Gira Provincias 04/05 Microsoft Technet Agenda Técnicas de envenenamiento en redes de datos. –Spoofing ARP –DNS Hijacking –Phising –Mail Spoofing Contramedidas.

Presentación del tema: "Gira Provincias 04/05 Microsoft Technet Agenda Técnicas de envenenamiento en redes de datos. –Spoofing ARP –DNS Hijacking –Phising –Mail Spoofing Contramedidas."— Transcripción de la presentación:

1

2 Gira Provincias 04/05 Microsoft Technet

3 Agenda Técnicas de envenenamiento en redes de datos. –Spoofing ARP –DNS Hijacking –Phising –Mail Spoofing Contramedidas Hacking. –Cifrado y autenticado de conexiones con IPSec en redes Windows 2003 Descanso (20 minutos) Contramedidas Hacking. (cont) –Endurecimiento de servidores Windows 2003 –Conexiones seguras con RCP/HTTPS Técnicas de Spam –Técnicas Euristicas, Bayesianas y FingerPrinting –Contramedidas Spam y malware

4 Técnicas de Envenenamiento en Redes de Datos con Windows 2003 Chema Alonso MVP Windows Server Security José Parada Gimeno Microsoft

5 El Modelo OSI 1.Fisico 2. Conexión 3. Red 4. Transporte 5. Sesión 6. Presentación 7. Aplicación

6 ARP, RARP En Realidad Cuatro capas son suficientemente representativas 1. interface 2. Red 3. Transporte 4. Aplicación IP, ICMP, IGMP TCP, UDP, IPsec HTTP, FTP, TFTP, telnet, ping, SMTP, POP3, IMAP4, RPC, SMB, NTP, DNS, … 8-5. usuario

7 Técnicas de Spoofing Las técnicas spoofing tienen como objetivo suplantar validadores estáticos Un validador estático es un medio de autenticación que permanece invariable antes, durante y después de la concesión.

8 Niveles Afectados SERVICIO RED Dirección IP ENLACE Dirección MAC Nombres de dominio Direcciones de correo electrónico Nombres de recursos compartidos

9 Tipos de técnicas de Spoofing Spoofing ARP –Envenenamiento de conexiones. –Man in the Middle. Spoofing IP –Rip Spoofing. –Hijacking. Spoofing SMTP Spoofing DNS –WebSpoofing.

10 Técnicas de Sniffing Capturan tráfico de red. Necesitan que la señal física llegue al NIC. En redes de difusión mediante concentradores todas las señales llegan a todos los participantes de la comunicación. En redes conmutadas la comunicación se difunde en función de direcciones. –Switches utilizan dirección MAC.

11 Sniffing + Spoofing Hijacking Y Envenenamiento Técnicas Combinadas

12 Nivel de Enlace: Spoofing ARP Suplantar identidades físicas. Suplantar identidades físicas. Saltar protecciones MAC. Saltar protecciones MAC. Suplantar entidades en clientes DHCP. Suplantar entidades en clientes DHCP. Suplantar routers de comunicación. Suplantar routers de comunicación. Solo tiene sentido en comunicaciones locales. Solo tiene sentido en comunicaciones locales.

13 Dirección Física Tiene como objetivo definir un identificador único para cada dispositivo de red. Tiene como objetivo definir un identificador único para cada dispositivo de red. Cuando una máquina quiere comunicarse con otra necesita conocer su dirección física. Cuando una máquina quiere comunicarse con otra necesita conocer su dirección física. Protocolo ARP Protocolo ARP No se utilizan servidores que almacenen registros del tipo: No se utilizan servidores que almacenen registros del tipo: Dirección MAC Dirección IP. Dirección MAC Dirección IP. Cada equipo cuenta con una caché local donde almacena la información que conoce. Cada equipo cuenta con una caché local donde almacena la información que conoce.

14 Sniffing en Redes de Difusión PC HACKER PC 1 PC 2 PC 3 PC 4 Sniffer Datos PC 4 filtrafiltra

15 PC HACKER PC 1 PC 2 PC 3 PC 4 Sniffer Datos PC 4 MAC 1 MAC 2 MAC H MAC 3 MAC 4 Puerto 1 MAC 1 Puerto 2 MAC 2 Puerto 6 MAC H Puerto 11 MAC 3 Puerto 12 MAC 4 Sniffing en Redes Conmutadas

16 Envenenamiento de Conexiones Man in the Middle La técnica consiste en interponerse entre dos sistemas. La técnica consiste en interponerse entre dos sistemas. Para lograr el objetivo se utiliza el protocolo ARP. Para lograr el objetivo se utiliza el protocolo ARP. El envenenamiento puede realizarse entre cualquier dispositivo de red. El envenenamiento puede realizarse entre cualquier dispositivo de red.

