Репозиторій ЧДТУ
Репозиторій ЧДТУ зберігає і дозволяє легкий і відкритий доступ до всіх видів цифрового контенту, включаючи текст, зображення, анімовані зображення, MPEG і набори даних
Дізнатися більше
Будь ласка, використовуйте цей ідентифікатор, щоб цитувати або посилатися на цей матеріал:
https://er.chdtu.edu.ua/handle/ChSTU/7783| Назва: | Оптимізація системи захисту інформаційно-телекомунікаційних систем в умовах загроз та обмежень |
| Автори: | Панаско, Олена Миколаївна Прудко, Олексій Віталійович |
| Ключові слова: | кібербезпека інформаційно-телекомунікаційних систем;захист комп’ютерних мереж;виявлення вразливостей;аналіз мережевого трафіку;інструменти кібербезпеки;моделювання кібернетичних атак |
| Дата публікації: | 2022 |
| Короткий огляд (реферат): | Розроблення рекомендацій щодо оптимізації системи захисту інформаційно телекомунікаційної системи на основі результатів проведених досліджень |
| URI (Уніфікований ідентифікатор ресурсу): | https://er.chdtu.edu.ua/handle/ChSTU/7783 |
| Розташовується у зібраннях: | 125 Кібербезпека та захист інформації (Безпека інформаційних і комунікаційних систем) |
Файли цього матеріалу:
| Файл | Опис | Розмір | Формат | |
|---|---|---|---|---|
| М_125_Прудко_Панаско.pdf Restricted Access | 5.5 MB | Adobe PDF | Переглянути/Відкрити Запит копії |
Усі матеріали в архіві електронних ресурсів захищено авторським правом, усі права збережено.
Extracted text
МІНІСТЕРСТВО ОСВІТИ І НАУКИ УКРАЇНИ
ЧЕРКАСЬКИЙ ДЕРЖАВНИЙ ТЕХНОЛОГІЧНИЙ УНІВЕРСИТЕТ
ФАКУЛЬТЕТ ЕЛЕКТРОННИХ ТЕХНОЛОГІЙ І РОБОТОТЕХНІКИ
КАФЕДРА РОБОТОТЕХНІЧНИХ І ТЕЛЕКОМУНІКАЦІЙНИХ СИСТЕМ ТА
КІБЕРБЕЗПЕКИ
До захисту допущено
завідувач кафедри РТСК
д.т.н., професор
_______________ В.В. Палагін
"_____" _____________ 2022 року
Пояснювальна записка
до дипломного проекту (роботи)
магістра
(освітньо-кваліфікаційний рівень)
на тему «Оптимізація системи захисту інформаційно-телекомунікаційних
систем в умовах загроз та обмежень»
Виконав: студент 2 курсу, групи БІ-011
Спеціальності 125 – «Кібербезпека» ,
(шифр і назва спеціальності)
освітньої програми «Безпека інформаційних і
комунікаційних систем»
(назва освітньої програми)
Прудко О.В.
(прізвище та ініціали)
Керівник Панаско О.М.
(прізвище та ініціали)
Рецензент
(прізвище та ініціали)
Черкаси – 2022 року
Форма № Н-9.01
ЧЕРКАСЬКИЙ ДЕРЖАВНИЙ ТЕХНОЛОГІЧНИЙ УНІВЕРСИТЕТ
Факультет електронних технологій, автотранспорту та машинобудування
Кафедра робототехнічних і телекомунікаційних систем та кібербезпеки
Освітньо-кваліфікаційний рівень магістр
Спеціальність 125 – Кібербезпека
Освітня програма – Безпека інформаційних і комунікаційних систем
ЗАТВЕРДЖУЮ
Завідувач кафедри В.В. Палагін
“_____” ___________________ 2022 року
ЗАВДАННЯ
НА ВИПУСКНУ РОБОТУ СТУДЕНТУ
Прудка Олексія Віталійовича ____________________
(прізвище, ім’я, по батькові)
1. Тема проекту (роботи) Оптимізація системи захисту інформаційно-
телекомунікаційних систем в умовах загроз та обмежень
керівник проекту (роботи) Панаско Олена Миколаївна
(прізвище, ім’я, по батькові, науковий ступінь, вчене звання)
затверджені наказом вищого навчального закладу від «___» __________2022 року № ____
2. Термін здачі студентом закінченої роботи “ 10 ” грудня 2022 року _________
3. Вихідні дані до роботи: Нормативно-правові акти, стандарти та рекомендації у сфері
кібербезпеки й захисту інформаційно-телекомунікаційних систем; наукові публікації та
методичні матеріали щодо методів захисту комп’ютерних мереж і виявлення
кіберзагроз; програмні платформи та інструменти кібербезпеки, зокрема Kali Linux,
pfSense, Security Onion, openSUSE та OWASP BWA; методи виявлення вразливостей,
аналізу мережевого трафіку та протидії атакам у комп’ютерних мережах; типова
модель інформаційно-телекомунікаційної мережі для дослідження ефективності
системи захисту.
4. Зміст розрахунково-пояснювальної записки (перелік питань, що їх належить розробити)
Аналіз сучасних програмних засобів забезпечення кібербезпеки інформаційно-
телекомунікаційних систем; дослідження принципів розгортання комплексної системи
захисту мережі із застосуванням спеціалізованих інструментів кібербезпеки; проведення
тестування мережі шляхом виявлення вразливостей, аналізу мережевого трафіку та
моделювання атак; розроблення рекомендацій щодо оптимізації системи захисту
інформаційно-телекомунікаційної системи на основі результатів проведених досліджень.
5. Перелік графічного матеріалу (з точним зазначенням обов’язкових креслень, плакатів)
1. Структурна схема інформаційно-телекомунікаційної мережі з інтегрованою
системою захисту; 2. Схема архітектури програмно-апаратного комплексу кібербезпеки
із застосуванням Kali Linux, pfSense та Security Onion; 3. Діаграми результатів аналізу
вразливостей та ефективності оптимізації системи захисту мережі.
.6. Консультанти з проекту (роботи) із зазначенням розділів проекту, що їх стосуються
Підпис, дата
Прізвище, ініціали та посада
Розділ завдання завдання
консультанта
видав прийняв
7. Дата видачі завдання
КАЛЕНДАРНИЙ ПЛАН
Термін
№ Назва етапів дипломного проекту
виконання етапів Примітка
з/п (роботи)
проекту (роботи)
1. Аналіз технічного завдання та пошук
18.09.22 – 09.10.22
літератури
2. Аналіз сучасних програмних засобів
забезпечення кібербезпеки інформаційно- 10.10.22 – 24.10.22
телекомунікаційних систем
3. Дослідження принципів розгортання
комплексної системи захисту мережі із
25.10.22 – 10.11.22
застосуванням спеціалізованих інструментів
кібербезпеки
4. Проведення тестування мережі шляхом
виявлення вразливостей, аналізу мережевого 11.11.22 – 25.11.22
трафіку та моделювання атак
5. Розроблення рекомендацій щодо оптимізації
системи захисту інформаційно-
11.11.22 – 25.11.22
телекомунікаційної системи на основі
результатів проведених досліджень
8. Оформлення пояснювальної записки 27.11.22 – 01.12.22
9. Оформлення презентації 02.12.22 – 09.12.22
Студент Прудко О.В.
( підпис ) (прізвище та ініціали)
Керівник проекту (роботи) Панаско О.М.
( підпис ) (прізвище та ініціали)
Зміст
Зміст ......................................................................................................... 4
Вступ ........................................................................................................ 7
1. Загальні відомості ............................................................................... 8
1.1 Kali linux ........................................................................................ 8
1.2 pfSense .......................................................................................... 21
1.3 Security Onion .............................................................................. 22
1.4 openSUSE ..................................................................................... 26
1.5 OWASP BWA .............................................................................. 27
1.6 Висновки до розділу ................................................................... 27
2. Розгортання системи ........................................................................ 28
2.1 Установка та налаштування openSUSE, Kali та OWASP ....... 28
2.2 Установка фаєрвола pfSense ...................................................... 28
2.3 Установка Security Onion ........................................................... 36
2.4 Висновки до розділу ................................................................... 54
3. Перевірка та оптимізація мережі ................................................................. 56
3.1 Пошук вразливостей ................................................................... 56
3.2 Перехоплення, сканування та підміна пакетів трафіку .......... 61
3.3 Соціальна інженерія ................................................................... 69
3.4 Перегляд даних у Security onion ................................................ 79
3.5 Покращення системи безпеки на основі отриманих даних .... 81
3.5 Висновки до розділу ................................................................... 83
Висновки ................................................................................................ 85
Список літератури ................................................................................ 87
Додатки .................................................................................................. 88
5
6
Вступ
В наш час проблема є нормальним розширення малого та середнього
бізнесу через що виникає проблема із тим що необхідна модернізація старих
систем захисту інформаційно-телекомунікаційних систем, через появу
більшої конкуренції, а значить і нових загроз від нових конкурентів. Але як
правило при невеликому розширенні немає нагальної необхідності у
створенні системи захисту із найдорожчих апаратних та програмних
засобів, через що виникає проблема обмеженості при оптимізації системи
захисту інформаційно-телекомунікаційних систем.
