PRŮZKUM VLASTNOSTÍ VOLNĚ DOSTUPNÝCH IMPLEMENTACÍ HONEYPOTŮ A BLACKHOLE NETWORKS S OHLEDEM NA JEJICH POUŽITÍ VE VIRTUÁLNÍ LABORATOŘI POČÍTAČOVÝCH SÍTÍ

Transkript

1 PRŮZKUM VLASTNOSTÍ VOLNĚ DOSTUPNÝCH IMPLEMENTACÍ HONEYPOTŮ A BLACKHOLE NETWORKS S OHLEDEM NA JEJICH POUŽITÍ VE VIRTUÁLNÍ LABORATOŘI POČÍTAČOVÝCH SÍTÍ jméno: Přemysl Ťok login: tok014

2 1. Co je to honeypot V překladu do čestiny to znamená "medový hrnec" a je to aplikace, která simuluje virtualní prvek v síti se všemi jeho vlastnostmi - tzn. operační systém, otevřené/zavřené porty, běžící služby se kterými blíže seznámíme v kapitole 3. Konfigurace. Na tvorbu honeypotu se dá na internetu najit několik komerčních i nekomerčních programů. My použijeme program Honeyd, který je volně dostupný na Honeyd je síťová služba (démon), který běží na unixovém počítači. Nastavuje se pomocí konfiguračního souboru, ve kterém si nastavíme na jakých IP adresách má honeyd poslouchat, jaké systémy simulovat a jaké služby má na daných portech nabízet. Pokud hacker scanuje síť a dostane se k některé z našich adres, honeyd mu odpoví příslušným paketem. Honyed vše loguje, takže můžeme snadno zjistit, kdo co v síti provádí. Honeyd můžeme táké nakonfigurovat tak, že pokud se někdo pokusí připojit na port, který jsme nastavily jako otevřený, může honeyd spustit skript, který danou službu simuluje. Hacker tak získá dojem, že pracuje se skutečným strojem. A pokud se loguje i výstup ze skriptu, můžeme získat přehled o útočníkových aktivitách. 2. Instalace Pokud nenajdeme pro naši distribuci Linuxu již předkompilovaný balíček můžeme si na oficialní stránce stáhnout zdrojové soubory a vše si sami zkompilovat. V tom případě ale budeme potřebovat i následujicí knihovny: libevent, libdnet a libpcap. Nebo jestli se vám nechce kompilovat, můžete použít předkompilovanou verzi honeyd_kit, který lze ho získat na c-a.tgz. 3. Konfigurace Než začneme s konfigurací honeyd, musíme si zajistit dostatečný rozsah IP adres pro naše virtuální stroje. To nám umožní nástroj arpd. Pokud používáte honeyd_kit jako my, stačí, pokud v souboru./start-arpd.sh nastavíme síť, kde má poslouchat v našem případě /24. #!/bin/sh # # Aprd startup script. # Marcus Ranum/Lance Spitzner 3 Jan, 2003 # # PURPOSE: To start the Arpd process # Add '-d' to command line for debug information set -x # Monitor entire network./arpd /24 Teď už se může pustit do samotné konfigurace honeyd, ta se provádí pomocí konfiguračního souboru honeyd.conf.

3 3.1. Konfigurace chování TCP, UDP a ICMP protokolů v Honeyd TCP protokol: open naváže spojení (standardní chování), block ignoruj paket, neposílej odpověď, reset odpověz paketem RST, tarpit - zpozdí spojení (slouží ke zpomalení komunikace a tím může vlastně zaměstnat zdroje útpčícího počítače). UDP protokol: open odpovídej block neodpovídej reset odpověz paketem ICMP Port unreachable (standardní chování) ICMP protokol: open odpověz příslušným ICMP paketem block ignoruj paket a neodpovídej (standardní chování) tady je ukázka našeho konfiguračního souboru: ##### Honeyd Configuration File ##### # Last Updated: 31 May, 2005 ##################################################################### ### Start with default template. If you don't assign specifc ### ### behavior to a specific honeypot, it defaults to the 'default' ### ### template. You must have a template with the name 'default'. ### ##################################################################### ################################################################### ### We now have the rest of our templates and honeypot behavior ### ### ### ### Port Behavior ### ### TCP (default is Open) ### ### - Open: Respond with Syn/Ack, establish connection ### ### - Block: Drop packet and do not reply ### ### - Reset: Respond with RST ### ### - Tarpit: Sticky connection ### ### ### ### UDP (default is Closed) ### ### - Open: No response ### ### - Block: Drop packet and do not reply ### ### - Reset: Respond with ICMP port error message ###

