ΠΑΡΑΡΤΗΜΑ Α - Πείραμα προς Αξιολόγηση Του Προγράμματος (spp_icmpspoof)

• Παράδειγμα Α
• Παράδειγμα Β
• Παράδειγμα Γ
• Παράδειγμα Δ
• Παράδειγμα Ε
• Παράδειγμα ΣΤ
• Παράδειγμα Ζ
• Παράδειγμα Η
• Παράδειγμα Θ

ΠΑΡΑΡΤΗΜΑ Β - Πηγές Πληροφόρησης

• Κεφάλαιο 1
• Κεφάλαιο 2
• Κεφάλαιο 3
• Κεφάλαιο 4
• Κεφάλαιο 5
• Διάφορα sites με χρήσιμες πληροφορίες περί Δικτυακών Επιθέσεων και Ασφάλειας στο
  Internet

Στις επόμενες σελίδες περιγράφεται το πείραμα που πραγματοποιήθηκε με στόχο να ελεγχθεί η αποτελεσματικότητα του spp_icmpspoof preprocessor που παρουσιάστηκε στο Κεφάλαιο 6.
Για τις ανάγκες του πειράματος δημιουργήθηκαν τρία τοπικά δίκτυα όπως φαίνεται και στο Σχήμα Α-1.

Σχήμα Α-1: Πειραματικό Δίκτυο

Όπως φαίνεται και στο σχήμα τα δίκτυα NetA, NetB, NetC μοιράζονται από μία IP διεύθυνση Class C που ανήκει στο Private Address Space.

Στον παρακάτω πίνακα δίνονται τα χαρακτηριστικά και η σημασία του κάθε συστήματος του Σχήματος Α-1.

Το δίκτυο NetΑ είναι το προστατευόμενο δίκτυο, το οποίο θα ελέγχεται από το Nids για τυχόν εμφάνιση spoofed Icmp Echo Request / Reply πακέτων.

Το Nids εκτελεί το Snort στο οποίο έχει προστεθεί και ο spp_icmpspoof preprocessor που περιγράφηκε στο Κεφάλαιο 6. Για να ενεργοποιηθεί ο spp_icmpspoof και να εκτελείται με την εκκίνηση του Snort προστέθηκε στο configuration αρχείο του Snort, το snort.conf η εγγραφή:

preprocessor icmpspoof:192.168.100.0/24 3

Με αυτήν την εγγραφή ρυθμίζεται ο spp_icmpspoof να προστατεύει όλο το δίκτυο 192.168.100.0 (δηλαδή το εύρος των IP διευθύνσεων 192.168.100.0 – 192.168.100.255).
Επίσης έχει δηλωθεί ως χρόνος αναμονής για μία απάντηση σε ένα αποθηκευμένο Icmp Echo Request, η τιμή των 3 δευτερολέπτων.
Καθώς δεν έχει δηλωθεί η 3η παράμετρος στον spp_icmpspoof τα παραγόμενα αποτελέσματα θα καταγράφονται στο default αρχείο /var/log/snort/Echospoofs.

Τα συτήματα Vlinux και Achileas είναι αυτά που θα στέλνουν τα spoofed Icmp Echo πακέτα, από έξω και από μέσα από το προστατευόμενο δίκτυο αντίστοιχα. Για να μπορούν να στέλνονται τέτοιου είδους πακέτα, στα συστήματα αυτά εκτελείται το πρόγραμμα sendip.
Το sendip είναι ένα πρόγραμμα για Linux συστήματα το οποίο επιτρέπει την αποστολή crafted TCP/IP πακέτων. Δηλαδή πακέτων που δημιουργεί ο ίδιος ο χρήστης και όχι το λειτουργικό σύστημα. Το sendip είναι ένα πρόγραμμα που εκτελείται σε γραμμή εντολών και η αποστολή ενός πακέτου απαιτεί τον ορισμό πολλών παραμέτρων που θα περιγράφουν τα χαρακτηριστικά του. Για τον λόγο αυτό για τις ανάγκες του πειράματος δημιουργήθηκε ένα shell script το οποίο εκτελεί το sendip, επιτρέποντας την αποστολή crafted Icmp Echo Request / Reply πακέτων με τον ορισμό μόνο τεσσάρων παραμέτρων. To script αυτό ονομάζεται SpoofedEcho και η εκτέλεσή του γίνεται ώς εξής:

./SpoofedEcho <Icmp Type> <Src IP> <Dst IP> <#Packets>

Στη συνέχεια παρουσιάζονται μερικά παραδείγματα αποστολής spoofed Icmp Echo πακέτων, που πραγματοποιήθηκαν με στόχο να ελεγχθεί ως προς την αποτελεσματικότητά του ο spp_icmpspoof.