Для розкриття проблематики даної роботи можна використати набір
із безкоштовних open source систем. В таких умовах дуже добре видно, що
навіть при таких складних умовах можна зробити більш менш захищену
систему захисту інформаційно-телекомунікаційних систем. Для виконання
самої роботи я зроблю локальну мережу на основі віртуальних машин
піднятих у Virtualbox. Всього мені потрібні будуть такі машини: машина,
яка імітує юзера мережі (openSUSE), супервізор монітор мережі (Security
onion), фаєрвол (pfSense), сторонній користувач для тестування на
проникнення (Kali Linux) та віртуальна машина яка вміє імітувати роботу
сервера із сайтом (OWASP BWA).
Дані операційні системи під віртуальні машини були обрані мною з
наступних причин:
- вони безкоштовні (або мають безкоштовну версію, що не сильно
обмежують їх дієздатність);
- не найскладніші у використанні;
- повністю задовольняють поставлені задачі;
- не громіздкі (окрім Security onion, який потребує досить потужну
машину для повноцінної швидкої роботи без збоїв).
7
1. Загальні відомості
1.1 Kali linux
Kali Linux (раніше відомий як BackTrack Linux) — це open source
дистрибутив Linux на основі Debian, призначений для розширеного
тестування на проникнення та аудиту безпеки, в рамках закону. Дуже
хороша операційна система для початківців у сфері кібербезпеки. Вона має
величезну кількість програм та утиліт для тестування на проникнення на
всіх можливих рівнях та напрямках. В основному програми та утиліти kali
діляться по таких задачах і напрямках:
– збір інформації;
– аналіз вразливостей;
– інструменти криміналістики;
– беспровідні атаки;
– стресс тести;
– веб додатки;
– інструменти експлуатації;
– Sniffing та Spoofing;
– Атаки на паролі;
– Підтримка доступу;
– Злам приладів;
– Анонімність;
– Шифрування даних та антикриміналістика;
– Реверсивна інженерія;
– Інструменти по створенню звітів;
– Вразливі середовища та тренувальні прогрaми.
Nmap ("Network Mapper") — це утиліта з відкритим вихідним кодом
для дослідження мережі та перевірки безпеки. Багато системних
8
адміністраторів та адміністраторів мереж також знаходять її корисною для
таких завдань як інвентаризація мережі, управління службами оновлень та
моніторингу аптайму хостів або служб. Nmap використовує сирі IP пакети
новаторським способом – щоб визначити, які хости доступні в мережі, які
служби (ім'я та версія додатків) ці хости пропонують, які операційні
системи (і версії ОС) там запущені, які типи фільтрів пакетів/фаєрволів
використовуються та дюжини інших показників. Вона була створена для
швидкого сканування великих мереж, але чудово працює і з одиничними
хостами. Nmap запускається на всіх популярних операційних системах, а
офіційні пакети доступні для Linux, Windows і Mac OS X. Крім того до
класичної версії Nmap командного рядка, набір Nmap включає просунутий
графічний інтерфейс і переглядач результатів (Zenmap), гнучкий
інструмент передачі, перенаправлення і налагодження даних (Ncat), утиліту
для порівняння результатів сканування (Ndiff), та інструмент генерації
пакетів та аналізу відповідей (Nping).
sqlmap — це інструмент із відкритим вихідним кодом для
тестування на проникнення, який автоматизує процес виявлення та
експлуатації вразливості, SQL-ін'єкцій та захоплення серверів баз даних.
Він йде разом із потужним двигуном виявлення та багатьма функціями для
кінцевого тестувальника на проникнення, має широкий набір можливостей,
починаючи від збору відбитків баз даних за отриманими від них даними, до
доступу до файлової системи та виконання команд в операційній системі за
допомогою позасмугових (out-of -Band) підключень.
Особливості sqlmap:
– Повна підтримка для таких систем керування базами даних як
MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, IBM
DB2, SQLite, Firebird, Sybase, SAP MaxDB та HSQLDB.
9
– Повна підтримка шести технік SQL-ін'єкцій: сліпа логічна
(boolean-based blind), сліпа, заснована на часі (time-based blind), заснована
на помилці (error-based), заснована на запиті UNION (UNION query-based),
багатоярусні запити (stacked queries) та позасмугова (out-of-band).
– Підтримка прямого підключення до бази даних без проходу через
ін'єкцію SQL, за допомогою введення облікових даних СУБД, IP адреси,
порту та імені БД.
– Підтримка прямого підключення до бази даних без проходу через
ін'єкцію SQL, за допомогою введення облікових даних СУБД, IP адреси,
порту та імені БД.
– Підтримка перенесення користувачів, хеш паролів, привілеїв,
ролей, БД, таблиць і колонок.
– Підтримка завантаження та вивантаження будь-якого файлу з
файлової системи з сервера БД, коли працює програмне забезпечення
MySQL, PostgreSQL або Microsoft SQL Server.
– Підтримка підвищення користувальницьких привілеїв процесу
бази даних через команду Metasploit - Meterpreter getsystem.
Xplico - утиліта, мета якої витягти з перехопленого інтернет трафіку
дані додатків, що містяться. Наприклад, з файлу pcap Xplico отримує кожен
email (протоколи POP, IMAP і SMTP), весь вміст HTTP, кожен дзвінок VoIP
(SIP), FTP, TFTP і т. д. Xplico не є аналізатором мережного протоколу.
Xplico – це криміналістичний інструмент аналізу мережі – Network Forensic
Analysis Tool (NFAT).
Особливості Xplico:
– Підтримувані протоколи: HTTP, SIP, IMAP, POP, SMTP, TCP,
UDP, IPv6;
10
– Незалежна ідентифікація портів протоколів (PIPI) для кожного
протоколу додатків;
– Багатопоточність;
– Дані та інформація, що виводяться в базі даних SQLite або базі
даних database та/або файлах;
– Усі перекомпоновані Xplico дані асоціюються з файлом XML, який
однозначно ідентифікує вміст перезібраних даних потоків і pcap;
– Обробка в реальному часі (залежить від кількості потоків, типів
протоколів та продуктивності комп'ютера – оперативної пам'яті, процесора,
часу доступу до жорсткого диска тощо);
– Модульність.
Kismet – це детектор бездротових мереж 802.11, сніффер та система
виявлення вторгнень. Kismet буде працювати з будь-якими бездротовими
картами, які підтримують сирий режим спостереження і може зісніффити
трафік 802.11b, 802.11a, 802.11g та 802.11n (якщо дозволяє апаратна частина
та драйвери).
Kismet також має модульну архітектуру, що дозволяє
розшифровувати додаткові, не 802.11 протоколи.
Kismet ідентифікує мережі пасивним збором пакетів і виявляє
мережі, що дозволяє йому знаходити (з урахуванням часу, розкриваючи
імена) приховані мережі та присутність немаячкових мереж через трафік
даних.
Nikto – інструмент оцінки веб-серверів. Він призначений для
пошуку різних дефолтних та небезпечних файлів, конфігурацій та програм
на веб-серверах будь-якого типу.
Програма досліджує веб-сервер для пошуку потенційних проблем та
вразливостей безпеки, включаючи:
11
– Неправильні налаштування сервера та програмного забезпечення;
– Дефолтні файли та програми;
– Небезпечні файли та програми;
– Застарілі служби та програми.
wifijammer – утиліта, яка безперервно глушить всіх wifi клієнтів та
точки доступу в межах досяжності. Ефективність цього скрипта залежить
від вашої бездротової карти. Alfa карти, ефективно глушаться в межах
радіусу кварталу високо насиченого точками доступу. Програма має опції
для цільового глушіння окремих каналів, точок доступу чи клієнтів.
BeEF (Browser Exploitation Framework) – це інструмент для
тестування на проникнення, який фокусується на веб-браузерах.
На тлі зростання занепокоєння з приводу атак з глобальної мережі
стосовно клієнтів, включаючи мобільних клієнтів, BeEF, використовуючи
вектори атаки на стороні клієнта, дозволяє професійним тестувальникам на
проникнення оцінити дійсний стан безпеки в цільовому оточенні. На
відміну від інших фреймворків, BeEF не звертає увагу на сотні мережевих
периметрів та клієнтських систем, а досліджує можливі застосування
вразливості в контексті одних відкритих дверей: веб-браузера. BeEF
підчепить один або більше веб-браузерів і використовує їх як плацдарм для
запуску модулів спрямованих команд та наступних атак щодо систем з меж
браузера.
