Detekce NAT v podnikové síti

23.11.2014 14:09 | Přečteno: 1434× | Linux | poslední úprava: 23.11.2014 21:41

Brácha řešil, jak v síti detekovat routery, které si někdo bez dovolení přinesl. Použil k tomu mirror provozu portu na páteřním Cisco switchi směrem na Debianí server, na kterém běžel NATDet. Funguje mu to velmi dobře.

Jeho zápisek: Detekce NAT v podnikové síti

NATDet si můžete stáhnout na http://elceef.itsec.pl/natdet/, je lepší si stáhnout a zkompilovat development verzi, protože stabilní nějak špatně funguje výpočet pravděpodobnosti - dává jen hodnoty 0, 50 a 100% a je zde velká míra false positive.

Základní metodika detekce je zjišťování hodnoty TTL - packet stroje za routerem při průchodu má tuto hodnotu sníženou a router samotný také se sítí občas komunikuje a v určité časové periodě se tak ukážou 2 různé hotnoty TTL (v delší časové periodě to však mlže být normální - uživatel mohl např. rebootovat do druhého systému).

Další metodikou je pokus o detekci OS - zkoumá například velikost TCP okénka, výchozí TTL, nebo velikost SYN packetu. Opět je zde důležitá časová perioda - uživatel opět mohl například rebootovat.

NATDet je zatím nejlepším nástrojem, se kterým jsme se pro tento účel setkali a máme ho nasazen i v síti, která má více než 1000 aktivních uživatelů. Nezbeda je detekován po několika vteřinách po připojení se do sítě.        

Komentáře

[Miriam]

až se budeš ptát, proč je tvůj blog hodnocen jako špatný: podobné věci patří do zpráviček, pokud blog nenese sám o sobě obsah, sdílej jen odkaz s krátkým popisem. Jinak se z ábíčka stane žumpa plná trolů.

[sss]

To proto, ze on je z WebTrhu a tohle bere, jako spravny webtrznik, jako linkbuilding na blogisek... :/

[MMMMMMMMM]

Typický webtržník. Pro zpětný odkaz by prodal rodiče/bráchu.

[xkucf03]

+1

[Miriam]

Díky za plus jedna, od tebe jsem to nečekala. BTW: všimnul sis, co se mi podařilo propašovat do menu nejčtenější a nejkomentovanější blogy?

[Aleš Kapica]

A stál ten orgasmus alespoň za to?

[Miriam]

To víš, že jo Aleši

[smíťa]

Ok, díky za upozornění, doplnil jsem informace, aby to nebylo tak chudé. Nechtěl jsem opisovat bráchův článek, proto jsem dával jen link.

[MMMMMMMMM]

Mnohem lepší.

[biolog]

Přinesl bez dovolení? Snad se tím myslí přines i přes zákaz. Vyžadovat dovolení, zejména když NAT dělají některé krabičky samy, je nesmyslné.

[smíťa]

Existují oprávněné případy, kdy uživatel opravdu potřebuje mít "router", konkrétně třeba kvůli provozování virtuálního stroje. Někdy je přímý zákaz složité vydat... narážíme na to především v nemocničních sítích, kde se bohužel často stává, že si některý doktor přinese vlastní router, aby si mohl připojit mobil, nebo si to prostě pro svou ordinaci chce pořešit sám...

[xkucf03]

že si některý doktor přinese vlastní router, aby si mohl připojit mobil, nebo si to prostě pro svou ordinaci chce pořešit sám...

Tak mu asi nevyhovuje kvalita služeb, které mu místní síťaři poskytují.

Jestli kouká na porno, místo aby pracoval, tak to je samozřejmě špatně¹. Ale jestli na to kouká na jednom počítači nebo na dvou, to je snad jedno, ne? Tímhle ho donutíte leda k tomu, že na něj bude koukat na hlavním počítači a zaviruje si ho – zaviruje si počítač, na kterém má záznamy o pacientech, přístup do různých systémů atd.

_{[1] i když u doktora by to mohlo být i součástí pracovní náplně – nevím, na jakém oddělení pracuje}

[R]

Ide hlavne o to, ze ludia si donesu vlastne wifi routery a nechaju ich v default konfiguracii - bez hesla alebo s trivialnym heslom.

Vybudovanie a sprava kvalitne zabezpecenej wifi siete vo velkej budove je financne narocne a mnohe organizacie na to nemaju peniaze, alebo nie su ochotne na to peniaze dat.

[Kvakor]

Ale pak by neměli zakazovat routery, ale zařízení s WiFi připojené k síti. I když většina prodávaných "krabiček s anténou" jsou opravdu routery s vestaveným AP, tak pořád existují routery bez WiFi nebo naopak čisté AP (případně kombinace AP/klient/bridge).

[smíťa]

Blokace wifi krabiček je hlavní důvod, proč detekci v síti nasazovat. To že zařízení má wifi z pohledu vnitřní sítě moc dobře nepoznáme...

S přinesením čistých AP jsem se zatím příliš nesetkal - asi to bude tím že jsou většinou dražší než TPlink/noname routřík za stokorunu. Každopádně AP poznáme podle počtu MAC adres na portu.

[pavlix]

Každý router jde použít jako čisté AP.

[Kvakor]

Stále se prodávají routery, která nejsou o moc dražší než obdobné modely s WiFi v rámci stejného výrobce (zrotna třeba TPLink dělá řadu "čistých routerů" TL-Rxx). Ale nejspíšto bude tak, že ti, co si nosí routery s WiFi, to nedělají an tak kvůli routování, ale hlavně kvůli WiFi.