4 ### ### ### ICMP (default is Open) ### ### - Open: Reply to ICMP packets ### ### - Block: Drop packet and do not reply ### ### ### ### Ethernet Codes ### ### - Located in ethernet.c file, compiled into honeyd ### ################################################################### ### Windows computers create windowsxp set windowsxp personality "Microsoft Windows XP Home Edition" set windowsxp default tcp action reset set windowsxp default udp action reset set windowsxp default icmp action open add windowsxp tcp port 80 "sh scripts/misc/test.sh" add windowsxp tcp port 139 open add windowsxp tcp port 137 open add windowsxp udp port 137 open add windowsxp udp port 135 open bind windowsxp create windows2000 set windows2000 personality "Microsoft Windows XP Professional" set windows2000 default tcp action reset set windows2000 default udp action reset add windows2000 tcp port 25 "sh scrpits/win32/win2k/exchange-smtp.sh" add windows2000 tcp port 80 "sh scripts/win32/win2k/iis.sh" add windows2000 tcp port 110 "sh script/win32/win2k/exchange-pop3.sh" add windows2000 tcp port 139 open add windows2000 tcp port 137 open add windows2000 udp port 137 open add windows2000 udp port 135 open set windows2000 uptime bind windows2000 ### Linux 2.4.x computer create linux set linux personality "Linux " set linux default tcp action reset set linux default udp action reset add linux tcp port 110 "sh scripts/unix/general/pop/emulate-pop3.sh" add linux tcp port 25 "perl scripts/unix/general/smtp.pl" add linux tcp port 21 "sh scripts/unix/linux/ftp.sh" set linux uptime bind linux ### Cisco router create router set router personality "Cisco IOS (11)" set router default tcp action reset set router default udp action reset add router tcp port 23 "perl scripts/cisco/router-telnet.pl" set router uid gid set router uptime bind router

5 použité příkazy: create linux Tento příkaz vytvoří a poté i identifikuje daný virtuální stroj, který se v tomto případě jmenuje linux. set linux personality "Linux " Definujeme jaký operační systém chceme na daném virtuální stroji ohlašovat, zde se jedná o linux s jádrem Přehled podporovaných operačních systémů je uveden v souboru nmap.assoc. set linux default tcp action reset Nastavuje odpověď na pokus o spojení. set linux default udp action reset Nastavuje odpověď na UDP paket. add linux tcp port 110 "sh scripts/unix/general/pop/emulatepop3.sh" Nastavuje port 110 jako otevřený a definuje, který skript na portu poslouchá. add linux tcp port 25 "perl scripts/unix/general/smtp.pl" add linux tcp port 21 "sh scripts/unix/linux/ftp.sh" Již hotové skripty, které jsme použily smtp.pl, ftp.sh jsou obsaženy v honeyd_kitu, nebo si je a mnohé jiné můžeme stáhnout ze stránky Po stažení je, ale pořeba přiřadit právo na spuštění. set linux uptime Definuje, jak dlouho už daný systém běží. bind linux Přiřadí adresu na které systém poběží.. 4. Spuštění honeyd Honeyd_kit obsahuje dva skripty, které honeyd spustí první je./start-arpd.sh, který jsme si již upravily podle našich potřeb, druhý je./start-honeyd.sh. I ten je nutné přispůsobit našim podmínkám: #!/bin/sh # Honeyd startup script. # Marcus Ranum/Lance Spitzner 3 Jan, 2003 # # PURPOSE: To start the Honeyd process # Add '-d' to command line for debug information set -x # Launch Honeyd./honeyd -f honeyd.conf -p nmap.prints -x xprobe2.conf -a nmap.assoc -0 pf.os -l /var/log/honeyd

