कंपनी नेटवर्क और मिटम। भाग 1

संवेदनशील जानकारी अवरोधक? विभिन्न अनुप्रयोगों और प्रणालियों तक अनधिकृत पहुंच प्राप्त करें? सामान्य ऑपरेशन को बाधित करें? यह सब और बहुत कुछ मध्य में मैन जैसे हमले करता है।


आज हम लगभग किसी भी कंपनी में पाए जाने वाले विशिष्ट प्रोटोकॉल और ट्रांसमिशन चैनलों के खिलाफ "मध्य में आदमी" (और संबंधित लोगों की संख्या) के लिए समर्पित लेखों की एक श्रृंखला शुरू कर रहे हैं। शुरू करने के लिए, बुनियादी स्तरों पर विचार करें: भौतिक और चैनल।

में रुचि रखते हैं? बिल्ली के लिए आपका स्वागत है।

सिद्धांत की बिट

मध्य में आदमी (उर्फ "मध्य में आदमी" हमला, उर्फ ​​"मध्यस्थ हमला") सामान्य मामले में गोपनीयता का उल्लंघन करने के उद्देश्य से एक प्रकार का हमला है और, कुछ मामलों में, सूचना अखंडता। योजनाबद्ध रूप से "विशिष्ट" हमले का वर्णन इस प्रकार है:



मुख्य आकृति नारंगी और लाल दोनों की रेखाएं हैं। नारंगी इच्छित डेटा पथ है, लाल वास्तविक पथ है। संचरण माध्यम या प्रोटोकॉल इस मामले में महत्वपूर्ण नहीं है। ऐलिस, उदाहरण के लिए, एक वाई-फाई क्लाइंट और बॉब एक ​​वाई-फाई एक्सेस प्वाइंट हो सकता है। एक तरह से या किसी अन्य, हमेशा एक तीसरी पार्टी होती है जो संचारित जानकारी के साथ किसी भी कार्य को करती है।

हमें ट्रांसमिशन चैनल की याद क्यों आई? क्योंकि OSI नेटवर्क मॉडल के सभी स्तर एक डिग्री या किसी अन्य के लिए इस हमले के अधीन हैं। हम आगे इसकी पुष्टि करेंगे।

हम पहले और दूसरे OSI स्तरों - भौतिक और चैनल से हमलों पर विचार करने के लिए आगे बढ़ते हैं।

अभ्यास

तांबा

आइए सबसे सरल चीज से शुरू करें - एक मुड़ जोड़ी से डेटा प्राप्त करना। यह वास्तव में मित्म नहीं है, यह एक क्लासिक सूँघने वाला है, लेकिन इस मामले में यह अधिक गंभीर हमलों के लिए एक "शर्त" है। वास्तव में, एक मुड़ जोड़ी केबल से डेटा लेने के लिए, कहते हैं, 100Base-T, यह बस एक अतिरिक्त राउटर है जिस पर आप किसी तरह का DD-WRT / OpenWRT या कोई अन्य एनालॉग स्थापित कर सकते हैं। कुछ समय पहले ही इसका उल्लेख यहाँ किया गया था।

एक अधिक विश्वसनीय तरीका विशेष उपकरणों का उपयोग करना है। लेकिन उसके नुकसान हैं:

1. उचित भौतिक सुरक्षा (एसीएस, वीडियो निगरानी) और कर्मचारियों के कार्यों के बारे में अच्छी जानकारी के साथ, "संदिग्ध" वस्तुओं की उपस्थिति के मामले में, ऐसे उपकरणों का पता लगाने का जोखिम बहुत अधिक है।
2. एक हमलावर केवल उस डेटा तक पहुंच प्राप्त करता है जो उस केबल से यात्रा करता है जिससे वह जुड़ा हुआ है। यदि केबल गार्ड के बूथ से जुड़ा है, तो सबसे अधिक संभावना है कि अपराधी कई कैमरों और आवधिक यूट्यूब सत्रों से छवियों का निरीक्षण कर सकेगा, लेकिन एसएपी से वित्तीय डेटा नहीं।
3. तीसरा, और सबसे महत्वपूर्ण, यातायात एन्क्रिप्शन। वास्तव में, अब लगभग किसी भी सर्वर, कोई भी सेवा टीएलएस के माध्यम से काम करती है या प्रेषित डेटा के क्रिप्टो संरक्षण के लिए कुछ एनालॉग का उपयोग करती है। एक कुंजी के बिना, हम प्रेषित डेटा को डिक्रिप्ट नहीं करेंगे। और डिफी-हेलमैन एल्गोरिदम पर टीएलएस 1.3 या टीएलएस 1.2 का उपयोग करने के मामले में भी यह मदद नहीं करेगा।

