Тестирование на проникновение в сетях Microsoft (v.2)Dmitry Evteev
Как показывает практика проведения тестирований на проникновение компанией Positive Technologies, всего 4-х часов достаточно атакующему, находящемуся во внутренней сети компании, для того, чтобы получить максимальный уровень привилегий. С чем это связано и можно ли от этого защититься? Данная тема будет освещена в ходе доклада Дмитрия Евтеева. На вебинаре будут подробно рассмотрены типовые успешные сценарии атак в сетях Microsoft, а также действия атакующего, связанные с пост эксплуатацией в Active Directory.
Тестирование на проникновение в сетях Microsoft (v.2)Dmitry Evteev
Как показывает практика проведения тестирований на проникновение компанией Positive Technologies, всего 4-х часов достаточно атакующему, находящемуся во внутренней сети компании, для того, чтобы получить максимальный уровень привилегий. С чем это связано и можно ли от этого защититься? Данная тема будет освещена в ходе доклада Дмитрия Евтеева. На вебинаре будут подробно рассмотрены типовые успешные сценарии атак в сетях Microsoft, а также действия атакующего, связанные с пост эксплуатацией в Active Directory.
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхDmitry Evteev
Уязвимости и атаки на Web-приложения, общепринятые классификации уязвимостей. Ошибки, допускаемые разработчиками при создании клиентской и серверной частей Web-приложения, их возможные последствия и методы выявления и устранения. Примеры из практики. Обзор специализированных средств защиты Web-приложений: Web Application Firewall (WAF). Стоит ли полагаться на WAF?
Методология выявления уязвимостей в Web-приложениях, в частности, с использованием различных средств автоматического анализа.
В современном бизнесе все решает время. Доступность корпоративных приложений из любой точки земного шара и с любых мобильных устройств - это и есть облик современного бизнеса. Но как обеспечить подобную доступность? VPN-шлюзы? Доставка приложений через веб-сервисы? Каждая компания свободна в выборе любого из решений. Но насколько безопасны эти решения? В презентации затронута практическая безопасность при организации удаленного доступа к приложениям с использованием решений самых популярных брендов в этой сфере.
Ведущий: Эльдар Бейбутов
Интернет приложения - это интерфейс взаимодействия человеческого сознания с информационной системой. Процесс коммуникации людей и машинного кода не поддается формализации, невозможно учесть все возможные состояния системы в ручную, для этого необходимы интеллектуальные средства защиты, которые будут способны к самостоятельному обучению и принятию решений на основе многофакторных моделей. На докладе поговорим о эвристических механизмах обнаружения атак, автоматическом создании позитивной модели и поведенческом анализе.
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхDmitry Evteev
Уязвимости и атаки на Web-приложения, общепринятые классификации уязвимостей. Ошибки, допускаемые разработчиками при создании клиентской и серверной частей Web-приложения, их возможные последствия и методы выявления и устранения. Примеры из практики. Обзор специализированных средств защиты Web-приложений: Web Application Firewall (WAF). Стоит ли полагаться на WAF?
Методология выявления уязвимостей в Web-приложениях, в частности, с использованием различных средств автоматического анализа.
В современном бизнесе все решает время. Доступность корпоративных приложений из любой точки земного шара и с любых мобильных устройств - это и есть облик современного бизнеса. Но как обеспечить подобную доступность? VPN-шлюзы? Доставка приложений через веб-сервисы? Каждая компания свободна в выборе любого из решений. Но насколько безопасны эти решения? В презентации затронута практическая безопасность при организации удаленного доступа к приложениям с использованием решений самых популярных брендов в этой сфере.
Ведущий: Эльдар Бейбутов
Интернет приложения - это интерфейс взаимодействия человеческого сознания с информационной системой. Процесс коммуникации людей и машинного кода не поддается формализации, невозможно учесть все возможные состояния системы в ручную, для этого необходимы интеллектуальные средства защиты, которые будут способны к самостоятельному обучению и принятию решений на основе многофакторных моделей. На докладе поговорим о эвристических механизмах обнаружения атак, автоматическом создании позитивной модели и поведенческом анализе.
Positive Hack Days. Гуркин. Нулевой день для SCADA (0-day)Positive Hack Days
Уязвимости систем SCADA после массового распространения червя Stuxnet стали любимой страшилкой журналистов и страшным сном для всех, кто связан с промышленностью и национальной безопасностью.
Насколько тяжело найти уязвимость в SCADA? Какие векторы атак для этих систем наиболее опасны? Сколько неустранённых уязвимостей в SCADA известно на настоящий момент? В рамках доклада пройдет практическая демонстрация уязвимостей нулевого дня в популярных системах управления производственным процессом.
Для работы привилегированных пользователей создаются исключения в политиках безопасности и предоставляются преференции в ИТ-процессах. Средства защиты периметра обеспечивают привилегированным пользователям доступ внутрь сети и возможности удаления данных аудита, доступ к данным без уведомления. Получение доступа к контроллеру домена на основании доступного хэша пароля позволяет эскалировать привилегии существующих привилегированных учетных записей и создавать новые. Конечные точки создают плацдарм для атак, доступ к данным и средства эскалации привилегий вглубь инфраструктуры. Хищение привилегированных учетных данных и эскалация привилегий – сегодня являются основными причинами успешности атак.
