Instituto de Investigaciones Científicas y Técnicas de las FF AA. Gerencia de Tecnología e Innovación Departam ento de Inform ática

Transcripción

1 Instituto de Investigaciones Científicas y Técnicas de las FF AA Gerencia de Tecnología e Innovación Departam ento de Inform ática

2 Cómo mantener una defensa informática eficaz? Ing. Carlos E. Benitez 27 de Setiembre de 2001 CONSECRI - Buenos Aires - Argentina

3 Contenido Vulnerabilidades en los Sistemas Informáticos. Descubrimiento de vulnerabilidades. Sitios donde encontrar información. Cómo verificar la Seguridad de un Sistema? Pruebas automáticas. Pruebas manuales. Instalación de Sistemas Operativos Confiables. Conclusiones.

4 Vulnerabilidades en los Sistemas Informáticos Clasificación: Utilización: Qué son las los Exploits? Vulnerabilidades? Física Port scanning. Sniffing. Área de Servidores, Control de Acceso. Teclados, disqueteras, CD-ROM. Procedimientos IP spoofing. Puntos débiles o programas dentro de un que sistema se utilizan Redes para informático explotar Cracking Segmentación. de cuya una contraseñas. existencia vulnerabilidad se debe con a el errores objeto de Firewalls. en acceder Webjacking. DMZ. la programación en forma no o en autorizada la instalación. o atacar Código un malicioso sistema (ActiveX, informático. Java). Software Denegación de servicios (DOS). Sistemas Operativos. Buffer overflow. Servicios. Ataque Aplicaciones. a DNS. Ser Ataque Humano a routers.

5 Descubrimiento de Vulnerabilidades Evolución Vulnerabilidades en descubiertas el tiempoentre el 20 al 30 de Agosto de 2001 Quiénes las descubren, analizan y publican? : Cyrus IMAP Server Potential Denial of Service Vulnerability : Gnut Gnutella Client Arbitrary Script Code Execution Vulnerability : Bugzilla describecomponents.cgi Arbitrary Bug Viewing Vulnerability Hackers : HP Process Resource Manager Environment Variable Privilege Elevation Vulnerability : HP CIFS 9000 Arbitrary Password Changing Vulnerability : Apache mod_auth_pgsql Remote SQL Query Manipulation Vulnerability : Multiple BSD Vendor lpd Buffer Overflow Vulnerability : Apache mod_auth_pgsql_sys Remote SQL Query Manipulation Vulnerability : Apache mod_auth_oracle Remote SQL Query Manipulation Vulnerability : Apache AuthPG Remote 25 SQL Query Manipulation Vulnerability : Apache mod_auth_mysql Remote SQL Query Manipulation Vulnerability : Multiple Xinetd Vulnerabilities : BugZilla Process_Bug.CGI Restricted Bug Comments Revealing Vulnerability Grupos Independientes. Organizaciones de Seguridad. 20 Empresas 15 productoras de Software : BugZilla Show_Activity.CGI Restricted Bug Comments Revealing Vulnerability : Bugzilla showattachment.cgi Arbitrary Bug Viewing Vulnerability : PHPMyExplorer Arbitrary File Disclosure Vulnerability : BugZilla ShowVotes.CGI Restricted Bug Comments Revealing Vulnerability : BugZilla ShowDependencyTree.CGI Restricted Bug Comments Revealing Vulnerability : BugZilla ShowDependencyGraph.CGI 10 Restricted Bug Comments Revealing Vulnerability : Caldera Open Unix LPSystem Buffer Overflow Vulnerability : HP-UX Line Printer Daemon Buffer Overflow Vulnerability : Lpd Remote Command Execution via DVI Printfilter Configuration Error : Netscape 6 Temp File Symbolic Link Vulnerability : Caldera Open Unix UIDAdmin Scheme Option Buffer Overflow Vulnerability : PHPProjekt Arbitrary User Modification Vulnerability : Red Hat PAM qpopper User Enumeration Vulnerability Fuente: Fuente: (1-Set-2001) (1-Set-2001) : Starfish TrueSync Desktop Password Disclosure Vulnerability : Starfish TrueSync Desktop Failure to Protect Data Vulnerability : Java Plug-In 1.4/JRE 1.3 Expired Certificate Vulnerability : BSCW Symbolic Link File Disclosure Vulnerability : Respondus for WebCT Weak Password Encryption Vulnerability : FreeBSD tcp_wrappers PARANOID Checking Bypass Vulnerability : CuteFTP Weak Password Encoding Vulnerability : UltraEdit FTP Client Weak Password Encryption Vulnerability : Cisco CBOS Multiple TCP Connection Denial of Service Vulnerability : A-V Tronics InetServ Webmail Authentication Buffer Overflow Vulnerability : WinWrapper Admin Server Arbitrary File Reading Vulnerability : Trend Micro OfficeScan Arbitrary File Disclosure Vulnerability : BadBlue Source Code Disclosure Vulnerability : Microsoft Outlook Web Access Denial of Service Vulnerability : Adobe AcroRead Insecure Default Font List Permissions Vulnerability : ICQ Forced User Addition Vulnerability Grupos de apoyo a Sistemas Abiertos. MS IIS Apache : AOLServer Long Authentication String Denial of Service Vulnerability : Microsoft Windows 2000 IrDA Buffer Overflow Denial of Service Vulnerability : FreeBSD linprocfs Privileged Process Memory Disclosure Vulnerability : BSDI Possible Local Kernel Denial of Service Vulnerability : Sage Software MAS 200 Denial of Service Vulnerability : RSA Keon Certificate Authority LDAP Denial of Service Vulnerability : Intego FileGuard Weak Password Encryption Vulnerability : TD Forum Cross-Site Scripting Vulnerability : 4D WebServer v6.5.7 Directory Traversal Vulnerability : Lotus Domino Mail Loop Denial of Service Vulnerability : Surf-Net ASP Forum Predictable Cookie ID Vulnerability

