Manual de Usuario de Bellator

Transcripción

1 Manual de Usuari de Bellatr 1 INTRODUCCIÓN. Bellatr es un prgrama para la auditría de sistemas en función de unas plantillas predeterminadas de seguridad. Pr l tant el bjet de Bellatr es cmprbar si están aplicads ls parámetrs de dichas plantillas y revisar el estad su implantación. Se puede utilizar Bellatr para auditar un sistema después de la aplicación de la cnfiguración de seguridad sbre el mism de frma periódica para saber el nivel de cumplimient de la cnfiguración segura y cncer si ha habid cambis, n declarads, sbre el sistema. Las plantillas que utiliza sn de ds tips: Plítica Lcal de Seguridad, cuya extensión es INF. Plantillas Administrativas de Seguridad (dentr de la Directiva de Equip Lcal, tant la cnfiguración del Equip cm la cnfiguración de Usuari). Extensión POL. La plantilla de la Plítica Lcal de Seguridad se puede btener de ds frmas: A través de Micrsft, gracias a sus guías de cnfiguración segura, se pueden descargar las plantillas (INF) que se quiera cmprbar. Exprtándlas de un sistema previamente cnfigurad de frma segura (Secedit /exprt /cfg [nmbre_del_ficher.inf]), de esta frma se pdría cmprbar de frma periódica cualquier cambi en la cnfiguración inicial. Las Plantillas Administrativas de Seguridad se pdrán btener de la carpeta Grup Plicy de un sistema cnfigurad de frma segura. Además de la infrmación relativa a las plantillas expuestas cn anteriridad, el prgrama presenta tra serie de dats de interés, cm sn, usuaris, grups, sistema perativ, Service Pack, particines, tamañ del disc y espaci libre y memria RAM. También se ha incluid una pción para la revisión de htfix (KBXXXXXX) del sistema, tra, que permite realizar y cmparar claves hash de una lista persnalizable de fichers, para cmprbar su integridad. Así cm pcines

2 para integrar ls resultads cn la aplicación de auditría Babel Enterprise y el sftware SIEM, ArcSight. 2 MANUAL DE AUDITORÍA 2.1 Requisits Para que Bellatr pere crrectamente debe ser ejecutad baj permiss de administración. Además, para la parte de auditría debe tener acces al registr. Cm entrada se requieren las plantillas (INF y POL) que se han descrit anterirmente. Se pueden renmbrar ls fichers cm se muestra a cntinuación n será necesari indicar el nmbre de ls misms: template.inf. Crrespndiente a la plantilla de la Plítica Lcal de Seguridad. RegistryM.pl y RegistryU.pl según crrespnda a las plantillas administrativas de cnfiguración del equip de usuari. 2.2 Opcines En la última versión se prprcinan varias pcines, que serán enviadas pr línea de cmands. A saber. Especificación de las ubicacines de las plantillas: -Template [Ficher.inf] GrupUser [registry.pl de Usuari] GrupMachine [Registry.pl de Máquina] En cas cntrari buscará ls fichers cn ls nmbre pr defect del prgrama (template.inf, RegistryU.pl y RegistryM.pl). Ls infrmes pueden ser enviads vía FTP a un servidr, utilizand las siguientes pcines: -FTP [IP_Servidr_FTP] -User [Usuari_FTP] -Pass [Passwrd_FTP] Cm el prgrama necesita guardar (escribir) sbra la carpeta dnde va a cpiar ls infrmes, requiere ls permiss necesaris de escritura para el usuari prprcinad. También puede enviar ls infrmes a un recurs cmpartid. Esta pción es válida para equips en dmini, prque la autenticación es transparente para el prgrama: -Share [IP_Servidr] -Resurce [Recurs_Cmpartid]

