Sikkerhets skannere. Sikkerhets/sårbarhets skannere

Transkript

1 Sikkerhetsskanning

2 Sikkerhets skannere Sikkerhets/sårbarhets skannere Sjekker om systemet er sårbart for kjente sikkerhetsproblemer Sjekker åpne porter, versjoner, patch nivå Sender en sikker variant av angrepskoden og tolker svar fra mottaker Retter ikke opp eller oppgraderer systemer, men generere rapport som viser eventuelle svakheter

3 Port skanning Port skanning benyttes for å finne tjenester som kjører Nettverkstjenester kjører på kjente porter Angriper kan begrense søk etter kjente svakheter Undersøker kun for tjenester som kjører Skanning etter TCP og UDP porter i bruk med ulike teknikker

4 UDP port skanning UDP skanning baserer seg på negativ tilbakemelding Pakker uten innhold sendes mot angrepsmål på bestemt UDP port Dersom port åpen mottas ingen tilbakemelding Dersom port er stengt mottas som oftest ICMP Port Unreachable Brannmur kan droppe denne, dermed gjøres UDP port skanning vanskeligere

5 TCP port skanning Som oftes 3-way handshake Sender pakke med SYN =1, ACK = 0 RFC 793 spesifiserer at enhver TCP host må svare Dersom port åpen, host svarer med SYN/ACK Dersom port er stengt, host svarer med RST/ACK Skanner fullfører oppkobling ved å sende ACK SYN skanning gjør ikke dette, forbindelsen halvåpen Dersom ikke noe svar Pakker droppes et sted mellom skanner og mål Brannmur, ruter eller system

6 Kjennetegn Stealth skanning Passerer brannmurer Logges ikke av målsystemet Skanning forkledd som normal trafikk Som oftest mot TCP porter Sender pakker med ulike kombinasjoner av TCP flagg SYN/ACK, URG/PSH/FIN, FIN, NULL (ingen flagg) RFC 793 spesifiserer hvordan TCP host skal svare Åpne porter svarer ikke Lukkede porter sender RST/ACK

7 Fingerprinting Mål: Avdekke host operativsystem (OS) Kan gjøres ved å sammenlikne respons fra et system mot database over kjent respons fra ulike OS TCP/IP stakk på ulike OS varierer i hvordan Svar på ulike pakker med ulike flagg satt Hvordan utgående pakkers egenskaper settes Sekvensnummer, vindusstørrelse etc.

8 Nmap Nmap er et avansert portskanningsverktøy for både Windows og Unix Standard installert på flere Linux distroer Kan utføre flere ulike typer skanninger Omfattende fingerprinting Ny versjon kan detektere OS og versjoner av kjørende tjenester Oppimot 90% treff

9 Nmap

10 Enumeration Mål: Fastslå konfigurasjon på host Bruker kontoer, nettverksdelinger, OS tjenester UNIX systemer RPC på port 111 Slår fast hvilke RPC programmer som kjører Sendmail port 25 Brukerkontoer kan avkjøres med VRFY kommando Windows systemer ved hjelp av SMB Port 139, NetBIOS over TCP/IP Port 445, Windows 2000/XP uten NetBIOS

11 Windows null sesjoner Windows NT/2000/XP tillater null sesjoner som standard Trenger ikke brukernavn/passord for å hente ut informasjon, benytter et blankt brukernavn & passord Kobler opp mot innebygd deling IPC$ (named pipe) Win NT/2000 vil vise Liste over brukere og grupper, detaljert informasjon Liste over delinger Passord politikk Win XP viser kun delinger Win 2003 tjener skal oppføre seg tilsvarende XP iflg. Microsoft

12 Null sesjons verktøy Winfingerprint Open source verktøy winfingerprint.sourceforge.net Winfo ntsecurity.nu/toolbox Flere andre typer windows verktøy også her

13 Common Vulnerabilities and Exposures (CVE) liste Målet er å gi alle kjente sårbarheter/svakheter en unik id Vedlikeholdes av MITRE (non-profit) Ny sårbarheter avdekket tildeles et CAN nummer CAN-år-neste nummer Board bestemmer om kandidat skal inn på CVE listen Navn endres fra CAN -> CVE Sikkerhets skannere referere til CAN eller CVE nummer Entydig referanse til et problem/sårbarhet Kan benyttes ved sammenligning av ulike skannere

14 CERT Etablert 1988 etter Morris orm Opererer fra Carnegie Mellon Univ. Publiserer sikkerhets advarsler og retningslinjer, teknisk dokumentasjon og anbefalninger Alle rapporterte sårbarheter offentliggjøres 45 dager etter initiell rapport Uansett om det eksisterer patch eller workaround Offentliggjør ikke exploits

15 Bugtraq Aktiv moderert epostliste vedlikeholdt av Security Focus En del av Symantec sent Sårbarheter og exploits legges ofte ut her av enkeltpersoner Full åpenhet vedrørende sikkerhetsproblemer Oppfordrer til offentliggjøring av exploits Foreslår levrandørkontakt før offentliggjøring Informasjon ikke verifisert

16 Sikkerhets skannere Rapport Inneholder navn og beskrivelse av sårbarheter funnet Klassifiserer sårbarheter i ulike nivå Lister anbefalninger Ulike levrandøre kan ha ulike navn på samme sårbarhet Angivelse av CVE/CAN nummer hjelper identifiseringen Ulike levrandører gir forskjellige klassifiseringer

17 Aktuelle sikkerhets skannere Nessus Open source Klient tjener modell Retina Tjener Linux Klient både for Linux og Windows Kommersiell skanner fra Eeye Security Windows only