17 Envenenamiento de Conexiones Man in the Middle PC 1 IP 1 MAC 1 PC 2 IP 2 MAC 2 PC H IP H MAC H IP 2 – MAC H IP 1 – MAC H CACHE ARP IP 2 – MAC H CACHE ARP IP 1 – MAC HCONEXIÓNPC2 REENVÍO A HOST

18 Ataque ARP M an I n T he M iddle ¿Quien tiene 1.1.1.2? 1.1.1.2 esta en 99:88:77:66:55:44 1.1.1.2 esta en 00:11:22:33:44:55:66 1.1.1.1 1.1.1.2 1.1.1.1 esta en 99:88:77:66:55:4 4

19 Man in the Middle Sirve como plataforma para otros ataques. Sirve como plataforma para otros ataques. DNS Spoofing. DNS Spoofing. WebSpoofing. WebSpoofing. Hijacking. Hijacking. Sniffing Sniffing Se utiliza para el robo de contraseñas. Se utiliza para el robo de contraseñas.

20 Demo Envenamiento entre hosts. –Robo de contraseñas. –DNS Hijacking. –Phising (WebSpoofing). –HTTPS Spoofing.

21 Protección contra Envenenamiento Medidas preventivas. Medidas preventivas. Control físico de la red. Control físico de la red. Bloqueo de puntos de acceso. Bloqueo de puntos de acceso. Segmentación de red. Segmentación de red. Gestión de actualizaciones de seguridad. Gestión de actualizaciones de seguridad. Protección contra Exploits. Protección contra Exploits. Protección contra troyanos. Protección contra troyanos.

22 Protección contra Envenenamiento Medidas preventivas. – Cifrado de comunicaciones. IPSec. Cifrado a nivel de Aplicación: – S/MIME. – SSL. – Certificado de comunicaciones.

23 Medidas preventivas. Utilización de detectores de Sniffers. –Utilizan test de funcionamiento anómalo. Test ICMP. Test DNS. Test ARP. Protección contra Envenenamiento

24 Frase vs. Passwords

25 Las 4 leyes fundamentales de la protección de datos Autentica en todas partes. Valida Siempre. Autoriza y audita todo. Cifra siempre que sea necesario.

26 Cifrado y autenticado de conexiones con IPSec en redes Windows 2003.

27 Cifrado de Comunicaciones IPv4 no ofrece cifrado de comunicaciones a nivel de red y transporte. Solo se puede garantizar la no interceptación de la información en líneas privadas. Los entornos son abiertos. Movilidad. La privacidad de la información es una necesidad

28 Cifrado de Comunicaciones Múltiples técnicas de ataque contra las comunicaciones. –Sniffers de alta calidad que ordenan la información y la decodifican. –Técnicas Man In The Middle: Spoofing ARP. Envenenamiento de sesiones. Port Stealing. Hijacking. Achilles. RipSpoofing. DNS Spoofing.

29 Cifrado de Comunicaciones

30 Cifrar comunicaciones tiene carencias: –Las técnicas de spoofing no se eliminan, es necesario autenticar a los participantes. Cain -> HTTP-s. WebSpoofing. –Los cifrados extremo a extremo anulan: Firewalls. Antivirus. Antispam. Sistemas de Detección de Intrusos.

31 Cifrado de Comunicaciones La elección de la protección debe cumplir: –No anular otras defensas. –Permitir autenticación integrada. –No suponer un coste excesivo en: Rendimiento. Adquisición. Implantación. Mantenimiento.

32 Cifrado de Comunicaciones Soluciones: –Red : IPv6 -> IPSec. –Transporte: TLS SSL –Aplicación: HTTP-s FTP-s S/MIME SSH. –Datos: Cifrado información.

33 IPSec - Definición IPSec es un protocolo que sirve para proteger las comunicaciones entre equipos. Ofrece las siguientes características: –Autenticación –Integridad –Confidencialidad (cifrado)

34 IPSec - Objetivos Proteger el contenido de las cabeceras IP contra ataques activos y pasivos mediante : –Autenticación de la cabecera. –Cifrado del contendio. Defender los equipos contra ataques de red: –Filtrado de conexiones (sniffing). –Autenticación de conexiones.