यह सब इस तथ्य की ओर जाता है कि इस तरह के सूँघने से हमलावर को वांछित परिणाम नहीं मिल सकते हैं। इसके लिए अधिक "लचीले" कनेक्शन की आवश्यकता होगी, यानी डेटा लाइन में "एम्बेडिंग"। उदाहरण के लिए, इस तरह, थोड़ा अभिमानी:



इस विधि के कई नुकसान हैं। उदाहरण के लिए, कार्यस्थल में कुछ नया दिखने के संदेह में, सुरक्षा या अविश्वसनीय आँखों के विभिन्न साधनों की उपस्थिति में पता लगाना आसान है। लेकिन उसके पास एक फायदा भी है: पूर्ण नियंत्रण और प्रेषित डेटा को संशोधित करने की क्षमता। हम वास्तविक जीवन में एक हमले का अनुकरण करेंगे। यह 2 चीजें लेगा: मेरी कामकाजी मशीन जिस पर यह पाठ लिखा गया है, मेरा लैपटॉप आर्क पर बोर्ड के साथ है, हालांकि किसी भी लिनक्स वितरण को काम करना चाहिए। कनेक्शन "मेरी कार्य मशीन" - "लैपटॉप" और "लैपटॉप" - "स्थानीय क्षेत्र नेटवर्क" को केबल के माध्यम से बनाया जाएगा, जिसके लिए एक यूएसबी-नेटवर्क एडाप्टर लैपटॉप से ​​जुड़ा है। हम ब्रिज को कॉन्फ़िगर करने के लिए brctl का उपयोग करेंगे, हालांकि NetworkManager द्वारा भी ऐसी कार्यक्षमता की घोषणा की गई है।

पुल सेट करें:

# brctl addbr br0 //  br0      # brctl addif br0 enp14s0 //  enp14s0 –   ,  ,  ,     # brctl addif br0 enp0s20u4 // enp0s20u4 –      

यदि उसी समय आप एक IP पता प्राप्त करना चाहते हैं, तो बस br0 पर कुछ dhclient सेट करें, या एक स्थिर IP सेट करने के लिए अपने हाथों का उपयोग करें (# ip ad add XXXX / X dev br0)।

इसलिए, लैपटॉप पर एक पुल इंटरफ़ेस बनाया गया है, एक कंप्यूटर यूएसबी इंटरफ़ेस से जुड़ा है, मुख्य इंटरफ़ेस स्थानीय नेटवर्क पर जाता है। हम ट्रैफ़िक को रोकने के लिए कोई भी सॉफ़्टवेयर लॉन्च करते हैं (सुविधा के लिए मैं एक GUI के साथ Wireshark का उपयोग करूँगा) और निम्नलिखित का पालन करें:


चित्र 1. एक्शन में विहर्सक

जैसा कि आप देख सकते हैं, यहां 192.168.139.206 पते के साथ मशीन का पूरा ट्रैफ़िक डंप है (परीक्षणों के लिए मैंने एक परीक्षण नेटवर्क बनाया था)। वर्तमान कॉन्फ़िगरेशन में ( मैक-पिनिंग के बिना, उदाहरण के लिए) कोई भी नेटवर्क पर मेरी उपस्थिति को नोटिस नहीं करेगा। यह हमला आपको लॉगिन / पासवर्ड सहित बहुत सी जानकारी प्राप्त करने की अनुमति देता है, उदाहरण के लिए, साइट diary.ru के लिए :


चित्रा 2. ऊँ

वास्तव में, सब कुछ थोड़ा और अधिक जटिल है। diary.ru उन दुर्लभ साइटों में से एक है, जो उपयोगकर्ता को एन्क्रिप्टेड HTTPS पर पुनर्निर्देशित नहीं करती हैं। खुले ट्रैफ़िक की तुलना में HTTPS से निपटना अधिक कठिन है। और मेरे द्वारा पकड़ा गया अधिकांश ट्रैफ़िक एन्क्रिप्टेड है, जो वास्तव में उपयोगकर्ता के लिए अच्छा है, लेकिन इस समय मेरे लिए बहुत अच्छा नहीं है।

खुद की सुरक्षा कैसे करें? कई विकल्प हैं, प्रत्येक अपनी विशेषताओं के साथ:

1. मैक-पिनिंग से मदद नहीं मिलेगी: एमएसीएस वह सब कुछ नकली है, जिसके लिए वह आलसी नहीं है। उसी लिनक्स पर, आप डिवाइस मैनेजर के माध्यम से मैकचेंजर, और विंडोज पर उपयोग कर सकते हैं;
2. 802.1X प्रमाणीकरण एक महान बात है। लेकिन बारीकियों के एक जोड़े हैं: सबसे सरल सूँघने मोड में, यह रक्षा नहीं करेगा, क्योंकि हमलावर कनेक्शन के लिए "अदृश्य" रहता है, और स्विच के दृष्टिकोण से, केवल हमले के तहत डिवाइस नेटवर्क पोर्ट से जुड़ा हुआ है। एक और बात, यातायात पर प्रभाव पड़ने की स्थिति में, आपकी उपस्थिति को प्रकट करने का मौका गंभीरता से बढ़ जाता है, क्योंकि अब आपके माध्यम से स्विच के माध्यम से ट्रैफ़िक नेटवर्क में आना शुरू हो जाता है, जिस पर विभिन्न सुरक्षा उपाय प्रतिक्रिया कर सकते हैं। सब कुछ इस्तेमाल किए गए उपकरणों (सिएम या कुछ इसी तरह) और कंपनी में सुरक्षा कर्मियों के कौशल पर टिकी हुई है;
3. उपयोगकर्ता और इकाई व्यवहार विश्लेषण (UEBA) समाधान आपको नेटवर्क पर कुछ संदिग्ध को ट्रैक करने की अनुमति देते हैं। 802.1X के मामले में, सामान्य सूँघने के साथ आप अदृश्य रहते हैं, लेकिन जब आप ट्रैफ़िक उत्पन्न करते हैं, तो वे आपको छोड़ देंगे। यह इतनी बार उपयोग नहीं किया जाता है, और सब कुछ फिर से सुरक्षा गार्ड के कौशल पर निर्भर करता है।

सवाल उठता है: अगर मुझे जिस कंप्यूटर तक पहुंचना है, वह क्या करना चाहिए, उदाहरण के लिए, घर के अंदर, और केबल कैमरों के नीचे या छिपी हुई है? कुछ भी जटिल नहीं है, बस सरल स्पूफिंग हमलों का सहारा लें। जब एक विशिष्ट मेजबान के मैक पते का अनुरोध करते हैं, तो हमलावर मेजबान एआरपी पैकेट के साथ नेटवर्क को "स्पैम" करना शुरू कर देता है, जिसमें इसका मैक खोज पते के रूप में निर्दिष्ट होता है, जिससे हमलावर को हमारे मेजबान से कनेक्ट करने के लिए मजबूर किया जाता है।

आपको पहले एक लक्ष्य चुनना होगा। मेरे मामले में, यह मेरा सहयोगी होगा। अब हम एक बहुत ही प्राचीन, लेकिन काफी कार्यात्मक ettercap का उपयोग करेंगे। हम किसी भी तरह से सहकर्मी का आईपी पता निर्धारित करेंगे, फिर हम हमले का लक्ष्य निर्धारित करेंगे। उदाहरण के लिए, मैं यह पता लगाना चाहता हूं कि डीएनएस के मेरे सहयोगी की क्या तलाश थी। उसके बाद, मैं 2 आईपी पते को ettercap में चलाता हूं: DNS सर्वर का पता और, वास्तव में, पीड़ित का पता। और ...


चित्र 3. DNS क्वेरीज़ को पकड़ना

यह देखा जा सकता है कि मेरे सहयोगी सिस्को वेबसाइट पर जानकारी की तलाश कर रहे हैं, और साथ ही साथ उनका सिस्टम विभिन्न एमएस साइटों की पहचान करने के लिए "सेवा" अनुरोध भेजता है।

कुछ अच्छी खबर है। उपकरणों की एक बड़ी सूची एआरपी-स्पूफिंग के खिलाफ सुरक्षा का समर्थन करती है, जो इस तरह के हमलों को नकार सकती है। और अगर कंपनी एसओसी या सिएम का उपयोग करती है, तो आप हमलावर का पीछा करने की कोशिश कर सकते हैं।

प्रकाशिकी

फाइबर-ऑप्टिक संचार लाइनें किसी भी कंपनी में एक और बेहद सामान्य संचार चैनल हैं। मिटम के खिलाफ सुरक्षा क्या है?