Борьба с вредоносным кодом: от базовых мер к целостной стратегииAleksey Lukatskiy
Описание целостной стратегии борьбы с вредоносным кодом - от начальных шагов и базовых защитных мер к продвинутой версии, включающей множество защитных механизмов
Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...Ontico
РИТ++ 2017, секция ML + IoT + ИБ
Зал Белу-Оризонти, 5 июня, 13:00
Тезисы:
http://ritfest.ru/2017/abstracts/2798.html
В данном докладе будет рассмотрено множество вопросов, с которыми сталкивается AppSec-отдел - как генерировать анти-CSRF токены, где хранить секретные ключи, как тестировать безопасность в сжатые сроки и многое, многое другое.
14 мая прошел открытый вебинар InfoWatch, посвященный теме целенаправленных атак и защите от них. В ходе презентации ведущий рассказал, что представляют целенаправленные/APT атаки, каким образом их организуют, в чем мотивация преступников и как защититься от подобных атак.
Посмотреть запись вебинара Андрея Арефьева, менеджера по развитию продуктов InfoWatch, можно по ссылке http://www.infowatch.ru/webinar/tad
Техническая презентация решений McAfee (Intel Security) по шифрованию данных.
Рассматривается процесс развертывания и управления.
Подробно расписаны особенности и возможности актуальных версий продуктов.
Содержимое:
- номенклатура решений шифрования
- основы работы с еРО
- Drive Encryption (Win) детально
- Management of Native Encryption (Win, Mac) детально
- File & Removable Media Protection (Win)
- Источники знаний
- Советы из практики
Целевая аудитория:
Руководители ИТ/ИБ подразделений, специалисты по защите информации.
РусКрипто CTF 2010 Full Disclosure (мастер класс)Dmitry Evteev
В презентации рассмотрены следующие вопросы:
- технические и организационные подробности подготовки и проведения РусКрипто CTF 2010
- заложенные уязвимости, пути их обнаружения и эксплуатации
- хронология событий на РусКрипто CTF 2010 и не найденные игроками уязвимости
Развитие систем анализа защищенности. Взгляд в будущее!Dmitry Evteev
Системы анализа защищенности являются удобным и простым инструментом, помогающим своевременно обнаруживать уязвимости в информационных системах. Они прошли долгий путь от утилит из набора "для хакера" до систем обеспечения информационной безопасности в инфраструктуре любой сложности. Как все было на самом деле, что мы имеем сейчас и что нас ждет в будущем? Именно об этом и пойдет речь в этом выступлении.
Использование Web Application Firewall вызвано желанием снизить существующие угрозы со стороны атак, направленных на эксплуатацию уязвимостей в Web-приложениях. Однако, как и все созданное человек, WAF имеет недостатки, которые позволяют воспользоваться уязвимостями даже на самых защищенных серверах…
В презентации рассмотрены следующие вопросы:
- технические и организационные подробности подготовки и проведения РусКрипто CTF 2010
- заложенные уязвимости, пути их обнаружения и эксплуатации
- хронология событий на РусКрипто CTF 2010 и не найденные игроками уязвимости
2. Кто я?
На текущий момент –
руководитель группы этических
хакеров в Positive Technologies
Более 10 лет в сфере ИБ
Блоггер, журналюга, участник
международной движухи
Один из организаторов PHDays
MCSE Security, MCTS
…бросаюсь на людей, кормлю
троллей, владею кун-фу
3. О чем пойдет речь
Типовые сценарии успешных атак
Пост эксплуатация в сетях Microsoft
Как закрепиться в Microsoft Active Directory
4. Выбор цели(ей)
Каталог Microsoft Active Directory
• Структура леса, расположение объектов…
Участники домена
Смежные компоненты инфраструктуры
5. Сценарий 1: подбор
3. Список действующих (!) идентификаторов
1. Список идентификаторов
2. Перебор
3. Верификация доступа;
перебор действующих идентификаторов
6. Эффективность сценария по подбору
Более половины пользователей в Российских
компаниях используют цифровые пароли
http://www.ptsecurity.ru/download/PT-Metrics-Passwords-2009.pdf
Чем больше сотрудников в компании, тем выше
вероятность успешной атаки
ПРИМЕР: 1 из 100 при 1.000 = 10, а при 10.000.000 = 100.000
За последние три года (!) в ходе проведения
тестирований на проникновение не было ни одного
случая, когда не удавалось получить список всех
идентификаторов Active Directory с использованием
слабостей парольной защиты
7. В помощь атакующему
Уязвимости ПО (например, Microsoft Exchange & ISA
Server)
Уязвимости конфигураций
• SMB NUll Session Authentication
• SMB Use Host SID to Enumerate Local Users without Credentials
• SMB LsaQueryInformationPolicy Function SID Enumeration
without Credentials
http://www.rapid7.com/vulndb/lookup/cifs-nt-0001
http://metasploit.com/modules/auxiliary/scanner/smb/
8. Сценарий 2: использование бинарных уязвимостей
MS08-067, MS09-050…
• msf, immunity canvas (Agora, White Phosphorus, …)… - autopwn
Adobe CoolType, Internet Explorer «Aurora»…
• msf, immunity canvas (VulnDisco SA, …)… - browser autopwn
10. Сценарий 4: Relay-атаки
MS08-068+MS10-046 = FUN UNTIL 2018 / BeEF
http://www.room362.com/blog/2012/2/11/ms08_068-ms10_046-fun-until-2018.html
http://beefproject.com/
11. Сценарий 5: атака через смежные компоненты
[*] Exploit completed, but no session was created.
msf exploit(servicedesk_db_disclosure) > exploit
[*] Reloading module...
