Docente: Barbara Masucci Internet Port Scanning Seminario realizzato da: Antonio Autorino Raffaele Manfellotto Luigi Annunziata Negli anni 80 nasce la prima backbone :Arpanet Oggi Internet: un insieme di Autonomous System 1994:10 milioni di host connessi 2002: 160 milioni di host connessi Port Scanning 1 Port Scanning 2 Internet Tra i vantaggi: Servizi informativi Commercio elettronico Ridotti tempi di comunicazione Tra gli svantaggi : Esposizione di host ad attacchi Come analizzare le debolezze di una propria rete o di un singolo host? Port Scanning 3 Network Scanner Idea Analisi dei tipi di software e le configurazioni software presenti su una certa rete Ecco due faccie della stessa moneta: Uso diagnostico Utilizzato da amministratore di una rete Determinare i tipi di attacco che possono essere fatti ai danni di tale rete. analizza il sistema da attaccare. Utilizzato da un malintenzionato Port Scanning 4 Owerview TCP/IP TCP/IP,concetti principali Cos è il port scanning?cos è lo scanning delle vulnerabilità? Scannig vs Imprinting Tipi di scansione Nessus Caso d uso: NMap Saint Confronti Port Scanning 5 Un applicazione che opera su rete è costituita da più componenti indipendenti che interagiscono tra di loro. La loro comunicazione è basata sulla presenza di un sottosistema di comunicazione. Esso non è altro che l implementazione di una suite di protocolli integrata nel S.O. TCP/IP definisce un sottosistema di comunicazione organizzato in 5 livelli: phisical,network access,intenet,transport, Application. Port Scanning 6 1
Client / Server TCP/IP (porta) È il modello di interazione tra applicazioni su rete più diffuso. richiesta Client risposta Server richiesta risposta Client 1. Il client contatta il server per richiede uno specifico servizio 2. Il server effettua le opportune computazioni per fornire il servizio richiesto,inviando i risultati al client Port Scanning 7 TCP/IP utilizza un astrazione :il concetto di porta. Praticamente è una sequenza di 16 bit utilizzati al livello di trasporto da TCP e UDP per riconoscere un applicazione che opera su rete. Ecco alcuni esempi: POP3 utilizza la porta 110. SMTP utilizza la porta 25 FTP utilizza la porta 21 HTTP utilizza la porta 80 Port Scanning 8 TCP/IP (Connessione) TCP/IP(Apertura connessione) TCP si fonda sull astrazione di connessione. Definizione: Canale virtuale tra due endpoint. Un endpoint è una coppia(indirizzo IP,porta). (IP B,Porta B) (IP A,Porta A) Connessione Port Scanning 9 CLIENT SERVER SYN ACK/SYN ACK 3 Handshake IL client richiede l apertura della connessione Il server accetta e riscontra il messaggio ricevuto Il client riscontra il messaggio ricevuto. Port Scanning 10 TCP/IP(Chiusura connessione) Cos è il portscanning? CLIENT FIN ACK FIN SERVER Il portscanning è la più diffusa tecnica di probing. Definizione: è il processo di connessione a porte TCP e UDP sul sistema nel quale si vuole tentare una penetrazione ACK 4 Handshake Scopo: determinare quali servizi siano in esecuzione o in stato di listening. Descriveremo :NMAP La connessione deve essere chiusa in entrambe le direzioni. Port Scanning 11 Port Scanning 12 2
Cos è lo scanning delle vulnerabilità? Scanning vs Imprinting Definizione: è il processo di controllo di tutti i metodi potenziali di attacco, atti a manomettere la rete di un organizzazione. Vulnerabilità note e vulnerabilità sconosciute Descriveremo :NESSUS e SAINT L imprinting permette ad un intruso di crearsi un profilo completo dello stato di sicurezza della rete stessa analizzando: Amministratori di rete e utenti della rete Posizione del server Presenza o meno di Intranet Sistemi di rilevamento delle intrusioni Server DNS e la sua configurazione Indirizi IP assegnati Eventuale Accesso Telefonico Port Scanning 13 Port Scanning 14 Scanning vs Imprinting Tipi di scan Lo scanning ci permette di rilevare quali macchine risultano attive e quali servizi sono disponibili usando tecniche come: II ping sweep Il portscanning Il rilevamento del sistema operativo tramite stack TCP/IP fingerprinting Intruso Connect Sin Scan Fin Scan Udp scan Idle scan Ip protocol Ack scan Window scan List scan Rpc scan Ping Port Scanning 15 Port Scanning 16 Esempio: Connect Cos è Nessus? Intruso SYN ACK/SYN ACK 3 Handshake Un Port Scanner Un Server (solo Unix-like) Un Client (anche Win32) Corrisponde all apertura di una connessione TCP. Il sistema rileva l attacco. Molti Servizi (test di sicurezza) Port Scanning 17 Port Scanning 18 3