Wireshark - це найперший у всьому світі аналізатор мережевих
протоколів. Він дозволяє вам бачити на мікроскопічному рівні, що
відбувається у вашій мережі. Де-факто (і часто де-юре) він став стандартом
у багатьох індустріях та освітніх установах. Розвиток Wireshark процвітає
завдяки вкладу мережевих експертів у всьому світі. Він є продовженням
проекту, який розпочався у 1998 році.
12
Wireshark володіє великим набором можливостей, які включають
такі:
– Глибока перевірка сотень протоколів, які постійно додаються;
– Є як живе захоплення, так і оффлайн аналіз;
– Стандартний трипанельний браузер пакетів;
– Мультиплатформність: Запускається на Windows, Linux, OS X,
Solaris, FreeBSD, NetBSD та багато інших;
– Захоплювані мережеві дані можна переглядати через графічний
інтерфейс або в консольному режимі через утиліту TShark;
– Найпотужніші в індустрії фільтри відображення;
– Багатий аналіз VoIP;
– Читання/запис багатьох різних форматів файлів захоплення:
tcpdump (libpcap), Pcap NG, Catapult DCT2000, Cisco Secure IDS iplog,
Microsoft Network Monitor, Network General Sniffer (стислий та стиснутий),
Sniffer Pro, та NetXray, Network Instruments , NetScreen snoop, Novell
LANalyzer, RADCOM WAN/LAN Analyzer, Shomiti/Finisar Surveyor,
Tektronix K12xx, Visual Networks Visual UpTime, WildPackets
EtherPeek/TokenPeek/AiroPeek та багато інших;
– Захоплені стислі файли gzip можуть бути розархівовані на льоту;
– Живі дані можуть бути прочитані з Ethernet, IEEE 802.11,
PPP/HDLC, ATM, Bluetooth, USB, Token Ring, Frame Relay, FDDI та інші
(залежать від вашої платформи);
– Підтримка розшифровки багатьох протоколів, включаючи IPsec,
ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP та WPA/WPA2;
– Правила розмітки можуть бути застосовані до списку пакетів для
швидкого інтуїтивного аналізу;
13
– Звіт можна експортувати до XML, PostScript, CSV або у звичайний
текст.
BruteX – це програма для автоматичного пошуку запущених служб
та для брутфорсу всіх їх.
BruteX виробляє автоматичний брутфорсинг усіх служб,
включаючи:
– Відкриті порти;
– DNS домени;
– Імена користувачів;
– Паролі.
backdoor-apk – це шелл скрипт, який спрощує процес додавання
бекдору до будь-якого APK файлу для Android.
Програма постачається зі сторонніми компонентами android-sdk-
linux, apktool та proguard5.2.1.
Tor Browser – повністю налаштованим і портативним браузером,
для перегляду веб-сайтів через мережу Tor. Tor Browser може бути
запущений на Windows, Mac OS X або Linux і при цьому не потрібно
інсталювати будь-яке додаткове програмне забезпечення. Його можна
розмістити на USB флешці і запускати її звідти.
Використання Tor Browser дозволяє приховати свій реальний IP (а
значить і розташування), отримувати доступ до заблокованих у певних
регіонах веб-сайтів, а також запобігти перехопленню даних (наприклад, Tor
трафік не схильний до атаки людина-посередині, що проводиться у вашій
локальній мережі або при підключенні до шахрайської точки доступу).
Tor Browser не тільки повністю автономний, але й містить плагіни та
налаштування для забезпечення додаткової приватності.
14
cherrytree – це програма для зберігання ієрархічних нотаток, яка
підтримує форматування та підсвічування синтаксису, зберігає дані в
єдиному xml або sqlite форматі файлів.
Особливості cherrytree:
– форматування тексту (колір переднього плану, колір фону,
жирний, курсив, підкреслений, перекреслений, маленький текст, заголовки
h1, h2, h3;
– rich text (колір переднього плану, колір фону, напівжирний, курсив,
підкреслення, закреслений, маленький, h1, h2, h3);
– підсвічування синтаксису підтримує декілька мов програмування;
– робота із зображеннями: вставка в текст, редагування (зміна
розміру/поворот), збереження у форматі png;
– робота із вбудованими файлами: вставка в текст, збереження на
диск;
– робота з багаторівневими списками (маркований, нумерований,
список справ та перемикання між ними; багаторядковість з shift+enter);
– робота з простими таблицями (комірки з простим текстом),
вирізати/копіювати/вставити рядки, імпортувати/експортувати у файл csv;
– робота з блоками коду: області простого тексту (опціонально з
підсвічуванням синтаксису) у тексті з форматуванням, імпорт/експорт у
текстовий файл;
– вирівнювання тексту, зображень, таблиць та областей коду
(ліво/центр/право/по ширині);
– асоційовані з текстом та зображеннями гіперпосилання (посилання
на веб-сторінки, посилання на вузли/вузли+якір, посилання на файли,
посилання на папки);
15
– перевірка орфографії (використовуються pygtkspellcheck та
pyenchant);
– підтримка додатка копіювання/вставки: підтримка одиничних
зображень, одиничних блоків коду, одиничних таблиць та суміш
форматованого тексту, зображень, блоків коду та таблиць;
– копіювання/вставка між програмою (тестувалося з libreoffice та
gmail): підтримка одиничних зображень, одиничних блоків коду,
одиничних таблиць та суміші вибраного форматованого тексту, зображень,
блоку коду та таблиць;
– копіювання списку файлів з файлового менеджера та вставка в
cherrytree створить список посилань на файли, зображення розпізнаються та
вставляються в текст;
– друк та збереження у pdf файл вибраної області / вузла / вузла та
підвузлів / всього дерева;
– експорт у html обраної області / вузла / вузла та підвузлів / всього
дерева;
– експорт у простий текст вибраної області / вузла / вузла та підвузлів
/ всього дерева;
– toc генерація для вузла / вузла та підвузлів / всього дерева,
заснована на заголовках h1, h2 і h3;
– пошук вузла, пошук у вибраному вузлі, пошук у вибраному вузлі
та підвузлах, пошук у всіх вузлах;
– заміна в іменах вузлів, заміна у вибраному вузлі, заміна у
вибраному вузлі та в підвузлах, заміна у всіх вузлах;
– збереження останнього пошуку, повторення останньої заміни,
повторення останнього застосованого форматування тексту;
– імпорт з html файлу, імпорт із директорії html файлів;
16
– імпорт з текстового файлу, імпорт із директорії html файлів;
– імпорт з basket, cherrytree, epim html, gnote, keepnote, keynote,
knowit, mempad, notecase, rednotebook, tomboy, treepad lite, tuxcards, zim;
– експорт у файли cherrytree вибраної області / вузла / вузла та
підвузлів / всього дерева;
– захист паролем (використовується 7-zip) - але поки захищений
паролем документ cherrytree відкритий в програмі, незахищена паролем
копія витягується в тимчасову папку файлової системи, ця копія
видаляється, коли ви закриваєте cherrytree;
– перетягування вузлів дерева;
– автоматичне додавання посилань на веб-сторінку під час запису
URL;
– автоматичне додавання посилання на вузол при написанні імені
вузла без пробілів та у верблюжому стилі або оточеного квадратними
дужками [[ім'я вузла]].
JavaScript Obfuscator – інструмент, який трансформує ваш
оригінальний вихідний код JavaScript у нове уявлення, яке важче зрозуміти,
скопіювати, повторно використовувати та модифікувати без належного
дозволу автора. Обфускований результат матиме точно таку ж
функціональність, як і оригінальний код.
У той час як UglifyJS (та інші зменшувачі) на виході дають код, який
важче зрозуміти (стислий або потворний), використовуючи JS Beautifier він
може бути легко трансформований у щось що можна прочитати. Цей
інструмент запобігає цьому, використовуючи різні перетворення та
«пастки», такі як самозахист та захист від відладки.
Detect It Easy або скорочено DIE – це програма для визначення
типів файлів.
17
Багато подібних програм (PEID, PE tools) дозволяють
використовувати сторонні сигнатури. На жаль, ці сигнатури сканують
тільки байти заздалегідь заданою маскою, і неможливо вказати якісь
додаткові параметри. В результаті чого часто виникають помилкові
спрацьовування. Більш складні алгоритми зазвичай прописані у вихідному
коді. Отже, щоб додати комплексне нове виявлення, необхідно
перекомпілювати всю програму. Ніхто, крім самих авторів, неспроможна
змінити алгоритм виявлення. Згодом такі програми втрачають актуальність
без постійної підтримки.
Detect It Easy має повністю відкриту архітектуру сигнатур. Ви
можете легко додати власні алгоритми виявлення або змінити вже існуючі.
