- Kereskedelmiforgalomban l elérhet alkalmazások. -A jöv.

Méret: px

Mutatás kezdődik a ... oldaltól:

Download "- Kereskedelmiforgalomban l elérhet alkalmazások. -A jöv."

Hunor Boros
8 évvel ezelőtt
Látták:

1 Honeypotok & Honeynetek Dr. Unicsovics György HTE el adás, Budapest november 3.

2 Áttekintés: - Mi is az a Honeypot és a Honeynet? - Kereskedelmiforgalomban l elérhet alkalmazások. l k - Honeypotok és az igazságügyi vizsgálatok. -Honeypotok detektálása. -A jöv.

3 Mi a Honeypots? A honeypot egy IT eszköz, melynek els dleges értéke a törvény és más felhasználói jogok által nem engedélyezett rendszerhozzáférések megakadályozásában található. - Nincs produktív értéke; minden ami ki /be érkezika honeypotba az egy próba és a támadások kisz résére, kompromittálására szolgál; - Támadások monitorozására, detektálására és elemzésére használatos; - Nem old meg speciális problémákat, flexibilis eszköz, amely együttm ködik különböz biztonsági alkalmazásokkal.

rendszerhozzáférések megakadályozásában található.

4 Miért Honeypots? Mert ez egy nagyszer eszköz az IT szakemberek és magának az IT világ számára. biztonsági Honeypots: - Beépített anti-virus aláírások. - Beépített SPAM aláírások és filterek. - ISP-ka kompromittálódott megállapítására. -Kell segítség az igazságügyi szakért k részére. -Botnetek vadászata. -Malware gy jtés és elemzés.

biztonsági Honeypots: - Beépített anti-virus aláírások.

5 A probléma! Az Internet és az IT hálózatokbiztonsága komplex és bonyolult kérdés - Naponta új támadási formák; - Az IT hálózatok statikus célpontot jelentenek; -Mit tehetünk? Minél jobban megismerjük ellenségeinket, annál jobban építhetjük ki védelmi rendszerünket!!! - Hamis célpontok alkalmazása?

Naponta új támadási formák; - Az IT hálózatok statikus célpontot

6 A Honeypotok osztályozása: Interakció szintje alapján: - Magas; - Alacsony; - Közepes? Megvalósítás alapján: - Virtuális; - fizikai; Célok alapján: - Termék; - Forrás.

7 Kereskedelmi forgalomban hozzáférhet Honeypotok: Alacsony interakció BackOfficer DTK HOACD Honeynets Magas interakció

8 Mi a Honeynet? Magas interakciójú Honeypot oneypot: - Mélységi információk gy jtésére szolgál; - figyeli, ki mikor és hogyan akar a rendszer felhasználójává válni a rendszergazdák engedélye nélkül. - Ezarchitektúra!!! -nem egy termék vagy egy szoftver. -Él rendszerre települ; - Kinézhet, úgy mint egy aktuális termék.

- figyeli, ki mikor és hogyan akar a rendszer felhasználójává válni a

9 Mi a különbség a Honeypot és a között Honeynet? Honeypot sérülékenységek felderítésére. - Egyszer konfigurácó, speciális szoftverrel, vagy emulációval; l - ki, mikor és hogyan támadja a rendszerünket; Honeynet céljából a hálózat megnyitása támadások indikálása - Rendszer szoftverrel együtt, alapértelmezésben telepítve; -T zfal mögött; - Jbbh Jobb haa honeynet megy tönkre, mint az él rendszer.

rendszerünket; Honeynet céljából a hálózat megnyitása támadások indikálása - Rendszer szoftverrel

10 Hogy m ködik? Szigorúan ellen rzött hálózat, ahol minden egyes csomag független l annak irányától, vizsgálatra kerül; Ellen rzés; Elfogás; Elemzés; Minden csomag amely Honeynetet, természeténél gyanusnak tekintend ; érinti a fogva

11 Honeynet diagramm

12 Honeynet diagramm

13 Honeypot és az igazságügyivizsgálatok g gy g Azt igazságügyi szakért k bíróság el tt megálló bizonyítékokat keresnek......, ilyenek a különböz számítógépes rendszerekb l kinyert adatok (azonosítók, dokumentumok és a meta adatok, stb.); Ahoneypot technológia legbonyolultabb része, ez sokszor több mint tudományos próba; Jegyezzük meg! Mindig tartsuk evidenciában a vonatkozó jogszabályokat amikor Honeypotot telepítünk; Engedély nélküli felhasználás; B nözés el segítése; Magántulajdon és az adatvédelmi törvény megsértése.