Com è Nessus? Caratteristiche di nessus-1 Gratuito Open-Source Aggiornato (Plug-in) Diffidente Pignolo Il sysad è l utente del server (amministratore) Gli utenti del sistema possono essere utenti di Nessus client Il sysad stabilisce nome utente e password per ogni utente Ogni utente sarà provvisto di una coppia di chiavi pubblica e privata L accesso degli utenti avviene in modo autenticato Le comunicazioni avvengono in modo cifrato Ciascun utente può avere delle restrizioni sul numero di macchine che può esaminare Port Scanning 19 Port Scanning 20 Caratteristiche di nessus-2 Ciascun Test di Sicurezza è scritto come un plug-in esterno Giornalmente, chiunque può segnalare un nuovo bug Esiste una lista di plug-in ancora da scrivere Qualunque utente registrato può offrirsi volontario per scrivere un plugin E scritto in C o in Nessus Attack Script Language (NASL) Ciascun plug-in sarà testato dall autore di Nessus Esempio d uso di Nessus Sul Server Per prima cosa bisogna aggiungere un nuovo utente al database del sistema di servizio. Il Nessusd-server ha il suo proprio database di utenti. Per aggiungere un nuovo utente utilizziamo l utility nessus adduser Port Scanning 21 Port Scanning 22 Creazione utente Creazione utente Bisogna adesso configurare il nessun-daemon: Risorse che devono essere utilizzate Velocità lettura dati ecc.. Nessusd-server è pronto. È possibile avviare il Nessusd come root: nessusd -D Port Scanning 23 Port Scanning 24 4
Sul client: nessud host Inseriamo l indirizzo dell host su cui è in funzione il nessusd-server e la porta su cui è in ascolto (3001 per defautl) Sul client: plugings È possibile scegliere i vari test a cui siamo interessati. Ogni test utilizza un diverso plugin. Eseguiamo il login con relativa password cliccando sul bottone Log in Cliccando sul plugin nel pannello sottostante appare una breve descrizione di cosa fa il plugin selezionato Port Scanning 25 Port Scanning 26 Sul client: prefs plugins Sul client: scan option Questa schermata può essere utilizzata per modificare il comportamento di default di un plugin. Qui è possibile specificare informazioni addizionali in modo che il controllo e la revisione siano più completi. In questa schermata è possibile settare: il range di porte da controllare quanti host visionare contemporaneamente il numero di plugin da utilizzare contemporaneamente contro un singolo host Port Scanning 27 Port Scanning 28 Sul client: target selection Modalità di inserimento indirizzi In questa schermata vengono settati gli indirizzi degli host che vogliamo controllare È possibile utilizzare differenti scelte per definire gli indirizzi obiettivi 10.163.156.1 Un solo indirizzo di IP. 10.163.156.1-254 Una serie degli indirizzi di IP. 10.163.156.1-10.163.159.254 Un'altra serie degli indirizzi di IP. 10.163.156.1/24 Di nuovo una serie degli indirizzi di IP in notazione di CIDR. hope.fr.nessus.org Un hostname nella notazione di Full Qualified Domain Name.. hope.fr.nessus.org, 10.163.156.1/24 Una combinazione delle forme menzionate sopra separate da una virgola Port Scanning 29 Port Scanning 30 5
Sul client: user rules Sul client: avvio scansione Le regole permettono ad un utente di restringere il suo test. Ad esempio vogliamo esaminare gli indirizzi 10.163.156.1/24, eliminando dalla scansione l indirizzo 10.163.156.5 Avviare la scansione Port Scanning 31 Port Scanning 32 NMap NMap sta a significare Network Mapper Software open source utile all esplorazione di una rete Usa pacchetti IP per: Sapera quali host sono disponibili Che servizi offre un singolo host Quale sistema operativo è in uso Individuare un fireawall Port Scanning 33 NMapWin La versione di NMap compatibile a Windows 2000/Xp Network Selection Output Comando in linea Scan Discover Options Timing File Service Win 32 Port Scanning 34 NMapWin(Caratteristiche) NMapWin(Selection) Semplicità Ben documentato Popolare Premiato Flessibilità Potenza Portabilità Free Supportato "Information Security Product of the Year" GUI o linea di comando. "nmap -O -ss targethost" www.insicure.org ) Port Scanning 35 Caso più semplice:inserire IP di un host. Per un intera rete: /24 se è di Classe C /16 se è di Classe B Alcuni esempi: '192.168.*.* o '192.168.0-255.0-255' o 192.168.1-50,51-255.1,2,3,4,5-200/16'. Port Scanning 36 6
