Inbrekers detecteren..

[om3ega]

Of het ligt aan mijn zoek kwaliteiten of er is gewoon geen goede oplossing voor , maar hoe (met welke software) kan ik portscans , brute force attacks etc detecteren en daarop de PC laten anticiperen.

Ik heb wel eens gehoord dat er software is die dus de host die een portscan uitvoerd op je systeem direct in de block list zet.

Hoe werkt dit dan? Ik neem aan dat er een script is die dus portscans , brute force attacks op je ssh poort (o.z.i.d.) detecteerd en daarna je firewall aanpast.

Is dat correct? En waar moet ik naar zoeken? Welke pakketen gebruiken jullie?

Systeem is een Redhat 9.0 Distro met IPTables

[monkel]

snort al geprobeerd?

[RvdH]

Het programma waar jij het over hebt heet als ik me niet vergis portsentry.
Dat is een "Intrusion Detection System", als je daarop googled kom je al een heel eind verder..

[om3ega]

Bedankt voor jullie reacties. Snort heb ik net bekeken maar is vrij lastig en ingrijpend denk ik. Ik ga eens kijken naar portsentry.

[Verwijderd]

je kan blackice proberen is ook een goede firewall

[xos]

strlen schreef op 16 September 2003 @ 19:30:
Het programma waar jij het over hebt heet als ik me niet vergis portsentry.
Dat is een "Intrusion Detection System", als je daarop googled kom je al een heel eind verder..

Je vergist je niet , via dit programma kan je poorten opgeven waar portsentry op luisterd. Als deze iets ongebruikelijks opmerkt zal portsentry deze hosts automatisch blokken.

[warp]

Verwijderd schreef op 16 September 2003 @ 20:17:
je kan blackice proberen is ook een goede firewall

Ja tuurlijk, BlackICE werkt ook zo lekker goed op:

om3ega schreef op 16 September 2003 @ 18:35:
Systeem is een Redhat 9.0 Distro met IPTables

[Verwijderd]

oeps sorry te vroeg getypt voor ik alles had gelezen

[x-force]

nou.....
http://linuxtoday.com/security/2000050802604PRUU

BlackICE Agent for Linux, the first commercial intrusion detection system for the Linux platform. BlackICE Agent for Linux detects attacks, determines the intruder's identity and reports to Network ICE's centralized management console, ICEcap(TM)- all in real time. Like BlackICE Agent for Windows, BlackICE Agent for Linux delivers centrally managed intrusion detection technology to servers, desktops, and notebooks, inside or outside the firewall, all centrally managed through the ICEcap manager

[warp]

Hmm, en op op hun site staan alleen Windows producten?
Dan mogen ze hun website wel eens updaten

BlackICE™ PC Protection
Supported Operating Systems:
Windows® 98, XP Home, XP Pro, 2000 Pro, Me, NT 4.0 Workstation

http://blackice.iss.net/product_pc_protection.php

En dan nog... BlackICE Firewall != BlackICE Agent.

[ Voor 12% gewijzigd door warp op 16-09-2003 20:42 ]

[Verwijderd]

Portsentry kan alleen portscans detecteren en blocken. Bedenk wel dat source ip adressen gespoofd kunnen worden en dat een aanvaller je machine zou kunnen DoS-en door met zoveel mogelijk verschillende source adressen te scannen.

Wil je meer details over het soort aanval dan zul je toch op IDS systemen als snort over moeten gaan. Standaard is snort een passief IDS dat zelf geen actie onderneemt. Er zijn eventueel patches die ervoor zorgen dat snort wel zelf actie onderneemt, maar ook hier geldt het DoS gevaar weer.