Це досягається за допомогою скриптів. Мова сценаріїв дуже схожа на
JavaScript, і будь-яка людина, яка знається на основах програмування, легко
зрозуміє, як вона працює. Можливо, хтось вирішить, що скрипти працюють
дуже повільно. Справді, скрипти працюють повільніше, ніж
скомпільований код, але, завдяки хорошій оптимізації Script Engine,
особливих незручностей це не викликає. Можливості відкритої архітектури
компенсують ці обмеження.
IE існує у трьох версіях. Базова версія (DIE), полегшена версія
(DIEL) і консольна версія (DIEC). Всі три використовують ті самі
сигнатури, які знаходяться в папці «db». Якщо ви відкриєте цю папку, ви
побачите вкладені підпапки («Binary», «PE» та інші). Імена підпапок
відповідають типам файлів. Спочатку DIE визначає тип файлу, а потім
послідовно завантажує всі сигнатури, що лежать у відповідній папці. В
даний час програма визначає такі типи:
– Виконувані файли MSDOS MS-DOS;
– Виконувані файли PE Windows;
18
– Виконувані файли ELF Linux;
– Виконувані файли MACH Mac OS;
– Всі інші файли у двійковому форматі.
Damn Vulnerable Web Application (DVWA) — це веб-додаток на
PHP/MySQL, який страшенно вразливий. Його головна мета — допомогти
професіоналам з безпеки протестувати їхні навички та інструменти в
легальному оточенні, допомогти веб-розробникам краще зрозуміти процес
безпеки веб-додатків та допомогти студентам та вчителям у вивченні
безпеки веб-додатків у контрольованому оточенні аудиторії.
Мета DVWA попрактикуватися в деяких найпоширеніших веб-
уразливості, з різними рівнями складності, з простим прямолінійним
інтерфейсом. Зверніть увагу, що є як задокументовані, так і
незадокументовані вразливості цього програмного забезпечення. Це
зроблено спеціально. Вам пропонується спробувати та виявити так багато
вразливостей, як зможете.
Damn Vulnerable Web Application страшенно вразливе! Не
завантажуйте його в публічну html папку вашого хостингу провайдера або
на будь-який сервер, що має вихід в Інтернет, оскільки вони будуть
скомпрометовані. Рекомендується використовувати віртуальну машину
(таку як VirtualBox або VMware), встановлені в мережевий режим NAT.
Всередині гостьової машини ви можете завантажувати та встановити веб-
сервер та бази даних.
Деякі з вразливостей веб-застосунків, який містить DVWA:
– Брутфорс: Брутфорс HTTP форми сторінки входу;
використовується для тестування інструментів атаки на пароль методом
грубої сили і показує небезпеку слабких паролів;
19
– Виконання (використання) команд: Виконання команд рівня
операційної системи;
– Міжсайтова підробка запиту (CSRF): Дозволяє «атакувати»
змінити пароль адміністратора додатків;
– Використання файлів: дозволяє "атакуючому" приєднати
видалені/локальні файли до веб-додатку;
– SQL Впровадження: Дозволяє "атакуючому" впровадити SQL
вирази в HTTP з поля введення, DVWA включає сліпе і засноване на
помилці SQL впровадження;
– Небезпечне вивантаження файлів: Дозволяє "атакуючому"
вивантажити шкідливі файли на веб-сервер.
bWAPP - це безкоштовний, опен соурсний, навмисно небезпечний
веб-додаток.
Воно допомагає ентузіастам з безпеки, розробникам та дослідникам
виявляти та запобігати веб-вразливостям.
bWAPP готує спеціалістів для проведення успішних тестів на
проникнення та участі у проектах етичного хакінгу.
bWAPP охоплює всі уразливості з OWASP Top 10 project,
включаючи:
– SQL, HTML, iFrame, SSI, OS Command, PHP, XML, XPath, LDAP,
Host Header та SMTP ін'єкції;
– Cross-Site Scripting (XSS), Cross-Site Tracing (XST) та Cross-Site
Request Forgery (CSRF);
– Проблеми AJAX та веб-служб (jQuery/JSON/XML/SOAP/WSDL);
– Питання аутентифікації, авторизації та сесій, вразливість
вивантаження файлів та файлів бекдорів;
20
– Довільний доступ до файлів, лазіння по директоріями (directory
traversals), локальне та віддалене впровадження файлів (LFI/RFI);
– Проблеми конфігурації: Man-in-the-Middle, файли cross-domain
policy, розкриття інформації;
– HTTP parameter pollution, HTTP response splitting та HTTP verb
tampering;
– Небезпечні конфігурації DistCC, FTP, NTP, Samba, SNMP, VNC та
WebDAV;
– HTML5 ClickJacking, Cross-Origin Resource Sharing (CORS) та
проблеми веб-сховища;
– XML External Entity attacks (XXE) та Server Side Request Forgery
(SSRF);
– Вразливості Heartbleed і Shellshock (OpenSSL), Атаки відмова-
обслуговування (DoS);
– Parameter tampering, cookie та password reset poisoning.
1.2 pfSense
pfSense – це спеціалізований дистрибутив операційної системи
FreeBSD з відкритим кодом, призначений виконувати функції мережевого
екрана й мережевого маршрутизатора.
Дистрибутив pfSense встановлюють на комп'ютер або віртуальну
машину, аби створити виділений мережевий екран/маршрутизатор для
комп'ютерної мережі. Він дозволяє здійснювати налаштування й оновлення
за допомогою веб-інтерфейсу без знання операційної системи FreeBSD, на
котрій базується.
21
1.3 Security Onion
Security Onion – це безкоштовний відкритий дистрибутив Linux для
пошуку загроз, моніторингу безпеки підприємства та керування
журналами. Він містить наші власні інструменти для сповіщень,
інформаційних панелей, Hunt, PCAP і Cases, а також інші інструменти, такі
як Playbook, FleetDM, osquery, CyberChef, Elasticsearch, Logstash, Kibana,
Suricata, Zeek і Wazuh.
Playbook – це веб-додаток, доступний для встановлення на вузлах
менеджера (Рис 1.1). Playbook дає змогу створювати Detection Playbook,
який сам по собі складається з окремих відтворень. Ці відтворення є
повністю самостійними та описують різні аспекти певної стратегії
виявлення.
Ключовими компонентами Playbook є:
– Об’єкт і контекст – що саме ми намагаємося виявити і чому?
– Які подальші дії необхідні для підтвердження та/або виправлення
результатів?
– Фактичний запит, необхідний для реалізації мети Play. У нашому
випадку конфігурація ElastAlert / Elasticsearch.
22
Рис 1.1 – веб-інтерфейс Playbook
Будь-які результати Play (низького, середнього, високого,
критичного рівня серйозності) доступні для перегляду в панелях
Dashboards, Hunt або Kibana. Результати високого або критичного рівня
серйозності від Play створять сповіщення в інтерфейсі сповіщень консолі
Security Onion.
Останнім елементом Playbook є автоматизація. Після активації
відтворення відбувається наступне:
– Необхідну конфігурацію ElastAlert запущено у виробництво;
– Рівень ATT&CK Navigator оновлено відповідно до поточного
покриття.
CyberChef — це простий, інтуїтивно зрозумілий веб-додаток для
виконання будь-яких «кібер» операцій у веб-браузері (Рис 1.2). Ці операції
включають:
– просте кодування, як XOR або Base64;
– більш складне шифрування – AES, DES і Blowfish;
– створення двійкових і шістнадцяткових дампів;
23
– стиснення та розпакування даних;
– обчислення хешів і контрольних сум;
– аналіз IPv6 і X.509;
– зміна кодування символів.
Інструмент розроблено для того, щоб як технічні, так і нетехнічні
аналітики могли маніпулювати даними складними способами без
необхідності мати справу зі складними інструментами чи алгоритмами.
У CyberChef є чотири основні напрямки:
– Поле введення у верхньому правому куті, куди можна вставляти,
вводити або перетягувати текст чи файл, з яким потрібно оперувати;
– Поле виводу в нижньому правому куті, де відображатимуться
результати вашої обробки;
– Список операцій у крайньому лівому куті, де ви можете знайти всі
операції, на які здатний CyberChef, у категоризованих списках або за
допомогою пошуку;
– Область рецептів посередині, куди можна перетягнути операції, які
ви хочете використати, і вказати аргументи та параметри.
24
Рис 1.2 – веб інтерфейс CyberChef
Kibana – це безкоштовний відкритий інтерфейс користувача, який
дозволяє візуалізувати ваші дані Elasticsearch і навігацію в Elastic Stack.
Робіть будь-що: від відстеження завантаження запитів до розуміння того, як
запити проходять через ваші програми.
Увійшовши в Kibana, ви повинні розпочати роботу на інформаційній
панелі Security Onion — Home (Рис 1.3).