3 Se puede extender el frmat de ls nmbres de ls infrmes, para realizar varis análisis en un mism día, añadiend al nmbre, la hra de realización de la auditría: -Extend Si se desea un md similar a silencis quiet, dnde n aparezcan mensajes y n sea necesaria la intervención del usuari, existe la pción: -NMessage Además, si se desea btener un infrme más detallad (AllResult.txt), si n se btendrá el infrme de resultads únicamente: -Detail Se ha añadid un cheque de parches (htfix) de Micrsft. Para ell se necesita un ficher cm plantilla (cn ls KBs de ls prducts Micrsft) y activar la pción: Para cifrar ls infrmes de resultads: -SecureMde -Public [Clave_Publica]. Se requiere la clave pública para cifrar ls infrmes de resultads. Opción para generar el par de claves pública y privada para el cifrad de infrmes de resultads. -KeyGen La pción para descifrar ls infrmes de resultads generads cn la pción SecureMde -Decrypt [Infrme_Resultads] -Private [Clave_Privada]. Se requiere la clave privada para descifrar ls infrmes de resultads. Para crea resultads para que sea integrad cn Babel Entreprise: -babelfrmat Para crea infrmes para que sea integrad cn ArcSight: -ArcSight Y cm n, una pción de ayuda: -Help? Pr últim, cmentar que Bellatr ha sid testad en clientes independientes y clientes de dmini en sistemas Windws 2000 Server/Prfessinal (inglés y españl), Windws XP Prfessinal (inglés y españl), Windws 2003 (inglés y españl), Windws 7 (inglés y españl) y Windws 2008 (inglés y españl). 2.3 Ejecución Llegads a este punt, sól falta ejecutar bellatr.exe. Bellatr preguntará si se desea btener un infrme cn el detalle de ls dats btenids, además del infrme de resultads que se prprcina en cualquier cas.

4 Bellatr ntifica al usuari de la finalización crrecta del prgrama, así cm la denminación de ls infrmes (que crrespnderá al nmbre de máquina y la fecha de la ejecución). 2.4 Estructura plantillas Directivas Lcales de Seguridad La plantilla de seguridad debe tener un frmat determinad, agrupand cada módul de auditría pr unas determinadas etiquetas (ej. [Applicatin Lg]): [Event Audit] AuditSystemEvents = 3 AuditLgnEvents = 3 AuditObjectAccess = 3 AuditPrivilegeUse = 2 AuditPlicyChange = 1 [Service General Setting] Alerter,4,"D:AR(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;I U)(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCLCSWLOCRRC;;;AU)S:(AU;FA;CCDCLCSWRP WPDTLOCRSDRCWDWO;;;WD)" CiSvc,4,"D:AR(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU) (A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCLCSWLOCRRC;;;AU)S:(AU;FA;CCDCLCSWRPW PDTLOCRSDRCWDWO;;;WD)" Se enumeran a cntinuación: [System Lg], [Security Lg], [Applicatin Lg]: Event del sistema, seguridad y aplicación (Visr de sucess).

5 [Event Audit]: Directiva de auditría [Service General Setting]: Permiss sbre servicis del sistema

6 [Privilege Rights]: Asignación de derechs de usuari [Registry Keys]: Permiss sbre claves del registr del sistema

7 [File Security]: Permiss sbre fichers del sistema [Registry Values]: Valres de claves del registr del sistema. Cubre diferentes parte de la guía de cnfiguración, entre trs l relativ a Opcines de Seguridad.

8 Bellatr n cubre l relativ a Directivas de Cuentas [System Access], que se tendrá que hacer manualmente pr el mment. Bellatr se puede ejecutar, también, a través de las alternativas presentadas en el punt pcines.

9 Ejempl de cmand: Además, se puede ejecutar a través del Prgramadr de Tareas de Windws, trabajs prgramads cn la frecuencia que se cnsidere y enviar ls infrme de resultads dnde se requieran y así facilitar la tarea de cntrl de la seguridad sbre ls sistemas.

10 2.5 Estructura de las Plantillas Administrativas de Seguridad Ls fichers RegistryM.pl y RegistryU.pl, deben cumplir el frmat ABNF ( A4F81802D92C/%5BMS-GPREG%5D.pdf). N debe ser mdificad cn un editr de text al us puest que está en hexadecimal y puede intrducir caracteres errónes. 2.6 Resultads Ls resultads presentan las siguientes psibilidades: En cas de cincidir el resultad sería psitiv y pr tant n aparece en el infrme de resultads. En cas de n cincidir se muestra en el infrme y se cnsideran, en función del mtiv de la divergencia, de ds frmas diferentes: Cnsiderarse cm resultad negativ y pr tant se catalgaría cm resultad INCORRECT, ERROR des nt cincide. Cnsiderarse cm resultad psitiv per cn alguna mdificación menr, a nuestr juici, que n afecta a la seguridad del parámetr/equip. Se presenta cm CORRECT but Ejempl: CORRECT PERMISSION althugh sme flags d nt match with "C:\Prgram Files\Windws Media Player" En este cas, la plantilla especifica ls siguientes permiss: D:PAR(A;OICI;FA;;;BA)(A;OICI;0x1200a9;;;BU)(A;OICI;F A;;;SY) Y en la máquina: D:PAR(A;;FA;;;BA)(A;;0x1200a9;;;BU)(A;;FA;;;SY) Cm se puede apreciar, n cincide el ACE flag que hace referencia a la herencia del ficher. Pr tant, se avisa de que hay alg incrrect aunque según nuestr criteri, ls suficientemente lax cm para darl pr crrect. En cualquier cas, se ntifica, precisamente para dejar en mans del usuari la decisión final. 2.7 Descarga Se puede descargar en: Pr últim, se puede presentar un resultad cn advertencia de que se debe realizar una cmprbación manual del parámetr. Es debid a que en raras casines, ls valres n sn tratads crrectamente.