Een andere optie is de connection cutter. Deze blocked geen ip adressen maar reset de verbindingen.
http://www.lowth.com/cutter/

[pistole]

uhm. Sinds portsentry (althans, Psionic) door Cisco Systems is overgenomen, is het nergens meer te downloaden. D.wz., ik heb nog wel een .tgz'tje staan uit de tijd dat het nog wel kon

[Verwijderd]

Uhm, http://www.rpmfind.net/li...tsentry&submit=Search+...
Genoeg rpm's te vinden hoor, zelfs specifiek voor red Hat 9

[pistole]

Verwijderd schreef op 16 september 2003 @ 20:59:
Uhm, http://www.rpmfind.net/li...tsentry&submit=Search+...
Genoeg rpm's te vinden hoor, zelfs specifiek voor red Hat 9

hmm okee, dat wist ik idd niet. zie ook hier, aangezien de website van Psionic (ook) niet meer bestaat.

Bedankt, balou!

[bolke]

Snort, Mysql, ACID, Apache, PHP

Zie http://www.snort.org/docs/snort_acid_rh9.pdf voor een zeer komplete handleiding voor Redhat 9

[Verwijderd]

Ok vertrouw dus niet op die kant en klare firewall paketten.
BlackICE defender is, net als ZoneAlarm en al die andere windows proggies, dikke junk.
Dit is gewoon een trukje van de commerce om wat extra software te verkopen, hiermee lokken ze security-nitwits mee.
Mijn tweede punt is : als je iets of wat met je veiligheid begaan bent, vertrouw dan niet op een Linux distro waarvan elke versie in zijn geschiedenis remote root exploitable is.
Redhat is in mijn ogen enkel veilig als je de netwerkkabel uittrekt :-)

[om3ega]

bedankt voor alle reacties en tips. Ik hoef geen militair netwerk te beveiligen , en ook geen bank ofzo .. maar gewoon een simpel webservertje .. en ik vind het leuk om eens met deze dingen te spelen om te zien wat het doet

Ik ga op mijn gemak eens even bovenstaande dingetjes proberen om te zien wat het doet

[cashewnut]

pistole schreef op 16 September 2003 @ 20:56:
uhm. Sinds portsentry (althans, Psionic) door Cisco Systems is overgenomen, is het nergens meer te downloaden. D.wz., ik heb nog wel een .tgz'tje staan uit de tijd dat het nog wel kon

PSAD doet ongeveer hetzelfde als PortSentry (de verschillen staan hier. Met PSAD kun je ook instellen hoe lang de source-IP geblokt moet worden.

[Da_Jackal]

Verwijderd schreef op 16 September 2003 @ 22:55:
Ok vertrouw dus niet op die kant en klare firewall paketten.
BlackICE defender is, net als ZoneAlarm en al die andere windows proggies, dikke junk.

Maar welke vind je dan wel goed?

[JaQ]

misschien is het leuk om ook eens naar tripwire te kijken. Je bent feitenlijk al te laat tegen de tijd dat tripwire jou waarschuwd, maar je weet het in ieder geval als er iemand binnen is die rare dingen doet.

[Verwijderd]

een intrusion detection system werkt niet altijd. aangezien de nieuwste portscansoftware rekening houd met de nieuwste detection systems.Maar goed, als je een nieuwe versie scansoftware hebt zal het grootste gedeelte van de scans wel tegengehouden worden. scanlogd wordt volgensd mij standaard door debian meegeleverd

[Cyb]

mijn mening over ISS BlackICE PC Protection 3.6:
-AP scan duurt te lang
-Zeer beperkte rules
-Beperkte attack info
-Program rules te beperkt
-Geen monitor

[Verwijderd]

Verwijderd schreef op 16 September 2003 @ 22:55:
Ok vertrouw dus niet op die kant en klare firewall paketten.
BlackICE defender is, net als ZoneAlarm en al die andere windows proggies, dikke junk.
Dit is gewoon een trukje van de commerce om wat extra software te verkopen, hiermee lokken ze security-nitwits mee.
Mijn tweede punt is : als je iets of wat met je veiligheid begaan bent, vertrouw dan niet op een Linux distro waarvan elke versie in zijn geschiedenis remote root exploitable is.
Redhat is in mijn ogen enkel veilig als je de netwerkkabel uittrekt :-)