Якщо ви спробуєте змінити інформаційну панель за замовчуванням,
ваші зміни буде перезаписано. Замість того, щоб змінювати, скопіюйте
потрібну інформаційну панель і відредагуйте копію. Ви також можете
розглянути можливість налаштування Kibana Spaces, оскільки це дозволить
вам вносити будь-які зміни, не перезаписуючи їх. Це стосується не лише
інформаційних панелей, але й певних налаштувань Kibana.
25
Рис 1.3 – інформаційна панель Kibana
1.4 openSUSE
openSUSE – дистрибутив GNU/Linux. Був заснований на
дистрибутиві Slackware, однак був значно переделан і є особливим
дистрибутивом, що відрізняється від останнього формату пакетів, а також
системою налаштувань і адміністрування YaST. У цей час SUSE включила
в себе багато аспектів Red Hat Linux (використання системи RPM і
/etc/sysconfig). Цикл випуску нових версій — 1 рік.
Проект openSUSE включає в себе віки-проект, портал для
користувачів, «Build Service» для розробників, арт-проект для дизайнерів,
поштову розсилку та канали IRC на різних мовах, Suse Studio для створення
свого openSUSE, який зараз був об’єднаний з Open Build Service,
називається «SUSE Studio Express».
26
1.5 OWASP BWA
OWASP Broken Web Applications Project – це колекція вразливих
веб-застосунків, які розміщені у віртуальній машині.
Broken Web Applications (BWA) Project може бути цікавим при:
– вивченні безпеки веб-додатків;
– тестування ручних методик оцінки;
– тестування автоматизованих інструментів;
– тестуванні інструментів аналізу вихідного коду;
– спостереженні за веб-атаками;
– тестуванні фаєрволів веб-додатків (WAF) та подібних технологій;
Головна мета програми — зберегти час пентестерів та професіоналів
у сфері безпеки, який їм довелося б витратити на компілювання,
налаштування та каталогізацію з нуля всіх зібраних цим проектом програм.
Крім колекції вразливих веб-застосунків для безпечного тренування
в тестуванні на проникнення, віртуальна машина також має добірку для
тестування інструментів, призначених для аналізу веб-додатків.
1.6 Висновки до розділу
Виконуючи даний розділ була зібрана загальна інформація про
основні операційні системи, їх фреймворки, утиліти та програми на основі
яких буде продемонстрована робота з оптимізації систем захисту
інформаційно-телекомунікаційних систем в умовах загроз та обмежень.
Окрім цього виконуючи цей розділ була проведена робота по пошуку
літератури з описом роботи із фреймворками та утилітами із якими я ніколи
до цього не працював.
27
2. Розгортання системи
2.1 Установка та налаштування openSUSE, Kali та OWASP
Для виконання даної роботи немає необхідності специфічно
налаштовувати дані операційні системи, так як openSUSE грає роль
звичайного користувача/серверу в локальній мережі і для оптимізації
захисту даної інформаційно-телекомунікаційної системи було обрано дві
додаткові системи, а саме фаєрвол pfSense та система для пошуку загроз та
моніторингу Security Onion. Система для пентестингу (тестування на
проникнення) Kali linux грає роль зовнішньої загрози для мережі, не має
надзвичайних опцій для налаштування під час встановлення і у базовому
вигляді надає достатню програмну підтримку для тестування на
проникнення в систему. OWASP bwa, як було описано у попередньому
пункті – готова віртуальна машина з набором відомих вразливостей. Тому
можна використати вже готові розгорнуті образи віртуальних машин.
2.2 Установка фаєрвола pfSense
Для установки фаєрвола на віртуальну машину потрібно скачати
образ pfSense для подальшої установки. В налаштуваннях носіїв віртуальної
машини додаємо образ (Рис 2.1).
Рис 2.1 – налаштування носіїв віртуальної машини для установки pfSense
28
Після обрання образу необхідно налаштувати мережеві адаптери для
машини. В даному випадку необхідно обрати два адаптери, один буде
відігравати роль WAN адаптера для виходу в зовнішню мережу(Рис 2.2),
інший LAN адаптера для внутрішньої мережі(Рис 2.3).
Рис. 2.2 – налаштування мережевого адаптера для виходу в зовнішню
мережу.
Рис. 2.3 – налаштування внутрішнього мережевого адаптера
По завершенню налаштувань віртуальних пристроїв машини можна
перейти до установки самого фаєрвола. Запускаємо машину, відкривається
термінал із бут меню pfSense(Рис 2.4).
29
Рис. 2.4 – бут меню операційної системи pfSense
Через деякий час з’явиться меню установки операційної системи.
Спочатку відкриється вікно конфігурації консолі, приймаємо дефолтні
налаштування конфігурації (Рис 2.5).
Рис. 2.5 – меню конфігурації консолі
У наступному вікні обираємо quick/easy install (швидку/просту
установку) (Рис 2.6).
Рис. 2.6 – меню вибору задачі для програми встановлення
Одразу після установки віртуальна машина буде перезапущена. При
запуску знову з’явиться термінал з бут меню який через декілька секунд
запустить операційну систему для подальшого налаштування:
1) З’явилось питання “чи потрібно налаштувати VLAN зараз?”.
Вводимо n (Рис 2.7).
30
Рис 2.7 – налаштування VLAN
2) Обираємо WAN інтерфейс, в даному випадку необхідно обрати
інтерфейс em0 (Рис 2.8).
Рис 2.8 – вибір WAN інтерфейса
3) Обираємо LAN інтерфейс, вводимо pcn0 (Рис 2.9).
Рис 2.9 – вибір LAN інтерфейса
4) Після цього з’являється вибір опціонального мережевого
інтерфейсу. Нічого не вводимо і натискаємо Enter (Рис 2.10).
Рис 2.10 – вибір опціонального мережевого інтерфейсу
5) Далі з’явиться повідомлення із переліком обраних мережевих
інтерфейсів та питанням “Чи дійсно ви бажаєте продовжити
налаштування?” (Рис 2.11). Вводимо y (Yes), підтверджуючи це.
31
Рис 2.11 – повідомлення з переліком мережевих інтерфейсів та
підтвердженням.
Після підтвердження почнеться налаштування мережевих
інтерфейсів, програм в операційній системі та самої операційної системи,
що займе деякий час. По завершенню налаштувань з’явиться повідомлення
із привітаннями та меню керування операційною системою, в якому
необхідно налаштувати інтерфейс IP адреси (Рис 2.12).
Рис 2.12 – меню керування операційною системою pfSense у терміналі
Вводимо “2” для налаштування інтерфейсу IP адреси. В наступному
меню обираємо необхідний інтерфейс (Рис 2.13). Для початку налаштуємо
LAN інтерфейс, вводимо “2”.
Рис 2.13 – вибір інтерфейса для налаштування
Далі необхідно ввести нову IPv4 адресу, вводимо 10.0.10.1 та
натискаємо Enter. Після цього необхідно ввести бітність для підмережі,
32
вводимо 24. У наступних трьох меню налаштування нічого не вписуєм і
натискаємо Enter (Рис 2.14).
Рис 2.14 – налаштування LAN інтерфейса
У наступних трьох пунктах нічого не вводимо і натискаємо Enter.
При запитанні “Чи хочете увімкнути DHCP сервер для LAN” (Рис 2.15)
вводим “y” та натискаємо Enter. Вводимо діапазон для клієнтських адрес
мережі. Спочатку вводимо початкове значення 10.0.10.1 потім кінцеве
10.0.10.100
Рис 2.15 – Ввімкнення DHCP серверу для LAN та налаштування діапазону
клієнтських адрес внутрішньої мережі.
Аналогічно до LAN інтерфейсу потрібно налаштувати WAN
інтерфейс (Рис 2.16). Єдине що відрізняється у налаштуванні WAN
інтерфейсу, це IPv4 адреса 192.168.0.254.
Тепер необхідно перевірити наявність підключення машини до
мережі. Для цього не виходячи з терміналу можна відкрити Shell, ввівши 8,
та ввівши команду ping та пропінгуємо 8.8.8.8.
33
Рис 2.16 – пропінговка через Shell
Після успішного встановлення мережевого екрану на машину можна
до нього підключитись через браузер відкритий на одній із машин в
локальній мережі. Для цього необхідно ввести його локальну адресу
10.0.10.1 після чого відкриється веб інтерфейс фаєрволу. Для входу до
налаштування користувача потрібно використати стандартний логін і
пароль – admin: pfSense.
Далі відкриється вікно з налаштуваннями основної інформації,
інформацією про серверний час (Рис 2.17) та (Рис 2.18).
Рис 2.17 – Вікно налаштування основної інформації про сервер
34
Рис 2.18 – Вікно налаштування таймзони сервера
Потім відкриється вікно з налаштуванням WAN інтерфейсу (Рис
2.19), залишаєм все за замовченням. Аналогічно з налаштуванням LANу
(Рис 2.20).
