HARD CORE SECURITY LAB

W miarę obiektywne wskazanie najlepszego hakera wszech czasów jest z pewnością nie lada wyzwaniem. W przeciwieństwie do ikon hack-kultury, prawdopodobnie osoba taka nie jest nawet w ogóle publicznie znana. Za to dość łatwo możemy nawet osobiście zbierać kandydatury do miana najgorszego hakera wszech czasów. Wystarczy tylko przygotować własny honeypot. Poza tym, podglądanie domorosłych włamywaczy penetrujących nasz system – przynętę, może być naprawdę zabawne. Z resztą sami zobaczcie!

Antywirusy są prawdopodobnie najpopularniejszym typem oprogramowania ochronnego oraz w ogóle jednymi z częściej stosowanych programów. Program tego typu najczęściej kojarzy nam się z rezydentnym monitorem śledzącym w czacie rzeczywistym wszystkie działania mające miejsce w naszym systemie operacyjnym i zdolnym do rozpoznania niezliczonej ilości zagrożeń. Jak to się jednak dzieje, że antywirusy są w stanie w miarę skutecznie rozpoznać setki tysięcy najróżniejszych złośliwych programów?

Od wielu lat słyszymy już, że pula dostępnych adresów IP (w czwartej wersji tegoż protokołu) nieubłaganie wyczerpuje się. Zgodnie z niektórymi raportami organizacji IANA, sytuacja jest już co najmniej krytyczna. Niezależnie jednak od słuszności tego typu ocen i przewidywań, z pewnością już dziś warto zainteresować się protokołem IPv6. Spójrzmy więc na kilka praktycznych kwestii związanych z tematyką bezpieczeństwa IP Next Generation.

Pokładanie nadziei w rozmaitych technologicznych zabezpieczeniach, to krótko mówiąc czysta naiwność. Każdy system i każde zabezpieczenie można złamać... lub po prostu obejść. Jeśli nie można złamać systemu, to można oszukać lub złamać jego operatora. Czasem wystarczy tylko wykorzystać jego ludzkie słabości. Niezmiennie najsłabsze ogniowo stanowi więc czynnik ludzki. Doskonale wiedzą o tym włamywacze, ale i specjaliści zajmujący się bezpieczeństwem. Jeśli jednak wy w to nie wierzycie, to zapraszam do obejrzenia pewnej ilustracji, która rozwieje w tym zakresie wszelkie wątpliwości...

Uwierzytelnianie, czyli weryfikowanie zadeklarowanej tożsamości użytkowników rozmaitych usług oraz systemów informatycznych, od zarania cyfrowych dziejów odbywa się z wykorzystaniem nieśmiertelnych haseł dostępowych. Od wielu lat rozmaite polityki bezpieczeństwa informatycznego niezmiennie wymagają zaś wdrożenia mechanizmów wymuszających okresowe (np. comiesięczne) zmiany wszystkich haseł dostępowych. Słuszność takiego podejścia od dawna budzi spore wątpliwości, brakowało jednak solidnych dowodów na całkowite podważenie sensu częstego wymuszania zmiany poświadczeń.

Grupa RedTeam Security od pewnego czasu rozwija bardzo interesujący projekt szpiegowskiego bota do zadań specjalnych. PlugBot to miniaturowy komputer wyposażony w rozmaite przewodowe oraz bezprzewodowe interfejsy sieciowe, pozwalający intruzowi (lub pentesterowi symulującemu przebieg prawdziwego włamania) na długotrwałe utrzymanie dostępu do wewnętrznej infrastruktury informatycznej należącej do docelowej organizacji. Spójrzmy na praktyczne możliwości, potencjalne zastosowania oraz przyszłość PlugBota.

Sudo to popularny program obecny w rozmaitych systemach operacyjnych Linux i Unix, stosowany najczęściej w celu delegowania uprawnień administracyjnych na poszczególnych użytkowników systemu. Możliwość korzystania z tego przydatnego narzędzia konfigurujemy zazwyczaj poprzez umieszczenie odpowiednich wpisów w pliku /etc/sudoers, określając w ten sposób które programy poszczególni użytkownicy mogą za pomocą sudo uruchamiać. Czy zastanawialiście się jednak, co się tak naprawdę dzieje, gdy próbujecie za pomocą sudo uzyskać nienależne wam uprawnienia?

W ramach środowiska Metasploit Framework dostępnych jest już obecnie ponad 600 rozmaitych exploitów i modułów pomocniczych oraz ponad 200 payloadów. Wszyscy, którzy próbowali wykorzystać to darmowe środowisko do przeprowadzenia realnych testów penetracyjnych wiedzą z pewnością, że w tym wypadku od przybytku może nas rozboleć głowa. Otóż nie lada sztuką (szczególnie dla mniej doświadczonych pentesterów) staje się w takim wypadku taki dobór poszczególnych modułów dla poszczególnych celów, aby cały test penetracyjny mógł przynieść jakiekolwiek wymierne rezultaty. Jak nie trudno się przecież domyślić, testowanie stacji roboczej Windows za pomocą najnowszego exploitu dla systemu Oracle Solaris, nie ma najmniejszego sensu. Warto więc wiedzieć, że ukazało się pewne interesujące narzędzie mogące w znacznym stopniu ułatwić nam praktyczne wykorzystanie ogromnych możliwości otwartego Metasploita.