NMapWin (Scan) NMapWin (Discover) Ecco i tipi di scan supportati: Ecco i tipi di scan supportati: TCP PING: Spediamo TCP ACK e Attendiamo risposte ICMP PING: Classico ping TCP+ICMP: unione dei precedenti. DON T PING: Quando appare in output: If it is really up, but blocking our ping probes, try -P0 Port Scanning 37 Port Scanning 38 NMapWin (Options) NMapWin (Timing) Ecco le opzioni che è possibile settare: Ecco le opzioni temporali che è possibile settare: Port Scanning 39 Port Scanning 40 NMapWin (FILES) NMapWin (CASO 1) Ecco le opzioni temporali che è possibile settare: Il comando utilizzato: CMD: nmap -ss -PT -PI -F -O -T 3 www.microsoft.com SYN scan (-ss) OS detection (-O) Discover TCP+ ICMP (-PT) Fast scan Timing Normal Your host Microsoft.com Port Scanning 41 Port Scanning 42 7
NMapWin (CASO 1) NMapWin (CASO 2) Il comando utilizzato: CMD: nmap -ss -PT -PI -F -O -T 3 www.microsoft.com Output: Note: Host seems down. If it is really up, but blocking our ping probes, try -P0 Nmap run completed -- 1 IP address (0 hosts up) scanned in 30 seconds Il comando utilizzato: CMD: -st -P0 -p 20-30 -O -T 3 www.microsoft.com Connect (-st) Your host OS detection (-O) Discover Don t Ping (-PO) Porte da 20 a 30 (-O) Timing Normal Microsoft.com Port Scanning 43 Port Scanning 44 NMapWin (CASO 2) NMapWin (CASO 3) CMD: -st -P0 -p 20-30 -O -T 3 www.microsoft.com Output: Interesting ports on microsoft.com (207.46.249.222): Port State Service 20/tcp filtered ftp-data 21/tcp filtered ftp 22/tcp filtered ssh 23/tcp filtered telnet 24/tcp filtered priv-mail 25/tcp open smtp 26/tcp filtered unknown 27/tcp filtered nsw-fe 28/tcp filtered unknown 29/tcp filtered msg-icp 30/tcp filtered unknown Too many fingerprints match this host for me to give an accurate OS guess Nmap run completed -- 1 IP address (1 host up) scanned in 41 seconds Il comando utilizzato: CMD: -so -PT -PI -F -O -T 3 www.microsoft.com IP protocol (-so) Your host OS detection (-O) Discover TCP+ ICMP (-PT) Fast scan Timing Normal Microsoft.com Port Scanning 45 Port Scanning 46 NMapWin (CASO 2) CMD: -st -P0 -p 20-30 -O -T 3 www.microsoft.com Output: Probabilmente non attendibile Interesting protocols on microsoft.com (207.46.134.155): Protocol State Name 1 open icmp 2 open igmp 3 open ggp 4 open ip 5 open st 6 open tcp 7 open cbt 8 open egp 9 open igp 10 open bbn-rcc-mon 11 open nvp-ii 12 open pup 13 open argus 14 open emcon 15 open xnet 16 open chaos 17 open udp fino a 127 NMapWin(Conclusioni) È scritto in C, facilmente modificabile Gode delle proprietà prima elencate Interfaccia GUI semplice ed intuitiva. È un port scanner,non uno scanner delle vulnerabilità Port Scanning 47 Port Scanning 48 8
S a i n t Security Administrator s Integrated Network Tool Lo scopo di Saint è quello di raccogliere il maggior numero di informazioni sugli host che si intende testare. Informazioni Generali Nuova versione di Facilmente utilizzabile tramite una interfaccia grafica!!! Opera in modalità Client/Server Multithread Port Scanning 49 Port Scanning 50 Funzionamento Saint funziona in 4 passi: 1. Ricerca host attivi 2. Esegui il port scan 3. Ricerca Vulnerabilità tramite HTTP 4. Stesura dei Report Requisiti di Sistema O.S. = Linux, FreeBSD, SunOS/Solaris Disco Fisso = 25 MB (70 MB per tools) Memoria = Dipende... (numero host, piattaforma) circa 10 MB Software Richiesto Perl Netscape Nmap (opzionale) Port Scanning 51 Port Scanning 52 Interfaccia Utente Saint può essere usato tramite una interfaccia grafica facile e intuitiva da utilizzare. Interfaccia Port Scanning 53 Interfaccia HTML - Configurazione L interfaccia è una pagina HTML con form interne che inviano i dati per la configurazione al Server Il risultato è organizzato tramite una pagina HTML Componenti: Data Management Target Selection Data Analysis Config Management Port Scanning 54 9
