Typer datamaskinangrep og inntrengere og hvordan de kan oppdages

Som vi alle vet er vi i en verden omgitt av informasjon som hver dag krever bedre sikkerhetsnivåer, vi Som administratorer og IT -hoder er vi direkte ansvarlige for å gi sikkerhet slik at dataene i organisasjonen vår, eller vår, er sikre.

Kanskje informasjonen vår ikke er så verdifull eller så viktig hvis den går tapt eller blir stjålet, men vi kan ha helt spesiell informasjon, for eksempel bankkontoer, kontoutskrifter, personlig informasjon, etc., som må forbli "trygge" i systemene våre, og vi kan ikke benekter at hacking i dag har blitt veldig annerledes enn det var før, i dag er det flere angrepsmekanismer og forskjellige teknikker for slik aktivitet.

Denne gangen vil vi snakke om inntrengere, vi vil analysere noen av måtene hackere kan få tilgang til informasjon ved å dra nytte av sårbarheter som kan eksistere.

Vi forstår det uautorisert tilgang til systemet utgjør et alvorlig sikkerhetsproblem Siden denne personen eller programvaren kan hente ut verdifull informasjon fra databasen vår og senere skade organisasjonen på forskjellige måter, kan vi tenke at det er en orm, en trojan eller generelt sett av en programvare som kan komme inn uten autorisasjon. virus.

Vi skal fokusere på disse områdene nedenfor:

• 1. Typer av inntrengere
• 2. Innbruddsteknikker
• 3. Innbruddsdeteksjon
• 4. Typer angrep

1. Typer av inntrengere

Vi kan identifisere tre (3) typer inntrengere:

SvindelbrukerDet refererer til en bruker som ulovlig får tilgang til organisasjonens ressurser eller som, med tillatelsene, misbruker tilgjengelig informasjon.

EtterlignerDet er en person som ikke har noe å gjøre med lovlig tilgang i organisasjonen, men som klarer å nå nivået med å ta identiteten til en legitim bruker for å få tilgang til og gjøre skaden.

Clandestine brukerDet er en person som kan ta kontroll over revisjonen av organisasjonens system.

Vanligvis er imitatoren en ekstern person, den uredelige brukeren er intern og den hemmelige brukeren kan være ekstern eller intern. Innbruddsangrep, uansett type, kan klassifiseres som alvorlige eller godartede, i godartede får de bare tilgang til å se hva som er på nettverket, mens i de alvorlige kan informasjonen bli stjålet og / eller modifisert i nettverket selv.

2. Innbruddsteknikker

Som vi vet, er den vanlige måten å få tilgang til et system gjennom passord, og dette er hva inntrengeren tar sikte på, å skaffe passord ved hjelp av forskjellige teknikker for å nå målet om å krenke tilganger og skaffe informasjon. Det anbefales at passordfilen vår er beskyttet med en av følgende metoder:

EnveiskrypteringDette alternativet lagrer bare en kryptert form for brukerens passord, så når brukeren skriver inn passordet, krypterer systemet det og sammenligner det med verdien det har lagret, og hvis det er identisk, gir det tilgang, ellers nekter det det.

AdgangskontrollMed denne metoden er passordtilgangen svært begrenset, bare til en eller noen få kontoer.

De metoder som vanligvis brukes av hackere, ifølge noen analyser er de:

• Test ordbøker eller lister over mulige passord som er tilgjengelige på hackersider

• Prøver med brukernes telefonnumre eller identifikasjonsdokumenter

• Testing med skiltnummer

• Skaff personlig informasjon fra blant annet brukere

3. Innbruddsdeteksjon

Som administratorer må vi analysere mulige sårbarheter som systemet vårt har for å unngå hodepine i fremtiden, vi kan analysere disse feilene med følgende konsepter:

• Hvis vi studerer hvordan en inntrenger kan angripe, vil denne informasjonen hjelpe oss med å styrke forebygging av inntrengning i systemet vårt

• Hvis vi oppdager den påtrengende brukeren raskt, kan vi forhindre denne personen i å gjøre sitt i systemet vårt og dermed unngå skader.

