Тест персональных IDS/IPS на защиту от внешних атак на уязвимые приложения

[Kopeicev 94]

Привет!

Как и обещали, мы начинаем подготовку к проведению второго тестирования фаерволов - тестирования защиты от внешних атак.

В этом году список продуктов и ОС меняться не будет т.е. останется как и в тесте защиты от внутренних атак, однако мы видим недостатки методологии, на которые нам указало сообщество Anti-Malware и к следующему "кругу тестов" фаерволов (которые будут проводиться через год) мы внесём значительные изменения.

Итак, на повестке дня один вопрос:

Список методов атак

Их нужно отбирать по одному критерию: для того, чтобы быть атакованным юзеру не нужно ничего делать.

Предложения?

[Виталий Я. 859]

Для полноты картины стОит изложить список продуктов и ОС.

[Kopeicev 94]

Для полноты картины стОит изложить список продуктов и ОС.

Всё тут: http://www.anti-malware.ru/firewall_test_o...protection_2011

[SDA 750]

Привет!

Как и обещали, мы начинаем подготовку к проведению второго тестирования фаерволов - тестирования защиты от внешних атак.

В этом году список продуктов и ОС меняться не будет т.е. останется как и в тесте защиты от внутренних атак, однако мы видим недостатки методологии, на которые нам указало сообщество Anti-Malware и к следующему "кругу тестов" фаерволов (которые будут проводиться через год) мы внесём значительные изменения.

Итак, на повестке дня один вопрос:

Список методов атак

Их нужно отбирать по одному критерию: для того, чтобы быть атакованным юзеру не нужно ничего делать.

Предложения?

Типовые атак, начиная со сканирование портов, SYN флуд, Ping flooding, MAC-спуфинг и т.д. до атаки на уровне приложений (как их воспроизвести не знаю, не "специалист" в этой области), что самое интересное, заодно провериться IDS модуль, где он есть.

Для тестов на мой взляд классическим инструментом будет XSpider, какой нибудь Flooder, например http://www.proxy-base.org/f75/udp_flooder_...d_o_s-9180.html и какой нибудь сниффер http://www.securitylab.ru/software/1220/

[ALEX(XX) 60]

Для тестов на мой взляд классическим инструментом будет XSpider, какой нибудь Flooder, например http://www.proxy-base.org/f75/udp_flooder_...d_o_s-9180.html и какой нибудь сниффер http://www.securitylab.ru/software/1220/

Хм, а если nmap взять? Там довольно много методов сканирования.

[SDA 750]

Хм, а если nmap взять? Там довольно много методов сканирования.

Ну можно и nmap Бесплатная в отличии от XSpider

[Илья Рабинович 521]

начиная со сканирование портов

Сканирование портов- это атака?

[alexgr 556]

nmap отличная база для построения внешней атаки

[SDA 750]

Сканирование портов- это атака?

Когда сетевой червяк сканирует порт чтобы определить уязвимую службу, это атака или нет?

[priv8v 960]

Где-то на форуме уже было небольшое (совсем небольшое) предварительное обсуждение методики. Там вроде бы Сергей Ильин написал про то, что наберут старых малварей, распространяющихся через сеть, и будут ими тестить, на что Александр Гостев заметил, что это древность и т.д

что по этому поводу думает сообщество?

я думаю, что хоть что-то из этой области нужно взять...

если будет только сканирование портов, то такой тест вовсе лучше не проводить, чтобы не позорится.

[Илья Рабинович 521]

Когда сетевой червяк сканирует порт чтобы определить уязвимую службу, это атака или нет?

Червь обычно ничего не сканирует. Он просто тупо перебирает IP адреса и стучится на уязвимые порты.

