Network üzerinden yapılan bruteforce denemelerinde en önemli nokta yazılımın paralel denemeler yapabilmesi ve modüler yapıda(çokça sayıda network servisini destekleme) olmasıdır.

Network üzerinden yapılacak brute force denemeleri içi çeşitli yazılımlar var. Bunlardan en günceli ve özellik olarak en zengini Medusa’dır.  Medusa ve diğer bruteforce yazılımlarının güncel karşılaştırma tablosu için http://foofus.net/jmk/medusa/medusa-compare.html  adresi incelenmelidir.

Medusa Kurulumu:

#apt-get install medusa //Debian/Ubuntu Linux dağıtımları için

sonrasinda hangi parametreleri aldigini ve yardim menusunu goruntulemek için komut satırından medusa yazilir.

root@elmasekeri:~# medusa
Medusa v1.4 [http://www.foofus.net] (C) JoMo-Kun / Foofus Networks <jmk@foofus.net>

ALERT: Host information must be supplied.

….

Medusa’nin moduler yapısı sayesinde bilinen çoğu network servisine yönelik bruteforce denemeleri yapılabilir. Desteklenen modullerin neler oldugunu gormek icin -d parametresi kullanilir.

root@elmasekeri:~# medusa -d
Medusa v1.4 [http://www.foofus.net] (C) JoMo-Kun / Foofus Networks <jmk@foofus.net>

Available modules in “.” :

Available modules in “/usr/lib/medusa/modules” :
+ cvs.mod : Brute force module for CVS sessions : version 1.0.0
+ ftp.mod : Brute force module for FTP/FTPS sessions : version 1.3.0
+ http.mod : Brute force module for HTTP : version 1.3.0
+ imap.mod : Brute force module for IMAP sessions : version 1.1.0
+ mssql.mod : Brute force module for M$-SQL sessions : version 1.1.1
+ mysql.mod : Brute force module for MySQL sessions : version 1.2
+ ncp.mod : Brute force module for NCP sessions : version 1.0.0
+ nntp.mod : Brute force module for NNTP sessions : version 0.9
+ pcanywhere.mod : Brute force module for PcAnywhere sessions : version 1.0.2
+ pop3.mod : Brute force module for POP3 sessions : version 1.1.1

Herhangi bir module ait ek parametreler  dogrudan ekranda gozukmez. Ilgili module ait ek parametreleri ogrenmek için medusa -M modül_ismi -q parametreleri kullanılır.

root@elmasekeri:~#medusa -M web-form -q

Medusa v1.4 [http://www.foofus.net] (C) JoMo-Kun / Foofus Networks <jmk@foofus.net>

web-form.mod (0.9) Luciano Bello <luciano@debian.org> :: Brute force module for web forms

Available module options:
USER-AGENT:?       User-agent value. Default: “I’m not Mozilla, I’m Ming Mong”.
FORM:?             Target form to request. Default: “/”
DENY-SIGNAL:?      Authentication failure message. Attempt flagged as successful if text is not present in

Medusa kullanarak SSH brute force denemesi:

root@elmasekeri:~# medusa -M ssh -m BANNER:SSH-2.0-MEDUSA -h localhost -u huzeyfe -P wordlist
Medusa v1.4 [http://www.foofus.net] (C) JoMo-Kun / Foofus Networks <jmk@foofus.net>

ACCOUNT CHECK: [ssh] Host: 127.0.0.1 (1/1) User: huzeyfe (1/1) Password: a (1/26125)
ACCOUNT CHECK: [ssh] Host: 127.0.0.1 (1/1) User: huzeyfe (1/1) Password: aba (2/26125)
ACCOUNT CHECK: [ssh] Host: 127.0.0.1 (1/1) User: huzeyfe (1/1) Password: abaci (3/26125)
ERROR: Failed to retrieve supported authentication modes. Aborting…
ERROR: No supported authentication methods located.
ACCOUNT CHECK: [ssh] Host: 127.0.0.1 (1/1) User: huzeyfe (1/1) Password: abacilik (4/26125)