Som administratorer kan vi analysere oppførselen til brukerne i organisasjonen vår og med mye analyse oppdage om de presenterer merkelig oppførsel, for eksempel tilgang via intranettet til datamaskiner eller mapper som ikke skal åpnes, modifisering av filer, etc. Et av verktøyene som vil hjelpe oss mye i analysen av inntrengere er revisjonsloggen siden den lar oss holde oversikt over aktivitetene som utføres av brukere.

Vi kan bruke to (2) typer revisjonsplaner:

Spesifikke revisjonslogger for oppdagelseVi kan implementere slike logger slik at den bare viser oss informasjonen som kreves av inntrengingsdeteksjonssystemet.

Innfødte revisjonsloggerDet er verktøyet som kommer som standard i operativsystemer og lagrer all brukeraktivitet, for eksempel Microsoft Windows event viewer.

Vi kan oppdage avvik basert på profiler, det vil si på brukerens oppførsel, for dette kan vi bruke følgende variabler:

• Disk: Det er en verdi som kan økes, men ikke reduseres før den er initiert av en handling

• Kaliber: Det er et tall som kan øke eller redusere, og måler nåværende verdi av en enhet

• Tidsintervall: Refererer til tidsperioden mellom to hendelser

• Bruk av ressurser: Det innebærer mengden ressurser som forbrukes på en bestemt tid

Det er en annen type deteksjon, og det er den som er basert på regler, disse oppdager inntrenging basert på hendelsene som skjer i systemet og bruker en rekke definerte regler for å identifisere om aktiviteten er mistenkelig eller ikke.

Noen av eksemplene på disse reglene er:

En av de interessante teknikkene for å få oppmerksomhet fra inntrengere er å bruke honninggryter, som ganske enkelt er sikkerhetsverktøy der det opprettes systemer som ser ut til å være sårbare eller svake og der det er falsk informasjon, men med et hyggelig utseende for inntrengeren, åpenbart har en honningkrukke ikke eller vil ikke ha tilgang til en legitim bruker av organisasjonen.

Hva sikkerhetstiltak for å forhindre inntrengerangrep Uten tvil er det riktig håndtering av passord, vi vet at et passord tillater:

• Gi eller ikke tilgang til en bruker til systemet

• Oppgi rettighetene som er tilordnet brukeren

• Tilby sikkerhetspolicyer i selskapet

I en studie utført av en organisasjon i USA, basert på tre (3) millioner kontoer, ble det konkludert med at brukerne regelmessig bruker følgende parametere for passordene sine (som ikke er sikre i det hele tatt):

• Brukernavn

• Identifikasjonsnumre

• Vanlige navn

• Stedsnavn

• Ordbok

• Maskinnavn

Det er viktig at vi i vår rolle som administratorer, koordinatorer eller IT -ledere utdanner brukerne av organisasjonen vår slik at de vet hvordan sette et sterkt passord, kan vi bruke følgende metoder:

• Reaktiv passordkontroll

• Proaktiv passordkontroll

• Utdannelse av brukerne våre

• Datamaskingenererte passord

Som vi kan se, mellom oss alle (administratorer og brukere) kan vi håndtere enhver aktivitet fra inntrengere.

4. Typer angrep

Deretter vil vi gjennomgå noen av de typer angrep som kan utføres i de forskjellige systemene, vi skal utføre denne analysen med en etisk hacker -tilnærming.

