Segurança e Arquitetura em Redes de Computadores

Transcrição

1 Segurança e Arquitetura em Redes de Computadores Prof. Lincoln Herbert Teixeira lincolnh@utfpr.edu.br 1/31

2 Tipos de Ataques Pilha TCP/IP 1- Camada Física; 2- Camada de Enlace; 3- Ataques STP e Vlans; 4- Camada de Transporte; 5- Camada de Aplicação; 2/31

3 Camada Física PROBLEMAS: Indisponibilidade de Serviços: - Corte de Cabos e Fibras; - Fontes eletromagnéticas próximo de cabos de cobres; - Alta tansão aplicadas em redes elétricas; - Interferência em redes sem fio; 3/31

4 Solução Reestruturação da Infra-estrutura: - Rede elétrica e rede de dados; - Implementar redundância; - Rede sem fio: longe de interferência eletromagnéticas e canais menos poluidos; 4/31

5 Camada de Enlace MAC Address: - MAC Spoofing (interrupção de serviços/man-inthe-middle); Tabela CAN(Content-Addessable Memory): - Overflow memória normal, tamanho limitado; Ian Vitek MACOF; - Inundação de MAC inválido p/min; Resultado: Switch = HUB Possibilitando ataque: Man-in-the-middle 5/31

6 Solução Switches Gerenciáveis: - Controlar e monitorar tráfego por porta/vlan; - Detectar uso não autorizado de ferramentas de monitoramento (snnifer); - MAC Spoofing avoid; 6/31

7 Funcionamento DHCP 7/31

8 Problemas? - DHCP Starvation (MAC falso / DHCP falso); - DHCP Offer falso antes do verdadeiro; 8/31

9 Solução - Switches inteligentes que possuam ferramentas de segurança que não permitam mais de um endereço MAC em uma porta. 9/31

10 ARP Address Resolution Protocol Protocolo simples Mapeia IP para MAC; Essencial para comunicação TCP/IP; Não possui recursos de segurança; Problemas ARP Spoofing IP ou MAC falso: - man-in-the-middle; - DOS; Soluções - IP/MAC manual (inviável em alguns casos); - Ferramentas de monitoramento / auditoria, software de inventário; 10/31

11 VLANs e STP Vlan: boa proteção na camada de Enlace; 802.1Q padrão aberto; Má configuração: - Vlan hopping: invasor tenta enviar dados para hosts que estão em outras VLANs através da alteração da tag que diz a qual VLAN pertence o dado, o que permite ao atacante criar um link em modo trunk entre ele e o switch, e dessa forma ter acesso a todos os hosts em todas as VLANs configuradas. - loops de rede; 11/31

12 STP - Spanning Tree Protocol (802.1D); - Ataque envio de broadcasts de configuração STP ou mudanças de topologia através dos BPDUs (Bridge Protocol Data Unit), forçando recálculos STP e esperando que o atacante se torne o root bridge; - 30s a 45s para reeleger root bridge DOS; Para Evitar: - Monitorar tráfego de rede; - Configurações de switch; 12/31

13 Camada de Rede - IP - Internet Protocol - ICMP - Internet Control Message Protocol; - Serviço de datagramas não confiável - melhor esforço; - Pacote sem garantias podendo chegar desordenado ou duplicado ou simplesmente perdido por inteiro; - Confiabilidade camada de transporte; -Ataques: Negação de Serviço e Invasão de Privacidade; 13/31

14 Sniffing de pacotes - Monitoramento de tráfego em redes comutadas; - Ferramentas: dsniff, tcpdump, wireshark; - Informações de camadas superiores são emcapsuladas em IP e podem ser divulgadas; - POP3, SMTP, SNMP etc. transmitem senhas em texto plano e também pode ser encontrados dados sensíveis; Soluções: - Switches gerenciáveis, VPNs criptografadas, IPSec; 14/31

15 IP Spoofing - Invasor utiliza de um endereço IP confiável (falsificado) para se comunicar com um host a fim de obter acesso não autorizado a esse host. - O atacante pode iniciar um ataque de negação de serviço através do envio de dados com o endereço IP de origem falsificado. - O receptor envia de volta respostas com grande quantidade de dados para o IP atacado, resultando em um ataque de inundação - Envio de dados utilizando endereços de vários hosts - ataque de negação de serviços distribuído DDOS; 15/31