[Πίσω]

Αποστολή ενός spoofed Icmp Echo Request πακέτου από τον vlinux στον Dias με διεύθυνση αποστολέα αυτή του Zeus.

1. Εκκίνηση του Snort στον Nids:

[root@nids]# snort -c /root/snort/snort.conf

2. Αποστολή του πακέτου από τον Vlinux:

[root@vlinux]# ./SpoofedEcho 8 192.168.100.3 192.168.10.2 1

3. Εξέταση των αποτελεσμάτων στον Nids:

[root@nids]# cat /var/log/snort/Echospoofs

Το spoofing ανιχνεύτηκε με επιτυχία.

[Πίσω]

Αποστολή ενός spoofed Icmp Echo Reply πακέτου από τον vlinux στον Dias με διεύθυνση αποστολέα αυτή του Zeus.

1. Εκκίνηση του Snort στον Nids:

[root@nids]# snort -c /root/snort/snort.conf

2. Αποστολή του πακέτου από τον Vlinux:

[root@vlinux]# ./SpoofedEcho 0 192.168.10.2 192.168.100.3 1

3. Εξέταση των αποτελεσμάτων στον Nids:

[root@nids]# cat /var/log/snort/Echospoofs

Το spoofing ανιχνεύτηκε με επιτυχία.

[Πίσω]

Αποστολή ενός spoofed Icmp Echo Reply πακέτου από τον Achileas στον Dias με διεύθυνση αποστολέα αυτή του Zeus.

1. Εκκίνηση του Snort στον Nids:

[root@nids]# snort -c /root/snort/snort.conf

2. Αποστολή του πακέτου από τον Achileas:

[root@achileas]# ./SpoofedEcho 0 192.168.100.3 192.168.10.2 1

3. Εξέταση των αποτελεσμάτων στον Nids:

[root@nids]# cat /var/log/snort/Echospoofs

Το spoofing ανιχνεύτηκε με επιτυχία.

[Πίσω]

1. Εκκίνηση του Snort στον Nids:

[root@nids]# snort -c /root/snort/snort.conf

2. Αποστολή του πακέτου από τον Vlinux:

[root@vlinux]# ./SpoofedEcho 8 192.168.100.3 192.168.10.5 1

3. Εξέταση των αποτελεσμάτων στον Nids:

[root@nids]# cat /var/log/snort/Echospoofs

Αποστολή ενός spoofed Icmp Echo Request πακέτου από τον Vlinux στον Zeus με διεύθυνση αποστολέα ενός ανύπαρκτου host (που έχει IP διεύθυνση 192.168.10.5).

1. Εκκίνηση του Snort στον Nids:

[root@nids]# snort -c /root/snort/snort.conf

2. Αποστολή του πακέτου από τον Vlinux:

[root@vlinux scripts]# ./SpoofedEcho 8 192.168.10.5 192.168.100.3 1

3. Εξέταση των αποτελεσμάτων στον Nids:

[root@nids]# cat /var/log/snort/Echospoofs

1. Εκκίνηση του Snort στον Nids:

[root@nids]# snort -c /root/snort/snort.conf

2. Αποστολή του πακέτου από τον Achileas:

[root@achileas]# ./SpoofedEcho 0 192.168.10.5 192.168.100.3 1

3. Εξέταση των αποτελεσμάτων στον Nids:

[root@nids]# cat /var/log/snort/Echospoofs

Υπό κανονικές συνθήκες αυτή η περίπτωση του spoofing δεν θα έπρεπε να έχει ανιχνευτεί. Η ανίχνευση οφείλεται στο γεγονός ότι ο Sensor έχει την δυνατότητα να ακούει το εσωτερικό traffic του δικτύου NetA.