Podczas pracy w obcej lub publicznie otwartej sieci komputerowej, bez wątpienia powinniśmy zachować szczególną ostrożność. Cały nasz ruch sieciowy może być w takim wypadku podsłuchiwany przez innych użytkowników sieci, bądź też samych operatorów lokalnych urządzeń sieciowych. W takiej sytuacji zagrażają nam również głośne w ostatnim czacie ataki przechwytywania sesji HTTP oraz bezpośrednie ataki wymierzone w nasz system operacyjny oraz pracujące pod jego kontrolą usługi i programy. W związku z tym, w trakcie korzystania z obcej sieci najlepiej w ogóle nie transmitować poufnych lub ważnych dla nas informacji oraz w zasadzie warto unikać korzystania z jakichkolwiek zasobów i serwisów wymagających od nas jakiegokolwiek potwierdzenia naszej tożsamości. Jak się jednak okazuje, niezaufane sieci nie są również dobrym miejscem do przeprowadzania jakichkolwiek aktualizacji oprogramowania. Spójrzmy przykładowo, w jak prosty sposób można przejąć całkowitą kontrolę nad w pełni aktualnym systemem operacyjnym, wykorzystując słabości obecne w mechanizmach aktualizacyjnych wbudowanych w najrozmaitsze oprogramowanie użytkowe.

Czytelnicy HARD CORE SECURITY LAB na pewno tak skutecznie zabezpieczają swe serwery, stacje robocze, a nawet podręczne elektroniczne gadżety, że z pewnością nie mogą zbyt często oglądać prawdziwego włamywacza w trakcie skutecznego penetrowania jakiegoś systemu. Dla wszystkich zainteresowanych dokładnym przebiegiem przykładowego włamania na serwer Linuksowy, mam więc małą niespodziankę. Oto historia pewnego autentycznego włamania.

Wszyscy jesteśmy przyzwyczajeni do codziennych doniesień o masowo rozprzestrzeniających się robakach internetowych. Twórcy tego typu złośliwego oprogramowania, jako cel obierali sobie do tej pory przede wszystkim użytkowników najpopularniejszych systemów operacyjnych z rodziny Windows. W ostatnim czasie pojawiła się jednak kolejna wariacja robaka Koobface, która to jest w stanie z taką samą skutecznością infekować również Linuksy, a nawet system Mac OS X! Przyjrzyjmy się dokładniej temu interesującemu przypadkowi, który prawdopodobnie jest zapowiedzią nadejścia nowej klasy wieloplatformowych zagrożeń.

Utrata wyłącznej kontroli nad własnym systemem operacyjnym może się nam przydarzyć w najmniej oczekiwanym momencie, w wyniku wielu rozmaitych ataków. Intruz może przykładowo wykorzystać lukę Zero Day obecną w naszej przeglądarce internetowej. Bardzo skuteczne mogą się również okazać ataki słownikowe wymierzone w hasła poszczególnych użytkowników danego systemu. Poważne (i często traktowane po macoszemu) zagrożenie stanowią również rozmaite wtyczki instalowane przez internautów we własnych przeglądarkach. Nawet jeśli dbamy o aktualność wszystkich naszych wtyczek, i tak możemy paść ofiarą udanego ataku...

Pomysłowość komputerowych przestępców nie zna granic. Co chwilę powstają nowe metody ataków zdolnych do skutecznego infekowania tysięcy komputerów przyłączonych do Internetu. Ogromna część tego typu ataków żeruje jednak na ludzkiej naiwności, żeby nie powiedzieć głupocie. Spójrzmy przykładowo na pewną złośliwą witrynę, która z rozbrajającą szczerością sama ostrzega odwiedzających ją internautów o tym, że jest... niebezpieczna!

Zapraszam do zapoznania się z kolejnym opracowaniem biorącym udział w Urodzinowym Konkursie HCSL, zorganizowanym przez serwis HARD CORE SECURITY LAB oraz firmę Securitum. Autorem poniższego artykułu, w którym obszernie omówione zostały bardzo interesujące metody pozwalające na zautomatyzowanie mechanizmów typu IDS/IPS, jest Adrian "Vizzdoom" M. (e-mail: vizzdoom w domenach gmail.com lub linux.pl). Autor jest studentem Politechniki Śląskiej (kierunek Informatyka, wydział AEI), programistą, pasjonatem sieci i systemów operacyjnych oraz założycielem grupy Underground Crew, zajmującej się badaniem bezpieczeństwa informacji (http://ucrew.tk/). Zapraszam do lektury!