35 IPSec - Funcionamiento Dos grupos de protocolos distintos Protocolos de gestión de claves: –IKE ( Internet Key Exchange) y sus asociados ISAKMP y OAKLEY KEY) Protocolos de autenticación, cifrado y manipulación de paquetes: –AH ( Autentication Header ) –ESP ( Encapsulating Security Payload )

36 IKE - Funcionamiento IKE tiene dos modos de funcionamiento. Modo Principal y Modo Rápido. –Centraliza la gestión de asociaciones (SA) para reducir el tiempo. –Genera y gestiona las claves usadas para securizar la información.

37 IPSec – Proceso de Cifrado El proceso de cifrado está compuesto de dos protocolos. –Autenticación de cabecera (AH) –Cifrado de Tráfico (ESP)

38 Cabecera de Autenticación Authentication Header (AH) ofrece: –Autenticacion. –Integridad. Funcionalidades –Kerberos, certificados o los secretos compartidos pueden ser utilizados para autenticar el tráfico. –La integridad se calcula con algoritmos SHA1 o MD5 que calculan el Integrity Check Value (ICV)

39 IPSec – Cabecera AH. Autenticidad de los datos Integridad de los datos Contra la retransmisión Protección contra la suplantación Encab. IP AH Encab. TCP/UDP Datos de aplicaciones Firmado Encabezados de autenticación

40 Cabecera ESP Encapsulating Security Payload (ESP) ESP ofrece: –Confidencialidad. ESP puede ser utilizada sola o combinada con AH. Multiples algoritmos de cifrado –DES – claves de cifrado de 56-bit –3DES – claves de cifrado de 168-bit Multiples algoritmos de firmado. –SHA1 – 160-bit digest –MD5 – 128-bit

41 Cabecera ESP Nuevo encab. IP ESP Hdr Cifrado Firmado Autenticación del origen Cifrado de los datos Contra la retransmisión Protección contra la suplantación Carga de seguridad de encapsulación Encab. IP original Encab. TCP/UDP Datos de aplicaciones Fin. ESP Aut. ESP

42 IPSec - Firewalls IPSec se enruta como tráfico IPv4. En firewalls debe ser activado el reenvio IP para: –IP Protocol ID 50 (ESP) –IP Protocol ID 51 (AH) –UDP Port 500 (IKE) El tráfico IPSec que pasa por un firewall no puede ser inspeccionado.

43 filters filters SA Establishment NIC TCPIP Application Server or Gateway IPSecDriver IPSecPolicyAgent IKE (ISAKMP) IPSecDriver IPSecPolicyAgent NIC TCPIP App or Service client IKE Responder IKE Initiator UDP port 500 negotiation 1 IKE SA 1 IKE SA 2 IPSec SAs IP protocol 50/51

44 IPSec - Modos de trabajo El sistema IPSEC puede trabajar en dos modos: –Modo de transporte: donde el cifrado se realiza de extremo a extremo. –Modo túnel donde el cifrado se realiza únicamente entre los extremos del túnel.

45 Modos IPSEC Cifrado Modo de túnel Proporciona cifrado y autenticación sólo entre los puntos finales del túnel Cifrado Modo de transporte Proporciona cifrado y autenticación de extremo a extremo

46 IPSEC - Coste de cifrado Disminución del rendimiento que es proporcional al hardware del sistema. –Tiempo de negociación IKE – aproximadamente 2-5 segundos inicialmente –Session rekey < 1-2 segundos Pérdida de la capacidad de filtrado de paquetes. Recursos destinados a la solución de problemas. Concienciación técnica de su necesidad y su uso.

47 IPSec en Windows 2000- 2003 Se configura mediante políticas –Almacenadas en el Directorio Activo o en en Registro Local del Servidor. –Controlan la entrada y salida de paquetes permitidos. Las Politicas IPSec están formadas por listas de reglas. –Están compuestas de asociaciones de acciones y protocolos. –Se definen a nivel de protocolo o a nivel de puerto. –Acciones permitidas: Bloquear. Permitir. Pedir seguirdad. –Se aplica el filtro más permisivo.

48 IPSec - Políticas Podrán utilizarse políticas por defecto o las creadas manualmente. El sistema proporciona 3 políticas por defecto que van a determinar diferentes comportamientos de la máquina con respecto a IPSEC. –Cliente. –Servidor. –Servidor seguro.

49 IPSec - Política de cliente. Modo de solo respuestas. Un sistema en modo cliente responde a peticiones que le realicen en IPSEC. No inicia conversaciones en modo IPSEC, solamente en claro.

