Презентация на тему "Типовая корпоративная сеть"

Содержание

• 
  Слайд 1
  

  Типовая корпоративная сеть, понятие уязвимости и атаки Раздел 1 – Тема 2

• 
  Слайд 2
  

  DMZ-2 DMZ-1 Типовая корпоративная сеть Внутренние серверы Рабочие места Филиал Мобильные сотрудники Ресурсы Internet Пользователи Internet МЭ

• 
  Слайд 3
  

  Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

• 
  Слайд 4
  

  Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ TCP/IP NetBEUI IPX/SPX

• 
  Слайд 5
  

  Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

• 
  Слайд 6
  

  Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

• 
  Слайд 7
  

  Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ Office 2000

• 
  Слайд 8
  

  Уровни информационной инфраструктуры ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ

• 
  Слайд 9

  Классификация уязвимостей и атак

  Раздел 1 – Тема 3

• 
  Слайд 10

  Примерный сценарий атаки

  Сбор информации Получение доступа к наименее защищённому узлу (возможно с минимальными привилегиями) Получение полного контроля над одним из узлов или несколькими Повышение уровня привилегий или использование узла в качестве платформы для исследования других узлов сети

• 
  Слайд 11
  

  Этап сбора информации

• 
  Слайд 12
  

  WHOIS Search

• 
  Слайд 13
  

  ACMETRADE.COM

• 
  Слайд 14
  

  Registrant: Acmetrade.com, Inc. (ACMETRADE-DOM) 6600 Peachtree Dunwoody Road Atlanta, GA 30338 Domain Name: ACMETRADE.COM Administrative Contact: Vaughn, Danon (ES2394) dvaughn@ACMETRADE.COM (678)443-6000 (FAX) (678) 443-6476 Technical Contact, Zone Contact: Bergman, Bret (ET2324) bbergman@ACMETRADE.COM (678)443-6100 (FAX) (678) 443-6208 Billing Contact: Fields, Hope (ET3427) hfields@ACMETRADE.COM (678)443-6101 (FAX) (678) 443-6401 Record Last updated on 27-Jul-99. Record created on 06-Mar-98. Database last updated on 4-Oct-99 09:09:01 EDT Domain servers in listed order: dns.acmetrade.com 208.21.2.67 www.acmetrade.com 208.21.2.10 www1.acmetrade.com 208.21.2.12 www2.acmetrade.com 208.21.2.103 http://www.networksolutions.com/cgi-bin/whois/whois/?STRING=acmetrade.com

• 
  Слайд 15
  
• 
  Слайд 16
  
• 
  Слайд 17
  
• 
  Слайд 18
  

  [hacker@linux131 hacker]$ nmap 200.0.0.143 Starting nmap V. 2.53 by fyodor@insecure.org ( www.insecure.org/nmap/ ) Interesting ports on (200.0.0.143): (The 1516 ports scanned but not shown below are in state: closed) Port State Service 21/tcp open ftp 25/tcp open smtp 80/tcp open http 135/tcp open loc-srv 139/tcp open netbios-ssn 443/tcp open https 465/tcp open smtps Nmap run completed -- 1 IP address (1 host up) scanned in 1 second [hacker@linux131 hacker]$

• 
  Слайд 19
  

  hacker:/export/home/hacker> ./rpcscan dns.acmetrade.com cmsd Scanning dns.acmetrade.com for program 100068 cmsd is on port 33505 hacker:/export/home/hacker>

• 
  Слайд 20
  
• 
  Слайд 21
  
• 
  Слайд 22
  

  hacker:/export/home/hacker> id uid=1002(hacker) gid=10(staff) hacker:/export/home/hacker> uname -a SunOS evil.hacker.com 5.6 Generic_105181-05 sun4u sparc SUNW,UltraSPARC-IIi-Engine hacker:/export/home/hacker> ./cmsd dns.acmetrade.com using source port 53 rtable_create worked Exploit successful. Portshell created on port 33505 hacker:/export/home/hacker> Trying 208.21.2.67... Connected to dns.acmetrade.com. Escape character is '^]'. # id uid=0(root) gid=0(root) # uname -a SunOS dns 5.5.1 Generic_103640-24 sun4m sparc SUNW,SPARCstation-5 # telnet dns.acmetrade.com 33505 Этап получения доступа к узлу