Kilka miesięcy temu na łamach Hard Core Security Lab przedstawiłem wam nieco bliżej Immunet Protect, czyli darmową implementację programu antywirusowego wykorzystującego model przetwarzania w chmurze (ang. Cloud computing). Mój artykuł zachwalający zalety takiego podejścia, ostatecznie wywołał burzliwą dyskusję. Spotkałem się m.in. z surowymi głosami krytyki, również ze strony specjalistów z dziedziny bezpieczeństwa IT. Od tego czasu społeczność korzystająca z Immunet Protect wzrosła niemal trzykrotnie (obecnie jest to blisko 600 tys. aktywnych agentów), a ja postanowiłem powrócić do tematu antywirusów w chmurach, by raz jeszcze przyjrzeć się potencjalnym zagrożeniom, które towarzyszą wykorzystaniu tego typu rozwiązań.

Trzeba przyznać, że amerykańskie służby śledcze mają już na swym koncie spore sukcesy w walce z przestępcami wykorzystującymi w swej nielegalnej działalności najnowsze technologie informatyczne. Całkiem niedawno agenci FBI aresztowali na terenie USA 11 rosyjskich szpiegów. Amerykańskim agentom udało się między innymi odszyfrowanie przechwyconych w trakcie całej operacji danych oraz dokładne rozpracowanie rosyjskich kanałów komunikacyjnych. Obecnie agencja FBI skupia się na walce z cyberprzestęcpami, którzy okradali prywatnych internautów, firmy, a nawet instytucje finansowe, z pomocą trojana Zeus. Spójrzmy na to, w jaki sposób amerykańscy agenci ścigają podejrzanych oraz co ujawniają na temat sposobu działania internetowej mafii.

Rozmaite skanery sieciowe stanowią nieocenioną pomoc dla każdego administratora sieci i systemów komputerowych. Dzięki tego typu narzędziom jesteśmy bowiem w stanie bardzo szybko rozeznać się w wielu aspektach nawet setek lub tysięcy zarządzanych przez nas stacji roboczych, serwerów oraz najrozmaitszych urządzeń sieciowych. Skanery sieciowe mogą oczywiście być również źródłem bardzo cennych informacji na temat bezpieczeństwa. Spójrzmy więc na praktyczny przykład takiego zastosowania.

Od wielu lat użytkownicy oraz administratorzy najróżniejszych systemów operacyjnych toczą ze sobą nieustanny spór. Chodzi oczywiście o to, które z dostępnych komercyjnych i niekomercyjnych rozwiązań jest najbardziej bezpieczne. Prowadzenie tego typu polemiki nie ma jednak moim zdaniem najmniejszego sensu, gdyż bezpieczeństwo systemu operacyjnego ma niewiele wspólnego z jego rodzajem. Wykonanie skutecznego włamania do nieodpowiednio zabezpieczonego systemu Windows 7 zajmuje tylko kilka minut, jednak w równie prosty sposób przejmiemy zdalną kontrolę nad fatalnie zabezpieczonym Linuksem. Stąd nasuwa się prosty wniosek, że o bezpieczeństwie systemu operacyjnego nie decyduje jego rodzaj, lecz odpowiednie jego skonfigurowanie i zabezpieczenie, tak by nie był on podatny przynajmniej na znane w danej chwili rodzaje ataków. Okazuje się, że w przypadku Windowsów, Microsoft udostępnia całą gamę świetnych i darmowych narzędzi, przydatnych do skutecznego zabezpieczania Okienek. Problem w tym, że niewielu użytkowników i administratorów wie w ogóle o ich istnieniu lub chce z nich skorzystać...

W poprzednim artykule poświęconym kulisom działania internetowej mafii skupiliśmy się na przestępcach utrzymujących się z produkcji oraz dystrybucji oprogramowania służącego do tworzenia złośliwych witryn internetowych. Dziś natomiast zajmiemy się szczegółowo władcami botnetów, czyli grupami przestępczymi kontrolującymi ogromne sieci komputerów zombie, które to zdolne są do wykonywania masowych skoordynowanych ataków, przynoszących swym twórcom ogromne zyski. W roli głównej wystąpi nowy chiński botnet IMDDOS, który w ciągu ostatnich czterech miesięcy stał się jednym z największych tego typu aktywnych tworów na świeci.

Przeprowadzając testy penetracyjne, czyli testowe ataki na dany system komputerowy, naszym celem jest wskazanie praktycznych możliwości naruszenia bezpieczeństwa testowanych systemów. Co jednak w sytuacji, gdy za pomocą narzędzi takich jak Metasploit Framework nie jesteśmy w stanie odnaleźć jakichkolwiek podatności na atak, czyli inaczej mówiąc niemożliwe jest odnalezienie jakichkolwiek znanych luk w poszczególnych systemach operacyjnych lub działających pod ich kontrolą usługach?