50 IPSec - Política de servidor. Intenta establecer comunicaciones cifradas, pero si la otra máquina no tiene configurado IPSEC la comunicación se establece en claro. Este modo está definido por 3 reglas que determinan el comportamiento general del sistema a las peticiones IP, ICMP y el resto de tráfico.

51 IPSec - Política Servidor Seguro El equipo solo puede establecer comunicaciones seguras. La política establece 3 reglas, para el tráfico de peticiones IP, ICMP y el resto de tráfico.

52 IPSEC - Reglas Las reglas IPSEC determinan el comportamiento del sistema en la transmisión de la información. Las reglas están compuestas por los siguientes objetos: –Filtros. –Acción de filtros. –Método de autentificación.

53 IPSec - Filtros En la configuración de los filtros hay que especificar los siguientes parámetros: –Determinar la posibilidad o no de establecer un túnel de comunicación. –Qué redes o equipos se van a ver afectados. –El método de autentificación para la transmisión. –Métodos de seguridad. –Las acciones de filtrado.

54 IPSec - Autenticación Kerberos –Requiere tiempo de sincronización. –Solo dentro del bosque. Certificados –Requiere la implementación de PKI. –CRL está deshabilitado por defecto. Secretos Compartidos. –Tan seguro como sea el secreto. –En entornos grandes es dificil de mantener.

55 IPSec - PKI Autodespliegue Se puede configurar un entorno de autodespligue de certificados digitales para equipos : –Instalando una Entidad Certificadora Raiz integrada. –Activando la Petición de Certificado Automático en la CPO del dominio.

56 IPSec – Excepciones. IPSec en Windows 2000 no securiza por defecto el siguiente tráfico : –Broadcast –Multicast –RSVP –IKE –Kerberos Windows 2003 por defecto securiza todo el tráfico excepto IKE. Es posible configuarlo como en Windows 2000 IPSec Default Exemptions Are Removed in Windows Server 2003 http://support.microsoft.com/default.aspx?scid=kb;EN- US;810207

57 IPSEC- Monitorización IPSecmon IP Security Monitor MMC Snap-In

58 IPSec - Despliegue GPO Despliegue centralizado desde el Directorio Activo. Configuración posible mediante plantillas. Domain OU Site GPO

59 Políticas de Grupo

60 Demo – Configuración IPSec

61 Descanso

62 Endurecimiento de Servidores Windows 2003 Plantillas de Seguridad

63 Endurecimiento El aumento de ataques en las redes han hecho necesarias implementar medidas para fortificar los servicios de las empresas. Entre las medidas caben destacar las actualizaciones de los sistemas y la fortificación de los servidores desde la configuración de la seguridad interna mediante plantillas.

64 Plantillas de seguridad Proporcionan los mecanismos para incrementar la seguridad sobre los equipos. Son ficheros que proporcionan la capacidad para simplificar la implantación de seguridad en equipos. Incrementan o modifican las directivas que se están aplicando.

65 Aplicación de Plantillas Las plantillas pueden aplicarse por importación en políticas locales o mediante el uso en GPO. Mediante la herramienta de configuración de seguridad. Mediante línea de comando con la ejecución del comando Secedit.

66 Componentes de las Plantillas de Seguridad Las plantillas de seguridad controlan los siguientes aspectos de una máquina: –Cuentas de usuario. –Auditorías. –Derechos de usuarios. –Opciones de seguridad. –Visor de sucesos. –Grupos restringidos. –Servicios. –Claves de registro. –Sistema de ficheros.

67 Herramientas de Gestión de Plantillas La administración de las plantillas puede ser realizada desde: –La consola Plantillas de seguridad. –Consola configuración y análisis de la seguridad. Ambas herramientas son añadidas como complementos de MMC.

68 Herramientas de Plantillas Administrativas.

69 Consola de Plantillas de Seguridad Gestiona aquellas plantillas predefinidas por Microsoft. Se encuentran en la siguiente ruta: %systemroot%\security\templates. Permite generar nuevas plantillas y realizar administración sobre ellas.

70 Plantillas Predefinidas. Plantilla por defecto (Setup security). Plantilla de controladores de dominio (DC security). Compatible (Compatws). Seguridad (Securedc Securews). Altamente seguro (Hisecdc Hisecws). Seguridad permisos raíz de las unidades (Rootsec).

71 Configuración y Análisis de la Seguridad. Es una herramienta con doble objetivo: –Proporcionar los mecanismos para comparar la seguridad de una máquina con una base de datos de análisis. –Configurar una máquina con la información de una base de datos creada a través de plantillas.

