Curs White Hat Hacking #3 - ITSpark

1,209 views

Published on

A treia parte a cursului de White Hat Hacking tinut de Tudor Damian - ITSpark (Cluj-Napoca, 20 noiembrie 2010)

Published in: Technology
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
1,209
On SlideShare
0
From Embeds
0
Number of Embeds
277
Actions
Shares
0
Downloads
51
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Curs White Hat Hacking #3 - ITSpark

  1. 1. salut, pentru a treia oară.
  2. 2. Tudor Damian MVP, IT Solutions Specialist tudy.tel
  3. 3. ce facem azi?
  4. 4. curs WHH, #3 Web Security Network Security Best Practices
  5. 5. o infracțiune are loc...
  6. 6. la fiecare 15 minute în Paris
  7. 7. la fiecare 3 ½ minute în New York
  8. 8. la fiecare 2 ½ minute în Tokyo
  9. 9. la fiecare 2 minute în Berlin
  10. 10. la fiecare ¼ secunde ONLINE
  11. 11. activități de zi cu zi
  12. 12. ”dă-mi un link la blogul ăla...”
  13. 13. ”trimite-mi pe mail...”
  14. 14. ”uite ce-am găsit pe google...”
  15. 15. ”dacă ai id de mess, îți trimit acolo fișierul...”
  16. 16. ”pot să-mi verific mail-ul?...”
  17. 17. ”îl am pe memory stick, îl poți copia de acolo...”
  18. 18. tendințe
  19. 19. 23 curiositycrime 1986 2008 Virus Destructive Virus Macro Virus Vulnerabilities Openly Discussed Mass Mailing Worms Network Worms Spam Tracking Cookies Spam Explodes Bots & Botnets DDoS Attacks Bots Explode Paid Vulnerability Research Adware Spyware Rootkits On the Rise Spyware & Adware Explode Phishing Crimeware Phishing Explodes Zero Day Exploits & Threats
  20. 20. că tot vorbim de $$$ ...
  21. 21. Produs Preț Instalare adware 30 cenţi in US, până la 2 cenţi in alte ţări Pachet malware, versiunea basic 1.000$ – 2.000$ Add-ons pentru pachete malware Preţuri variabile pornind de la 20$ Închiriere de “exploit” - o oră De la 0,99$ la 1$ Închiriere de “exploit” - 2,5 ore De la 1,60$ la 2$ Închiriere de “exploit” - 5 ore 4$ Troian nedetectabil 80$ Atac DDOS 100$ pe zi Acces la 10.000 de PC-uri compromise 1.000$ Informaţii despre conturi bancare Preţuri variabile pornind de la 50$ Un milion de mesaje e-mail De la 8$ în sus o listă de prețuri Informațiile se refera la anul 2007, sursa: TrendMicro
  22. 22. Changes in the Threat Landscape de la hackeri... ...la hoţi ”zgomotoși” și vizibili ”ninja”  motivaţi de faimă motivaţi financiar fără discriminări ţinte precise schimbări în amenințări
  23. 23. Period Numberofsignatures Sursa: Symantec Security Response
  24. 24. protecția e o problemă constantă
  25. 25. e ca un joc ”de-a șoarecele și pisica”
  26. 26. pe măsură ce soluțiile de securitate devin mai performante...
  27. 27. ...și tipurile de atacuri devin mai complexe și mai distructive
  28. 28. metodele ”tradiționale”, bazate pe semnături, nu mai fac față
  29. 29. avem nevoie de ceva diferit
  30. 30. ubicuitate
  31. 31. dacă am pune toate fișierele rele în stânga și cele bune în dreapta...
  32. 32. ...am avea o distribuție ”long tail” Nici o tehnică nu funcţionează pentru cele zeci de milioane de fișiere din această zonă de mijloc (Și aici e și zona unde majoritatea malware-ului se găsește) fișiere rele fișiere bune număr Whitelisting funcţionează aici Pentru acest ”long tail” e nevoie de o metodă nouă Blacklisting funcţionează aici
  33. 33. folosim utilizatorii!
  34. 34. Empower Users un început timid...
  35. 35. ...însă direcția e bună
  36. 36. pe câmpul de luptă
  37. 37. trojan / rootkit / worm / spyware
  38. 38. AV-Test.org estimează că există peste 11 milioane de exemplare de malware
  39. 39. scopul poate fi extrem de diferit, de la caz la caz
  40. 40. spre exemplu, Win32.Worm.Delf.NFW (locul 9 în topul BitDefender pe luna iulie 2009)
  41. 41. șterge fișiere mp3 care conțin numele unor cântareți români "populari"
  42. 42. Adrian Minune Adi de la Valcea Florin Salam Frații de Aur Laura Vass Liviu Puștiu Liviu Guță
