SİSTEM GÜVENLİĞİ TEST VE DENETİM ARAÇLARI Mehmet KARA Uzman Araştırmacı mkara@uekae.tubitak.gov.tr Tel:(0262) 6481552 15 MART 2007
İçerik 2 Kurumların bilgisayar sistemleri hakkında bilgi toplanması Ağın dinlenmesi Ağda bulunan cihazlardaki servislerin ve açıklıkların tespit edilmesi Ağ topolojisi keşfi İşletim sistemi tespiti Kullanıcı ve cihaz şifrelerinin kırılması Kablosuz ağ test araçları VPN cihazı test araçları WEB uygulama test araçları Veritabanı test araçları
Bilgi Toplama Araçları Whois DNS Sorguları Google Sosyal Mühendislik 3
Paket Dinleyiciler Ethereal (Wireshark) Açık kaynak kodlu bir yazılım Hem Windows hem UNIX üzerinde çalışabilme Ağ trafiğini; Belirli kriterlere göre yakalayabilme (kaynak adres, hedef adres, kaynak port, hedef port, vb ) Yakalayıp sonradan inceleyebilme Kablosuz ağları dinleyebilme Windump (Tcpdump) Açık kaynak kodlu bir yazılım (http://www.winpcap.org/windump) Windows tabanlı bir paket dinleme yazılımı (tcpdump ın Windows sürümü) Komut satırında çalışır Ettercap Açık kaynak kodlu bir yazılım (http://ettercap.sourceforge.net) Hem Windows hem UNIX üzerinde çalışabilme Şifre ve kullanıcı isimlerini yakalayabilme (Telnet, FTP, POP, ICQ, HTTP, NNTP, IRC, RIP, BGP, SNMP) Kurulmuş bağlantıları izleyebilme ve koparabilme Araya girme saldırısını (man in the middle attack) gerçekleştirebilme İşletim sistemi tespiti (OS fingerprinting) yapabilme Anahtarlama cihazi kullanan ağlarda paket dinleyebilme özelliği 4
Ethereal Yakalanan gösterir. paketleri Seçilen paketle ilgili detay bilgileri gösterir. Seçilen paketin onaltılık düzende gösterilimini yapar. 5
Açıklık Tarayıcılar Nessus GFI LANGuard MBSA ISS NetIQ Foundstone... 6
Nessus (1) 7 Açık kaynak kodlu bir yazılım (http://www.nessus.org) Hem Windows hem UNIX üzerinde çalışabilme (UNIX üzerinde Windows a oranla daha etkin çalışmakta) Kapsamlı bir açıklık tarayıcısı: Bilinen güvenlik açıklıklarını tespit edebilme İşletim sistemi tespiti yapabilme Port taraması gerçekleştirebilme Çalışan servisleri tespit edebilme Etki alanına (domain) entegre olarak çalışabilme özelliği Tarama sonuçlarını çeşitli formatlarda raporlayabilme (HTML, XML, Latex, vb...)