72 Análisis. El análisis se basa en operaciones de una base de datos sobre la que se irán importando las plantillas necesarias. Posteriormente se ejecute el análisis que determina la diferencias entre la base de datos y las directivas efectivas en la máquina.

73 Configuración –Apertura de base de datos. Puede ser nueva o una ya existente. –Importación de plantillas hasta conseguir la configuración deseada. –Seleccionar configurar equipo ahora. –Seleccionar la ruta del registro de errores.

74 Análisis y configuración.

75 Secedit Comando que permite realizar operaciones sobre la configuración de seguridad. Permite realizar operaciones mediante scripts. En windows 2003 pierde la funcionalidad de /refreshpolicy, reemplazada por la orden gpupdate

76 Funcionalidades Secedit –Analizar. secedit /analyze /db FileName.sdb [/cfg FileName] [/overwrite] [/log FileName] [/quiet] –Configurar. secedit /configure /db FileName [/cfg FileName ] [/overwrite][/areas Area1 Area2...] [/log FileName] [/quiet] –Exportar. secedit /export [/DB FileName] [/mergedpolicy] [/CFG FileName] [/areas Area1 Area2...] [/log FileName] [/quiet] –Importar. secedit /import /db FileName.sdb /cfg FileName.inf [/overwrite] [/areas Area1 Area2...] [/log FileName] [/quiet]

77 Resultante de políticas. Sistema complementario de los anteriores que evalúa no solo plantillas de seguridad sino GPO. Presenta dos herramientas: –RSoP. Herramienta gráfica. –GPRESULT. Línea de Comando.

78 Demo: Aplicación de Plantillas de Servidores Analísis de Seguridad

79 RPC sobre HTTPs

80 RPC Sobre HTTP Las llamadas a procedimiento remoto son una de las metodologías de comunicaciones entre máquinas. Outlook 2003 se conecta a Exchange 2003 mediante el protocolo RPC. El establecimiento de RPC sobre HTTP, proporciona 3 niveles de seguridad adicionales sobre las ofrecidas por RPC.

81 Seguridad Proporciona seguridad y autentificación a través de Internet Information Server. Proporciona encriptación SSL. Permite restricciones e inspecciones de información a nivel de RPC proxy.

82 Arquitectura En el procedimiento de una comunicación RPC/HTTPS intervienen los siguientes componentes: –Cliente RPC/HTTPS. –Proxy/Firewall RPC (enrutador). –Servidor RPC.

83 Implementaciones. Microsoft proporciona 2 versiones de implementación de RPC/HTTP. –Versión 1. No permite el establecimiento de una sesión SSL sobre el RCP Proxy. No permite autentificación sobre RPC/Proxy. No opera en granja de servidores. –Versión 2. Permite SSL. Soporta autentificación sobre RPC/Proxy. Opera en granja de servidores.

84 Sistemas operativos. PlataformaSoporteImplementación Windows Server 2003 Cliente, servidor y Proxy RPC Soporta RPC sobre HTTP v1 y RPC sobre HTTP v2. RPC Proxy soporta RPC sobre HTTP v2 cuando se está ejecutando IIS en modo 6.0. RPC Proxy soporta RPC sobre HTTP v1 y RPC sobre HTTP v2 cuando IIS se ejecuta en modo IIS 5.0. Windows XP con SP1 o SP2 Cliente y Servidor Soporta RPC sobre HTTP v1 y RPC sobre HTTP v2 en modo cliente y servidor. No soporta PROXY RPC. Windows XP Cliente y servidor Soporta RPC sobre HTTP v1 solamente en modo cliente y servidor. Windows 2000 Cliente, Servidor y Proxy RPC Soporta programas servidor RPC sobre HTTP y Proxy RPC sobre diferentes equipos. Solamente presenta soporte solo sobre HTTP v1. Windows NT 4.0 with SP4 Cliente, Servidor y Proxy RPC Programas servidor RPC sobre HTTP y Proxy RPC deben ser ejecutadas en la misma máquina. Presenta soporte solo sobre HTTP v1. Windows 95/98Cliente No soporta servidor HTTP sobre RPC. Windows 95 deben tener instalados los componentes DCOM 95 v1.2 o posteriores

85 Ventajas. Soporta una plataforma para transmitir información segura a través de Internet. Permite el enrutamiento de la información a través de una red de forma segura. Proporciona una plataforma de integración de antivirus y antispam para la inspección de tráfico. Evita el uso de licencias e implantaciones VPN.