6 Sitios donde encontrar Información Organizaciones o Grupos dedicados a la Seguridad Informática: CERT SecurityFocus Securityportal SecurityTeam packet storm packetstorm.securify.com ATTRITION KRIPTÓPOLIS Hispasec

7 Sitios donde encontrar Información CERT, Computer Emergency Response Team Carnegie Mellon University. Principal Referencia. Reporte de Incidentes. Listas de Correo. Recomendaciones. Prácticas de Seguridad. Información sobre: Sistemas Operativos. Detectores de Intrusiones. Recuperación de daños. Educación.

8 Sitios donde encontrar Información SecurityFocus.com Base de datos de Vulnerabilidades. Publicación Inmediata. Búsqueda por: Empresa Nombre del producto Palabra Clave Código Información: Información Discusión Exploit Solución Créditos

9 Sitios donde encontrar Información packet storm Base de Datos de Herramientas de Seguridad. Vulnerabilidades y Exploits: Por Fecha Por Sistema Operativo Herramientas de Defensa: Por Sistema Operativo Por Tipo de Ataque. packetstorm.securify.com

10 Sitios donde encontrar Información ATTRITION.org Listado de Webjacking. Listados por: Fecha Sistema Operativo País Intruso Estadísticas por: Fecha Sistema Operativo País Intruso Reemplazado por:

11 Sitios donde encontrar Información KRIPTÓPOLIS Seguridad Informática. Noticias. Downloads. Documentación. Legislación. Cyberderechos. Equipos de Investigación. Descubrimiento de Vulnerabilidades.

12 Sitios donde encontrar Información Organizaciones o Empresas responsables de los productos: Microsoft Sun Redhat Debian Cisco

13 Microsoft Sitios donde encontrar Información Technet. Bug Track. Avisos de Seguridad. Patches en conjunto: Service Packs Security Rollof Package Herramientas para verificar Vulnerabilidades. Búsqueda de Vulnerabilidades Resumen. Datos técnicos. Versiones Afectadas. Patches Individuales.

14 Sitios donde encontrar Información Sun microsystems Patches. Documentación. Información de Seguridad. Boletines de Seguridad. Descripción. Sistemas Vulnerables. Patches. sunsolve.sun.com

15 redhat Sitios donde encontrar Información RedHat Errata: Avisos de Seguridad. Reparación de Bugs. Mejoras desde el último Release. Avisos de Seguridad: Listado de Vulnerabilidades Patches individuales.

16 debian Sitios donde encontrar Información Soporte Debian: Documentación. Información de Seguridad. Bug Track. Listas de correo. Avisos de Seguridad: Alertas. Fecha. Autor. Tema. Vulnerabilidades: Descripción. Paquetes Afectados. Patches (48 horas).

17 Cisco Sitios donde encontrar Información TAC (Technical Assistance Center). PSIRT (Product Security Incident Response Team). Avisos de Seguridad. Vulnerabilidades: Descripción. Productos Afectados. Impacto. Versiones de Software y Fixes. Exploits.

18 Cómo verificar la Seguridad de un Sistema? Pruebas automáticas: Scanners de Puertos: Nmap Superscan Password Crackers L0phtcrack John The Ripper Webcrack Scanners de Vulnerabilidades: Retina Nessus Satan Saint Pruebas manuales

19 Cómo verificar la Seguridad de un Sistema? Nmap Port scanner. Gratis y Abierto. Se ejecuta bajo Linux. Scanning altamente configurable. Identificación de Sistemas Operativos mediante Fingerprints.