Related posts:

1. VoIP Guvenligi Test araclari
2. Time To Patch Linux Kernel
3. sudo ile detayli komut loglama

Scapy, Python dili ile yazılmış Linux ve Windows sistemlerde komut satırından çalışan açık kaynak kodlu bir yazılımdır. Kullanım amacı TCP/IP ağlar için özelleştirilmiş paketler üretmektir. Nmap, packit, Hping, sing gibi bu işe özel araçlar varken neden özelleştirilmiş paketlere neden ihtiyaç duyarız?

Bunun  cevabı yine  sorusunda yatıyor.Nmap ve Hping en sık kullanılan port tarama ve paket üretme “araçlarıdır”, yani belirli amacı gerçekleştirmek için hazırlanmış yazılımlar. Fakat her iki aracın da sınırları vardır ve sadece yazılımcısının sunduğu özellikler kullanılabilir.

Mesela Nmap ile istenilen türde TCP paketleri üreterek tarama yapılamaz ya da Hping kullanarak L2 seviyesinde(ARP, RARP) paketler üretilemez. Piyasada bulunan benzeri ürünlerin hepsinde buna benzer çeşitli kısıtlamalar vardır.

Scapy tüm bu araçlarda bulunan, bulunmayan özellikleri esnek bir şekilde sunar. Scapy için oyun hamuru diyebiliriz, Scapy ile TCP/IP ağlarda birşey yapmak için sadece ne istediğinizi bilmeniz ve bunu Scapy’nin anlayacağı şekilde yazmanız yeterli olacaktır.

Scapy Kullanımı:

Scapy interaktif bir kullanıma sahiptir, istenirse python scriptlerinde import edilerek de kullanılabilir.

TCP/80 portuna SYN bayraklı paket gönderimi

# scapy
Welcome to Scapy (2.0.0.10 beta)
>>> sr(IP(dst=”192.168.0.0/24″)/TCP(dport=80, flags=”S”))

XMAS Tarama için özellştirilmiş paket gönderimi

>>> ans,unans = sr(IP(dst=”192.168.1.1″)/TCP(dport=666,flags=”FPU”) )

Script içerisinde Scapy kullanımı

Basit TCP Port tarama aracı

#!/usr/bin/env python
import sys
from scapy import sr,IP,TCP,conf
conf.verb = 0
dstip = sys.argv[1]

print “\nScan started for  “+dstip
res,unans = sr(IP(dst=dstip)/TCP(dport=[(0,1024)]),timeout=1)
if res:
print “\nReceived answers from the following ports:\n”
for s,r in res:
print r.sprintf(“%TCP.sport%”)
print “\nScan Finished\n”

Scapy ile yapılabilecekleri daha detaylı görmek ve öğrenmek için http://www.secdev.org/projects/scapy/doc/ adresindeki güncel dökümantasyonu incelenebilir.

Related posts:

1. Scapy Calismalari-III [Paket Dinleyicileri Belirleme]
2. Scapy Calismalari -IV
3. Acik Kod Uygulama test araclari

Tubitak UEKAE başkanlığında “Kamu Kurumları Bilgi Teknolojileri Güvenlik” konferansındaki  “GÜVENLİK SİSTEMLERİNİ ATLATMA YÖNTEMLERİ VE ALINACAK  DERSLER ” konulu konuşmamın sunum dosyasına http://www.bga.com.tr/calismalar/bypasssecurity.pdf adresinden erişilebilir.

Etkinlikteki diğer sunumlara http://www.tubitak.gov.tr/home.do?ot=5&rt=&sid=0&pid=0&cid=19508 adresinden erişilebilir.