Рис 2.19 – Вікно налаштування WAN інтерфейсу
Рис 2.20 – Вікно налаштування LAN інтерфейсу
У вікні для налаштування паролю для адміністратора графічного веб
інтерфейсу вводимо свій пароль (Рис 2.21).
Рис 2.21 – Вікно налаштування паролю для адміністратора графічного веб
інтерфейсу
35
Після успішної зміни пароля система перезавантажиться та
відкриється головне вікно веб інтерфейса pfSense (Рис 2.22) і він буде
повністю готовим до роботи.
Рис 2.22 – головне вікно веб інтерфейса pfSense
2.3 Установка Security Onion
Перед початком установки Security Onion аналогічно до Kali в
налаштуваннях носіїв віртуальної машини додаємо образ та налаштовуємо
два віртуальних адаптера (Рис 2.23 і Рис 2.24).
Рис 2.23 – налаштування мережевого адаптера для виходу в зовнішню
мережу.
36
Рис 2.24 – налаштування внутрішнього мережевого адаптера
Після первинних налаштувань запускаємо віртуальну машину, та
чекаємо на бут меню. У ньому обираємо версію Security Onion 2.3.120 in
basic graphics mode (Рис 2.25) яка не так сильно навантажує машину як
повна версія.
Рис 2.25 – бут меню Security Onion
Через деякий час з’явиться запит на початок процесу інсталяції
операційної системи (Рис 2.26). Натискаємо клавішу Enter для запуску.
37
Рис 2.26 – запит на початок інсталяції операційної системи
Крім попереднього запиту на початок інсталяції після первинних
підготовок до установки операційної системи з’явиться запит із
попередженням про те що при подальшій інсталяції Security Onion на
пристрій будуть видалені всі дані з самого пристрою (Рис 2.27).
Рис 2.27 – попередження про видалення всіх даних із пристрою при
подальшій інсталяції
Вводимо “yes” в термінал та натискаємо Enter, перед початком
установки потрібно налаштувати профіль адміністратора для Security
Onion. Вводимо юзернейм admin та будь-який пароль (Рис 2.28).
Рис 2.28 – налаштування профілю адміністратора для Security Onion
38
Після введення даних для адміністратора почнеться установка
Security Onion на машину. По завершенню установки з’явиться зaпит на
перезавантаження машини. Натискаємо Enter та чекаємо на перезапуск.
Тепер в бут меню замість вибору інсталятора с о буде вибір встановленої
операційної системи (Рис 2.29). Обираємо наступну операційну ситсему:
CentOS Linux (3.10.0-1160.62.1.e17.x86_64) 7 (core).
Рис 2.29 – вибір операційної системи в бут меню
Після запуску система запросить логін та пароль для входу. Вводимо
дані адміністраторського профілю який ми щойно налаштовували, та
входимо в систему. Відкрилось меню налаштування операційної системи
яке ще раз перепитує чи хочемо ми продовжити налаштування системи (Рис
2.30).
Рис 2.30 – Перше вікно меню налаштування операційної системи Security
Onion
39
Далі обираємо стандартне встановлення системи Security Onion (Рис
2.31).
Рис 2.31 – Вибір налаштування системи
Обираємо тип інсталяції операційної системи. В нашому випадку
необхідно обрати автономну установку (Standalone production install) та
натиснути “Ок” (Рис 2.32).
Рис 2.32 – вибір типу інсталяції операційної системи
Далі необхідно ознайомитись із ліцензією та підтвердити те що ви
погоджуєтесь із її умовами, вписавши AGREE (погоджуюсь) в поле для
вводу (Рис 2.33).
40
Рис 2.33 – екран ознайомлення із ліцензією
Далі відкривається меню для введення імені хосту операційної
системи. Вводимо ім’я хосту для операційної системи (Рис 2.34).
Рис 2.34 – меню для введення імені хосту
Після введення може з’явитись вікно із попередженням що ім’я
securityonion стандартне та чи впевнені ви що хочете використовувати його.
Обираємо Use anyway та переходимо далі до вибору мережевого адаптеру.
Обираємо перший, натискаємо пробіл (у дужках коло обраного адаптера
з’явиться зірочка *) та натискаємо на клавішу Ок (Рис 2.35).
41
Рис 2.35 – вибір мережевого адаптера
У наступному вікні буде вибір для налаштування інтерфейса
менеджмента. Обираємо статичну IPv4 адресу (Рис 2.36).
Рис 2.36 – вибір для налаштування інтерфейса менеджмента операційної
системи
42
Далі необхідно налаштувати адресу для основного шлюзу та DNSа
(Рис 2.37, 2.38 та 2.39).
Рис 2.37 – налаштування адреси для основного шлюзу
Рис 2.38 – налаштування DNS сервера
Рис 2.39 – налаштування DNS домену
43
Обираємо установку без підключення до інтернету (Рис 2.40)
Рис 2.40 – вибір установки з інтернетом або без інтернету
Далі буде налаштовуватись адаптер для зовнішнього підключення.
Обираємо його, та натискаємо Ок (Рис 2.41, 2.42 та 2.43).
Рис 2.41 – вибір адаптера для налаштування
Рис 2.42 – встановлення діапазону для внутрішньої мережі
44
Рис 2.43 – вибір типу налаштування
Далі необхідно обрати який інструмент для генерації метаданих буде
встановлено. Обираємо Suricata метаданих та для попередження про
проникнення (Рис 2.44).
Рис 2.44 – вибір необхідних інструментів для ОС
При виборі набору правил обираємо ETOPEN, так як він єдиний не
потребує платної ліцензії (Рис 2.45).
45
Рис 2.45 – вибір набору правил для встановлення
Обираємо опціональні сервіси для встановлення. По замовчуванню
обрані всі 4, залишаємо як є (Рис 2.46).
Рис 2.46 – Вибір опціональних сервісів для ОС Security onion
Після цього треба вказати адресу для створення акаунта
адміністратора у веб інтерфейсі. Вводимо [email protected]. У наступних
двох вікнах потрібно буде ввести та підтвердити пароль для адміністратора
(Рис 2.47).
46
Рис 2.47. – Створення акаунта адміністратора у веб інтерфейсі
Далі необхідно вибрати як саме буде відбуватись підключення до
веб-інтерфейсу. Обираємо підключення по IP адресі (Рис 2.48).
Рис 2.48 – вибір підключення до веб-інтерфейсу
Далі буде запитання “чи потрібно налаштувати ntp сервери?”,
обираємо ні (Рис 2.49).
Рис 2.49 – запит на налаштування ntp серверів
47
І останнє, вводимо діапазон для айпі адрес CIDR. Вводимо
192.168.0.0/16 (Рис 2.50).
Рис 2.50 – введення діапазону для айпі адрес CIDR
Чекаємо на завершення налаштування операційної системи. Після
завершення та перезапуску машини система буде готова до використання.
Тепер до веб-інтерфейсу Security Onion можна підключитись
використовуючи IPv4 адресу яку ми задали для основного шлюзу.
Відкриється вікно входу в систему. Вводимо пошту та пароль які були
створені для акаунту адміністратора у веб-інтерфейсі (Рис 2.51).
Рис 2.51 – Екран входу в веб-інтерфейс Security Onion
48
Відкрився головний екран веб інтерфейсу Security onion, де ми
бачимо наступні розділи: overview, alerts, dashboards, hunt, cases, PCAP, grid,
downloads та administrator (Рис 2.52, 2.53, 2.54, 2.55, 2.56, 2.57, 2.58, 2.59).
Рис 2.52 – Розділ overview операційної системи Security onion
49
Рис 2.53 – Розділ alerts операційної системи Security onion
Рис 2.54 – Розділ dashboards операційної системи Security onion
50
Рис 2.55 – Розділ hunt операційної системи Security onion
Рис
2.56 – Розділ cases операційної системи Security onion
51
Рис 2.57 – Розділ PCAP операційної системи Security onion
Рис 2.58 – Розділ grid операційної системи Security onion
52
Рис 2.58 – Розділ downloads операційної системи Security onion
Рис 2.59 – Розділ downloads операційної системи Security onion
53
2.4 Висновки до розділу
Виконуючи цей розділ було виконано розгортання віртуальної
локальної мережі на основі програми Virtualbox із таких операційних
систем (Рис 2.60):
- openSUSE;
- Kali linux;
- pfSense;
- Security onion;
- OWASP BWA.
Рис 2.60 – топологія розгорнутої мережі
Крім того була розроблена інструкція по встановленню двох
операційних систем із не самою зручною та зрозумілою для звичайного
користувача установкою на віртуальні та фізичні машини, а саме для
Security onion та pfSense.
54
55
3. Перевірка та оптимізація мережі
3.1 Пошук вразливостей
Для початку перевіримо наявність відкритих портів за допомогою
утиліти nmap та whireshark.