[Jendа]

S přinesením čistých AP jsem se zatím příliš nesetkal

Co třeba zapojit kabel podnikové sítě do LAN portu klidně toho nejlevnějšího AP? Bude to dělat bridge mezi WiFi a tou LAN.

[brk]

Oni ten vlastní router hlavně nejraději připojují do sítě LAN portem se zapnutým DHCP.

[Dreit]

+1

[Jendа]

Jo, to je taky dobrý. Pro mě jediný důvod, proč chci „chytrý“ switch. Jinak člověk běhá jako debil a snaží se zjistit, odkud to chodí.

[Max]

A čemu to má vadit? Snad v každý rozumný síti nemá člověk povolen DHCP na každém portu switche, ne?
Zdar Max

[biolog]

Nás na škole učili, že je chyba zabezpečovat síť jako takovou. Mají se zabezpečovat jen počítače v síti (a síťové prvky, pokud mají management). Samotnou síť řešit jen proti podvrhování DHCP a ARP paketů, přílišného broadcastu atd. Zabezpečit síť by jinak byl marný boj, nebo případně riskantní pocit "máme bezpečnou síť, mohu v ní kopírovat nešifrovaně".

[xkucf03]

jak v síti detekovat routery, které si někdo bez dovolení přinesl … v delší časové periodě to však mlže být normální - uživatel mohl např. rebootovat do druhého systému … Další metodikou je pokus o detekci OS - zkoumá například velikost TCP okénka, výchozí TTL, nebo velikost SYN packetu. Opět je zde důležitá časová perioda - uživatel opět mohl například rebootovat.

Aha, takže uživatel si může spustit jiný OS, ale dva spuštěné současně (třeba virtualizovaně – taky s NATem) mít nemůže? S tímhle přístupem běž do háje. A pak se síťaři diví, že je uživatelé nemají rádi.

Virtualizace se hodí třeba pro izolaci aplikací, zvyšuje bezpečnost. Házet v tomhle uživatelům klacky pod nohy znamená, že tu bezpečnost naopak snižujete.

Ale znám i horší škůdce – třeba když někdo nastavil síť tak, aby čmuchala do SMTP komunikace a když narazí na něco, co se jí nelíbí (třeba STARTTLS nebo nějakou MIME hlavičku), tak shodila spojení nebo dokonce podvrhla nějakou odpověď jako že je od serveru. Případně totéž s FTP komunikací – někdy fungovala, někdy ne. Tyhle problémy se moc dobře ladí, to bych ti přál. Propálilo se na tom X hodin práce na obou stranách… A nakonec se ukázalo, že síťař zapojil do sítě nějakou „chytrou“ krabičku.

Z hlediska programátora nebo správce systému je nejlepší zabalit veškerou komunikaci do šifrovaného a podepsaného kanálu a nenechat nikoho cestou do toho strkat rypák. Člověk si ušetří spoustu problémů, které mu chtěl nějaký škůdce způsobit.

[Heron]

„chytrou“ krabičku

Narazil jsem na případ, kdy nějaká chytrá krabička si hrála na SSH proxy a povolovala pouze autentizaci heslem. Vzhledem k tomu, že server neměl povolenou autentizaci heslem, jen klíče, tak to byl trochu problém.

[xkucf03]

Na serverech přihlášení heslem prakticky vždycky vypínám a když se někam přihlašuji, tak většinou ani z hlavy nevím, jaké tam mám heslo, takže na mě by to moc nefungovalo. Ale bohužel je hodně uživatelů, u kterých bude takový MITM útok úspěšný.

BTW: tohle si dal někdo do sítě dobrovolně nebo to byl útok?

[Heron]

Nebudu prozrazovat, co je to za síť, ale to si tam dali dobrovolně po té, co si za peníze z veřejných rozpočtů koupili hodně drahou krabičku od společnosti, která tu byla zmíněna, a tu zapojili dle doporučeného nastavení do sítě.

Jinak, poslední asi půl rok se dá sledovat další jev a to, že tyto sítě zakazují směr ven. Pokud tam tedy máte nějaké zařízení (které si daný zákazník objednal), tak nejenže se nedostanete dovnitř (přístupy někteří povolují jen na daný okamžik -- toto se děje už poměrně dlouho), ale také automaticky zakáží přístup onoho serveru ven. Což postihne hromadu věcí aktualizacemi počínaje a třeba správným časem konče.

Mezitím jsou samozřejmě zábavy typu filtrace SMTP, IMAPs, SSH a samozřejmě čím dál oblíbenější MITM na HTTPS (klient má podstrčený CA Root oné MITM https proxy a ta sleduje bůh ví co).

[R]

Cisco firewally maju nejake featury, ktore rozbijaju SMTP. Chvilu trvalo, kym som na to dosiel... Odvtedy musi byt nastavene "no fixup protocol smtp".

[xkucf03]

Cisco firewally maju nejake featury

ano, byl to ten případ…

Chvilu trvalo, kym som na to dosiel

A nejsi sám. Posčítat ten čas, který s tím lidé po celém světě museli strávit, tak to jsou celkem slušné škody.

"no fixup protocol smtp"

Zajímalo by mě, v kterém jazyce „fixup“ znamená rozbít, poškodit, narušit…

[Bystroushaak]

Zajímalo by mě, v kterém jazyce „fixup“ znamená rozbít, poškodit, narušit…

Korporátština. Je to slušný alias fuckup.

[R]

U Cisca plati: fixup == break. Do reklamy sa potom napise "zabezpecenie SMTP".

[smíťa]

Také proto je nadpis "Detekce" a ne "Blokace", to že takového uživatele detekujeme neznamená, že ho hned blokujeme. Informace, že se v síti objevilo zařízení, které natuje je podle mě velmi podstatná informace.

S ASA firewally mám také mnoho fixup zážitků