Heb je hier nog een fatsoenlijke onderbouwing voor of zwam je nou wat in de ruimte Ik weet dat de meeste intrusion analisten blackice gebruiken als windows hostbased IDS aangezien het zeer gedetaieerde informatie kan leveren. Zelf vertrouw ik al een jaartje of wat op m'n Sygate Personal firewall (voor zover ik onder windows zit natuurlijk ). Tevens is het onzin om een linux distro te flamen omdat het in het verleden root exploits heeft gehad. Sterker nog, de kernel zelf heeft in de loop der tijd zelf ook zat (remote) root exploits gehad. Wil dat dan zeggen dat jij geen linux gebruikt, of (als je purist bent) totaal geen enkele computer cq besturings systeem? (aangezien er geen enkel besturings systeem in het verleden zonder fouten heeft gezeten).

Onder unix is met een combinatie tussen snort, een packetfilter, portsentry, een eventuele data backend en het nodige script werk alles te bereiken wat je wilt.

• Snort: De opensource NIDS. Doet in z'n puurste vorm netwerkverkeer vergelijken met lijsten van "bekende" attack signatures). Is in verschillende variaties te patchen (zie ook hogwash) en is vergelijkbaar met, zo niet beter dan commerciele NIDS omgevingen. Het heeft een actieve user community die bezig is met het vinden/analyseren/maken van nieuwe signatures. Een plugin systeem zorgt ervoor dat het makkelijk is om de output in de meest gevarieerde vormen te krijgen (van libpcap dumps tot xml).


• Met een packet filter kun je (al dan niet) geavanceerde access control toepassen op je netwerk interfaces. De meeste moderne firewall talen (pf, ipfw2, netfilter) ondersteunen de meest exotische features om al het netwerkverkeer te normaliseren(het uitfilteren van abcessen, zoals portscans, DoS attacks en abnormaal netwerkverkeer) en te controleren. Al de moderne talen zijn zowel makkelijk te scripten en/of er is een api voor.


• Portsentry: Een (onder linux) geavanceerde portscan detector. Standaard worden "normale" portscans alleen maar gedetecteerd (datgene wat een volledige TCP handshake gemaakt hebben (SYN | SYN/ACK | ACK)). Onder linux heeft portsentry de mogelijkheid om zogenaamde "stealth" portscans te detecteren. Dwz, portscans die niet een volledige TCP handshake hebben gemaakt. Voorbeelden hiervan zijn bijvoorbeeld de SYN scan of de XMAS scan. Overigens hebben al de bovengenoemde packetfilters de mogelijkheid om te filteren op tcp flags, waardoor je de meeste (bijna alle?) portscans al blokt met je packetfilter. Portsentry kan echter weer wel gebruikt worden als een "Trapdoor". De output mogelijkheden zijn iewat gelimiteerd: een scan "loggen, de mogelijkheid om een host te blokken via een statische entry in je routetabel (waarbij het ip van de "attacker" wijst naar 127.0.0.1, waardoor je machine alle pakketjes voor dat ip doorstuurt naar localhost) of het uitvoeren van extern script.


• Een databackend (zoals een database) is op de langere termijn, of als je heeel erg veel "attacks" krijgt erg handig in verband met de iewat uitgebreidere en efficientere zoekmogelijkheden die ze bieden.

Hiermee heb je in feite een unix like IDS, vele losse onderdelen, die erg goed zijn in hetgeen wat ze doen, wat jij vervolgens aan mekaar knoopt met behulp van (vul hier je favoriete "glue" taal in). Een aantal kant en klare oplossingen waar ik zo 123 aan kan denken zijn:

• ACID: Analist Console for Intrusion Detection: Is niets meer en niets minder dan een console voor je intrusion detection systeem. Hiermee voer je bijvoorbeeld zoekacties mee uit en krijg je je "alerts" op binnen.


• PureSecure: Een (commerciele?) all-in-one solution op basis van snort, mysql, php en nog wat klein dingetjes. Heeft op zich (die ene keer dat ik het uitgeprobeerd heb) leuke scripten, maar distantieert zich volledig van de bijgeleverde distributie (en verwacht dat ik een compiler op m'n systeem heb). Heb dit dus ook weer snel van m'n systeem verwijderd.