Рис. 3.1 – Результат сканування відкритих портів через nmap в консолі
Рис. 3.2 – результат сканування відкритих портів через nmap у Wireshark
56
Рис. 3.3 – результат сканування відкритих TCP портів через nmap
Рис. 3.4 – результат сканування найпопулярніших портів через nmap
Рис. 3.5 Агресивне сканування через nmap
57
Рис 3.6 – результат скріпт скану через nmap
Знаючи які є вразливі відкриті порти можна підключитись до
машини використовуючи іншу утиліту Kali для подальшого тестування на
проникнення – Metasploit. Запускаємо її, та вводимо команду connect
192.168.68.12.
Рис 3.7 – підключення до вразливого порту
Далі вводимо команду show exploits для виведення інформації про
відомі вразливості.
58
Рис 3.8 – інформація про відомі вразливості
Також для пошуку вразливостей можна використати утиліту Nikto.
Підключаємось до машини через команду nikto -host 192.168.68.12.
Отримуємо результат з IP адресою, іменем хосту, вразливим портом та
серверним часом.
Рис 3.9 – інформація про підключення через Nikto
Перевіряємо машину через nikto -Plugins -httpoptions
59
Рис 3.10 – перевірка машини через nikto -Plugins -httpoptions
Перевіряємо машину через nikto -Plugins tests -host
192.168.68.12
та генеруємо звіт по тестуванню через команду nikto -host
192.168.68.12 -output report.html
60
Рис 3.11 – перевірка машини через nikto -Plugins tests -host
192.168.68.12
Генеруємо звіт для на основі стягнутих даних nikto -host
192.168.68.12 -output report.html
Рис 3.12 – генерування звіту через nikto використовуючи nikto -host
192.168.68.12 -output report.html
3.2 Перехоплення, сканування та підміна пакетів трафіку
Ще в Kali є інструменти для аналізу на наявність вразливостей у
сайтів. Для даної роботи я використовував утіліту owasp-zap
61
Рис 3.13 – шлях до утіліти owasp-zap
При запуску програми необхідно вибрати опцію “no, i do not want to
persist this session at this moment in time” та запустити програму натиснувши
старт
Рис 3.14 – передустановки до запуска утіліти owasp-zap
Далі відкривається головний екран програми owasp-zap із полем
URL to attack для введення посилань сайтів на які будуть проходити тестові
атаки, та кнопками attack і stop. В поле URL to attack вводимо адресу
машини із сайтом на ній, а саме 192.168.68.12 та натискаємо на кнопку
attack.
62
Рис 3.15 – головний екран owasp-zap
Через 6-9 хвилин програма завершить сканування. Далі потрібно
відкрити список загроз “Alerts”. Там можна вибрати одну із загроз та
подивитись про неї детальну інформацію.
Рис 3.16 – розділ “Загрози” в програмі owasp-zap
Окрім попередніх утиліт для аналізу вразливостей можна
використовувати утиліту enum4linux. Запустіть утиліту для перевірки по
айпі адресі машини з OWASPом. Для цього потрібно використати команду
enum4linux -o 192.168.68.12. За допомогою неї ми дізнались що,
цільова машина використовує сервер Samba версії 3.4.7.
63
Рис 3.17 – інформація про ОС стягнута за допомогою утиліти enum4linux
Знаючи, що на машині стоїть сервер Samba можна стягнути
інформацію про його системні складові. Для цього необхідно використати
команду enum4linux -S 192.168.68.12
Рис 3.18 – стягнута інформація про системні складові серверу Samba
З даною інформацією можна спробувати підключитись до
кореневого каталогу, та підмінити кореневого юзера, за допомогою
команди smbclient -I 192.168.68.12 -L IPC$ -N -U “” . Після цього виводимо
список юзерів за допомогою команди enum4linux -U 192.168.68.12 та
бачимо нового юзера.
Рис 3.19 – інформація про юзерів серверу
64
Рис 3.20 – перетворення коду з 16-ої системи в 10-ву
Користувач nobody має код прав 501, тобто кореневого юзера, а рут
юзер 1001, що є кодом звичайного юзера, тобто команда що створила юзера
nobody змістила його з місця кореневого юзера.
Також знаючи тип серверу на машині можна дістати набір логінів
усіх користувачів із паролями використовуючи утиліту xhydra. В ній
потрібно ввести цільову адресу та протокол серверу, в даному випадку smb
65
Рис 3.21 – вікно утиліти xhydra
Далі обираємо необхідних юзерів в розділі паролі, в нашому випадку
потрібні всі імена юзерів, тому обираємо у світчері Username List та у полі
поруч нічого не вводимо.
Рис 3.22 – вибір діапазону користувачів в xhydra
Далі обираємо список необхідних паролів для парсингу
Рис 3.23 – вибір діапазону паролів для парсингу
Після вибору діапазонів переходимо на вкладку старт, та натискаємо
кнопку старт. Через деякий час програма видасть результат роботи
парсингу.
66
Рис 3.24 – Результат парсингу логінів та паролів
Також можна спробувати перехоплювати пакети серверу. Для цього
можна використати сніфер tcpdump. Вводимо в терміналі команду -i eth0
–s0 -w testdump.pcap для перехоплення пакетів. Тепер він працює поки
його не зупинять. Для перевірки відкриємо інший термінал та спробуємо
згенерувати трафік з віртуальною машиною OWASPа. Для цього
використаємо команду smbclient -L 192.168.68.12 , пароль
owaspbwa.
Рис 3.25 – Підключення до OWASP BWA в якості клієнта
Вводимо smbclient \\\\192.168.68.12\\owaspbwa для
отримання віддаленого доступу до файлів на сервері в директорії owaspbwa.
Вводимо ls для перегляду вмісту поточної директорії.
67
Рис 3.26 – Перегляд вмісту директорії owaspbwa
Виходимо з цього терміналу, та відкриваємо Iceweasel, де вводимо
IP OWASP BWA. На головній сторінці обираємо посилання Tiki Wiki. Після
всіх цих маніпуляцій переходимо до терміналу із працюючим сніфером та
вимикаємо його комбінацією клавіш Ctrl+C.
Рис 3.27 – результат роботи сніферу після генерації трафіку із машиною
OWASP BWA в терміналі.
Тепер можна проаналізувати зібраний трафік через інші програми.
Для початку перевіримо його через Wireshark. Запускаємо Wireshark та
обираємо файл testdump.pcap для перегляду перехопленого трафіку. У
фільтрі виставляємо smb протокол, потім http.
68
Рис 3.28 – результат фільтрування перехопленого трафіку з фільтром по
smb протоколу.
Рис 3.29 – результат фільтрування трафіку з фільтром по http протоколу
3.3 Соціальна інженерія
Окрім звичайного проникнення через вразливості у системі існує
загроза проникнення в систему через інструменти соціальної інженерії. В
операційній системі Kali Linux існують інструменти для перевірки таких
вразливостей, наприклад Social-Engineering toolkit та BeEF Framework.
Для початку запускаємо термінал та вводимо setoolkit.
Рис 3.30 – запуск утиліти Social-Engineering toolkit
Після перевірки та встановлення оновлень відкривається головне
меню утиліти Social-Engineering toolkit. Для початку тестування на
проникнення обираємо першу опцію – social-engeneering attacks. Для вибору
вводимо в термінал “1”.
69
Рис 3.31 – виклик опції social-engeneering attacks
В наступному меню обираємо опцію website attack vectors
аналогічно з попереднім меню треба ввести “2” в термінал.
Рис 3.32 – меню social-engeneering attacks та виклик website attack vectors
В меню website attack vectors обираємо Credential harvester attack
method.
70
Рис 3.33 – меню website attack vectors та вибір в ньому Credential harvester
attack method.
В меню Credential harvester attack method обираємо Web templates.
Рис 3.34 – меню Credential harvester attack method та вибір Web templates
Далі обираємо темплейт гугла
Рис. 3.35 – меню Web templates
71
Після вибору темплейту якщо сервер для темплейту не працює, то
операційна система виведе запит на ввімкнення сервера Apache.
Тепер в нас є готова підроблена сторінка авторизації гугл,
залишилось її доналаштувати. Відкриваємо термінал та вводимо наступні
команди cd /var/www/html для переходу в директорію де зберігається
підробний сервер та ls -l для перегляду всіх файлів в директорії. Нам
потрібен файл post.php, для його редагування вводимо nano post.php. В
редакторі файлу знаходимо поле url=http://www.google.com та замінюємо
його на потрібне нам url=http:192.168.9.2. Закриваємо та зберігаємо файл.
Відкриваємо браузер на машині із openSUSE та вводимо 192.168.9.2.
Відкрилась гугл форма для входу в пошту. Вводимо наприклад Email
John_Smith та пароль Letmein. Натискаємо увійти. З’явився напис про те що
за даним посиланням нічого не знайдено.
72
Рис 3.36 – підробне вікно авторизації google
Переходимо назад в термінал Kali, вводимо команду cat harvester
для відкриття файлу зі скопійованими даними. В файлі мають бути поля
Email та Passwd для логіна та паролю відповідно.