Nessus (2) Tanımlı açıklıkların listesi Tarama sonucu 8
GFILANGuard (1) 9 Ticari bir açıklık tarama yazılımı (http://www.gfi.com/lannetscan) Genel açıklık analizi yapan bir araç İşletim sistemi açıklıkları Eksik yamalar Açık portlar Gereksiz çalışan servisler Paylaşımlar Eski tarama sonuçlarını karşılaştırabilme özelliği Ayrı bir kapsamlı raporlama modülüne sahip (GFI Report Center) Çok çeşitli raporlama profilleri (yönetimsel, teknik, istatistiksel, vb ) Özelleştirilmiş (customized) rapor oluşturabilme Değişik formatlarda raporlayabilme (PDF, XLS, DOC, HTML, vb )
GFILANGuard (2) Tarama sonuçları Tarama sonuçları için filtreler Tarama profilleri 10
GFILANGuard (3) Rapor önizleme Raporlama profilleri 11
MBSA Ücretsiz bir yazılım (http://www.microsoft.com/technet/security/tools/mbsahome.mspx) Basit anlamda Windows güvenlik denetimi için ideal (eksik yamalar, bilinen açıklıklar, vb ) Bir ya da birden fazla bilgisayarı aynı anda tarayabilme. Her tarama başlangıcında otomatik imza güncelleme (internet bağlantısı mevcutsa) Sonuçları XML formatında raporlayabilme Kapsamlı açıklık analizi için uygun değil 12
Açıklık Gerçekleme Araçları Metasploit Açık kaynak kodlu bir yazılım (http://www.metasploit.com) Windows, Linux ve MacOS üzerinde çalışabilme Sistemdeki mevcut açıklıkları tespit edebilme ve gerçekleme özelliği Değişik kullanıcı ara yüzleri mevcut (Web,CLI) Sürekli güncellenen bir açıklık veritabanına sahip (halihazırda 181 açıklık tanımı mevcut) Çok değişik hedeflere yönelik olarak kullanılabilme (Windows, Solaris, Unix, Mac, Oracle, HP UX, vb...) Core Impact Ticari bir yazılım (http://www.coresecurity.com) Windows tabanlı Açıklık tarama ve gerçekleyebilme Çok kapsamlı bir açıklık veritabanına sahip Veritabanında bulunan bütün açıklıkları otomatik olarak deneyebilme Test sonuçlarını değişik formatlarda (PDF, HTML, vb ) raporlayabilme özelliği 13
Metasploit Açıklık hakkında ayrıntılı bilgi Tanımlı açıklıkların listesi Açıklığın uygulanabileceği hedef işletim sistemleri 14
Core Impact Tanımlı açıklıkların listesi Test adımları Hedef adresler Açıklığın ayrıntılı açıklaması 15
Port Tarayıcılar 16 Nmap Açık kaynak kodlu bir yazılım (http://insecure.org/nmap) Hem Windows hem UNIX üzerinde çalışabilme (UNIX üzerinde Windows a oranla daha etkin çalışmakta) Kapsamlı bir port tarayıcısı: TCP ve UDP port taraması yapabilme İşletim sistemi tespiti yapabilme Çalışan servisleri tespit edebilme Yazılımların sürüm tespitini yapabilme Bir ağdaki canlı bilgisayarları tespit edebilme Raporlama yeteneği yok SuperScan Ücretsiz bir port tarama yazılımı (http://www.foundstone.com) Windows üzerinde çalışabilme Basit bir kullanıcı ara yüzüne sahip Hem TCP hem UDP port taraması yapabilme Bir ağdaki canlı bilgisayarları tespit edebilme Nmap yazılımına oranla daha kısıtlı Çok kısıtlı raporlama yeteneği
Nmap Açık bulunan portların listesi Tespit edilen işletim sistemi 17
SuperScan Taranacak IP aralığını belirler. Taranacak belirler. portları 18
Paket Üreteçleri Özel TCP, UDP, ICMP, ARP, OSPF vb. paketleri gönderebilme TCP/IP yığını testi Güvenlik Duvarının kural tablosunun uzaktan tahmin edilmesi Saldırı Tespit Sisteminin atlatılması Parçalı paket gönderme Yakalanan paketlerin yeniden gönderilmesi HPing2 Nemesis Engage Packet Builder Tcpreplay 19