स्थिति दुगनी है। यदि हम विशेष सुरक्षात्मक प्रबलित गोले के बिना सबसे सरल केबल लेते हैं, तो सरल सूँघने के लिए इसे मोड़ने के लिए पर्याप्त है। एक विशेष उपकरण एक मोड़ पर "लटका" है। प्रकाश का एक हिस्सा केबल से परे हमारे डिवाइस में जाता है, जहां से हम पूरे डंप को इकट्ठा करते हैं।

यह अच्छा है कि अधिकांश ट्रैफ़िक एन्क्रिप्ट किया गया है। लेकिन नहीं तो क्या? वास्तव में, खुद का बचाव करना मुश्किल है। प्रकाशिकी को इस तरह से अलग करना सबसे आसान है कि इसके करीब जाना मुश्किल है। एक अन्य तरीका अधिक महंगी "संरक्षित" केबल का उपयोग करना है, जिसमें विशेष सुरक्षा उपाय शामिल हैं जो केबल म्यान उल्लंघन का पता लगाने की अनुमति देते हैं। लेकिन उचित निपुणता के साथ, आप इसे कनेक्ट कर सकते हैं, और केबल को फिर से बिछाना अक्सर एक बेहद अप्रिय बात होती है। एक प्रभावी तरीका विशेष उपकरण का उपयोग करना है जो फाइबर के मोड़ होने पर सिग्नल स्तर में बदलाव का जवाब देगा। मुद्दा मूल्य अधिक है। खैर, शायद सबसे अच्छा समाधान संचारित यातायात के एन्क्रिप्शन का उपयोग करना है।

यदि हम किसी भी तरह से यातायात को प्रभावित करना चाहते हैं, तो सब कुछ अधिक जटिल है। सबसे प्रभावी तरीका साइडबार है, जिसमें मध्य में विशेष उपकरण बनाया गया है। इस पद्धति का नुकसान यह है कि हमें सभी आगामी परिणामों के साथ कुछ समय (काफी बड़े) केबल काटने की जरूरत है, जो कंपनी में सुरक्षा कर्मियों को भ्रमित कर सकता है। लेकिन सफल काम के साथ, हम, ज्यादातर मामलों में, ट्रैफ़िक की एक बड़ी मात्रा को प्रभावित करने में सक्षम होंगे, क्योंकि फाइबर शायद ही कभी उपयोगकर्ताओं के कंप्यूटरों को रखा जाता है। सबसे अधिक बार, यह एक डेटा ट्रांसफर चैनल है, उदाहरण के लिए, कंपनियों की व्यक्तिगत शाखाओं के बीच।

फाइबर कनेक्शन की एक बड़ी संख्या को कवर करने वाला एक लेख भी यहां उपलब्ध है ।

वाई-फाई के बारे में क्या?

और सभी एक ही और भी आसान! WPA2-PSK (पासवर्ड कनेक्शन) के साथ शुरू करते हैं। हमले के "चुपके" के लिए, एक आवश्यकता को पूरा करना महत्वपूर्ण है: आपको एक वास्तविक पासवर्ड जानने की आवश्यकता है, इससे उन डिवाइसों को स्वचालित रूप से नेटवर्क से कनेक्ट करने की अनुमति मिल जाएगी, जो "दुर्भावनापूर्ण" नेटवर्क से कनेक्ट होने में कोई समस्या नहीं है। तो, हम समान पासवर्ड के साथ वाई-फाई एक्सेस प्वाइंट बढ़ाते हैं और कनेक्शन की प्रतीक्षा करते हैं। यदि आप प्रतीक्षा नहीं करना चाहते हैं, तो आप डेथ पैकेट भेजना शुरू कर सकते हैं, जो उपयोगकर्ताओं को वर्तमान एक्सेस बिंदुओं से डिस्कनेक्ट करने के लिए मजबूर करेगा, और उनमें से कुछ जिनके लिए एक दुर्भावनापूर्ण एक्सेस प्वाइंट अधिक शक्तिशाली होगा, आपको कनेक्ट करने के लिए मजबूर करेंगे। एक बिंदु बनाने के लिए, मैंने hostapd का उपयोग किया, विभिन्न विन्यासों में विभिन्न नेटवर्क बनाने के लिए एक शक्तिशाली उपकरण। मैंने वाई-फाई इंटरफ़ेस को br0 ब्रिज से जोड़ा ताकि उपयोगकर्ता कुछ नोटिस न करें और यह स्थानीय नेटवर्क के अंदर सेवाओं के साथ काम करना जारी रख सके। हम कुछ समय के लिए इंतजार कर रहे हैं और परिणाम का आनंद ले रहे हैं।


