Kopeicev

Тест персональных IDS/IPS на защиту от внешних атак на уязвимые приложения

В этой теме 110 сообщений

Привет!

Как и обещали, мы начинаем подготовку к проведению второго тестирования фаерволов - тестирования защиты от внешних атак.

В этом году список продуктов и ОС меняться не будет т.е. останется как и в тесте защиты от внутренних атак, однако мы видим недостатки методологии, на которые нам указало сообщество Anti-Malware и к следующему "кругу тестов" фаерволов (которые будут проводиться через год) мы внесём значительные изменения.

Итак, на повестке дня один вопрос:

Список методов атак

Их нужно отбирать по одному критерию: для того, чтобы быть атакованным юзеру не нужно ничего делать.

Предложения?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Для полноты картины стОит изложить список продуктов и ОС.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Привет!

Как и обещали, мы начинаем подготовку к проведению второго тестирования фаерволов - тестирования защиты от внешних атак.

В этом году список продуктов и ОС меняться не будет т.е. останется как и в тесте защиты от внутренних атак, однако мы видим недостатки методологии, на которые нам указало сообщество Anti-Malware и к следующему "кругу тестов" фаерволов (которые будут проводиться через год) мы внесём значительные изменения.

Итак, на повестке дня один вопрос:

Список методов атак

Их нужно отбирать по одному критерию: для того, чтобы быть атакованным юзеру не нужно ничего делать.

Предложения?

Типовые атак, начиная со сканирование портов, SYN флуд, Ping flooding, MAC-спуфинг и т.д. до атаки на уровне приложений (как их воспроизвести не знаю, не "специалист" в этой области), что самое интересное, заодно провериться IDS модуль, где он есть.

Для тестов на мой взляд классическим инструментом будет XSpider, какой нибудь Flooder, например http://www.proxy-base.org/f75/udp_flooder_...d_o_s-9180.html и какой нибудь сниффер http://www.securitylab.ru/software/1220/

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Для тестов на мой взляд классическим инструментом будет XSpider, какой нибудь Flooder, например http://www.proxy-base.org/f75/udp_flooder_...d_o_s-9180.html и какой нибудь сниффер http://www.securitylab.ru/software/1220/

Хм, а если nmap взять? Там довольно много методов сканирования.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Хм, а если nmap взять? Там довольно много методов сканирования.

Ну можно и nmap :rolleyes: Бесплатная в отличии от XSpider

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
начиная со сканирование портов

Сканирование портов- это атака?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

nmap отличная база для построения внешней атаки

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сканирование портов- это атака?

Когда сетевой червяк сканирует порт чтобы определить уязвимую службу, это атака или нет? :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Где-то на форуме уже было небольшое (совсем небольшое) предварительное обсуждение методики. Там вроде бы Сергей Ильин написал про то, что наберут старых малварей, распространяющихся через сеть, и будут ими тестить, на что Александр Гостев заметил, что это древность и т.д

что по этому поводу думает сообщество?

я думаю, что хоть что-то из этой области нужно взять...

если будет только сканирование портов, то такой тест вовсе лучше не проводить, чтобы не позорится.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Когда сетевой червяк сканирует порт чтобы определить уязвимую службу, это атака или нет?

Червь обычно ничего не сканирует. Он просто тупо перебирает IP адреса и стучится на уязвимые порты.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Ну пусть будет вместо сканирования портов, проверка адресов с перебором уязвимых и неуязвимых портов ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

если будет только сканирование портов, то такой тест вовсе лучше не проводить, чтобы не позорится.

nmap даст хорошую информацию для последующих размышлений. Полный пентест здесь вряд ли уместен в силу трудоемкости. ИМХО

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

По пессимистическим настроениям к этому тесту среди экспертов портала ( alexgr , А. ) следует предположить дальнейшее действие со стороны группы тестирования - даётся объявление следующего содержания во все IT-издания:

"Порталу Anti-malware.ru для проведения "теста на защиту о внешних атак" требуется опытная бригада хакеров.. Свои предложения просим публиковать на главной странице по адресу http://www.anti-malware.ru/" (ну и так далее, всё как в том бородатом анекдоте про Микрософт :) )

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nmap даст хорошую информацию для последующих размышлений.