Engage Packet Builder Desteklenen protokoller Ethernet seçimi arayüzü IP başlığı ayarları Paketin veri kısmı 20
Topoloji Çıkarım Araçları Ping Komut satırında çalışma (UNIX/Windows) Uzaktaki/yerel bir sistemin ayakta olup olmadığını test etme amaçlı Traceroute (Tracert) Komut satırında çalışma (UNIX/Windows) Hedefe giden yol üzerindeki cihazları (yönlendiriciler, güvenlik duvarları, vb ) belirleme amaçlı TCP Traceroute (http://michael.toren.net/code/tcptraceroute) Komut satırında çalışma (UNIX) Traceroute ile aynı işleve sahip TCP paketlerini kullandığı için daha güvenilir Firewalk Komut satırında çalışma (UNIX) Güvenlik Duvarının kural tablosunu uzaktan tespit edebilme özelliği 21
İşletim Sistemi Tespit Araçları XProbe2 Komut satırında çalışma (UNIX) Aktif işletim sistemi tespit aracı Tespit edilen işletim sistemlerinin doğruluk olasılıklarını verme P0F (Passive OS Fingerprinting) Komut satırında çalışma (UNIX/Windows) Pasif işletim sistemi tespit aracı İşletim tahminleri sistemi 22
Şifre Kırma Araçları Cain and Abel Brutus Hydra L0phtCrack 23
Şifre Kırma Araçları (1) Cain and Abel Ücretsiz bir yazılım (http://www.oxid.it) Sadece Windows işletim sistemi üzerinde çalışma Kapsamlı bir dokümantasyona sahip Kullanım alanları: Ağı dinleyerek şifreleri yakalayabilme Sözlük ve/veya kaba kuvvet saldırısıyla şifre kırabilme Saklanmış şifreleri kırabilme Geniş kapsamlı protokol desteği (FTP, HTTP, SMTP, POP3, Telnet, VNC, ICQ, IKE-PSK, MYSQL, SNMP, SIP, vb ) Çevrimdışı (offline) şifre kırıcı (LM, NTLM, NTLMv2, Cisco-IOS MD5, Cisco Type-7, IKE-PSK, MSSQL, MYSQL, ORACLE, SIP, WEP, vb ) Ek özellikler: Ağdaki Saldırı Tespit Sistemlerini tespit edebilme Araya girme saldırısı yapabilme (ARP Poisoning) SSH-1, HTTPS, VoIP trafiklerini kaydedebilme / çözebilme BRUTUS Ücretiz bir şifre kırma aracı (http://www.hoobie.net/brutus) Windows üzerinde çalışma Kullanıcıya özel uygulamaların şifrelerini kırabilme (Telnet, HTTP, FTP, POP3, SMB, vb ) Sözlük ve kaba kuvvet (brute force) saldırıları yapabilme 24
Şifre Kırma Araçları (2) Hydra Açık kaynak kodlu bir yazılım (http://www.thc.org) Windows, UNIX ve MacOS üzerinde çalışma Birçok uygulamanın şifresini kırabilme (Telnet, FTP, HTTP, HTTPS, SMB, MS-SQL, MYSQL, SNMP, VNC, POP3, NNTP, Cisco auth, Cisco enable, vb ) Sadece sözlük saldırısı yapabilme Hızlı şifre kırabilme özelliği L0phtCrack Ticari bir yazılım (http://download.insecure.org/stf/lc5-setup.exe) Artık devam ettirilmemekte (discontinued, 2006) Windows ve Unix şifrelerini kırabilme Şifreleri kırmak için kullandığı teknikler: Sözlük saldırısı Hibrit (hybrid) sözlük saldırısı Kaba kuvvet (Brute Force) saldırısı Yerel veya uzaktaki bir bilgisayarın şifrelerini kırabilme Ağı dinleyerek şifrelerin hash lerini yakalayabilme 25
Kablosuz Ağ Araçları Tespit ve Analiz Araçları Kablosuz cihazların tespit edilmesi Hangi kanalda hangi cihaz var Sinyal analizi Trafiğin dinlenmesi ve kaydedilmesi Kismet, NetStumbler Denetleme Araçları Haberleşmede kullanılan şifreleme ve kimlik doğrulama yöntemleri Sinyal analizi Paket dinleme ve analiz etme Önemli olayların kaydını tutmak Airmagnet, Airdefense, Airopeek (OmniPeek) Saldırı Araçları Çoğunlukla açık kaynak kodlu WEP/WPA anahtarının ele geçirilmesi Hedef bilgisayara erişim Hedef bilgisayarın ya da EN nin ağa erişimini engellemek Yetkilendirme / doğrulama mekanizmasının aşılması veya etkisiz hale getirilmesi HostAP, SoftAP, Aircrack, CoWPAtty, Void11, AirSnarf, Airjack, LEAPcracker 26