[Πίσω]

1. Εκκίνηση του Snort στον Nids:

[root@nids]# snort -c /root/snort/snort.conf

2. Αποστολή του πακέτου από τον Vlinux:

[root@vlinux scripts]# ./SpoofedEcho 0 192.168.100.3 192.168.10.5 1

3. Εξέταση των αποτελεσμάτων στον Nids:

[root@nids]# cat /var/log/snort/Echospoofs

Το spoofing ανιχνεύτηκε με επιτυχία.

[Πίσω]

Αποστολή ενός spoofed Icmp Echo Reply πακέτου από τον Achilea σε έναν ανύπαρκτο host (που έχει IP διεύθυνση 192.168.10.5), με διεύθυνση αποστολέα αυτή του Zeus.

1. Εκκίνηση του Snort στον Nids:

[root@nids]# snort -c /root/snort/snort.conf

2. Αποστολή του πακέτου από τον Achileas:

[root@achileas scripts]# ./SpoofedEcho 0 192.168.100.3 192.168.10.5 1

3. Εξέταση των αποτελεσμάτων στον Nids:

[root@nids]# cat /var/log/snort/Echospoofs

Σε αυτήν την περίπτωση το spoofing ανιχνεύτηκε σε πρώτο στάδιο με τον έλεγχο που έγινε στο spoofed Icmp Echo Reply που έστειλε ο Achileas και σε επόμενο στάδιο με τον έλεγχο που έγινε στο Unreachable που έστειλε ο Router 192.168.10.1 στον Zeus.

[Πίσω]

1. Εκκίνηση του Snort στον Nids:

[root@nids]# snort -c /root/snort/snort.conf

2. Αποστολή του πακέτου από τον Achilea:

[root@achileas scripts]# ./SpoofedEcho 8 192.168.10.2 192.168.100.3 1

3. Εξέταση των αποτελεσμάτων στον Nids:

[root@nids]# cat /var/log/snort/Echospoofs

Σε αυτήν την περίπτωση το spoofing δεν ανιχνεύτηκε καθώς ο Nids ακούει το εσωτερικό traffic του δικτύου NetA και έτσι μπόρεσε να δει το Icmp Echo Request πακέτο που έστειλε ο Achileas στον Zeus.
Αν δεν συνέβαινε αυτό τότε το spoofed Echo Request από τον Achilea στον Zeus δεν θα γινόταν αντιληπτό και στην συνέχεια το Echo Reply από τον Zeus προς τον Dias θα οδηγούσε στην ανίχνευση του spoofing.

[Πίσω]

Σε αυτό το Παράρτημα αναφέρονται οι πηγές από τις οποίες αντλήθηκε μέρος της πληροφορίας που χρησιμοποιήθηκε σε αυτήν την Πτυχιακή Εργασία. Οι πηγές αυτές παρατίθενται κατηγοριοποιημένες ανάλογα με το Κεφάλαιο στο οποίο φανήκανε χρήσιμες. Στο τέλος αναφέρονται και κάποιοι δικτυακοί τόποι, που περιέχουν γενικότερα, αρκετές καλές πληροφορίες πάνω σε θέματα Δικτυακών Επιθέσεων και Ασφάλειας στο Internet.

[Πίσω]

Κεφάλαιο 1

Maximum Security
http://docs.rinet.ru:8080/LomamVse/

Hacking Lexicon
http://www.pnsc.de/infsec.html

Observations on the Nature of Computer Security Intrusions
http://www.ce.chalmers.se/staff/ulfl/pubs/ul-lic.pdf

RFC 791 Για το IP Πρωτόκολλο
http://www.freesoft.org/CIE/RFC/791/

RFC 793 Για το TCP Πρωτόκολλο
http://www.freesoft.org/CIE/RFC/793/

RFC 768 Για το UDP Πρωτόκολλο
http://www.freesoft.org/CIE/RFC/768/

Scanning

Από το επίσημο site του nmap, ένα από τα πιο καθιερωμένα Network Scanners
http://www.insecure.org/nmap/nmap_doc.html