चित्रा 4. iPhone डंप देखना

WPA2 एंटरप्राइज (एक बाहरी सेवा के माध्यम से प्रमाणीकरण के साथ, जैसे RADIUS) सुरक्षा के मामले में बहुत बेहतर है। यदि एंटरप्राइज़ के काम के लिए क्लासिक PSK की कंपनी के स्थानीय नेटवर्क (उदाहरण के लिए, यदि यह एक अतिथि नेटवर्क है) तक पहुंच नहीं भी हो सकती है, तो आपके पास प्रमाणीकरण सर्वर तक पहुंच होनी चाहिए, जो समान Windows NPS का उपयोग कर सकता है। इसके अलावा, काम करने के लिए एक्सेस प्वाइंट के लिए, एक निजी कुंजी के साथ एक प्रमाण पत्र की आवश्यकता होती है, जिसे प्राप्त करने के लिए बहुत समस्याग्रस्त है। आप निश्चित रूप से एक स्व-हस्ताक्षरित जारी कर सकते हैं, लेकिन इससे कुछ समस्याएं हो सकती हैं, क्योंकि एक आदर्श दुनिया में, क्लाइंट डिवाइस को इस प्रमाण पत्र की जांच करनी चाहिए। सामान्य तौर पर, इस तरह के पहुंच बिंदु को कॉन्फ़िगर करना और क्लाइंट को इससे कनेक्ट करना संभव है, लेकिन बड़े आरक्षण के साथ। सबसे अधिक संभावना है, हमलावर अभी भी पकड़ने में सक्षम होगा।

वाई-फाई नेटवर्क की सुरक्षा कैसे करें? WPA2 एंटरप्राइज का उपयोग करें (अधिमानतः प्रमाण पत्र के साथ) और एक्सेस प्वाइंट के प्रमाण पत्र की जांच करने के लिए क्लाइंट डिवाइस को कॉन्फ़िगर करें, ईविल ट्विन एक्सेस प्वाइंट का अनुकरण करना तब और अधिक कठिन होगा। अपने प्रमाणीकरण सर्वर को सावधानीपूर्वक कॉन्फ़िगर करें। यदि संभव हो तो, अपने मौजूदा उपकरणों की क्षमताओं का उपयोग करें, उदाहरण के लिए, सिस्को वायरलेस घुसपैठ निवारण प्रणाली, जिसका सार इस मामले में दुर्भावनापूर्ण पहुंच बिंदुओं की खोज करना और विभिन्न ग्राहकों को उनसे कनेक्ट करने से रोकना है।

एक निष्कर्ष के बजाय

संक्षेप में संक्षेप में बताएं। जैसा कि आप देख सकते हैं, एक रूप या किसी अन्य में, सबसे आम डेटा ट्रांसमिशन चैनल, मिटीएम हमलों के लिए अतिसंवेदनशील होते हैं। खुद की सुरक्षा कैसे करें?

• एन्क्रिप्शन का उपयोग करें; यह इतना मुश्किल और बहुत प्रभावी नहीं है;
• किसी भी सूचना प्रणाली की शुरूआत (और एक ही वाई-फाई) नेटवर्क के नारे के तहत नहीं होना चाहिए "यदि केवल यह काम करता है!", खासकर अगर वास्तव में महत्वपूर्ण जानकारी सिस्टम में प्रसारित होती है, तो सूचना सुरक्षा के दृष्टिकोण से प्रक्रिया पर विचार करना आवश्यक है;
• सुरक्षात्मक उपकरण या उपयोग किए गए उपकरणों की कार्यक्षमता का उपयोग करें। सिस्को WIPS, विभिन्न IPS / IDS, UEBA, आदि। यह अनुमति देगा, यदि आप हमलावर के काम को नहीं रोकते हैं, तो इसका पता लगाएं और अपराधी को पकड़ने के लिए उपाय करें।

लेकिन क्या होगा अगर हमलावर एक "विश्वसनीय" व्यक्ति है? कंपनी का एक कर्मचारी स्थानीय नेटवर्क तक वैध पहुंच के साथ, लेकिन तोड़फोड़ के विचार रखने वाला? वह एन्क्रिप्टेड ट्रैफ़िक का विश्लेषण करने के लिए क्या कर सकता है और सबसे महत्वपूर्ण बात यह है कि वह इससे खुद को कैसे बचा सकता है? हम निम्नलिखित लेखों में इस बारे में बात करेंगे, फिर से हमारे DNS प्रश्नों और HTTPS ट्रैफ़िक दोनों पर लौटेंगे।