86 Inspección de tráfico. Con la arquitectura de RPC sobre HTTP antivirus y antispam pueden implementarse en los siguientes niveles: –Cliente. Por ejemplo Outlook 2003. –Proxy RPC. Por ejemplo IIS 6.0/ISA Server 2004. –Servidor RPC. Por ejemplo Exchange 2003.

87 Configuración Proxy RPC Instalar IIS. Instalar servicios RPC/HTTP desde componentes de Windows. Configuración del servicio virtual RPC en IIS. Activar seguridad en el servicio para utilizar RPC/HTTPS

88 Exchange Exchange soporta el servicio RPC sobre HTTPS. Puede integrarse en la arquitectura Front – End / Back – End. El servidor Front – End podría funcionar como: –Servidor RPC Proxy. –Servidor RPC recibiendo y enviando peticiones a un servidor Proxy.

89 Exchange como servidor RPC

90 Demo: Conexión RPC/HTTPs Outlook 2003 – Exchange 2003

91

92 Técnicas de detección de SPAM Jacobo Crespo Sybari Software

93 AGENDA 1.- Presentación 2.- Herramientas de Filtrado de Contenido 3.- Filtros AntiSpam en MS Exchange Server 2003 4.- Intelligent Message Filter en Exchange 2003 - Demo 5.- Advance Spam Manager – SpamCure – Demo

94 ¿Quienes Somos? 1.- Fabricante de Seguridad orientado a Mensajería: a.- Correo Electrónico (Exchange) b.- Portales para publicación de documentos (Sharepoint Portal Server) c.- Servidores de Mensajería Instantánea (Live Communication Server) 2.- Que ofrece: a.- Hasta 8 motores de AV Simultáneos b.- Control del contenido enviado en el correo (palabras, adjuntos, tamaño,…) c.- Soluciones Antispam (borrado, etiquetado,….) d.- Auditoria sobre la utilización del email (Productividad, almacenamiento, ancho de banda) 3.- En US desde el año 1994 y en España desde el año 2000 con mas de 600 clientes

95 Referencias

96 ¿Por qué Antispam? 1.- Circulan al día 2.3 billones de mensajes SPAM 2.- Un buzón de correo normal recibe al día 75 correos de los cuales el 52% es SPAM 3.- Se ha cuantificado que el coste por año por empleado del SPAM es de 300 4.- Los costes directos del SPAM son: a.- Transmitir esos mensajes – Reduce el ancho de banda b.- Almacenar esos mensajes – Aumenta el coste de almacenamiento c.- Borrar o leer esos mensajes – Reduce la productividad del empleado 5.- ROI Protección Antispam por dos años para 50 empleados = 1.200 300 x 50 empleados = 15.000 de coste de Spam anual x2 = 30.000 _____________________________________________________________________ Protección Antispam por dos años para 1.000 empleados = 20.250 300 x 1.000 empleados = 300.000 de coste de Spam anual x2 = 600.000

97 Filtrado de Contenido Evita que cierto tipo de palabras y tópicos sean enviados hacia o desde los usuarios Sin embargo, es ineficiente para controlar el SPAM –Requiere una atención continua del Administrador (horas por día) –Algunos simples trucos lo hacen vulnerable Ejemplos: $ave, V*i*a*gr*a, Chë ρ –Existen 105 variantes solo para la letra A! –Genera muchos falsos positivos Imposible de utilizar en ciertas industrias

98 Filtrado de Contenido V I @ G R A, V--1.@--G.R.a, \./iagra, Viiagra, V?agr?, V--i--a--g--r-a, V!agra, V1agra, VI.A.G.R.A, vi@gra, vIagr.a, via-gra, Via.gra, Vriagra, Viag*ra, vi-agra, Vi-ag.ra, v-iagra, Viagr-a, V^I^A^G^G^A, V'i'a'g'r'a', V*I*A,G,R.A, VI.A.G.R.A..., Viag\ra!, Vj@GRA, V-i:ag:ra, V'i'a'g'r'a, V/i;a:g:r:a, V i a g r @, V+i\a\g\r\a, Viag[ra, V?agra, V;I;A*G-R-A, V-i- a-g-r-a, V*I*A*G*R*A, V-i-@-g-r-a, VI@AGRA, Vi@gr@, \/^i^ag-ra, VlAGRA, V\i\a.g.r.a, V1@GRA, v_r_i_a_g_r_a, V\i\a:g:r:a, V^i^a^g^r^a, V-i-@-g-r-@, Viag(ra.