  43. 43. DDoS / botnets
  44. 44. botnet on demand
  45. 45. botnet on demand
  46. 46. Botnet Numărul de boți estimat Capacitatea de generare de spam Grum 600.000 40 miliarde mesaje pe zi Bobax 100.000 27 miliarde mesaje pe zi Cutwail 1.500.000 19 miliarde mesaje pe zi Rustock 150.000 17 miliarde mesaje pe zi Bagle 500.000 14 miliarde mesaje pe zi top 5 botnets in 2010
  47. 47. atacuri în rețea
  48. 48. Network C Network B Network A Attacker Computer Computer Computer Workstation Workstation Workstation Laptop Computer Computer Workstation Broadcast Address Broadcast Address Broadcast Address ICMP Echo ICMP Echo ICMP Echo ICMP Echo ICMP Echo ICMP Echo Target system Replies from every terminal in the Network Replies from every terminal in the Network Replies from every terminal in the Network Smurf
  49. 49. Attacker Server Legitimate userr Half Open Connection Half Open Conenction Half Open Conenction Half Open Conenction Legitimate Connection SynFlood Attack SynFlood
  50. 50. Attack er DNS 2 DNS 3 DNS 4 Target Query with spoofed IP Query with spoofed IP Query with spoofed IP Query with spoofed IP Results from attackers query Results from attackers query Results from attackers query Results from attackers query DNS 1 DNS DoS
  51. 51. DDoS Server Software (Zombie) Server Software (Zombie) Server Software (Zombie) Server Software (Zombie) Server Software (Zombie) Client Software Command CommandCommand Target Host Packets Packets Packets Packets Packets Attacker Client Attacker’s Commands Attacker’s Coomand
  52. 52. exemplele nu sunt la scară reală :)
  53. 53. SQLi / XSS / CSRF / RFI
  54. 54. SQL injection
  55. 55. XSS
  56. 56. XSS
  57. 57. XSS
  58. 58. Open Web Application Security Project (OWASP) top 10 list www.owasp.org/index.php/Top_10_2010
  59. 59. OWASP Top 10 List 2010 OWASP Top 10 – 2007 (Previous) OWASP Top 10 – 2010 (New) A2 – Injection Flaws A1 – Injection A1 – Cross Site Scripting (XSS) A2 – Cross Site Scripting (XSS) A7 – Broken Authentication and Session Management A3 – Broken Authentication and Session Management A4 – Insecure Direct Object Reference A4 – Insecure Direct Object References A5 – Cross Site Request Forgery (CSRF) A5 – Cross Site Request Forgery (CSRF) <was T10 2004 A10 – Insecure Configuration Management> A6 – Security Misconfiguration (NEW) A8 – Insecure Cryptographic Storage A7 – Insecure Cryptographic Storage A10 – Failure to Restrict URL Access A8 – Failure to Restrict URL Access A9 – Insecure Communications A9 – Insufficient Transport Layer Protection <not in T10 2007> A10 – Unvalidated Redirects and Forwards (NEW) A3 – Malicious File Execution <dropped from T10 2010> A6 – Information Leakage and Improper Error Handling <dropped from T10 2010> + + - - = = =
  60. 60. spam
  61. 61. conform Sophos, 96.5% din business email este spam
  62. 62. phishing / crimeware / scareware
  63. 63. crimeware
  64. 64. categorie de malware concepută pentru automatizarea activităților criminale de natură financiară
  65. 65. scareware, o variantă de social engineering
  66. 66. alte atacuri
  67. 67. spionaj industrial
  68. 68. ...plătit, evident :)
  69. 69. furt de identitate
  70. 70. cele 10 legi ale securității rețelelor
  71. 71. #1 dacă un atacator te convinge să rulezi programul lui pe calculatorul tău, nu mai e calculatorul tău
  72. 72. #2 dacă un atacator poate modifica sistemul de operare de pe calculatorul tău, nu mai e calculatorul tău
  73. 73. #3 dacă un atacator are acces fizic la calculatorul tău, nu mai e calculatorul tău
  74. 74. #4 dacă lași un atacator să upload-eze programe pe site-ul tău, nu mai e site-ul tău
  75. 75. #5 parolele slabe anulează orice altă formă de securitate
  76. 76. #6 un sistem e atât de sigur pe cât de multă încredere poți avea în persoana care îl administrează