Kapring
Denne typen angrep består av å ta en del av en enhet for å kommunisere med en annen enhet, det er to (2) typer kapring:

• Aktiv: Det er når en del av verten blir tatt og brukt til å kompromittere målet

• passiv: Skjer når en del av enheten er beslaglagt og all trafikk mellom de to enhetene registreres

Vi har verktøy for kapring fra sider som:

• IP-Watcher

¿Hvordan vi kan beskytte oss mot kapring? Vi kan bruke en av følgende metoder avhengig av protokollen eller funksjonen, for eksempel:

• FTP: La oss bruke sFTP

• Ekstern tilkobling: La oss bruke VPN

• HTTP: La oss bruke HTTPS

• Telnet eller rlogin: la oss bruke OpenSSH eller SSH

• IP: La oss bruke IPsec

Angrep på en webserver
De vanligste serverne for å implementere webtjenester har vi Apache og IIS. Inntrengere eller hackere som har tenkt å angripe disse serverne må ha kunnskap om minst tre (3) programmeringsspråk som HTML, ASP og PHP. Til ta vare på våre webservere vi kan bruke verktøy, kalt Brute Force Attack, for eksempel følgende:

• Brutus for Windows

• Hydra for Linux

• NIX for Linux

De de vanligste angrepene finner vi på webservernivå er som følger:

• ScriptAttack

• Passord i samme kode

• Sårbarheter i webapplikasjoner

• Validering av brukernavn

Som administratorer kan vi implementere følgende praksis:

• Installer og / eller oppdater antivirusprogrammet

• Bruk komplekse passord

• Endre standardkontoer

• Slett testkoder

• Oppdater system og service pack

• Konstant administrere og overvåke systemlogger

Vi kan bruke Acunetix -verktøyet som lar oss kontrollere om nettstedet vårt er sårbart for angrep, vi kan laste det ned fra lenken.

Bakdører og trojanere
Mange av trojanerne kjøres i testmodus for å bekrefte organisasjonens respons på et mulig angrep, men ikke 100% er fra interne tester, men ved andre anledninger er de med ondsinnet hensikt av en inntrenger.

Noen av de vanligste trojanerne er:

• Netbus

• Prorat

• Paradis

• Duckfix

• Netcat

Til forhindre trojanske angrep Det er viktig at vi som administratorer utfører noen oppgaver som:

• Installer og oppdater et antivirusprogram

• Kjør og aktiver brannmuren

• Bruk en trojansk skanner

• Oppdater systemoppdateringer

Angrep på trådløse nettverk
Våre trådløse nettverk kan være utsatt for angrep av en inntrenger, vi vet at moderne teknologi for trådløse nettverk er 802.11a, 802.11b, 802.11n og 802.11g, disse er basert på frekvensen.

Til forhindre angrep på våre trådløse nettverk vi kan utføre følgende oppgaver:

• Unngå å bruke tom SSID

• Unngå å bruke standard SSID

• Bruk IPsec for å forbedre sikkerheten i vår IPS

• Utfør MAC -filtre for å unngå unødvendige adresser

Noen verktøy som brukes til å utføre trådløs hacking er:

• Kismet

• GPSMap

• NetStumbler

• AirSnort

• DStumbler

Selv om vi i vårt selskap ikke bruker trådløse nettverk kontinuerlig, er det godt å implementere sikkerhetspolitikk for å forhindre angrep for dem ville det være ideelt å gjøre følgende (hvis du bare bruker trådløs):

• Deaktiver DHCP

• Oppdater fastvare

• Bruk WPA2 og høyere sikkerhet

• I tilfelle ekstern tilkobling, bruk VPN

Denial of service (DoS) -angrep
Hovedmålet med denne typen angrep er å påvirke alle tjenestene til systemet vårt, enten ved å stoppe dem, mette dem, eliminere dem, etc.

Vi kan forhindre et DoS -angrep ved å bruke følgende aktiviteter:

• Bruk tjenestene vi virkelig trenger

• Deaktiver ICMP -respons på brannmur

• Oppdater operativsystemet

• Oppdater brannmuren vår med alternativet DoS -angrep

Noen verktøy som vi kan finne i nettverket for DoS -angrep er:

• FSM FSMax

• Noen problemer

• Støt 2

• Sprengning20

• Panther2

• Crazy Pinger, etc.