20 Cómo verificar la Seguridad de un Sistema? L0phtcrack Password Crack para Windows NT/2000. Comercial. Alta velocidad. Extrae contraseñas desde: Base de datos de contraseñas (SAM). Archivos de texto. Desde la red (por sniffing).

21 Cómo verificar la Seguridad de un Sistema? Retina Scanner de Vulnerabilidades. Producto comercial. Actualizable. Se ejecuta bajo Windows NT/2000. Busca por Host o por Rango de IP s. Generador de Reportes.

22 Cómo verificar la Seguridad de un Sistema? Nessus Scanner de Vulnerabilidades. Gratis. Servidor bajo Linux. Clientes para Linux o Win32. Independencia de los puertos/servicios. Estructura modular. Actualizable fácilmente vía scripts. Seguridad por clave pública/privada.

23 Cómo verificar la Seguridad de un Sistema? Saint Scanner de Vulnerabilidades. Security Administrator's Integrated Network Tool. Versión mejorada y actualizada de SATAN (Security Administrator Tool for Analyzing Networks). Gratis. Actualizable. Se ejecuta bajo Linux. Generador de Reportes comercial.

24 Cómo verificar la Seguridad de un Sistema? Pruebas Manuales Exploits destinados a verificar una vulnerabilidad en particular Scripts. Ejecutables. Procedimientos. Ejemplo: Vulnerabilidad de Listado de Direcciones de MS Exchange 5.5 mediante OWA. 1) Send the following request: GET /exchange/root.asp?acs=anon HTTP/1.1 Host: hostname 2) Use the provided cookie to generate the following request (and those that follow): GET /exchange/logonfrm.asp HTTP/1.1 Host: hostname Cookie: ASPSESSIONIDGGQGQGFW=EABMCPIDGABPDJIKNOGBBPPN 3) Access the redirected page, and resend the issued cookie: GET /exchange/root.asp?acs=anon HTTP/1.1 Host: hostname Cookie: ASPSESSIONIDGGQGQGFW=EABMCPIDGABPDJIKNOGBBPPN 4) Issue this request to obtain a list of users with the letter 'a' in their name (e.g. Administrator) POST /exchange/finduser/fumsg.asp HTTP/1.1 Host: hostname Accept: */* Content-Type: application/x-www-form-urlencoded Content-Length: 44 Cookie: ASPSESSIONIDGGQGQGFW=EABMCPIDGABPDJIKNOGBBPPN DN=a&FN=&LN=&TL=&AN=&CP=&DP=&OF=&CY=&ST=&CO=

25 Instalación de Sistemas Operativos Confiables Clasificaciones Windows Trusted Linux NT Solaris (C2) de /2000 (EAL4 Seguridad (EAL4 = B1+) (NCSC = B1+?) - Orange Book) Control MAC Bastille D (Protección (Mandatory de Acceso mínima) Access Discrecional Control = Control de Acceso Obligatorio) Reutilización de Objetos. C (Protección Discrecional) Identificación Etiquetado Para redhat C1 de y los y Autenticación mandrake. objetos del sistema. Auditoría. (Protección de Seguridad Discrecional) Control bastille-linux.sourceforge.net Seguridad C2 (Protección de Acceso Operacional de Discrecional. Acceso Controlado) Security Privilegios. Enhanced Linux B (Protección Seguridad física. Obligatoria) RBAC Proyecto (Role-Based de la NSA. Access Control = Control de Acceso B1 (Protección de Seguridad Etiquetada) Basado Patch en del Roles) kernel de Linux. Utilitarios. B2 (Protección Estructurada) Autorizaciones. Conjunto de Scripts para asegurar (harden) una instalación. Guías para Para B3 (Dominios Asegurar redhat. de Windows Seguridad) NT/ A (Protección Verificada) Hewlett-Packard Security Systems A1 (Diseño Verificado) Compartimentalización, Integridad, Hardening, Auditoría. Basado en redhat

26 Conclusiones Instalación de Sistemas Operativos Confiables. Consulta Continua de Avisos de Seguridad. Pruebas de Seguridad Constantes. Aplicación Inmediata de Patches. Medidas Complementarias Utilización de Sistemas de Detección de Intrusiones (IDS). Utilización de Herramientas de Verificación de Integridad (Tripwire). Registro Actualizdo de Servicios y Aplicaciones. Configuración correcta y revisión de Información de Auditoría (logs). Capacitación. Personal de Sistemas. Usuarios.

27 Instituto de Investigaciones Científicas y Técnicas de las FF AA Muchas gracias por participar... cbenitez@citefa.gov.ar