[SySOPik 52]

Ну пусть будет вместо сканирования портов, проверка адресов с перебором уязвимых и неуязвимых портов

[alexgr 556]

если будет только сканирование портов, то такой тест вовсе лучше не проводить, чтобы не позорится.

nmap даст хорошую информацию для последующих размышлений. Полный пентест здесь вряд ли уместен в силу трудоемкости. ИМХО

[AlexxSun 150]

По пессимистическим настроениям к этому тесту среди экспертов портала ( alexgr , А. ) следует предположить дальнейшее действие со стороны группы тестирования - даётся объявление следующего содержания во все IT-издания:

"Порталу Anti-malware.ru для проведения "теста на защиту о внешних атак" требуется опытная бригада хакеров.. Свои предложения просим публиковать на главной странице по адресу http://www.anti-malware.ru/" (ну и так далее, всё как в том бородатом анекдоте про Микрософт )

[priv8v 960]

nmap даст хорошую информацию для последующих размышлений.

в способностях нмапа я не сомневаюсь, сомневаюсь лишь в серьезности такого теста. это же как будет выглядеть рядом с тестом на лечение активного заражения, например? я не против нмапа, но к нему еще нужно добавить хотя бы парочку чего-то. пока думаю.

[sceptic 100]

Когда сетевой червяк сканирует порт чтобы определить уязвимую службу, это атака или нет?

Нет (хотя приятного мало). Это попытка узнать запущена ли служба.

А вот уязвима она, или нет - вопрос.

Как правило, эксплоит использует уже давно известные дыры, в надежде на то, что пользователь не обновляет ОС.

что по этому поводу думает сообщество?

Metasploit Framework.

А ещё я думаю, что в тесте следует считать успешным взломом - только получение шелла на атакуемой машине.

Кстати мне интересна схема подключений, при тестировании.

Полный пентест здесь вряд ли уместен в силу трудоемкости. ИМХО

Согласен. Да и трудно будет использовать весь спектр нападения.

[Umnik 997]

nmap даст хорошую информацию для последующих размышлений. Полный пентест здесь вряд ли уместен в силу трудоемкости. ИМХО

Нуу, Алексей, ты пошел по методу превентивной защиты Для домашнего пользователя почти все, что "найдет" nmap можно списать на "и чо?" без каких-либо проблем. Это примерно как материться и отключать службу удаленного управления реестром (не помню, как она по-русски, но ты понял, о чем я), хотя это имеет смысл только если человек знает данные админской учетной записи. А если знает, то...

priv8v

Два чаю этому оратору.

[alexgr 556]

я не против нмапа, но к нему еще нужно добавить хотя бы парочку чего-то. пока думаю.

можно взять триал Saint (он на 2 IP), при работе тестовой машины на одном можно просканить им (он может показывать "эксплуатабельность" уязвимости - эта информация неточна на самом деле, но есть некое подспорье)

Нуу, Алексей, ты пошел по методу превентивной защиты

я просто их провожу, потому знаю, сколько это геморроя, сорри за плохой французский

[priv8v 960]

А ещё я думаю, что в тесте следует считать успешным взломом - только получение шелла на атакуемой машине.

разумно лишь в том случае если мы берем старую ОСь без обновлений а т.к это будет скорее всего не так, то учитывать придется кучу параметров, а не только "залезли на комп" - "минус", "не залезли на комп" - "ставим плюс"

[alexgr 556]

тут ИМХО важна цель прорыва - попасть в шелл и ли "убить" (не заглушить, а прибить работоспособность) клиента. И то, и другое может быть целью.

[zzkk 130]

Тестирование на Windows XP - зря потерянное время + минус к авторитету портала.

[Deja_Vu 366]

Если я не ошибаюсь, то Windows 7 уже обогнала Windows XP в мире по данным NetApplication

[Killer 55]

Я вообще не понимаю, зачем что то тестить на оси 10-ти (десяти) летней давности?

Викя:

Состояние

Общая поддержка прекращена 11 января 2011 года

[Kopeicev 94]

Защиту нужно тестировать в самых сложных для продукта условиях - дырявой ОС.

[Killer 55]

Это не "сложные условия". Оси различаются архитектурно.

Можно еще на win98 затестить?