99 RBLs (Real Time Black Holes) Las RBLs son listas de supuestos spammers y sus dominios/direcciones IP –Ejemplos: SpamCop, MAPS, SPEWS, Dorkslayers Generalmente es manejado por voluntarios, por lo cual no existe una auditoría, y a menudo bloquean mas de la cuenta –Algunos ISPs son agregados, aún cuando envían correos legítimos –Borrarse de estas listas puede llevar desde días a meses Requiere la utilización de muchas listas blancas para no generar falsos positivos

100 Análisis Heurístico Utiliza una técnica que busca miles de características y/o palabras para identificar SPAM y asignar una calificación –El nivel de SPAM debe ser ajustado periódicamente Es utilizado en muchos productos antispam Muy conocido por los spammers –Sitios Web de spammers permiten verificar el spam contra motores heurísticos Aumentar el nivel de detección = Aumentar los falsos +

101 Filtros Bayesianos Sistema de aprendizaje basado en análisis estadísticos de vocabulario –Listas de palabras buenas y malas Necesita intervención del usuario para que sea efectiva Puede ser muy efectiva para usuarios individuales Es atacado deliberadamente por los spammers –Incluyendo palabras buenas –Generalmente con palabras escondidas dentro de código HTML

102 Ejemplo de palabras aleatorias para evitar filtros Bayesianos Filtros Bayesianos

103 Checksums Crea un fingerprint de ejemplos de spam conocido La Base de Datos se actualiza periódicamente Es reactivo –Por definición, el fingerprint es creado tras identificar el correo como spam Es posible evitarlo con una técnica llamada hash busting – agregando diferentes caracteres dentro del mensaje

104 Ejemplo de hash busting para evitar la técnica de checksums Ejemplo de Hash busting

105 Curiosidades Los Spammers están continuamente creando trucos y técnicas para evitar las diferentes tecnologías de detección… Algunos Ejemplos…..

106 Filtros AntiSpam en MS Exchange Server 2003

107 Problemática Plataforma Relay de correo: –El ataque se produce cuando un usuario malicioso vulnera la seguridad de la plataforma para enviar correo masivo a través de nuestro servidor. Receptor de Correo Spam: –Se reciben correos que cargan el rendimiento, reducen la productividad de los empleados y generan gastos directos (sistemas de backup, conexiones GPRS, ancho de banda, soporte...)

108 Problemática Técnica Relay Pasarela SMTP Exchange Front-End Relay Buzones Exchange Back-End No Relay

109 Soluciones Exchange Server 2003 Opciones de Seguridad para no admitir Relay y, por tanto, no ser plataforma de correo Spam. –Bloqueo de Relay por defecto para todos los clientes no autenticados. –Bloqueo por dominios. –Bloqueo por usuarios. –Bloqueo por máquinas.

110 Soluciones Exchange Server 2003 Opciones para detener el correo Spam recibido: –Filtro de Remitente. –Filtro de Destinatario. Nuevo. –Listas Autenticadas. Nuevo. –Filtro de Conexión en tiempo real. Nuevo. –Filtros de Junk e-mail. Nuevo. –IMF. Nuevo.

111 Soluciones Exchange Server 2003 Filtro de Remitente. (Filtro Estático) –Bloquea los mensajes que proceden de determinados usuarios. Filtro de Destinatario (Filtro Estático) –Bloquea los mensajes que van dirigidos a determinados destinatarios.

112 Soluciones Exchange 2003 Listas Autenticadas –Se discrimina solo a usuarios autenticados para enviar mensajes a listas de correo.

113 Soluciones Exchange 2003 Filtros de Conexión –Exchange Server 2003 comprueba en tiempo real si un servidor que está enviando correo está almacenado en una base de datos de servidores nocivos. Implantación de Filtros de Conexión –Implantamos en un servidor DNS una zona de consulta para almacenar los servidores bloqueados. Ej.[bloqueados.midominio.com ] –Añadimos registros del tipo –Configuramos un filtro para que se consulte la zona anterior cada vez que se recibe una conexión de servidor 13.12.11.10 Host 127.0.0.1

114 Se recibe una conexión desde un servidor de correo El servidor DNS contesta si existe o no ese registro. Se deniega la conexión El servidor FrontEnd consulta la zona DNS de bloqueo. Filtro de Conexión Se envian los mensajes al servidor de BackEnd Servidor BackEnd Servidor FrontEnd Servidor DNS