Data Management Saint effettua l analisi del sistema con una serie di strumenti e l'informazione prodotta da questi viene convertita in un file Tutti i files vanno a formare il database dei dati. Il Data Manager permette di scegliere questo DB. Configurazione - Data Management Permette di scegliere dove inserire le informazioni ottenute dalla ricerca. Port Scanning 55 Port Scanning 56 Target Selection Si configura l obiettivo da colpire. Il livello di profondità. Altre opzioni. Configurazione - Target Selection Permette di indicare gli obiettivi della della scansione. Support Firewall e livello profondità. Port Scanning 57 Port Scanning 58 Data Analysis Saint divide l output dell analisi dei dati raccolti dopo l esplorazione in tre vaste categorie. Vulnerabilità: quali sono e dove si trovano i punti deboli. Le Informazioni sull host: localizzazione dei server su una rete, descrizione della topologia della rete stessa. Fiducia: ragnatela di fiducia fra gli host della rete in esame. Data Analysis - Vulnerabilità I metodi per l esame delle vulnerabilità date da una scansione sono tre ossia: Livello approssimativo di pericolo. Tipo di vulnerabilità. Conteggio di vulnerabilità. Port Scanning 59 Port Scanning 60 10
Data Analysis Info. host Suddivide gli host della scansione in: Codice categoria di servizio. Tipo del sistema (hardware). Internet domain (DNS). Sottorete (256 indirizzi di rete adiacenti). Host name (query sul db delle info). Data Analysis Fiducia La fiducia è il più importante concetto su cui si basa Saint. Il termine "fiducia" indica una situazione in cui un server può avere una risorsa locale, che può essere usata da esso e da tutti i client di cui il server si fida. Port Scanning 61 Port Scanning 62 Livelli di Sicurezza Il livello di sicurezza dipende dalla severità del problema. Rosso Critical Problems Servizi che sono vulnerabili ad un attacco. Gli intrusi possono sfruttare questi servizi per causare un robusto danno. Giallo Areas of Concern Servizi che possono direttamente o indirettamente aiutare un hacker nel determinare passwords o altre informazioni che possono essere usate per un attacco. Marrone Potential Servizio che può essere o non essere Problems vulnerabile, ciò dipende dalla configurazione. Potrebbe essere necessaria un'ulteriore investigazione da parte dell'amministratore. Verde Services Servizi che non hanno alcuna vulnerabilità almeno apparentemente. Nero Other Information Non è stata trovata alcuna informazione. Port Scanning 63 Configurazione - Configuration Management (1) Permette di inserire la cartella per memorizzare i dati. Scelta del livello di attacco: Port Scanning 64 Configurazione - Configuration Management (2) Massimo numero di password da testare: Configurazione - Configuration Management (3) Settaggio dei time out: E possibile settare il massimo numero di Threads che possono girare concorrentemente: Port Scanning 65 Port Scanning 66 11
Vicinanza Configurazione - Configuration Management (4) La vicinanza si riferisce a quanto è vicino l'obiettivo che si sta esaminando da quello da cui è cominciata l'analisi. All aumentare del livello di prossimità aumenta il numero degli host esplorati. Port Scanning 67 Settare un dominio dove inviare la scansione. Domini da non scandire come ad esempio i siti militari o governativi. Test Pericolosi Port Scanning 68 CONFRONTI (1) CONFRONTI (2) Saint Nessus Architettura O.S. Client/Server Client/Server Sun os, Linux, Solaris Client:Tutti Server:Linux Interfaccia Grafica o Linea Comandi Client: Grafica Server:Linea Comandi Distribuz. Saint Freeware Nessus Freeware Utilizzo Difesa (debolezze) Difesa (vulnerabilità) Spazio Disco 25 MB + 70 MB Plug-in 2 MB + Plug-in Nmap Prog. Indipendente Linux e Windows Grafica o Linea Comandi Nmap Freeware Attacco (anche anonimo) 4 MB Port Scanning 69 Port Scanning 70 12