Действия диверсанта в windows-сети?

Question

[Cyrill]

Допустим, вы — диверсант. У вас есть ноутбук со всеми возможными локальными правами и физическое подключение к коммутируемой (switched) сети под управлением windows server.



Ряд сценариев:

1. Диверсия с отказом в обслуживании

2. Несанкционированный доступ к данным



Ваши действия?

Смысл вопроса — спор. Кое-кто утверждает что, мол, «да опытный чувак воткнуться не успеет, как все данные утащит и вирусов напускает», а кое-кто, напротив, считает, что грамотно отстроенные сервисы windows вполне безопасны.

Фильтрация на уровне сетевого оборудования исключается из рассмотрения в силу академического интереса.

Comments

[gaelpa]

Теги — зачёт

Answer 1

[iivasiliev]

Во-первых, давайте не будем забывать, что в подобной ситуации может существовать достаточно большое количество сценариев.

Во-вторых, топик стартер, не сказал о какой версии Windows идет речь. Очевидно, что разные версии ОС Windows подвержены тем или иным проблемам безопасности в силу различных обстоятельств. Кроме того, по-хорошему нужно учитывать список используемых сервисов и служб, потому как в одной компании наличие RIS, DHCP, RADIUS, AD может быть обусловлено производственной необходимостью, а в другой компании такие сервисы могут вообще не использоваться. К примеру, большинство крупных компаний используют внутренние intranet ресурсы, которые в некоторых случаях могут представлять собой web приложения функционирующих на базе ASP, MS SQL и ISS. Очевидно, что если в этом случае используется собственный код, то качество такого кода обычный администратор Windows сети проверить не сможет и пускай он будет хоть трижды MCSE с соответствующей специализацией. Здесь очень большое поле для деятельности и множество всяких но.

Теперь, что касается вот этого: «Фильтрация на уровне сетевого оборудования исключается из рассмотрения в силу академического интереса»

В этом случае со 100% вероятность возможны атаки типа отказ в обслуживание, перехват и внедрение в сессии и т.д. т.п. Например, переполнение CAM таблиц на коммутаторах, подделка IP и MAC адресов, ложные DHCP сервера со всеми вытекающими последствиями и т.д. и т.п.

Одним словом, вариантов очень и очень много.

Comments

[iivasiliev]

Кстати вот еще простой вариант сетевой атаки. Атака направлена против STP протокола, который функционирует в сетях состоящих более чем из двух коммутаторов (иначе говоря, в 90% сетей). Посылаем левые BPDU, сеть лежит. Атака легко реализуется и направлена на отказ в обслуживании — профит. Прикидываемся левым Root Bridg'ом, перехватываем большую часть трафика. Опять же достаточно легко реализуется, последствия пачка реквизитов для доступа в сеть при наличии non-encrypted сервисов (например, telnet, ftp, http), опять же теоретически возможно вклиниться в чужую сессию (особенно если это UDP поток). И кстати при наличии VoIP, практически наверняка можно будет послушать телефонные разговоры в которых может содержаться много чего интересного, ибо RTP у нас мало где зашифровано :)))

[iivasiliev]

Атаки против DHCP. Генерируем кучу левых DHCP request запросов в сторону легетимного DHCP сервера, получаем исчерпание выделенного пула адресов = отказ в обслуживании = профит.

[Cyrill]

С саботажем всё ясно чуть менее чем полностью. Можно торпедировать любой сервис, отвечающий на неаутентифицированные запросы — http, dns, и т.п.

@iivasiliev — про версии — хорошо подмечено. можно чуть сузить, думаю, процентов до 70 win-систем — 2003+ со своевременными обновлениями (благо, те серверы, которые обновлять не нужно, как правило, к общедоступным сетям доступа не имеют).

[iivasiliev]

@Cyrill. Давайте также не будем забывать про 0day уязвимости, которые в теории могут существовать, а вот патча под них нету. Кстати подобного рода уязвимостей очень много в браузерах IE, Firefox, Safari и т.д… Именно по этой причине в сети интернет возможны DDOS атаки на базе распределенных ботнетов или кража персональных данных. Кроме того, а учитываете ли Вы гетерогенность сети? Например, наличие ОС Windows разных версий (я говорю не про серверную часть, а про клиентскую), которые могут поддерживать где-то NTLM, где-то NTLMv2, а где-то Kerberos аутентификацию. Все это влияет не только на работоспособность сети, но и на строгость групповых политик, а также безопасности сервисов и подсистем аутентификации/авторизации пользователей в целом.

Кроме того, если Вы говорите про мифические сервера, которые, процитирую: «благо, те серверы, которые обновлять не нужно, как правило, к общедоступным сетям доступа не имеют», то я только знаю одну роль, при которой сервер действительно следует отключить от сети, запереть в сейф и ни кому его не показывать. Эта роль, называется корневой центр сертификации. Часто ли Вы встречаете компании, в которых имелась бы PKI инфраструктура? В остальных случаях, сервер должен быть подключен к сети, так как его основная задача, это обеспечение пользователей необходимым набором сервисов, поддержка бизнес логики и нормальное функционирование бизнес процессов внутри организации. Очевидно, что смысл и польза в файловых серверах, веб-серверов, DHCP серверов, и т.д. и т.п., без пользователей стремиться к нулю.
Теперь, что касается корпоративной локальной сети, топик стартер более чем четко прописал условия. Повторю, злоумышленник имеет возможность физического подключения в корпоративную сеть (а intranet, априори является не общедоступной сетью в классическом понимании данного термина).