11 3 OTRAS APLICACIONES Aunque ya se han mstrad en el apartad pcines, se pasa a detallar para una mejr cmprensión. 3.1 Cmprbación Htfix Esta pción requiere de un ficher cn el listad de htfix que se quiere cmprbar que están instalads en el sistema. El frmat del listad será el siguiente: KB KB KB Bellatr cmprbará que están ls parches en el sistema y generará un infrme cn aquells htfix que n haya encntrad cn el siguiente cmand: bellatr.exe -Htfix Htfix_nmbreEquip_fecha.txt 3.2 Cmprbación Integridad Esta funcinalidad permite cmprbar si un ficher ha sid mdificad. Para ell sea de generar un ficher cn ls hashes de ls fichers a prteger. O bien a través de un listad de fichers bien indicand el ls directris elegids. Bellatr.exe MakeHash 512 Directry C:\ En este cas generaría un ficher cn tds ls hashes de ls archivs lcalizads en C. El infrme que genera la pción anterir, servirá para realizar la cmprbación. Bellatr.exe CmpareHash infrme.txt El resultad será un listad cn tds ls fichers que han sid mdificads y cn el nuev hash. 3.3 Cifrar Infrme de Resultads Para cifrar ls infrmes de resultads previamente se han de generar las claves pública y privada basadas en RSA 2048 bits.

12 Una vez generadas las claves se puede auditar el sistema y cifrará ls resultads. Este md paranóic impide que nadie pueda extraer infrmación simplemente manipularla. Inclus tmará el hash de ls fichers de entrada (template.inf y RegistryM.pl y RegistryU.pl) cn bjet de cncer si han sid variads ls parámetrs de entrada. bellatr.exe -SecureMde -Public Bellatr_Key.public Cm resultad se btendrá el ficher de auditría cifrad, del tip: nmbremaquina_fecha.txt.encrypt Y para descifrar ejecutar el siguiente cmand: bellatr.exe -Decrypt nmbremaquina_fecha.txt.encrypt -Pr ivate Bellatr_Key.private Se intrduce la passwrd y descifrará el infrme de resultads. 3.4 Integración Babel Enterprise Babel es una aplicación para auditrías del sistema. Esta pción sirve ls resultads para que ls pueda interpretar Babel. bellatr.exe -babelfrmat 3.5 Integración ArcSight ArcSight es una aplicación SIEM que recgida, tratamient y crrelación de events. En este cas, Bellatr presenta en un infrme ls resultads para que puedan ser tratads pr ArcSight. En este cas se necesita de una cnfiguración previa pr parte de la aplicación. bellatr.exe -ArcSight

13 4 COLABORACIONES Bellatr es un pryect iniciad hace tiemp y resultad del esfuerz de su autr per en el cual, han cntribuid en diversas facetas, persnas a la cuales quier agradecer su apy altruista al pryect. Ells sn: Manuel Rdríguez. El cual se ha encargad de crdinar las pruebas de Bellatr sbre diverss sistemas y en diverss entrns para la depuración de errres. Serg pr sus aprtacines y representación cmercial de Bellatr. ArticaST (especialmente a Darí) pr su inestimable clabración y paciencia para lgrar la integración cn Babel. Ángel Merin pr su ayuda cn el apasinante mund de ArcSight. Yag pr su inestimable ayuda, sbre td a la hra de cmenzar a lidiar cn éste mrlac que es la prgramación en Windws. Y algún que tr cmpañer/amig/clega pr la aprtación de sus ideas y alg más ;). 5 CONTACTO Para cualquier sugerencia, errr, crítica (cnstructiva) simplemente cnsulta sbre Bellatr, se pueden dirigir a rramsg@gmail.cm. Muchas gracias. Ricard.