115 Soluciones Exchange 2003 Filtros Junk e-mail en Cliente –Opciones de Outlook 2003 –El cliente tiene la opción de configurar los correos nocivos –El Servidor y SW de terceros (Antigen) catalogan los mensajes para entrar en la carpeta de Junk-email –En conexiones de pago por transferencia permite ahorrar costes

116 Intelligent Message Filter & Advance Spam Manager

117 Dos Motores Microsoft IMF –Utiliza la tecnología SmartScreen –Conjunto detallado de reglas que son comparadas con el correo entrante Sybari/Antigen ASM –Integra el motor de detección de spam SpamCure –Utiliza una combinación de Bullet Signatures y el motor STAR

118 Tecnología SmartScreen IMF distingue entre los mensajes de correo legítimos y el correo comercial no solicitado u otro tipo de correo electrónico no deseado Hace un seguimiento de más de 500.000 características de correo electrónico basadas en datos de cientos de miles de suscriptores del servicio MSN® Hotmail® que participaron voluntariamente en la clasificación de millones de mensajes de correo electrónico Ayuda a filtrar el correo no deseado antes de que llegue a la bandeja de entrada del usuario

119 Base de datos utilizada para almacenar las características de los correos catalogados como Spam se actualiza con nueva información de patrones del origen de la muestra, lo que hace que el filtro sea más eficaz y actual Permite llevar a cabo una evaluación más precisa de la legitimidad de un mensaje de correo electrónico entrante Tecnología SmartScreen

120 IMF evalúa el contenido de los mensajes en busca de modelos reconocibles y les asigna una clasificación basada en la probabilidad de que el mensaje sea correo comercial no solicitado o correo no deseado La clasificación se almacena en una base de datos con el mensaje como una propiedad llamada nivel de confianza de correo no deseado (SCL) Los administradores configuran dos umbrales que determinan la forma en que IMF controla los mensajes de correo electrónico con diferentes niveles de SCL SCL – Nivel de Confianza del correo no deseado

121 Demo: Intelligent Message Filter (IMF)

122 ASM Antigen Advanced Spam Manager

123 Bullet Signatures BD Bullet signatures es creada y revisada por un grupo de expertos Los Bullet signatures son una combinación de atributos únicos de un spammer en particular –Un conjunto de datos extraídos de la cabecera, del campo asunto y del cuerpo del mensaje –Funciona tanto para spam actual como futuro –Creados para conseguir características únicas del mensaje que no puedan estar presentes en correos legítimos –No puede ser falseado por técnicas como el Hash Busting

124 STAR Engine El motor STAR busca trucos y técnicas específicas de los spammers –Spammer Tricks Analysis and Response Utiliza los Bullet Signatures para buscar métodos específicos de spamming Se actualiza automáticamente cuando se lanza una nueva versión del motor Desde el comienzo está diseñado para soportar cualquier idioma, incluso los de doble byte.

125 Uno + Uno = TRES Supongamos que recibimos 10.000 correos de SPAM Si el IMF analiza primero, el total de correos de SPAM se reduciría a un total de 1500 (85% de detección) A partir de ahí, SpamCure escanea el correo restante y detectaría el 95% de los 1500 Lo que reduce a 75 los correos de SPAM que recibiríamos

126 Combinando Tecnologías El motor IMF analiza los correos en primer lugar Se aplica una clasificación SCL a cada correo Después pasa por ASM, que también analiza el mensaje ASM nunca reducirá la clasificación de IMF

127 Resumen Dos sistemas de detección de spam para lograr una mayor efectividad Mínima intervención humana Fácil de instalar y configurar Integración entre cliente y servidor Ratio de detección del 99%, mucho mayor que la que pueda ofrecer cualquier tecnología por sí misma

128 Demo: Advance Spam Manager. Tecnología SpamCure

129 Referencias LSSI : –http://www.lssi.es MS ISA Server 2004: –http://www.microsoft.com/spain/servidores/isaserver Exchange Server 2003 –http://www.microsoft.com/spain/exchange Message Screener: –http://www.microsoft.com/technet/prodtechnol/isa/2004/plan/ smtpfilter.mspx Technet: –http://www.microsoft.com/spain/technet Sybari: –http://www.sybari.com Informática 64 –http://www.informatica64.com

130 ¿ Preguntas ?

131 Contactos Jacobo Crespo - Sybari Software jacob_crespo@sybari.com Chema Alonso - Informática 64 Chema@informatica64.com José Parada Gimeno - Microsoft jparada@microsoft.com

132

133 Próximas Acciones