в способностях нмапа я не сомневаюсь, сомневаюсь лишь в серьезности такого теста. это же как будет выглядеть рядом с тестом на лечение активного заражения, например? я не против нмапа, но к нему еще нужно добавить хотя бы парочку чего-то. пока думаю.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Когда сетевой червяк сканирует порт чтобы определить уязвимую службу, это атака или нет?

Нет (хотя приятного мало). Это попытка узнать запущена ли служба.

А вот уязвима она, или нет - вопрос.

Как правило, эксплоит использует уже давно известные дыры, в надежде на то, что пользователь не обновляет ОС.

что по этому поводу думает сообщество?

Metasploit Framework.

А ещё я думаю, что в тесте следует считать успешным взломом - только получение шелла на атакуемой машине.

Кстати мне интересна схема подключений, при тестировании.

Полный пентест здесь вряд ли уместен в силу трудоемкости. ИМХО

Согласен. Да и трудно будет использовать весь спектр нападения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
nmap даст хорошую информацию для последующих размышлений. Полный пентест здесь вряд ли уместен в силу трудоемкости. ИМХО

Нуу, Алексей, ты пошел по методу превентивной защиты :) Для домашнего пользователя почти все, что "найдет" nmap можно списать на "и чо?" без каких-либо проблем. Это примерно как материться и отключать службу удаленного управления реестром (не помню, как она по-русски, но ты понял, о чем я), хотя это имеет смысл только если человек знает данные админской учетной записи. А если знает, то...

priv8v

Два чаю этому оратору.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

я не против нмапа, но к нему еще нужно добавить хотя бы парочку чего-то. пока думаю.

можно взять триал Saint (он на 2 IP), при работе тестовой машины на одном можно просканить им (он может показывать "эксплуатабельность" уязвимости - эта информация неточна на самом деле, но есть некое подспорье)

Нуу, Алексей, ты пошел по методу превентивной защиты

я просто их провожу, потому знаю, сколько это геморроя, сорри за плохой французский

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А ещё я думаю, что в тесте следует считать успешным взломом - только получение шелла на атакуемой машине.

разумно лишь в том случае если мы берем старую ОСь без обновлений :) а т.к это будет скорее всего не так, то учитывать придется кучу параметров, а не только "залезли на комп" - "минус", "не залезли на комп" - "ставим плюс" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

тут ИМХО важна цель прорыва - попасть в шелл и ли "убить" (не заглушить, а прибить работоспособность) клиента. И то, и другое может быть целью.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Тестирование на Windows XP - зря потерянное время + минус к авторитету портала.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Если я не ошибаюсь, то Windows 7 уже обогнала Windows XP в мире по данным NetApplication

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Я вообще не понимаю, зачем что то тестить на оси 10-ти (десяти) летней давности?

Викя:

Состояние

Общая поддержка прекращена 11 января 2011 года

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Защиту нужно тестировать в самых сложных для продукта условиях - дырявой ОС.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Это не "сложные условия". Оси различаются архитектурно.