• 
  Слайд 23
  

  # # nslookup Default Server: dns.acmetrade.com Address: 208.21.2.67 > > ls acmetrade.com Received 15 records. ^D [dns.acmetrade.com] www.acmetrade.com 208.21.2.10 www1.acmetrade.com 208.21.2.12 www2.acmetrade.com 208.21.2.103 margin.acmetrade.com 208.21.4.10 marketorder.acmetrade.com 208.21.2.62 deriv.acmetrade.com 208.21.2.25 deriv1.acmetrade.com 208.21.2.13 bond.acmetrade.com 208.21.2.33 ibd.acmetrade.com 208.21.2.27 fideriv.acmetrade.com 208.21.4.42 backoffice.acmetrade.com 208.21.4.45 wiley.acmetrade.com 208.21.2.29 bugs.acmetrade.com 208.21.2.89 fw.acmetrade.com 208.21.2.94 fw1.acmetrade.com 208.21.2.21 Использование узла в качестве платформы для исследования других узлов сети

• 
  Слайд 24
  

  (AcmeTrade’s Network) UNIX Firewall DNS Server Web Server Filtering Router NT Clients & Workstations Network UNIX NT UNIX rpc.cmsd Схема сети

• 
  Слайд 25

  Уязвимости и атаки

  Атака - действие нарушителя, которое приводит к реализации угрозы путем использования уязвимостей информационной системы. Уязвимость - любая характеристика или свойство информационной системы, использование которой нарушителем может привести к реализации угрозы.

• 
  Слайд 26
  

  Классификацияуязвимостей узлов, протоколов и служб IP - сетей

• 
  Слайд 27
  

  Классификация уязвимостей по причинам возникновения ошибки проектирования (технологий, протоколов, служб) ошибки реализации (программ) ошибки эксплуатации(неправильная настройка, неиспользуемые сетевые службы,слабые пароли)

• 
  Слайд 28
  

  Классификация по уровню в информационной инфраструктуре Уровень сети Уровень операционной системы Уровень баз данных Уровень персонала Уровень приложений

• 
  Слайд 29
  

  Высокий уровень риска Среднийуровень риска Низкийуровень риска Классификация уязвимостей по уровню (степени) риска Уязвимости, позволяющие атакующему получить непосредственный доступ у узлу с правами суперпользователя Уязвимости, позволяющие атакующему получить доступ к информации, которая с высокой степенью вероятности позволит в последствии получить доступ к узлу Уязвимости, позволяющие злоумышленнику осуществлять сбор критичной информации о системе

• 
  Слайд 30
  

  Источники информации о новых уязвимостях www.cert.org - координационный центр CERT/CC www.iss.net/xforce - база данных компании ISS llnl.ciac.gov - центр CIAC www.cert.ru - российский CERT/CC www.securityfocus.com

• 
  Слайд 31
  

  www.iss.net/xforce

• 
  Слайд 32

  Примерыуязвимостей

  Уровень: сеть Степень риска:средняя Источник возникновения:ошибки реализации Описание: посылкабольшого числа одинаковых фрагментов IP-датаграммы приводит к недоступности узла на время атаки Название:ip-fragment-reassembly-dos

• 
  Слайд 33
  

  Уровень: ОС Степень риска:высокая Источник возникновения:ошибки реализации Название:nt-getadmin-present Описание: проблема одной из функций ядра ОС Windows NT, позволяющая злоумышленнику получить привилегии администратора Примерыуязвимостей

• 
  Слайд 34
  

  Уровень: СУБД Степень риска:низкая Источник возникновения:ошибки реализации Название:mssql-remote-access-option Описание: уязвимость в реализации возможности подключения со стороны других SQL-серверов Примерыуязвимостей

• 
  Слайд 35
  

  Уровень: приложения Степень риска:средняя Источник возникновения:ошибки реализации Название:iis-url-extension-data-dos Описание: посылкабольшого числа некорректно построенных запросов приводит к повышенному расходу ресурсов процессора Примерыуязвимостей

• 
  Слайд 36
  

  Уровень: приложения Степень риска:средняя Источник возникновения:ошибки реализации Название:win-udp-dos Описание: OC Windows 2000 и Windows 98 уязвимы к атаке «отказ в обслуживании», вызываемой исчерпанием всех UDP-сокетов Примерыуязвимостей

• 
  Слайд 37
  

  Уровень: Персонал Степень риска:высокая Источник возникновения:ошибки обслуживания Название:win95-back-orifice Описание: узел заражён серверной частью троянского коня, позволяющей установить полный контроль над узлом Примерыуязвимостей

• 
  Слайд 38
  

  http://cve.mitre.org/cve Единая система наименований для уязвимостей Стандартное описание для каждой уязвимости Обеспечение совместимости баз данных уязвимостей