• SnortCenter: Is een gui voor windows, heb ik nooit mee gewerkt, maar weet je iig dat er zelfs frontends zijn voor windows ;)

Wat jij bijvoorbeeld kan doen, is packetfilter rules genereren als je een bepaalde signature tegenkomt (bijvoorbeeld deze: [rml][ openssh] Nieuwe ssh exploit *UPDATEN!!*[/rml]). Als je selectief genoeg bezig bent, en je ids zo tweaked dat ie zga geen "false-positive" genereerd, is dit te doen met heel weinig kans op "foutieve" packetfilter rules.

[ Voor 6% gewijzigd door Verwijderd op 17-09-2003 00:59 . Reden: Sow, en ik maar denken dat ik vautlos ken sgreiven ;) ]

[xychix]

Verwijderd schreef op 16 September 2003 @ 20:50:
Portsentry kan alleen portscans detecteren en blocken. Bedenk wel dat source ip adressen gespoofd kunnen worden en dat een aanvaller je machine zou kunnen DoS-en door met zoveel mogelijk verschillende source adressen te scannen.

Wil je meer details over het soort aanval dan zul je toch op IDS systemen als snort over moeten gaan. Standaard is snort een passief IDS dat zelf geen actie onderneemt. Er zijn eventueel patches die ervoor zorgen dat snort wel zelf actie onderneemt, maar ook hier geldt het DoS gevaar weer.

Een andere optie is de connection cutter. Deze blocked geen ip adressen maar reset de verbindingen.
http://www.lowth.com/cutter/

portscannen met gespoofte ip is beetje zinloos.. je krijgt dan de reply niet terug. en heb je dus niets aan je portscan

[bolke]

Verwijderd schreef op 17 September 2003 @ 00:37:
[...]


Heb je hier nog een fatsoenlijke onderbouwing voor of zwam je nou wat in de ruimte Ik weet dat de meeste intrusion analisten blackice gebruiken als windows hostbased IDS aangezien het zeer gedetaieerde informatie kan leveren. Zelf vertrouw ik al een jaartje of wat op m'n Sygate Personal firewall (voor zover ik onder windows zit natuurlijk ). Tevens is het onzin om een linux distro te flamen omdat het in het verleden root exploits heeft gehad. Sterker nog, de kernel zelf heeft in de loop der tijd zelf ook zat (remote) root exploits gehad. Wil dat dan zeggen dat jij geen linux gebruikt, of (als je purist bent) totaal geen enkele computer cq besturings systeem? (aangezien er geen enkel besturings systeem in het verleden zonder fouten heeft gezeten).

Onder unix is met een combinatie tussen snort, een packetfilter, portsentry, een eventuele data backend en het nodige script werk alles te bereiken wat je wilt.

<ul>
<li>Snort: De opensource NIDS. Doet in z'n puurste vorm netwerkverkeer vergelijken met lijsten van "bekende" attack signatures). Is in verschillende variaties te patchen (zie ook hogwash) en is vergelijkbaar met, zo niet beter dan commerciele NIDS omgevingen. Het heeft een actieve user community die bezig is met het vinden/analyseren/maken van nieuwe signatures. Een plugin systeem zorgt ervoor dat het makkelijk is om de output in de meest gevarieerde vormen te krijgen (van libpcap dumps tot xml).</li>
<li>Met een packet filter kun je (al dan niet) geavanceerde access control toepassen op je netwerk interfaces. De meeste moderne firewall talen (pf, ipfw2, netfilter) ondersteunen de meest exotische features om al het netwerkverkeer te normaliseren(het uitfilteren van abcessen, zoals portscans, DoS attacks en abnormaal netwerkverkeer) en te controleren. Al de moderne talen zijn zowel makkelijk te scripten en/of er is een api voor.</li>
<li>Portsentry: Een (onder linux) geavanceerde portscan detector. Standaard worden "normale" portscans alleen maar gedetecteerd (datgene wat een volledige TCP handshake gemaakt hebben (SYN | SYN/ACK | ACK)). Onder linux heeft portsentry de mogelijkheid om zogenaamde "stealth" portscans te detecteren. Dwz, portscans die niet een volledige TCP handshake hebben gemaakt. Voorbeelden hiervan zijn bijvoorbeeld de SYN scan of de XMAS scan. Overigens hebben al de bovengenoemde packetfilters de mogelijkheid om te filteren op tcp flags, waardoor je de meeste (bijna alle?) portscans al blokt met je packetfilter. Portsentry kan echter weer wel gebruikt worden als een "Trapdoor". De output mogelijkheden zijn iewat gelimiteerd: een scan "loggen, de mogelijkheid om een host te blokken via een statische entry in je routetabel (waarbij het ip van de "attacker" wijst naar 127.0.0.1, waardoor je machine alle pakketjes voor dat ip doorstuurt naar localhost) of het uitvoeren van extern script.</li>
<li>Een databackend (zoals een database) is op de langere termijn, of als je heeel erg veel "attacks" krijgt erg handig in verband met de iewat uitgebreidere en efficientere zoekmogelijkheden die ze bieden.</li>
</ul>