Etkinlige ait fotoğraflar:

http://tubitak.gov.tr/tubitak_content_files//bilgiguvenligi/fotograf/25HAZIRAN015.jpg

http://tubitak.gov.tr/tubitak_content_files//bilgiguvenligi/fotograf/25HAZIRAN014.jpg

Related posts:

1. Kamu Kurumları Bilgi Teknolojileri Güvenlik Konferansı
2. TÜBİTAK-UEKAE Bilgi Teknolojileri Güvenlik Konferansı

Çoğu arkadaşın ismine bakarak basit bir eğitim olarak düşündüğü bu eğitim bana göre her güvenlik uzmanı adayının/(kendini güvenlik uzmanı olarak düşünenlerin) alması gereken bir eğitim. Eğitimde ürün bağımsız güvenlik sistemlerinin çalışması için gerekli olan protokoller “güvenlik” açısından irdelenerek varolan zaafiyetlerin nasıl kötüye değerlendirileceği anlatılmakta.

Eğitimle ilgili detay bilgiler http://www.bga.com.tr/?p=1457 adresinden edinilebilir.Yakında örneklemeli bir şekilde neden TCP/IP güvenliği diye diretiğimi açıklayan bir yazı yazacağım.

Related posts:

1. Snort IPS(Saldırı Engelleme Sistemi) Eğitimi 10-11 Temmuz 2010
2. Network Penetrasyon Testleri Eğitimi – 11 Temmuz 2009

Sorular ve cevaplarla ilgili yorumlarınız için honal@bga.com.tr adresine e-posta gönderebilirsiniz.

Related posts:

1. Snort IPS(Saldırı Engelleme Sistemi) Eğitimi 10-11 Temmuz 2010
2. Backtrack 4′e Nessus Kurulumu

Related posts:

1. Snort IPS(Saldırı Engelleme Sistemi) Eğitimi 10-11 Temmuz 2010
2. Guvenlik sistemlerine dayaniklilik testi

Bu güven sarsılması ilk olarak bir IPS firmasına verdiği en yüksek seviye puan sonrası benim yaptığım testlerde firmanın ürününün başarısız çıkması sonrası oluştu. Ardından geçen yıl TippingPoint için yayımladığı raporlar vs şüphelerimi iyice arttırdı.  Bana göre NSS Labs gücünü kullanarak sektörü yanlış yönlendiriyor.

Test ettiği ürünleri ben de aşağı yukarı eş zamanlarda test ettim hem de çoğunu yurtdışındaki uzmanlarıyla haberleşerek gerçekleştirdim. Evet bazı ürünlede ciddi sıkıntılar var ama bu NSS’in raporunda bahsettiği basit(IP fragmentation , url evasion vs)değil. Raporda bahsettiği hatalar -her ne kadar IPS üreticilerinin gönderdiği konfigürasyondan da kaynaklanıyor olsa da- basit ayarlarla aktif hale getirilebilir diye düşünüyorum.

Velhasılı ürün seçiminde bu tip raporlara güveniyorsanız tek bir firmanın raporları sizi yanlış yönlendirebilir. Birden fazla bağımsız firmanın aynı ürün hakkındaki raporlarını incelemeniz daha sağlıklı seçimlere yönlendirecektir.

IPS satışcılarına da bir çift lafım var: NSS vs gibi firmalara çok güvenmeyin, daha bundan 4-5 yıl önce Tippingpoint NSS tarafından GoldAward alan tek ürünüm diye dolanırken şimdi NSS’e test yaptırmıyor. Aynısı sizin satmaya çalıştığınız ürünün başına da gelebilir:)

NssLabs & Tippingpoint olayına dair bazı yazılar:

http://tippingpointblog.com/2009/12/04/update-on-tippingpoint-third-party-product-testing/

http://nsslabs.blogspot.com/2009/12/tippingpoint-tests.html 

http://www.crossbeam.com/wp-content/uploads/NSS-Labs-Group-IPS-Test-Summary.pdf

http://www.securityfocus.com/archive/96/508278/30/0/threaded

http://www.tippingpoint.com/products_awards.html

Related posts:

1. NSS Labs Hangi IPS Çözümünü öneriyor?
2. Isletim Sisteminizin Sifreleme Algoritmasi ne kadar guvenli..?
3. HP security labs’dan SQLinjection crawler araci -Scrawlr

6 yıldır eğitmenlik hayatımda bu tip detay bilgi öğreten eğitimlere talep hiç bu kadar yüksek olmamıştı. Daha çok saldırma yöntemlerini öğreten eğitimlerde yaşardık bu talep fazlalığını… Nazar değmesin diyerek katılan arkadaşları takdir ve tebrik ediyorum. Eğitim sonrası Türkiye’de saldırı tespiti ve engelleme konusunda gerçek manada bilgi sahibi olup, sıfırdan bir IPS’i kurup yönetecek seviye geleceklerini umuyorum.

Eğitim öncesi katılımcıların seviyesini belli bir eşik değerinin üzerine çıkarmak için TCP/IP eğitimi hediye etmiştik .Online eğitim sonrası da kendilerini sınamaları için 75 soruluk sınav hazırladım. Bu sınavı -konu önemli olduğu için- herkese açıyoruz. TCP/IP konusunda kendinizi temel seviyenin üstünde görüyorsanız bu sorulardan en az 60 tanesini doğru cevaplıyor olmalısınız. Cevap anahtarları bir hafta sonra yine buradan duyurulacak.

Sorular

Sonraki haftalarda biraz daha uzmanlık gerektiren 75 soru daha yayınlayacağım.

Related posts:

1. Snort Saldırı Tespit ve Engelleme Sistemi Eğitimi
2. tcpdump’i saldiri tespit sistemi olarak kullanma
3. Linux sistemleri NTLM ile baristirmak

Related posts:

1. Sifreli Trafik analizi icin IDS Tasarimi
2. Kaydedilmis trafik uzerinde anonimlestirme
3. Thsark ile TCP/IP Paket Analizi

Snort 3.5~ milyon indirme sayısıyla dünyada en fazla tercih edilen açık kaynak kodlu IDS/IPS yazılımıdır. Snort’u temel alarak geliştirilen Sourcefire 3D sistemi Gartner raporlarında hep en üst sıralarda yer almaktadır. 

Bu yazıda Snort’un güçlü yanları ve iş ortamlarında kullanma için yapılması gerekenleri aktaracağım. Bu satırların yazarı Snort’u yaklaşık ilk tanıdığı günden beri her ortamda çeşitli amaçlarla başarıyla ve övünerek kullanmaktadır. Bu ortamlar 2 Mb hattan 2 Gb hatta kadar uzanmaktadır.

Kısa özet: Snort eğer iyi yapılandırılırsa -ki bayağı emek ister- iş ortamlarında en az ticari muadilleri kadar başarılı olur. Ama günümüzde Snort’un kullanımı genelde IPS olarak değil IDS olarak yaygındır ve iyi yapılandırılmadığı için verimli kullanılamamaktadır.

Snort’u iş ortamlardında başarıyla kullanmak için yapılması gereken en temel şey saldırı tespit ve engelleme sistemlerinin temeli olan TCP/IP bilgisini geliştirmektir. TCP/IP bilgisi olmadan yönetilecek herhangi bir IDS/IPS şirketinize bir fayda getirmeyecektir, sadece kendinizi güvende hissetmenizi sağlayacaktır. Türkiye’de tamamı orta ve büyük ölçekten oluşan 100 şirkete yaptığım IPS kullanım anketi(bireysel bir anketdir ve sonuçları yakında detaylı açıklanacaktır)nin sonuçları Türkiye’de IPS/IDS kullanımının tamamen nazar boncuğu görevini yerine getirdiğini gösteriyor.