6 -f <soubor> Určuje soubor, ze kterého souboru se bude brát konfigurace. -x <soubor> Soubor s definicí, jak honeyd reaguje na nástroje využívající ICMP fingerprint, pro určení operačního systému scanovaného zařízení. -l <soubor> Říká kam logovat události spojené s honeyd (např. příjem síťovích paketů). -a <soubor> Soubor, který asociuje styl fingerprintů pro xprobe (možnost -x) se stylem fingerprintů, které používá nmap pro určení operačního systému. -0 <soubor> Soubor s databází fingerprintů. Jména operačních systému specifikována v tomto souboru používá honeyd jako dynamickou šablonu Poslední je rozsah, v jakém honeyd poslouchá. Ten si musíte upravit podle své sítě. 5. Testování Pro testování jsem použil nástroj network tools( balíček NET-TOOLS UBUNTU1), který je obsažen v distribuci Ubuntu Scanování na IP adrese s nastavením: create windowsxp set windowsxp personality "Microsoft Windows XP Home Edition" set windowsxp default tcp action reset set windowsxp default udp action reset set windowsxp default icmp action open add windowsxp tcp port 80 "sh scripts/misc/test.sh" add windowsxp tcp port 139 open add windowsxp tcp port 137 open add windowsxp udp port 137 open add windowsxp udp port 135 open bind windowsxp

7 Scanování na IP adrese s nastavením: create windows2000 set windows2000 personality "Microsoft Windows XP Professional" set windows2000 default tcp action reset set windows2000 default udp action reset add windows2000 tcp port 25 "sh scrpits/win32/win2k/exchange-smtp.sh" add windows2000 tcp port 80 "sh scripts/win32/win2k/iis.sh" add windows2000 tcp port 110 "sh script/win32/win2k/exchange-pop3.sh" add windows2000 tcp port 139 open add windows2000 tcp port 137 open add windows2000 udp port 137 open add windows2000 udp port 135 open set windows2000 uptime bind windows2000

8 Scanování na IP adrese s nastavením: create linux set linux personality "Linux " set linux default tcp action reset set linux default udp action reset add linux tcp port 110 "sh scripts/unix/general/pop/emulate-pop3.sh" add linux tcp port 25 "perl scripts/unix/general/smtp.pl" add linux tcp port 21 "sh scripts/unix/linux/ftp.sh" set linux uptime bind linux

9 Scanování na IP adrese s nastavením: create router set router personality "Cisco IOS (11)" set router default tcp action reset set router default udp action reset add router tcp port 23 "perl scripts/cisco/router-telnet.pl" set router uid gid set router uptime bind router

10 Ukázka logovacího souboru: :44: udp(17) E : :52: honeyd log stopped :31: honeyd log started :52: honeyd log started :53: icmp(1) : 8(0): :53: icmp(1) : 8(0): :53: icmp(1) : 8(0): :53: icmp(1) : 8(0): :53: icmp(1) : 8(0): :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] :53: tcp(6) : 60 S [Linux 2.6 ] Z logovacího souboru je vidět, že někdo s IP adresou na které běží Linux 2.6 scanuje virtuální stroj s IP adresou , že jde o scan naznačují krátké intervaly mezi pakety.

11 6. Závěr Výše uvedený popis ukazuje jenom základní práci s honeyd, který umožňuje vytvářet rozsáhlé sítě virtuálních strojů (až IP adres), umožňuje nastavit mezi nimy směrování, simulovat ztrátovost nebo šířku pásma. Také je možné použít honeyd k odhalení útoků internetových červů a zjištění techniky jejich pronikání do systému. Zdroje Hakin9, jak se bránit? 3/ Honeypoty past na havěť