e 4000 8006 3aca 0a01 015a E..7.n@...:....Z 0x0010 0a01 012d 05b2 0015 1da0 6849 2457 813c ...-......hI$W.< 0x0020 5018 4402 06c2 0000 5041 5353 2070 736b P.D.....PASS.psk 0x0030 4036 3779 640d 0a @67yd.. Ameaças e Vulnerabilidades Ataques para obtenção de informações $ Scanning – Port Scanning $ – Scanning de vulnerabilidades $ $ Obtém informações a respeito dos serviços acessíveis (portas abertas) em um sistema. Obtém informações sobre vulnerabilidades específicas (conhecidas) para cada serviço em um sistema. War dialing – – Realiza uma busca por modens. Modem ! entrada alternativa para a rede Ameaças e Vulnerabilidades Ataques para obtenção de informações $ Firewalking – Obtém informações sobre uma rede remota protegida por um firewall. Funcionamento similar ao traceroute. 1 2 3 4 5 6 7 8 9 10 11 12 13 14 143.106.16.148 (143.106.16.148) 1.970 ms saserver.grad.dcc.unicamp.br (143.106.16.150) 0.582 ms 143.106.7.1 (143.106.7.1) 3.139 ms capivari.dcc.unicamp.br (143.106.7.15) 1.288 ms ansp-gw.unicamp.br (143.106.2.45) 1.730 ms unicamp-fe02-core.cas.ansp.br (143.106.99.25) 3.485 ms advansp-border.core.unicamp.br (143.106.99.73) 3.104 ms spo-cps.ansp.br (143.108.254.129) 5.765 ms rnp.ix.spo.ansp.br (200.136.34.2) 6.527 ms mg-atm108.bb3.rnp.br (200.143.254.153) 21.774 ms tutu.pop-mg.rnp.br (200.131.1.2) 17.328 ms ufv4.pop-mg.rnp.br (200.19.158.18) 56.750 ms * * * atenas.cpd.ufv.br (200.17.79.41) 45.060 ms – Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ Técnicas: – Spoofing $ $ $ – Man-in-the-middle $ – – ARP Spoofing IP Spoofing DNS Spoofing Session Hijacking Replay attack Fragmentação de pacotes Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ Spoofing – $ Enganar a vítima fazendo-se passar por outro host. Tipos: – ARP Spoofing $ $ – IP Spoofing $ – Gerar respostas ARP falsas ARP (Address Resolution Protocol) Mapeia: Endereços IP ! Endereços MAC Gerar pacotes com endereço IP falso DNS Spoofing $ $ Gerar respostas de DNS falsas DNS (Domain Name Service) Mapeia: Nomes ! Endereços IP Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ ARP Spoofing 1º Passo: Roteador 10.1.1.1 00:C0:3B:47:02:D4 arp reply 10.1.1.1 is-at 00:E0:4C:39:01:F3 Atacante 10.1.1.7 00:E0:4C:39:01:F3 10.1.1.2 10.1.1.3 10.1.1.4 10.1.1.5 00:50:56:C0:00:08 Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ ARP Spoofing 2º Passo: Roteador 10.1.1.1 00:C0:3B:47:02:D4 arp reply 10.1.1.5 is-at 00:E0:4C:39:01:F3 Atacante 10.1.1.7 00:E0:4C:39:01:F3 10.1.1.2 10.1.1.3 10.1.1.4 10.1.1.5 00:50:56:C0:00:08 Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ ARP Spoofing Resultado: Roteador 10.1.1.1 00:C0:3B:47:02:D4 Atacante 10.1.1.7 10.1.1.2 10.1.1.3 10.1.1.4 10.1.1.5 00:50:56:C0:00:08 00:E0:4C:39:01:F3 IP forwarding ligado Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ IP Spoofing – – UDP e ICMP: trivial TCP: maior grau de dificuldade 1) É necessário impedir que o host confiável responda. Impede que o host verdadeiro responda Internet Host confiável 64.221.8.50 Atacante 200.131.10.20 rsh vítima comando src: 64.221.8.50 dst: 143.106.7.8 Vítima 143.106.7.8 Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ IP Spoofing 2) É necessário prever o número de sequência inicial. atacante servidor cliente Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ DNS Spoofing – – Contaminar o cache do servidor com resposta falsa. Dificuldade: Adivinhar o transaction ID. Atacante Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ Man-in-the-middle O atacante intercepta os dados e responde pelo cliente, podendo alterar os dados. – Session hijacking – O atacante derruba o cliente e mantém a conexão em andamento. Cliente IP IP Dados Dados Servidor Dados alterados Atacante Conexão em andamento IP Dados X Cliente Impede que o host responda Atacante Mantém a conexão em andamento Servidor Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ Replay attack – – Dados interceptados podem ser retransmitidos pelo atacante. É possível utilizar