Ankete katılan kurumların %95′indeki IPS çok basit bir iki yöntemle aşılabiliyor. Yine ankete katılanlardan hiç bir firma aldıkları IPS’i detaylı test etmemişler. Daha çok NSS ve Gartner raporlarına dayanarak satın alımlar yapılmış. Anketten çıkan önemli bir sonuç da %85 oranında firmaların IPS’in bugüne kadar ciddi bir saldırıyı engellemediğini düşünüyor…

Kısacası Türkiye’de alınan IPS ürünleri amacına uygun kullanılmamaktadır. Bunun temel sebebi de IPS yöneticilerindeki TCP/IP bilgisi eksikliğidir ve IPS’i satanların sattıkları ürünü sihirbaz olarak pazarlayıp firmaları bir nevi kandırmalarıdır:)

• Snort’u gerçekten amacına uygun olarak kullanabilmek için mutlaka bir GUI gerekmektedir. Ne kadar uzmanı olursanız olun sizden başka sistem/güvenlik yöneticilerinin de Snort’u kullanabilmesini istiyorsanız mutlaka bir gönetim arabirimi kullanın.
• Logları analiz etmek için base ya da Aanval gibi bir analiz/raporlama sistemi kullanın. Ve günlük olarak loglara bakmaya çalışın.
• Ağ yapınızı çıkarın ve sadece korumak istediğiniz servislere ait snort imzalarını aktif edin. Snort ile birlikte 10.000 civarı saldırı imzası gelmektedir. Bunların hepsi açılırsa Snort ciddi performans kaybına uğrayacaktır ve daha da önemlisi Snort’un üreteceği alarmlar fazla olacağı için gerçek alarmları yakalayamayacaksınız.
• Mutlaka Snort’un lisanslı kural/imzalarını kullanın. Ek olarak Bleeding  Snort  kurallarını da inceleyerek itiyaç duyduklarınızı ekleyin.
• Snort’u SnortSam ya da inline özelliğiyle kullanın. False positivelerden kaçınmak için kendinize ait sunucuları  beyaz listelere ekleyin.
• Default ayarlarıyla Snort’u en fazla 40-50 Mb trafikte kullanabilirsiniz. Bundan fazlasında paket kayıpları oluşmaya başlayacaktır. Performans için bir dünya ayar var bunları araştırın ya da Snort eğitimine katılıp gigabit ağlarda Snort’un nasıl kullanılacağını öğrenin.
• Intel ağ kartı tercih edin.
• Hattınız gigabit olmasa da gigabit ağ kartları tercih edin.
• Snort’u daha performanslı kullanmak için barnyard2 eklentisini kullanın. 
• Mysql’e perfoprmans ayarları yapın
• Asimetrik trafik kullanıyorsanız Snort’un gelen–giden trafiği tamamen gördüğünden emin olun. Gerekirse gelen ve giden bağlantıları bridge yaparak Snort’a verin.
• Snort birden fazla CPU kullanamayacağı için tek bir CPU’yu Snort’un hizmetine verin. Gerekirse birden fazla Snort’u farklı işlemcilerde çalıştırarak manuel yük dağılımı gerçekleştirin.
• Klasik libpcap kullanmayın yerine daha performanslı eklentileri araştırın
• Kullanmadığınız protokollere ait preprocessorları kapatın.
• Son olarak Snort’u hem Firewall’un dışını hem de iç tarafını dinleyecek şekilde yapılandırın ve farklı ayarlarla kullanın.

Aslında burada yazılı olanlar sadece Snort için değil tüm IPS sistemleri için geçerlidir. Ben özellikle ticari IPS yazılımı kullanan arkadaşlara mutlaka Snort kurcalamalarını öneriyorum zira ticari ürünler kapalı olduğu için IPS çalışma mantığını onları kullanarak öğrenilemez.

Related posts:

1. Snort Saldırı Tespit ve Engelleme Sistemi Eğitimi
2. Snort IPS için bypass kiti
3. Snort: Once IDS, sonra IPS, simdi de IDP