И даже если сервер поставить за файрволом, то это еще ничего не значит. Ибо даже в этом случае, существует возможность взлома удаленной системы, находящейся за файрволом. Как показывает практика, хороший Windows администратор, имеет весьма поверхностное представление о функционирование стека протоколов TCP/IP. Еще меньше количество Windows администраторов имеют глубокое понимание о таких вещях, как механизмы туннелирования трафика (ICMP, UDP, TCP, IPIP, GRE, IPSec, SSL и т.д. и т.п.), принципы функционирования NAT таблиц на оборудовании (именно понимание того, как реализуется NAT трансляция), флаги TCP SYN, ACK, FIN, PSH и т.д.

Важно не забывать, что всегда есть кто-то, кто может быть гораздо умнее тебя. Надеюсь, такое понятие как риск менеджмент знакомо? Так вот, вопросы информационной безопасности и риск менеджмент, тесно друг с другом связаны.

И еще напоследок. Как правило, администраторы, уделяют большое внимание безопасности сервисов и меньше внимания уделяют вопросами безопасности клиентского терминала. Таким образом, некоторые злоумышленники могут вообще пойти другой дорогой и ломануть клиентский терминал, который уже имеет определенный набор правил и прав доступ к серверным ресурсам интересующей системы.

[iivasiliev]

Забыл добавить, что в определенном сетевом дизайне, брандмауэр можно обойти с помощью VLAN Hopping'а. Ссылка по теме — hakipedia.com/index.php/VLAN_Hopping

Answer 2

[Sergey]

Фантазии сумасшедшего:
1. Выясняем айпишник контроллера домена
2. Задаем ноуту этот айпишник, rarp-запросами анонсируем его на коммутаторы.
3. Снифаем аутентификационные маркеры, быстренько меняем айпишник на тот, чей маркер удалось подслушать, аутентифицируемся в домене.
4. Далее по обстоятельствам.

Диверсия, как таковая (нарушение работоспособности сети), реализуется на шаге 2.

Comments

[Вячеслав Епиков]

Задача диверсанта ведь остаться не замеченным как можно дольше. А разве уже на втором шаге система не будет вопить о конфликте адресов? А так идея прикольная))

[Cyrill]

система будет вопить на ноутбуке, после соответствующего ARP-запроса :)

Answer 3

[Пума Тайланд]

Самый простой способ пройтись по девушкам, у них обычно логины пароли на листочке на экране прилеплены.

Comments

[Sergey]

Пройтись по девушкам, ммм…

[Cyrill]

всё зависит. когда я работал на работе рабочим за деньги насяйником ИТ-отдела, у меня листочек с паролем был эквивалентен самострелу :)

Answer 4

[MrCrock]

«есть ноутбук со всеми возможными правами и физическое подключение»
Конечно сломает.

Comments

[Cyrill]

Со всеми правами по отношению к ноутбуку, разумеется.

[MrCrock]

тырим хэши, токены или делаем arp спуфинг, дальше по накатанной

Answer 5

[int03e]

Самое тупое и первое что приходит в голову — ARP spoofing, выяснение примерной топологии сети (nmap и все прочее в помощь) и тестирование на предмет актуальных багов (metasploit на ноуте или что-то в этом роде, хоть backtrack на флешке). По сути, многое зависит от установленного софта и (частично) от квалификации сисадмина :-)

Answer 6

[VenomBlood]

Если хорошо настроено — не сломают. Но если все-таки надо сломать — сломают. Верно для любой системы.

Comments

[Cyrill]

Очень сферически и очень в вакууме :) Варианты уничтожения сетевого оборудования методом подачи 220В в ethernet не рассматриваем как варварские :)

[VenomBlood]

Не рассматриваем как варварские — это «не считаем их варварскими» или «не рассматриваем, так как они варварские»?

[Cyrill]

второй вариант: не рассматриваем действия, связанные с физическим воздействием: лом в стойку, 220В в коммутатор и т.п.

[VenomBlood]

Ну собственно мой ответ к тому и был.
Если более по вашему вопросу — то «опытный чувак воткнуться не успеет как все утащит» — неверно, если все более-менее грамотно настроено.
Фраза «грамотно настроенные сервисы — вполне безопасны» как раз верна и выделение отражает суть. Т.е. безопасно, но если надо — все равно получат доступ (программным путем, без ломов и монтировок).

Answer 7

[Aidos]

Так на базе Вин2008 можно сделать так что бы не авторизованный оутбук вообще не получил ай-пи либо пихнуть его в отдельную подсеть

Comments

[Иван Тихонов]

NAP? А что мешает ручками диапазоны пощупать, благо их не так много?

[Sergey]

Но и немало. 192.168.0.0/16 + 172.16.0.0/12 + 10.0.0.0/8
Ох как немало. Посчитайте сами разбивку по /24 хотя бы.

Answer 8

[Dal]

Системы обнаружения, например, в вопросе участвуют, мониторинг, антивирусная и другая защита? Или только грамотно отстроенные сервисы windows?

Comments

[Cyrill]

тут можно очень далеко уйти — 802.1х, NAP и т.п. Антивирусная защита — вроде явление уже априорное в windows, не? Будем считать, что свитчи — dlink или 3com из недорогих (как у многих, хорошо, если вланы умеют), антивирус — сферический в вакууме, специализированных (=параноидальных) решений не внедрено.

[Dal]

Что имеете ввиду под специализированными решения? Тут тоже можно далеко и в разные стороны уйти. Мониторинг на основе cacti, nagos, внедренный Operations от HP, Microsoft, Proventia смотрит за сетью и др. В предложенном Вами варианте инфраструктура, сервисы под присмотром? Интересуюсь на основе личного опыта, проводилась заказная проверка безопасности и мы видели некоторое «копошение», значит в реальности могли как-то среагировать.

Answer 9

[Rayko42]

ИМХО Пункт 2 решается исключительно превентивными мерами — установка политик, внедрение DLP и т.п.