Password Cracking Tools
Et annet av de vanlige angrepene vi kan lide i våre organisasjoner er angrepet på passord, som vi allerede nevnte, noen ganger er de etablerte passordene ikke sterke nok, og derfor er vi utsatt for at en inntrenger stjeler passordet vårt og har tilgang til systemet vårt. Vi vet at sikkerheten til passordene våre er basert på:

• Godkjenning: Autoriserer tilgang til systemet eller selskapets applikasjoner

• Autorisasjon: Hvis det angitte passordet er riktig, vil systemet validere det og godkjenne oppføringen

Typer av de vanligste angrepene finner vi for å stjele passordene våre er:

OrdbokangrepDe er lister over etablerte ord som er synkronisert og det valideres hvis passordet vårt er inkludert der.

Brutalt styrkeangrepDet er et av de mest effektive angrepene siden det inneholder bokstaver, tall og spesialtegn, og de danner kombinasjoner til de finner riktig nøkkel

HybridangrepDet er en kombinasjon av de to (2) ovenfor.

Noen verktøy for hacking av passord er:

• Pwdump3

• John ripper

• Boson GetPass

• Elcomsoft

Husk at hvis passordet vårt eller det til en bruker i organisasjonen blir oppdaget av en inntrenger, kan vi få alvorlige problemer, så det er viktig husk at de fleste inkluderer følgende betingelser for passordene våre:

• Små bokstaver

• Store bokstaver

• Spesielle karakterer

• Tall

• Komplekse ord

Vi anbefaler å gå gjennom denne opplæringen for å ha helt sterke passord.

Vi kan oppdage om vi er ofre for passordsprekk sjekke systemlogger, konstant overvåke nettverkstrafikk, etc. På sektionsverktøyet kan vi finne forskjellige verktøy som hjelper oss med arbeidet med å overvåke nettverket og dets mulige angrep, invitasjonen er å kjenne det og utføre tester.

En annen side vi kan besøke er foundstone som tilhører McAffe og inneholder en interessant gruppe nyttige verktøy.

Forfalskning
I denne typen vil angriperen etterligne en annen enhet, for dette vil han forfalske dataene som sendes i kommunikasjonen. Denne typen angrep kan forekomme i forskjellige protokoller, vi har IP -spoofing, ARP -spoofing, DNS -spoofing, DHCP -spoofing, etc.

Her er det noe vanlige angrep:

• Ikke - blind spoofing

• Blind spoofing

• Mannen i midten

• Denial of service (DOS)

• Porttyv

Noen mottiltak vi kan ta:

• Bruk kryptering og autentisering

• Bruk input og output filtrering på ruteren

Kodeinjeksjon
Den er basert på utnyttelse av en feil forårsaket av behandling av ugyldige data. Den brukes av en angriper for å sette inn eller injisere kode i et sårbart dataprogram og endre utførelsesforløpet. En vellykket injeksjon kan ha katastrofale konsekvenser.

Noen plasser hvor vi kan sette sammen et injeksjonsangrep:

• SQL

• LDAP

• XPath

• NoSQL -forespørsler

• HTML

• Skall

Noen tiltak vi kan ta når vi planlegger:

• Filtrer oppføringene

• Parameteriser SQL -setninger

• Escape -variabler

Som vi kan se, har vi mange alternativer for å motvirke mulige angrep på vår organisasjon av inntrengere, det er opp til vår oppgave (hvis det er tilfelle) å gjøre en detaljert analyse og iverksette tiltak på disse spørsmålene.

Som vi nevnte før, og heldigvis vil det ikke alltid være en hacker eller inntrenger som er interessert i å trenge inn i systemet vårt og stjele informasjon, men vi vet aldri i fremtiden hvor organisasjonen eller oss selv vil være.