Upload
others
View
2
Download
0
Embed Size (px)
Citation preview
Tartalom
• Hálózatbiztonsági incidensek• Hálózatbiztonsági incidensek érzékelése• IDS, IPS• Egyéb érzékelési lehetőségek• Egyéb érzékelési lehetőségek• Esettanulmány/bemutató
Mi az a CERT?
� CERT: Computer Emergency Response Team, azaz számítástechnikai vészhelyzetekre reagáló csoport
� CSIRT: Computer Security Incident Response
Team, azaz számítástechnikai biztonsági incidensekre
reagáló csoport
� Constituency: képviseltek köre, támogatottak köre
� Biztonsági Incidens: bármely esemény, melynek
negatív hatása van az informatikai rendszer
biztonságára (bizalmasság, sértetlenség,
rendelkezésre állás)
Biztonsági incidensek
• Computer fingerprinting: Információ gyűjtés a cél számítógépről
Technikák: probing, scanning, DNS interrogation, Ping.• Malicious code (kártékony kód): A cél host kompromittálása
külső, kártékony kód futtatásávalTechnikák: „Tudatos” vagy „tudatlan” kód futtatásTechnikák: „Tudatos” vagy „tudatlan” kód futtatás• Denial of Service: A szabvány kommunikációtól eltérő
kommunikáció hatására a cél host, illetve szolgáltatás túlterhelése
Technikák: pl. SYN Flood (SYN-SYN/ACK-ACK)
Biztonsági incidensek
• Jogosulatlan hozzáférés információhoz:Jogosulatlan hozzáférési kísérletek a tárolt adatokhoz
Technikák: Lokális vagy távoli hozzáférési kísérletek a jogosultsági rendszer megkerülésével
• Jogosulatlan hozzáférés adatátvitelhez:Jogosulatlan adatátvitel eltérítés vagy megosztás a Jogosulatlan adatátvitel eltérítés vagy megosztás a hálózaton vagy a számítógépben.
Technikák: Hálózati csomagok elkapása, eltérítése
Biztonsági incidensek
• Jogosulatlan információ módosítás: Az elektronikusan tárolt adatok jogosulatlan módosítása
Technikák: Lokális vagy távoli adat módosítás vagy létrehozás • Jogosulatlan hozzáférés kommunikációs eszközökhöz:
Jogosulatlan kommunikációs eszköz használatTechnikák: A kommunikációs eszköz beállításainak jogosulatlan Technikák: A kommunikációs eszköz beállításainak jogosulatlan
módosítása
Biztonsági incidensek
• Felderítés – computer fingerprinting, social engineering
• Sérülékenység keresés – penetration tesztteszt
• Kihasználás – kártékony kód futtatás• További támadások – zombi hálózat• Nyomok eltüntetése – logok törlése
Védekezés
• Mélységben tagolt védelem!!!!– Megfelelőség kezelés (mit védünk? szabályzatok)– Kockázat kezelés (mitől védjük?)– Identitás kezelés (felhasználó, eszköz, szoftver, stb.)– Jogosultság kezelés (felhasználó, eszköz, szoftver, – Jogosultság kezelés (felhasználó, eszköz, szoftver,
stb.)– Felelősség kezelés (ki, mit és miért csinál?)
– Rendelkezésre állás kezelés (erőforrások?)– Konfiguráció kezelés (sérülékenységek, frissítések?)– Incidens kezelés (mit csinálunk, ha baj van?)
Felelősség kezelés
• Hálózatok, hostok, eszközök monitorozása → betartásra kerülnek-e a megfogalmazott szabályok
• Valós idejű és visszamenőleges elemzések:– Napló (log) elemzés: hálózat, alkalmazás, stb.– Elérés ellenőrzés: hálózati elemek, alkalmazások, stb.– Elérés ellenőrzés: hálózati elemek, alkalmazások, stb.– Forgalom ellenőrzés: adatforgalom mennyiségi és
minőségi ellenőrzése– Host alapú behatolás érzékelés: adott host
sértetlensége, fájl, rendszer változások– Hálózati behatolás érzékelés: támadások, gyanús
viselkedések, rendellenes tevékenységek azonosítása
Felelősség kezelés fontossága
• Nagyobb rálátás az IT komponensekre: különböző monitoring technikák egyidejű alkalmazása
• Események nyomon követése: incidens céljának, idejének, forrásának, okának és felelősének meghatározása
• Jogi kérdések: bizonyító erejű adatok gyűjtése• Jogi kérdések: bizonyító erejű adatok gyűjtése• Teljesség biztosítása: az összegyűjtött információk
teljesek, az eseménysor objektívan megítélhető• Pontosság: az egyes eseményekről minden adat
rendelkezésre áll (dátum, idő, adattartalom, stb.)• Ellenőrizhetőség: az információk változatlanok a rögzítés
óta (hash, auditálható folyamat, stb.)