16 Kernel contra IP Spoofing rp_filter - Para habilitar a proteção IP spoofing no Kernel para todas as interfaces: # echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter - Para habilitar apenas na interface eth0: # echo 1 > /proc/sys/net/ipv4/conf/eth0/rp_filter 16/31

17 Protocolos de Roteamento - Problemas principalmente nos roteamentos dinâmicos RIP, BGP e OSPF; - Quando estão configurados de maneira errada, podem permitir que atacantes injetem rotas falsas nas tabelas de roteamento; - Permite DOS ou captura de dados; 17/31

18 ICMP - Troca de mensagens de controle entre hosts e routers; - Mensagens de Time Exceeded ou Destination Unreachable - DOS; - Mensagens de Redirect - força redirecionamento; Desabilitar redirecionamento de mensagens: /proc/sys/net/ipv4/conf/all/accept_redirects 18/31

19 Ping - Verificar conectividade; - Ping Flooding inundação de pacotes icmp; Solução - Filtro de pacotes (firewall) que limita o numero de mensagens ICMP por um determindado tempo. - Problema: pode bloquear mensagens verdadeiras; 19/31

20 Camada de Transporte TCP threeway handshake: SYN - SYNACK ACK SYN Flood grande quantidade de SYN sem enviar ACK, alocação de recurso da máquina trava ou reinicia; LAND land.c envia pacotes com o próprio endereço do host leva p/ 100% a CPU Solução: filtro de pacote SYN / firewall pessoal; 20/31

21 TCP Man-in-the-midle: - TCP Connection Hijacking (desvio); - Assume o controle da conexão no momento do triplo handshake, ou através de estado desincronizado; - injetar pacotes forjados porém com números de sequência corretos modifica ou injeta comandos na conexão; - difícil de ser identificado; 21/31

22 UDP Protocolo simples, não orientado a conexão; UDP Flooding: - Grande quantidade de pacotes, endereçados a portas aleatórias; - Sobrecarga, falha do sistema; Solução: - filtro de pacotes; 22/31

23 TCP e UDP scan Nmap: - Descobre quais portas TCP e UDP estão abertas; Solução: - IDS Identificador de Intrusão; 23/31

24 Camada de Aplicação 24/31

25 DNS - Autoritativos: responde consulta global; - Recursivo: consulta local; Falha: - Recursivo aberto: - Cache poisoning: redireciona clientes p/ site falso; - DdoS: consulta DNS forjado; Soluções: - chroot jail; - Atualizações e correções; - TSIG DNS Transaction Signatures; - DNS validation Option/View; 25/31

26 Web Server - Vulnerabilidades de scripts, ex: CGI, PHP; - Permissão de leitura e execução no servidor; - DoS; Solução: - Patchs de segurança, sistema atualizado; - remover módulos add-on (mod_php, mod_cgi, mod_perl); - executar scripts com suexec ex: não id APACHE; - não executar servidor web como root; - monitorar modificações de arquivos; 26/31

27 Softwares em geral Exemplo CVS vulnerabilidade na porta TCP 2401; - buffer overflow; - FTP: usuários anônimos apenas leitura; - Sempre que possível utilizar conexões criptografadas (ex: ssh, IPSec, PGP); 27/31

28 Mail MTA Mail Transport Agent: - SMTP porta 25; - buffer overruns e heap overflows; - open relay: spam, lista negra, perda de banda útil; 28/31

29 SNMP Simple Network Management Protocol; Padrão de Monitoramento e Configuração; Habilitado por default em novos equipamentos; SNMP v1 e v2 método de autenticação fraco; Community, porta 161 UDP não encriptada; Solução: - Criar 2 community public(read) e private(w r); - SNMP v3 autenticação e encriptação; - Altere a community padrão; - firewall: apenas máquinas confiáveis conectar SNMP; 29/31

30 OpenSSL Várias Aplicações utilizam OpenSSL: Apache, Sendmail, LDAP, SSH, FTP; Se a versão está vulnerável, todos os sistemas também estarão. 30/31

31 Fim 31/31