Можно еще на win98 затестить?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Wenderoy
      Обновляю: https://mega.nz/#!0FYBnRzT!Kh8GaRMVOzm99QJZX0NsDD51vDaFzPI-Vil02kw53rQ
    • Sergey22101979s
      Площадку надо свою делать и развивать её. А потом продавать места на ней. И не важно какую площадку - сайт, группу в соцсети, или что-то тому подобное.
    • homeobed
      На дому за копейки работать - дело нехитрое) Вот чтобы зарабатывать приличные деньги, на одних комментариях далеко не уедешь)
    • Mike
      Вышел McAfee VirusScan Enterprise 8.8.0 Patch 10  
    • Wenderoy
      Да, лучше удалить. Но это, разумеется, решает администрация... Я никакой не тролль, ANDYBOND прекрасно это понимает, просто именно с ним был разлад безо всякой причины, подробности приводить не буду, но теперь он старается как можно больше "навредить" мне. Собственно, вот отзывы про PS - https://www.mywot.com/ru/scorecard/provisionsecurity.ru Думаю, комментарии будут излишними. Есть очень много свидетелей, которых "примерная" администрация Provisionsecurity даже "поливала" нецензурной лексикой, у меня есть все скриншоты и т. д. И после всего этого надо подумать, а стоит ли верить таким людям? Это я в качестве отступления. Главное - то, что я устал здесь распинаться, тратя свое личное время, что идет только на руку уже упомянутым участниками форума. Все, что мне надо было доказать, я доказал, пользователи моего приложения знают и понимают мои цели и стремления, я ни от кого ничего не скрываю. Поэтому программу уже используют многие, а это значит, что дело поставлено на рельсы. Самое смешное, что на каждый мой аргумент, который я не поленился снабдить всей необходимой информацией в форме ссылок, скриншотов, записей, копий писем, сообщений лабораторий etc, в ответ мне летят одни и те же фразы: "мошенник", "вирусописатель", "тролль". Так кто же больше попадает под значение последнего слова? Просто упомяну еще пару вещей. Когда я объяснял, почему продукт детектит пустой файл, все равно меня никто не слышал. Каким же, интересно, образом мне следует растолковать это? Были приведены доказательства, что я часть баз собираю с ресурса VirusShare (благо, имеются очень хорошие источники самой разнообразной информации), где AVP в свое время почему-то пометил файл как Trojan... (где-то на предыдущих страницах все чрезвычайно подробно описано). Так вот, копируя MD5, в комплект попала и хеш-сумма пустого файла, вследствие чего как бы Вы его ни переименовывали, все рано будет сработка продукта (кстати, ее уже нет). Далее. Насчет "мошенник" и "вирусописатель". Если зимние переписки (не просто отчетов автоматического анализа лабораторий) с вирусным аналитиком McAfee ни о чем Вам не говорят, это, как говорится, не мои проблемы. Другие вендоры, да практически все (даже популярные Avast, Qihoo и др.) устанавливаются втихомолку вместе с другим ПО (DRP Solutions, различные дополнения для монетизации в пакеты дистрибутивов), но их Вы почему-то "вирусописателями"  не называете. И последнее. Насчет "мошенник". Я никого не принуждаю устанавливать KAR, каждый делает это добровольно. Лицензионное соглашение и Privacy Statment присутствуют на сайте, там все четко и ясно описано. На сервер высылаются исключительно анонимные отчеты, как и в любых других разработках аналогичного типа, не более того.  Kuranin Anti-Ransomware распространяется абсолютно бесплатно, никакой рекламы ни в продукте, ни даже на сайте, т. к. это мое хобби. Поэтому здесь не вижу ничего, связанного с мошенничеством. Это очень краткое обобщение, все мои подробные ночные отписки на однотипные бессмысленные сообщения можно посмотреть, листая предыдущие ни много ни мало двенадцать страниц. @VMS, радует, что еще есть адекватные люди, которые умеют слушать. Да, к сожалению, это не те времена, когда жизнь кипела в каждом уголке Anti-Malware и других подобных форумов. Обидно, что перевились разработчики-добровольцы, которые были очень активны в 2004-2014 годах. Сейчас в основном крупные компании все вытеснили, да есть те, кто просто сдался (Александр Калинин, его судьба мне не известна, но смею предположить, что он воплотил свое хобби в жизнь; Kerish, который, правда, стал чрезвычайно полезной утилитой Kerish Doctor, а ведь совсем немногие знают прошлое этого творения; ScreamAV, бесплатныq антивирус то ли из Индонезии, то ли с Филиппин; путем долгого анализа удалось выяснить, что создатели данного антивируса примкнули к проекту SmadAV;  SMK антивирус, когда-то известный в узких кругах; "Зоркий глаз" Петелина Александра;  AWS Core, приостановивший свое развитие и т. п.) Вообще обожаю древние сайты, особенно варианты на narod.ru и им подобные, пропахшие стариной и историей. Очень приятные ощущения, как будто бы открыл давно забытую, но вновь найденную на чердаке книгу с пожелтевшими от времени листами.  А еще очень много полезных ресурсов, которых уже нет, но они сохранились в "архиве". Все это "богатство" сложно отыскать, но зато там есть чрезвычайно много полезной информации... Вот, кстати, один из примеров: https://web.archive.org/web/20040905203536/http://www.winchanger.narod.ru:80/ Или https://web.archive.org/web/20070624081145/http://winchanger.whatis.ru:80/ Как бонус прилагаю собственную коллекцию малоизвестных продуктов любителей информационной безопасности, среди них, кстати, все вышеупомянутые образцы! https://mega.nz/#!tZBkkCKa!0WzfYt4A1zK4aCvVLtu3FLt7pfPIp7wWtyPIr9c-cbo Может, кому пригодится...