Implementációs kérdések
• Mit monitorozzunk?
– Szervezet céljainak és biztonsági folyamatainak meghatározása
– Alapvető üzleti/szervezeti folyamatok meghatározása– Kulcs folyamatokhoz kapcsolódó kritikus IT és humán – Kulcs folyamatokhoz kapcsolódó kritikus IT és humán
erőforrások meghatározása• Milyen technológiával monitorozzunk?
– Valós idejű vagy utólagos elemzések az egyes erőforrásokhoz
Implementációs kihívások
• Log formátum változatossága: különböző eszközök különböző formátumban naplóznak
• Log fájlok biztonsága: a támadó ne tudja megváltoztatni• Erőforrások rendelkezésre állása: a logoláshoz, az
elemzéshez és a bizonyításhoz (IT és humán)elemzéshez és a bizonyításhoz (IT és humán)• Korrelációk felismerése: különböző érzékelt jelek
összetartozásának felismerése• Incidens kezelési folyamatok támogatása: megfelelő
mennyiségű és minőségű információ biztosítása a válaszintézkedések megtételéhez
Hálózati monitoring típusok
• Rendelkezésre állás monitorozása: adott IT erőforrások rendelkezésre állásának folyamatos vizsgálata (pl. webszerver)
• Forgalom monitorozása: adott ponton áthaladó csomagok vizsgálata (mennyiségi és típus vizsgálat)
• Sávszélesség vizsgálat: sávszélesség kihasználtsága és anomáliák keresése
• Protokoll és alkalmazás vizsgálat: a forgalom monitorozás egy fajtája, a csomagok adattartalmát is vizsgáljuk
• Behatolás detektálás (IDS) és behatolás védelem (IPS)
IDS – IPS
• Miért nem elég a tűzfal?
– Önmagában nem alkalmas vírusszűrésre– Protokollnak megfelelő forgalmat átengedi
• Miért nem elég a vírusvédelem?
– Már ismert vírusokat ismeri fel– Már ismert vírusokat ismeri fel– Nem minden támadás vírus
• Behatolás érzékelő eszköz is szükséges!
– Nem helyettük, hanem együtt!!!!
IDS – IPS feladata
• IDS feladata: Minden észlelt hálózati aktivitásról eldönteni, hogy legális vagy nem, azaz detektálni a támadásokat
• IPS feladata: az érzékelt támadásokra válasz automatikus válasz intézkedéseket tenni (pl. port blokkolás)
• Általános felépítés:• Általános felépítés:– Érzékelő (sensor): gyűjti a hálózati/host adatokat– Elemző (analyzer): értékeli a gyűjtött adatokat
• Signature alapú: támadási mintákhoz hasonlít• Anomália alapú: normális forgalomtól eltérő forgalomra
jelez– Riasztási mechanizmus: jelzés és/vagy beavatkozás
IDS – IPS bekötési módok
• In-line (sorba kötés): átfolyik rajta minden adat, ekkor IPS-ként blokkolni is tud bizonyos forgalmakat.