• 
  Слайд 39
  

  http://cve.mitre.org/cve CAN-1999-0067 CVE-1999-0067 Кандидат CVE Индекс CVE

• 
  Слайд 40
  

  Ситуация без CVE ISS RealSecure CERT Advisory Cisco Database Axent NetRecon land attack (spoofed SYN) Impossible IP Packet Bugtrag CA-97.28.Teardrop_Land Land NT4-SP3and 95 [latierra.c] Уязвимость Land IP denial of service

• 
  Слайд 41
  

  Поддержка CVE CVE-1999-0016 Land IP denial of service CVE CERT Advisory Bugtrag ISS RealSecure Cisco Database Axent NetRecon

• 
  Слайд 42
  

  CVEentry CVE-1999-0005 Arbitrary command execution via IMAP buffer overflow in authenticate command. Reference: CERT:CA-98.09.imapd Reference: SUN:00177 Reference: BID:130 Reference: XF:imap-authenticate-bo Номер Описание Ссылки

• 
  Слайд 43

  Классификация атак в IP- сетях

• 
  Слайд 44
  

  Классификация атак по целям Нарушение нормального функционирования объекта атаки (отказ в обслуживании) Получение конфиденциальной информации Модификация или фальсификация критичных данных Получение полного контроля над объектом атаки

• 
  Слайд 45
  

  Классификация атак по местонахождению атакующего и объекта атаки Атакующий и объект атаки находятся в одном сегменте Атакующий и объект атаки находятся в разных сегментах Маршру-тизатор

• 
  Слайд 46
  

  Классификация атак по механизмам реализации Пассивное прослушивание

• 
  Слайд 47
  

  DMZ-2 DMZ-1 Пассивное прослушивание Внутренние серверы МЭ

• 
  Слайд 48
  

  Классификация атак по механизмам реализации Подозрительная активность (разведка) Пассивное прослушивание

• 
  Слайд 49
  

  DMZ-2 DMZ-1 Подозрительная активность Внутренние серверы Рабочие места МЭ # nmap www.company.com

• 
  Слайд 50
  

  Классификация атак по механизмам реализации Подозрительная активность (разведка) Бесполезное расходование вычислительных ресурсов (перегрузка) Пассивное прослушивание

• 
  Слайд 51
  

  DMZ-2 DMZ-1 Перегрузка Внутренние серверы Рабочие места МЭ # ./neptun www.company.com

• 
  Слайд 52
  

  Классификация атак по механизмам реализации Подозрительная активность (разведка) Бесполезное расходование вычислительных ресурсов (перегрузка) Нарушение навигации (ложный маршрут) Пассивное прослушивание

• 
  Слайд 53
  

  DMZ-2 DMZ-1 Нарушение навигации Внутренние серверы Рабочие места Ресурсы Internet МЭ DNS сервер

• 
  Слайд 54
  

  Классификация атак по механизмам реализации Провоцирование отказа объекта (компонента) Подозрительная активность (разведка) Бесполезное расходование вычислительных ресурсов (перегрузка) Нарушение навигации (ложный маршрут) Пассивное прослушивание

• 
  Слайд 55
  

  DMZ-2 DMZ-1 Провоцирование отказа Внутренние серверы Рабочие места МЭ # nuke www.company.com

• 
  Слайд 56
  

  Классификация атак по механизмам реализации Провоцирование отказа объекта (компонента) Подозрительная активность (разведка) Запуск кода (программы) на объекте атаки Бесполезное расходование вычислительных ресурсов (перегрузка) Нарушение навигации (ложный маршрут) Пассивное прослушивание

• 
  Слайд 57
  

  DMZ-2 DMZ-1 Запуск кода Внутренние серверы Рабочие места МЭ # exploit www.company.com

• 
  Слайд 58
  

  Классификация атак по механизмам реализации Провоцирование отказа объекта (компонента) Подозрительная активность (разведка) Запуск кода (программы) на объекте атаки Бесполезное расходование вычислительных ресурсов (перегрузка) Нарушение навигации (ложный маршрут) Пассивное прослушивание

• 
  Слайд 59
  

  Статистика по уязвимостям и атакам Источник: SANS Версия 2.504 Май 2, 2002

• 
  Слайд 60

  Часто используемые уязвимости

  2. Слабые пароли (системная политика) 3. Отсутствие механизма резервирования системы 4. Работающие, но не используемые сетевые службы 5. Отсутствие защиты от IP-спуфинга на пакетных фильтрах 6. Отсутствие процедуры аудита 7. Уязвимости CGI-программ 1.Установленные «по умолчанию» ОС и приложения