dados cifrados. IP Dados Cliente Interceptação dos dados Atacante Servidor Cliente IP Dados Servidor Reenvio dos dados Atacante Ameaças e Vulnerabilidades Ataques ativos contra o TCP/IP $ Fragmentação de pacotes – – Se tamanho do pacote > MTU do meio, então ocorre fragmentação. É possível sobrescrever cabeçalhos durante a remontagem dos pacotes ! driblar as regras de filtragem do firewall. Fragmentação IP UDP IP UDP IP UDP Fragmentação Dados Início dos dados IP Dados Remontagem Restante dos dados IP UDP Dados IP UDP Início dos dados IP TCP Dados alterados IP TCP Remontagem Dados alterados Ameaças e Vulnerabilidades Ataques de negação de serviço (DoS) $ Técnicas: – Flooding $ $ $ – – – – TCP SYN flooding UDP flooding ICMP flooding Smurf e Fraggle Teardrop Land Attack Ping of Death Ameaças e Vulnerabilidades Ataques de negação de serviço (DoS) $ Flooding – $ Inundar o servidor com requisições falsas. Tipos: – – – TCP SYN flooding UDP flooding ICMP flooding ... SYN SEQ=0 SYN SEQ=0 SYN SEQ=0 src=1.2.3.4:7 src=1.2.3.4:6 src=1.2.3.4:5 dst=64.221.8.50:80 dst=64.221.8.50:80 dst=64.221.8.50:80 Internet Atacante 200.131.10.20 SYN SEQ=5324761 ACK=1 src=64.221.8.50:80 dst=1.2.3.4:5 Vítima 64.221.8.50 1. src=1.2.3.4:5 SEQ=1 2. src=1.2.3.4:6 SEQ=1 3. src=1.2.3.4:7 SEQ=1 ... Ameaças e Vulnerabilidades Ataques de negação de serviço (DoS) $ Smurf e Fraggle – – – – Consistem em ataques de flood distribuído. Utilizam broadcasting em redes inteiras para amplificar seus efeitos. Utilizam o endereço IP da vítima como endereço de origem dos pacotes (IP Spoofing). Protocolo utilizado: Smurf ! ICMP (ping) Fraggle ! UDP (echo) Ameaças e Vulnerabilidades Ataques de negação de serviço (DoS) $ Smurf e Fraggle Internet Vítima 200.221.8.50 Atacante 200.131.10.20 icmp echo request src: 200.221.8.50 dst: 143.106.10.255 Etapa 1: 143.106.7.8 Roteador 143.106.10.1 143.106.10.0/24 ... 143.106.10.2 143.106.10.3 143.106.10.4 143.106.10.254 Ameaças e Vulnerabilidades Ataques de negação de serviço (DoS) $ Smurf e Fraggle Internet Vítima 200.221.8.50 Atacante 200.131.10.20 Etapa 2: 143.106.7.8 Roteador 143.106.10.1 143.106.10.0/24 ... 143.106.10.2 143.106.10.3 143.106.10.4 143.106.10.254 Ameaças e Vulnerabilidades Ataques de negação de serviço (DoS) $ Smurf e Fraggle Internet Vítima 200.221.8.50 Atacante 200.131.10.20 Resultado: 143.106.7.8 Roteador 143.106.10.1 143.106.10.0/24 ... 143.106.10.2 143.106.10.3 143.106.10.4 143.106.10.254 Ameaças e Vulnerabilidades Ataques de negação de serviço (DoS) $ Teardrop – – – $ Se aproveita de uma falha na implementação das rotinas de remontagem de pacotes. Consiste em enviar um pacote com um tamanho inválido ! o sistema obtém um nº negativo ao calcular o offset. Resulta em crash do sistema. Land Attack – – Consiste em conectar uma porta de um sistema a ela mesma. Causa o travamento do sistema em diversas plataformas. Ameaças e Vulnerabilidades Ataques de negação de serviço (DoS) $ Ping of Death – – – – – Consiste em enviar um pacote de “ICMP echo request” (ping) com mais de 65.507 bytes de dados. Tamanho máximo de um datagrama IP = 65.535 (216-1) bytes (RFC 791) Datagrama – cabeçalho IP – cabeçalho ICMP = 65.535 – 20 – 8 = 65.507 bytes de dados. Implementações do ping não permitem a emissão de datagramas inválidos, exceto Windows 95 e NT. Resulta em reboot, panic ou travamentos. Ameaças e Vulnerabilidades Ataques coordenados (DDoS) $ Ferramentas: – – – – – – – – – Fapi (1998) Blitznet Trin00 (jun/99)* TFN (ago/99)* Stacheldraht(set/99)* Shaft TFN2K(dez/99)* Trank Trin00 win version Ameaças e Vulnerabilidades Ataques coordenados (DDoS) $ Etapas: 1. 2. 3. $ Intrusão em massa Instalação do software DDoS Disparo do ataque Técnicas utilizadas: – – – – – – IP Spoofing SYN Flooding Pacotes decoy Execução de comandos remotos Fragmentação de pacotes Criptografia na comunicação entre o atacante e os masters Ameaças e Vulnerabilidades Ataques coordenados (DDoS) $ Personagens Atacante Masters Agentes Vítima