AiroPeek / OmniPeek Ticari bir kablosuz ağ analizi yazılımı (http://www.wildpackets.com) Windows 2000/2003/XP üzerinde çalışabilme Kablosuz ağlarda: Güvenlik analizi Saldırı tespit sistemi Trafik ve kapsama alanı analizi Algılayıcı desteği ile tüm ağı kapsama, paket yakalama yeteneği ve ağ bağlantı haritası çıkarma gibi ek özelliklere sahip Havadan yakalanan paketler Her bir paket için detaylı gösterim Gerçek zamanlı trafik değerleri, alınan paket sayısı, gönderilen paket sayısı 27
VPN Cihazı Test Araçları ipsecscan Ücretsiz bir yazılım (http://nusecurity.nu) Windows üzerinde çalışma Bir sunucu üzerinde IPSec in etkin olup olmadığını test etme amaçlı Bir ya da birden fazla IP adresini tarayabilme ike-scan Açık kaynak kodlu bir yazılım (http://www.nta-monitor.com/tools/ike-scan) Windows, UNIX ve MacOS üzerinde çalışabilme VPN cihazlarını tespit ve test etme amaçlı (Checkpoint, Cisco, Netscreen, Nortel, Watchguard, vb ) ikeprobe Ücretsiz bir yazılım (http://www.ernw.de/download/ikeprobe.zip) Windows üzerinde çalışma VPN cihazının PSK gerçeklemesinde açıklık olup olmadığını tespit etme amaçlı VPN cihazını aggressive modda çalışmaya zorlar. 28
29 Web Uygulaması Test Araçları Paros Açık kaynak kodlu bir yazılım (http://www.parosproxy.org) Java tabanlı olduğu için platform bağımsız HTTP trafiğini; Yakalayabilme Değiştirebilme Yeniden gönderebilme Site haritasını çıkarabilme özelliği Aynı zamanda basit bir web uygulama açıklık tarayıcısı FireBug Mozilla Firefox eklentisi (http://www.getfirebug.com) Platform bağımsız Web sayfalarında detaylı kod analizi (debugging) yapabilme İndirilen web sayfalarını değiştirebilme Hem geliştiriciler hem de güvenlik uzmanları için ideal Acunetix Ticari bir yazılım (http://www.acunetix.com) Windows üzerinde çalışma Web uygulama açıklık tarayıcısı Tarama profilleri oluşturabilme Modüler açıklık tanımlayabilme Detaylı rapor üretebilme Tek tuşla güncellenebilme özelliği
Veritabanı Test Araçları 30 ISS Database Scanner Ticari bir veritabanı tarama aracı (http://www.iss.net) Güvenlik açıklıklarını ve yanlış konfigürasyonları Tespit edebilme Raporlayabilme Desteklenen veritabanları Oracle MSSQL Server Sybase Sözlük saldırısı yapabilme Veritabanının üzerinde koştuğu işletim sisteminin veritabanı ile ilgili özelliklerini de tarayabilme AppDetective Ticari bir veritabanı tarama aracı (http://www.appsecinc.com) Güvenlik açıklıklarını ve yanlış konfigürasyonları Tespit edebilme Raporlayabilme Geniş veritabanı desteği (MySQL, MSSQL Server, Oracle, Sybase, IBM DB2, Lotus Notes/Domino) Aynı zamanda sözlük saldırısı yapabilme Brute Force Script Veritabanlarının varsayılan kullanıcı isim ve şifreleri ile bağlantı yapmaya çalışan bir Perl script idir. (http://www.jammed.com/~jwa/hacks/security/tnscmd/tnscmd) Aldığı parametreler: Veritabanının IP si Veritabanının port numarası Varsayılan kullanıcı isim/şifrelerinin olduğu dosyanın ismi
TEŞEKKÜRLER SORULAR 31