  77. 77. #7 datele criptate sunt atât de sigure pe cât de sigură e cheia de decriptare
  78. 78. #8 un antivirus fără definiții la zi e cu puțin mai bun decât unul inexistent
  79. 79. #9 anonimitatea absolută nu e practică, nici în viața reală, nici pe web
  80. 80. #10 tehnologia nu e un panaceu
  81. 81. abordarea securității
  82. 82. un singur punct de acces fizic
  83. 83. un singur punct de acces electronic
  84. 84. disciplină, disciplină, disciplină
  85. 85. tot ce vine e malițios, până la proba contrarie
  86. 86. componentele soluției
  87. 87. clădiri securizate fizic
  88. 88. opțiuni de autentificare
  89. 89. limitarea metodelor de comunicare și acces permise
  90. 90. inspecție și eliminare malware
  91. 91. procese și tehnologii de management definite clar
  92. 92. plan de acțiune în caz de criză (incident response)
  93. 93. securizare fizică a clădirilor
  94. 94. proprietate locație, perimetru, datacenter, controlul climei, disaster recovery
  95. 95. oameni necunoscuți, utilizatori/angajați, disaster recovery
  96. 96. opțiuni de autentificare
  97. 97. parolele nu sunt suficiente
  98. 98. procese și tehnologii de management definite clar
  99. 99. automatizarea instalărilor, configurare, update
  100. 100. monitorizarea sănătății sistemului, reparații în caz de nevoie
  101. 101. data recovery
  102. 102. arhitectura veche
  103. 103. la început, internetul era izolat, rețelele corporate la fel
  104. 104. internet corporate network
  105. 105. persoanele din CORP și-a dat seama că pe Internet se găsesc treburi interesante, și au solicitat acces
  106. 106. internet firewall corporate network
  107. 107. și accesul outbound era suficient
  108. 108. dar între timp a apărut HTML / HTTP
  109. 109. iar când e vorba de culori, imagini și sunete, persoanele de la marketing devin interesate
  110. 110. și au început să solicite să pună ”broșuri” pe Internet
  111. 111. internet firewall web server corporate network
  112. 112. iar când s-a dorit și comunicarea cu cei din afară, a apărut DMZ
  113. 113. internet firewall web server (DMZ) database (DMZ) corporate network
  114. 114. treptat, DMZ-ul a devenit o înșiruire de firewall-uri
  115. 115. soluțiile noi au devenit din ce în ce mai complexe, deoarece se bazau pe soluțiile deja existente
  116. 116. engineers, architects and contractors
  117. 117. engineers begin knowing a little bit about a lot they learn less and less about more and more until they know nothing about everything
  118. 118. architects begin knowing a lot about a little they learn more and more about less and less until they know everything about nothing
  119. 119. contractors begin knowing everything about everything but end up knowing nothing about anything because of their association with architects and engineers
  120. 120. pe cine cunoaștem?
  121. 121. PC-ul, sau persoana?
  122. 122. PC persoană
  123. 123. PC persoană managed unmanaged
  124. 124. arhitectura nouă
  125. 125. internet corporate network
  126. 126. folosim împărțirea managed / unmanaged
  127. 127. internet unmanaged managed corporate network
  128. 128. astfel, avem nevoie de network edge protection pentru secțiunea unmanaged
  129. 129. dar ce facem cu partea managed?
  130. 130. știm PC-ul, știm persoana
  131. 131. dar până acum, acestea erau în interiorul rețelei, după firewall
  132. 132. acum, sistemele sunt în afară
  133. 133. tehnologii curente care ne pot ajuta
  134. 134. Win7 & Windows Server 2008 R2 (DirectAccess), UAC, non-admin login, NAP, Active Directory (Group Policy), autentificare cu certificate (X.509), IPSec, IPv6 (Teredo), DNSv6, Firewall, BitLocker, BitLocker to Go etc. 
  135. 135. întrebări
  136. 136. mulțumesc.
  137. 137. Tudor Damian MVP, IT Solutions Specialist tudy.tel

×