……
[*] ServiceDesk user accounts (algorithm - md5($pass.$salt)): (username:md5hash:salt)
administrator:341b64d880b4de17139812a227bbf58f:1231052863318
……
[*] Active Directory accounts (DOMAINUSERNAME : PASSWORD) :
TESTAdministrator : P@ssw0rd
……
[*] Exploit completed, but no session was created.
msf exploit(servicedesk_db_disclosure) > info
Name: MnageEngine ServiceDesk database/AD account disclosure
Module: exploit/multi/http/servicedesk_db_disclosure
Version: $Revision$
Platform: Windows
Privileged: Yes
License: Metasploit Framework License (BSD)
Rank: Excellent
Provided by:
PT Research Center
Yuri Goltsev <ygoltsev@ptsecurity.ru>
https://twitter.com/ygoltsev
12. Сценарий N…
Общие ресурсы (shares, sps, ftp, etc), атака на сервера
резервного копирования, атака на сервера управления
виртуальными серверами, атака через терминальные
сервера (& over сетевое оборудование), целевые атаки
на компьютеры администраторов и пользователей
домена, методы социальной инженерии…
13. Пост эксплуатация
Повышение привилегий на системе: MS10-015, MS10-
046, MS10-048, MS10-059, MS10-073, MS11-011…
Что смотреть
Plain text pwd, SAM, Password history, LSA
secrets, Credential manager, Protected
storage, Autologin, Logon sessions, Cached domain
logon, Wireless, Browsers & Other programs
Чем смотреть
Cain &
Abel, fgdump, PWDumpX, gsecdump, carrot, mimikatz, n
tds_dump_hash, passcape, lsadump...
Password hashes dump tools
Bernardo Damele A. G.
https://docs.google.com/spreadsheet/ccc?key=0Ak-
eXPencMnydGhwR1VvamhlNEljVHlJdVkxZ2RIaWc#gid=0
14. Пост эксплуатация: повышение привилегий в домене
Самый простой путь – найти администратора
домена!
http://devteev.blogspot.com/2011/03/1-microsoft.html
19. Как спрятаться в Microsoft Active Directory
Хранить идентификатор «правильного»
пользователя в одном контейнере с большим
скоплением других идентификаторов
Идентификатор «правильного» пользователя
не должен непосредственно являться членом
групп с расширенными привилегиями
Разумно не «светить» идентификатор
«правильного» пользователя даже в списках
контроля доступа у групп с расширенными
привилегиями
21. Как спрятаться в Microsoft Active Directory
Некоторые тонкости
• Объект AdminSDHolder и процесс SDPROP
http://technet.microsoft.com/en-us/query/ee361593
Практическая реализация
1. Завести неприметного пользователя;
2. Разрешить этому пользователю изменять список
участников группы «BuiltinTerminal Server License Servers»;
3. Разрешить группе «BuiltinTerminal Server License Servers»
изменять список участников объекта
CN=AdminSDHolder,CN=System,<defaultNamingContext>.
http://devteev.blogspot.com/2011/02/backdoor-active-directory.html
22. Как закрепиться в Microsoft Active Directory
Чего хочется на самом деле?
Встроенные возможности сокрытия
объектов Active Directory
«showInAdvancedViewOnly»
23. Как закрепиться в Microsoft Active Directory
Идея раз, идея два…
Администратору будет вполне комфортно
быть участником только одной группы
скопления других администраторов
Идентификатор пользователя может
содержать множество символов из таблицы
юникода (!)
26. Как закрепиться в Microsoft Active Directory
Некоторые тонкости
Практическая реализация
1. Выбрать подходящего администратора и удалить его из
одной административной группы, оставив его членство в
других группах с расширенными привилегиями;
2. Создать идентичную организационную единицу используя
символы юникода;
3. Создать идентичного пользователя используя символ
«202E» и добавить его в освободившуюся административную
группу;
4. Ограничить доступ к объекту организационной единицы.
http://devteev.blogspot.com/2012/01/backdoor-active-directory.html
27. И это все?
Исследования в этой области продолжаются
Microsoft Active Directory не единственная система
для внимания (!), есть и другие:
389 Directory Server, Apache Directory Server, Lotus
Domino, Novell eDirectory, OpenLDAP, Oracle
Directory Server, Red Hat Directory Server…
и цели могут быть гораздо шире
Identity & Access Management
А вообще…