Os Fingerprinting
http://project.honeynet.org/papers/finger/
http://www.incidents.org/papers/OSfingerprinting.php

Network Scanning Techniques.pdf
http://www.wittys.com/files/mab/fwpentesting.html

Ftp Bounce Attack
http://www.cert.org/tech_tips/ftp_port_attacks.html
http://www.insecure.org/nmap/ hobbit.ftpbounce.txt

Buffer Overflow

Understanding Buffer Overflow Exploits
http://www.tlsecurity.net/Textware/Security/Buffer.Heap.Overflows/understanding-bof.html

Buffer Overflow Attacks and Their Countermeasures
http://www.linuxjournal.com//article.php?sid=6701

Rootkits

Το επίσημο site του chkrootkit (πρόγραμμα που εντοπίζει την ύπαρξη rootkits)
http://www.chkrootkit.org/

Kernel Rootkits
http://www.sans.org/rr/threats/rootkits.php

"Root Kits" and hiding files/directories/processes after a break-in
http://staff.washington.edu/dittrich/misc/faqs/rootkits.faq

Even Nastier: Traditional RootKits
http://www.informit.com/content/index.asp?session_id={9FA9FC90-C7DD-4DEF-9063-518BB6141AB5}&product_id={10DC8605-145F-40D9-9B1B-0DBF71C9A7AA}

Βιβλίο:
Internetworking With TCP/IP Vol I: Principles, Protocols, and Architecture
Third Edition by Douglas E. Gomer.

Βιβλίο:
Intrusion Signatures and Analysis
By Stephen Northcutt, Mark Cooper, Matt Fearnow, Karen Frederick

[Πίσω]


Κεφάλαιο 2

Μία πολύ καλή αναφορά στην κατηγοριοποίηση των IDSs
http://csrc.nist.gov/publications/nistpubs/800-31/sp800-31.pdf

Protocol Anomaly Detection for Network-based Intrusion Detection
http://www.sans.org/rr/intrusion/anomaly.php

Intrusion Prevention Systems – Security's Silver Bullet
http://www.sans.org/rr/intrusion/silver_bullet.php

Κατάλογος με τα IDSs
http://www.networkintrusion.co.uk/ids.htm

Network- vs. Host-based Intrusion Detection
http://documents.iss.net/whitepapers/nvh_ids.pdf

IDSs FAQ
http://www.robertgraham.com/pubs/network-intrusion-detection.html

The Great IDS Debate : Signature Analysis Versus Protocol Analysis
http://online.securityfocus.com/infocus/1663

[Πίσω]

Κεφάλαιο 3

ICMP Usage in Scanning
http://www.sys-security.com/archive/papers/ICMP_Scanning_v3.0.pdf

RFC 792-ICMP
http://www.freesoft.org/CIE/RFC/792/

The Truth About ICMP
http://www.sans.org/rr/threats/ICMP.php

How can attacker use ICMP for reconnaissance
http://www.sans.org/resources/idfaq/icmp_misuse.php

ICMP Nuke Attacks
http://www.netnile.com/english/EDOCS/enukes.htm

ICMP Flood Attacks
http://www.anml.iu.edu/ddos/types.html

Smurf Attack
http://www.cert.org/advisories/CA-1998-01.html
http://cs.baylor.edu/~donahoo/NIUNet/smurf.html
http://www.iss.net/security_center/advice/Exploits/IP/smurf/default.htm

[Πίσω]

Κεφάλαιο 5

http://www.sans.org/index.php
www.securityfocus.com
http://www.iss.net/security_center/advice/default.htm
http://isc.incidents.org/
www.honeynet.org
www.cert.org
http://www.tlsecurity.net/main.htm
http://www.net-security.org/archive_vuln.php
http://www.saintcorporation.com/demo/saint/saint_severity_types.html
http://www.f-secure.com/
http://secinf.net/
http://www.linuxsecurity.org/

Viruses-worms-Trojans

http://www.viruslist.com/eng/index.html
http://www.sarc.com/avcenter/
http://www.trendmicro.com/en/home/global/enterprise.htm
http://www.misec.net/portlist.jsp