Рис 3.37 – дані, що були викрадені через підробну сторінку авторизації
google
73
Також для соціальної інженерії можна використати BeEF
Framework.
В графічному інтерфейсі Kali знаходимо BeEF Framework та
відкриваємо його. Відкрився термінал Kali, в ньому вводимо логін root та
пароль toor. Через декілька хвилин відкриється логін скрін веб-інтерфейсу
BeEF Framework у браузері. Для входу необхідно ввести логін beef та
пароль beef.
Рис 3.38 – вхід у веб-інтерфейс BeEF Framework
74
Відкрився веб інтерфейс BeEF. На середній панелі є два
демонстраційні посилання, клацніть на гіперпосилання, щоб перейти до
сторінки BeEF Basic Demo.
Рис. 3.39 – сторінка вибору версії фреймворку BeEF
Тепер переходимо до openSUSE, відкриваємо браузер, відкриваємо
браузер Firefox де вводимо 192.168.9.2:3000/demos/basic.html.
Після переходу за цим посиланням на машині з openSUSE
переходимо назад до машини з Kali Linux, важливо щоб сторінка з панеллю
управління BeEF у веб-інтерфейсі була відкрита весь цей час. В панелі
управління з’явився список браузерів підключених до підробної сторінки
BeEF. Обираємо браузер 192.168.9.1.
Рис 3.40 – Панель управління BeEF у веб-інтерфейсі
75
Щойно підключений браузер буде обрано, з’явиться панель з
інформацією про нього. Тут відображаються дані про версію браузера, мову
браузера, операційну систему під яку він розрахований, список
встановлених плагінів та навіть розмір вікна.
Рис 3.41 – вкладка деталі веб-інтерфейсу BeEF
Переходимо назад до openSUSE. В поле Insert your secret here:
вводимо якісь дані, наприклад слово “secret”.
76
Рис 3.42 – введення інформації на підробній сторінці BeEF
Ввівши інформацію на підробній сторінці переходимо назад до Kali,
з відкритим BeEF. Відкриваємо вкладку Logs із логами того що відбувалось
на сторінці. Бачимо, що користувач ввів слово secret.
Рис 3.43 – вкладинка Logs з логами того, що зробив користувач на сторінці
підробній сторінці
Тепер переходимо до вкладки Commands. Відкриваємо директорію
browser. В ній відкриваємо директорію Hooked Domain. Обираємо команду
Detect Toolbars та натискаємо кнопку Execute. В результаті виконання не
було знайдено жодного тулбару в браузері.
Рис 3.44 – шлях до команди Detect Toolbars
77
Також можна дізнатись більш точну інформацію про версію
браузера для подальшого пошуку вразливостей. В цій же директорії
потрібно вибрати команду Fingerprint Browser (PoC).
Рис 3.45 – результат роботи команди Fingerprint Browser (PoC)
Крім цього даний фреймворк вміє видавати спливаючі
повідомлення. Для цього необхідно перейти до директорії Social
Engineering bar. В самій директорії необхідно обрати команду Fake
Notification Bar (Firefox). Дана команда маскує шкідливі посилання під
спливаючі повідомлення. Знаючи що жертва використовує саме Firefox
можна підкласти їй відповідне повідомлення про нові оновлення для
браузера.
78
Рис 3.46 – результат роботи Fake Notification Bar (Firefox)
Рис 3.47 – підробне сповіщення про апдейт браузера
3.4 Перегляд даних у Security onion
Виконавши всі перевірки можна подивитись на всі підозрілі дії в
локальній мережі які зафіксувала ОС Security Onion. Для цього нам
знадобляться розділи Alerts та Cases.
79
Рис 3.48 – розділ Alerts в ОС Security onion
Рис 3.49 – розділ cases в ОС Security onion
80
Дослідивши записи в цих розділах можна побачити, що основні
атаки на машини в мережі здійснювались по портах 80 (http), 443 (https) та
53 (DNS).
3.5 Покращення системи безпеки на основі отриманих даних
Виходячи з усіх перевірок та даних зібраних на їх основі, можна
розпочати покращувати рівень безпеки даної мережі.
Для початку необхідно зайти у веб інтерфейс фаєрволу pfSense для
його подальшого налаштування. На головному екрані обираємо вкладку
firewall де вибираємо пункт rules.
Рис 3.50 – головний екран pfSense, вкладка Firewall
Переходимо у вкладку WAN та редагуємо існуючі правила для
фаєрволу.
Рис 3.51 – вкладка WAN в меню Rules
81
У вікні із налаштуваннями обираємо протокол для якого будемо
налаштовувати правила, в нашому випадку це TCP, далі прописуємо
діапазон портів які необхідно закрити. В нашому випадку це HTTP 80.
Потрібно його обрати в обох полях у розділі destination port range. Після
вибору натискаємо сейв.
Рис 3.52 – Меню налаштування нових правил фаєрволу для портів
Відповідно до попереднього налаштування додаємо такі ж правила
для портів https 433 та udp dns 53.
82
Рис 3.53 – вкладка WAN меню Rules після додання всіх необхідних портів
Тепер потрібно перевірити чи працює фаєрвол. Для цього
переходимо в Kali, відкриваємо термінал та вводимо firewalk -n –p TCP
-S 53 –d 23 192.168.9.1 192.168.68.12 для перевірки.
Рис 3.54 – перевірка роботи фаєрволу по порту 53 через 23
3.5 Висновки до розділу
В цьому розділі була проведена досить масивна робота по
тестуванню на проникнення із локальною мережею. Був проведений пошук
вразливостей, перехоплення, сканування та підміна пакетів трафіку, була
імітована соціальна інженерії на прикладі підробної сторінки входу в
аккаунт google та були налаштовані додаткові правила для фаєрволу на
83
основі зібраних даних. На жаль це не вирішить проблеми із небезпекою від
соціальної інженерії, тому в ідеалі необхідно проконсультувати персонал
який буде працювати в даній локальній мережі (якби він був).
84
Висновки
В наш час неможливо уявити світ IT без оптимізації захисту
інформаційних систем в умовах загроз та обмежень через постійне
вдосконалення технологій, наростання зовнішніх загроз для проектів та
бізнесу та водночас обмежених можливостей роботодавців, що створює
додаткові проблеми при вдосконаленні та оптимізації систем захисту.
Виконуючи дану роботу по оптимізації систем захисту
інформаційно-телекомунікаційних систем в умовах загроз та обмежень
було розгорнуто віртуальну локальну мережі на основі програми Virtualbox
із таких операційних систем:
- openSUSE;
- Kali linux;
- pfSense;
- Security onion;
- OWASP BWA.
Крім того була розроблена інструкція по встановленню двох
операційних систем із не самою зручною та зрозумілою для звичайного
користувача установкою на віртуальні та фізичні машини, а саме для
Security onion та pfSense.
Також була проведена досить масивна робота по тестуванню на
проникнення із локальною мережею. Був проведений пошук вразливостей,
перехоплення, сканування та підміна пакетів трафіку, була імітована
соціальна інженерії на прикладі підробної сторінки входу в аккаунт google
та були налаштовані додаткові правила для фаєрволу на основі зібраних
даних. На жаль це не вирішить проблеми із небезпекою від соціальної
інженерії, тому в ідеалі необхідно проконсультувати персонал який буде
працювати в даній локальній мережі.
85
Була зібрана загальна інформація про основні операційні системи, їх
фреймворки, утиліти та програми на основі яких буде продемонстрована
робота з оптимізації систем захисту інформаційно-телекомунікаційних
систем в умовах загроз та обмежень. Окрім цього виконуючи цей розділ
була проведена робота по пошуку літератури з описом роботи із
фреймворками та утилітами із якими я ніколи до цього не працював.
Крім цього я підвищів свої навички в роботі з віртуальними
машинами, їх розгортанням, продумуванням топологій для віртуальних
мереж, навички в різноманітних видах тестування на проникнення, роботі з
фаєрволами та системами моніторингу мереж.
86
Список літератури
1. Kali tools [Електронний ресурс] — Режим доступу до ресурсу:
https://kali.tools
2. 2. Kali Linux Documentation [Електронний ресурс] — Режим
доступу до ресурсу: https://www.kali.org/docs/
3. Security onion solutions [Електронний ресурс] — Режим доступу
до ресурсу: https://securityonionsolutions.com/
4. Блог по Security onion [Електронний ресурс] — Режим доступу
до ресурсу: https://blog.securityonion.net/
5. Офіційний сайт pfSence [Електронний ресурс] — Режим
доступу до ресурсу: https://www.pfsense.org/
6. Офіційний сайт Open Web Application Security Project®
(OWASP) [Електронний ресурс] — Режим доступу до ресурсу:
https://owasp.org/
87