); Ahoneypot technológia legbonyolultabb része, ez sokszor több mint tudományos próba; Jegyezzük meg!

14 Honeypot és az igazságügyivizsgálatok g gy g folyt. Világos és jól behatárolt bhtá metódus avizsgálatok során; - Eredeti bizonyítékok minden változtatás nélkül (lehet leg elfedve minden adatszerzésre irányuló tevékenységünket!) - A megszerzett adatok integritásának ellen rzése; - Az elemzés értékelés végrehajtása dokumentum módosítása nélkül; az eredeti Minden vizsgálat kulcsa: - alternatív dokumentációk készítése (fotók, jelentések).

(lehet leg elfedve minden adatszerzésre irányuló tevékenységünket!

15 Honeypot és az igazságügyivizsgálatok g gy g folyt. (eltün és maradandó információk) Eltün információk: RAM-ban tárolt infók (futó alkalmazások, memória tartalmak, nyitott fájlok, hálózati kapcsolatok, jelszavak, stb.) elt nnek amikor a gép kikapcsolásra kerül; Maradandó információk:a számítógép kikapcsolása után is megmaradó információk iók(hdd tárolt adatok); dtk) A lényeges kérdés: Mi a hl helyzet az eltün lü információkkal iókk az igazságügyi vizsgálatok során?

nyitott fájlok, hálózati kapcsolatok, jelszavak, stb.

16 Honeypot és az igazságügyivizsgálatok g gy g folyt. (eszközök az eltün információk kinyerésére) Biztonságos média felhasználása (hordozható eszközök) a bizonyítékok begy jtése során; Unix/Linux: -ps, netstat, ifconfig, date, grep, last, cat, ls, lsof, mount, dd, fdisk, ds, Microsoft Windows: - netstat, ipconfig, VICE, diskmon, filemon, handle, listdlls, process explorer, pstools, regmon, tcpview, tdimon, tokenmon, livekd, dir, Soha ne tároljuk a kinyert rendszerünkön!!!! információkat a lokális

során; Unix/Linux: -ps, netstat, ifconfig, date, grep, last, cat, ls, lsof, mount, dd, fdisk, ds, Microsoft Windows: -

17 Honeypotok detektálása - Technicai tulajdonságok Válaszid, banners, registry bejegyzések, inkonzisztens paraméterek; - Social tulajdonságok, felhasználói interakció Nem tipikus (pl. nincs új file a rendszerben heteken keresztül ); - Network sniffing Csomagok ki/be a rendszerben (a szimatolás végrehajtását a hálózat egy másik rendszeréb l tegyük); - Nyomok keresése a Vmware-ben A Vmware detektálható; népszer alap, bár lokálisan könnyen

nincs új file a rendszerben heteken keresztül ); - Network sniffing Csomagok ki/be a rendszerben (a

18 Honeypotok detektálása folyt. - Honeypot eszközök ök nomainakkeresése nyomainak keresése: Temp mappák, kernel dumps, backdoors (sebek etc.) -History analízise Nem csak a rossz fiúk követnek k el hibákat -AA Honeypotnak magának a sérülékenysége é é (alacsony, vagy közepes interakciójú honeypot esetén) - KREATIVITÁS!!!

19 Honeypotok jöv je j -Honeytokens; -Wireless honeypots; -SPAM honeypots; -Honeypot farms; -Search-engine engine honeypots.

20 Honeypotok jöv je j -Új honeypot detektálási technológiák; -Automatizált honeypot scannerek ek és zavarók ; -Anti Honeypot Technológiák ógiák; - Honeypot exploits.

21 Konklúzió Honeypot nem egy probléma megoldás, hanem egy flexibilis eszköz, amely különböz alkalmazásokkal együtt szolgálja az IT rendszerek biztonságát; Els dleges értéke az információgy jtés területén van; Megfelel id am ködéshez; Soha ne töltsünk fel valós adatokat; Soha ne kapcsolódjunk amikor Honeypotunk aktív!!!

22 További információk: - org/ - org/book

Hasonló dokumentumok

Novell Nterprise Branch Office: a távoli iroda felügyeletének leegyszerűsítése

Novell Nterprise Branch Office: a távoli iroda felügyeletének leegyszerűsítése termékleírás www.novell.hu Bevezetés A mai vállalatok gyakran tartanak fenn irodákat az ország és a világ különböző pontjain.