Hiermee heb je in feite een unix like IDS, vele losse onderdelen, die erg goed zijn in hetgeen wat ze doen, wat jij vervolgens aan mekaar knoopt met behulp van (vul hier je favoriete "glue" taal in). Een aantal kant en klare oplossingen waar ik zo 123 aan kan denken zijn:

<ul>
<li>ACID: Analist Console for Intrusion Detection: Is niets meer en niets minder dan een console voor je intrusion detection systeem. Hiermee voer je bijvoorbeeld zoekacties mee uit en krijg je je "alerts" op binnen.</li>
<li>PureSecure: Een (commerciele?) all-in-one solution op basis van snort, mysql, php en nog wat klein dingetjes. Heeft op zich (die ene keer dat ik het uitgeprobeerd heb) leuke scripten, maar distantieert zich volledig van de bijgeleverde distributie (en verwacht dat ik een compiler op m'n systeem heb). Heb dit dus ook weer snel van m'n systeem verwijderd.</li>
<li>SnortCenter: Is een gui voor windows, heb ik nooit mee gewerkt, maar weet je iig dat er zelfs frontends zijn voor windows ;)</li>
</ul>

Wat jij bijvoorbeeld kan doen, is packetfilter rules genereren als je een bepaalde signature tegenkomt (bijvoorbeeld deze: [rml][ openssh] Nieuwe ssh exploit *UPDATEN!!*[/rml]). Als je selectief genoeg bezig bent, en je ids zo tweaked dat ie zga geen "false-positive" genereerd, is dit te doen met heel weinig kans op "foutieve" packetfilter rules.

DAT noem je nou een goed onderbouwde reactie. Netjes.

/HK mode
Nooit gewete dat modjes verstand hadden.

[Verwijderd]

xychix schreef op 17 September 2003 @ 07:09:
[...]

portscannen met gespoofte ip is beetje zinloos.. je krijgt dan de reply niet terug. en heb je dus niets aan je portscan

En als je nou niet geinteresseerd bent in de replies, maar een DoS wil uitvoeren op het systeem

Bovendien hebben we al een versie gezien van portscannen met gespoofde adressen bij de Welchia worm. Ok, niet erg effectief kwa scannen, maar de impact van die worm kwa netwerkverkeer (ICMP) was groot.

[YaPP]

Verwijderd schreef op 16 September 2003 @ 20:17:
je kan blackice proberen is ook een goede firewall

hoewel dit NOS is, wil ik je toch graag uit deze droom helpen.

Zoek eens op "blackice" of "ABSOLUTELY NO EFFECT WHATSOEVER" in dit document van grc.com

ik heb met nmap meerdere malen de bak van een vriend van me gescant; zonealarm in "high" mode maakt je bak onzichtbaar (dus zo slecht is het echt niet), en iedere andere configuratie is af te raden

[ Voor 5% gewijzigd door YaPP op 17-09-2003 09:30 ]