IDS – IPS bekötési módok
• SPAN (tükrözés): a monitoring portra kitükrözik a switch adott portjainak ki és bemenő kommunikációját, azaz az eszköz másolatot kap belőle (IDS mód)
IDS – IPS bekötési módok
• TAP (fizikai duplikálás): eszköz segítségével a teljes hálózati forgalmat egy adott pontban fizikailag duplikálunk és ezt a jelet kapja meg az eszköz monitoring portja (IDS mód)
Signature alapú elemző
• Legelterjedtebb és kiforrottabb megoldások• Támadási adatbázis a támadási mintákra (rendszeres
frissítés ajánlott!!)• A vizsgált forgalmat a támadási adatbázissal
összehasonlítja és döntösszehasonlítja és dönt• Minél nagyobb a támadási adatbázis, annál erőforrás
igényesebb – csökkenthető a nem releváns támadási minták kivételével
• Nem ismeri fel az adatbázisban még nem szereplő támadásokat
• Fals negatív jelzések
Anomália alapú elemző
• Anomaly based vagy behavior based• A „normális” viselkedéstől jelentősen eltérő aktivitások
vizsgálata• Kérdés, hogy mi minősül jelentősen eltérő aktivitásnak?!• Mesterséges intelligencia alapúak• Mesterséges intelligencia alapúak• A fals pozitív jelzéseknek nagy a kockázata
Host alapú IDS
• Feladata egy adott host elleni támadások érzékelése• A host-on keletkezett logok elemzésével következtetnek a
támadásra
Host alapú IDS
• Előnye: egyszerű és olcsó• Hátrányai:
– Csak a host-ot elért, loggolt eseményt jelzi– Az IDS agent a védett host erőforrásait használja, azaz
a nem megfelelően méretezett hostok működési a nem megfelelően méretezett hostok működési paramétereit rontja
Hálózati IDS
• Előnyei:– A hálózati szegmensen található összes eszköz
védelme megoldható– A támadás már a hálózatba való belépésekor
érzékelhető és elhárítható (IPS mód)érzékelhető és elhárítható (IPS mód)– A támadó számára az érzékelő eszköz nem vagy
nehezen észlelhető
Hálózati IDS
• Hátrányai:– Nagy sebességű hálózatok védelme nagyon erőforrás
igényes– Az eszközök drágák, több eszköz alkalmazása
jelentősen növeli a védekezés költségeitjelentősen növeli a védekezés költségeit– Csak a titkosítás nélküli forgalmat képesek monitorozni– A switchelt hálózatoknál a switch monitoring portjára
kitükrözött forgalmat tudjuk kezelni, ami gátolja az IPS módot
A fals pozitív probléma
• Normális hálózati aktivitás, ami mégis kártékonynak lett minősítve:– Legális applikációk, amik nem teljes mértékben
felelnek meg az RFC-knek– Olyan legális applikációk aktivitása, amit nem ismer az
IDS– A signature-k (minták) túl általános megfogalmazása– A signature-k (minták) túl általános megfogalmazása– Egyes aktivitások egyes hálózatokon normálisak, míg
másokon kártékonyak (pl. IRC)• Egy rosszul kezelt IDS rövid idő alatt rengeteg fals pozitív
jelzést generálhat.• Minden fals pozitív jelzés kiszűrése erőforrás igényes
folyamat
A fals negatív probléma
• Fals negatív jelzés minden olyan jelzés, aminek meg kellett volna történnie, de mégsem történt meg:– Signature alapú IDS-nél az új támadás minták frissítési
ideje– A támadó a támadás közben változtathatja a támadási
módot, összezavarva az IDS-t– Azonos sérülékenységet kihasználó 2 támadásból csak
az egyikről rendelkezik mintával– Anomália vagy host alapú IDS-nél a tanítás során már
kompromittált fájlt vagy aktivitást normálisnak értékeli– Túlterhelt IDS eldobhat csomagokat vizsgálat nélkül
• A fals negatív hamis biztonság érzetet kelt, illetve átenged támadásokat
Mit kell tenni az IDS alkalmazása után?
• IDS monitoring és válaszadási policy: hogyan és ki monitoroz, milyen a válaszadási folyamat
• Incidens kezelés: ki és mit tesz incidens esetén• Forensic analízis és adat megőrzés: mit kezdünk a
keletkező bizonyítékokkalkeletkező bizonyítékokkal• Jelentések: ki, kinek és mit jelent? Mikor kell külső
partnert bevonni (pl. CERT, rendőrség, stb.)• Az IDS csak egy eszköz a támadások felismerésére, a
megoldást a hatékony szervezeti válaszadási folyamatok biztosítják