Versão Imprimível
Dae
instalei aqui na minha snort+guardian, e ja fiz uns testes e vi q ele bloqueia os port-scans certinhos.
O que eu queria fazer agora é usar um programa de brute-force pra fazer um ataque no micro q ta com o snort+guardian aqui e ver se ele vai bloquear, alguem conhece algum program de brute force?
ouvi dizer q com o netcat (nc) da pra fazer brute force, mas nao consegui...
Cara, vc conseguiu segurar um nmap?
Qual comando vc utilizou?
Não esqueça, que eu posso usar endereços veradeiros como decoys ou fake, e o guardian irá começar a bloquear endereços de localidades que não estão realmente escaneando sua rede.Citação:
Postado originalmente por jotacekm
Avalie os impactos neste tipo de implementação, denominado IPS, na sua estrutura.
Quanto a ferramentas, pesquise sobre pen-test em Linux.
[]'s
Marcos Pitanga
Fiquei com dúvida agora.. isso é IPS ou IDS?Citação:
Postado originalmente por pitanga
mas acho q isso nao tem muito problema, pq o guardian bloqueia logo que o port-scan começa a ser passado. Se ele bloqueasse so depois do port scan ou algo assim ai seria ruim.Citação:
Postado originalmente por pitanga
edmafer, usei o tutorial que tem aqui no underlinux:
https://under-linux.org/noticia4390.html
Valeu, vou dar uma olhada.
Mas vc chegou a testar o nmap contra a sua máquina?
isso mesmo, fiz um ssh pra outra maquina da rede e dei um nmap -sT -sV contra a minhaCitação:
Postado originalmente por edmafer
Métodos de Scanning
O Nmap utiliza vários métodos de scanning, vamos ver os principais:
TCP connect()
Forma mais simples de scanning, ela tenta abrir uma conexão na máquina alvo, se for bem sucedida é porque a porta está aberta. Esse método é facilmente detectado pelo firewall da máquina alvo (é o default).
#nmap -sT alvo (alvo é o IP da máquina, ex:127.0.0.1)
#nmap sT P0 oN saída.txt 192.168.76.0/24
TCP SYN (half open)
Nesse método, um pacote SYN é enviado, caso haja resposta (um pacote SYN-ACK seja recebido), é porque a porta está aberta. Caso seja recebido um RST é porque está fechada. Se a resposta vier positiva (SYN-ACK), o nmap envia outro RST fechando a conexão, de modo que a conexão não se completará. A vantagem desse método é que fica mais difícil a detecção do portscan, pois ele não abre uma conexão TCP completa.
#nmap -sS alvo
#nmap v sS O oN varredura.txt www.xpto.com.br
FIN (Stealth)
Esse método envia pacotes FIN para o alvo, caso não haja resposta, a porta está aberta, caso seja recebido um pacote RST, é porque está fechada. Esse método é útil, pois alguns firewalls podem detectar a chegada de pacotes SYN, detectando o método TCP SYN, esse modo elimina essa possibilidade de detecção.
#nmap -sF alvo
#nmap -sX alvo (Xmas Tree -> envia as flag FIN, URG e PUSH no pacote FIN)
#nmap -sX p 22,53 ON saída.txt alvo
#nmap -sN alvo (null scan -> não envia flag no pacote FIN) M$ não responde
ACK (ack scan)
Esse método é utilizado para mapear o firewall alvo. Ele pode determinar o tipo de firewall e se ele apenas bloqueia os pacotes SYN.
#nmap -sA alvo
ICMP (ping scan)
Nesse método são enviados pacotes "ICMP echo request" para o alvo, caso não haja resposta, é enviado um pacote TCP ACK para a porta 80 ou então um pacote SYN (se nenhum das anteriores responder), isso tudo porque alguns firewalls bloqueiam o "ping". Ele é utilizado para ver se a máquina alvo está ativa ou não.
#nmap -sP alvo
#nmap sP 192.168.96.0/24
UDP
Nesse método, um pacote UDP de 0 byte é enviado, caso seja recebido um "ICMP port unreachable" é porque a porta está fechada, caso contrário, está aberta.
#nmap -sU alvo
RPC scan
Esse método combina vários métodos de scan do nmap. Ele considera todas as portas TCP/UDP abertas e as "flooda" com comandos "NULL SunRPC", tentando descobrir quais portas RPC estão abertas, e se possível, o programa e a versão do RPC.
#nmap -sR alvo
TCP/IP Fingerprint
Esse método ativa a identificação remota do sistema operacional. Ela usa várias informações recebidas e as compara com a base da dados dos sistemas operacionais conhecidos, detectando qual o sistema usado na máquina.
#nmap -O alvo
Além dessas opções, o nmap possui muitas outras, como por exemplo o scan rápido (nmap -F) ou então a opção de não pingar a máquina antes de scanea-la (nmap -P0).
#nmap sS P0 -O alvo
Em adição a esses métodos de scan, o nmap oferece a opção de escolher "políticas", de modo a dificultar a detecção pelo IDS da máquina alvo. As opções são "Paranoid", "Sneaky", "Polite", "Normal", "Aggressive" ou "Insane".
A opção "Paranoid" escaneia de 5 em 5 minutos cada porta, a "Sneaky", de 15 em 15 segundos e polite a cada 0,4s.
Os parâmetros Agressive e insane aceleram a varredura mas podem afetar a performance da rede.
A vantagem do "scan" ser mais lento é que dificulta a descoberta pelo IDS da máquina alvo.
A opção padrão é a normal.
#nmap -T <Paranoid|Sneaky|Polite|Normal|Aggressive|Insane> alvo
#nmap S 10.10.10.10 e eth0 P0 sS v v -T paranoid www.xpto.com.br
Avaliando Firewalls
-f Fragmenta os pacotes
-S address Disfarça a origem do ataque
-g port Burlando o firewall via portas conhecidas
nmap S 10.10.10.10 e eth0 P0 sS v www.xpto.com.br
Decoys Utiliza-se máquinas falsas
#nmap sF v 192.168.76.0/24 D www.xpto.com.br, under-linux.org, www.vivaolinux.com.br
Burlando um firewall que nega pacotes FIN
#nmap g 53 S 10.10.10.10 e eth0 P0 sS v under-linux.org
Marcos Pitanga
Esse seu último post poderia parar no Wiki, não?!
[ ]'s
respondendo aí a um colega
IPS --> Intrusion Prevention System (sistema de prevenção de intrusos)
IDS --> Intrusion Detection System (sistema de detecção de intrusos)
;)
Um abraço[]
Uma alma caridosa!!! :DCitação:
Postado originalmente por The-shadow
Não sabia disso... conhecia só IDS.
Valew :good:
hum, e se o cara usar como decoy por exemplo 192.168.2.2 e essa for uma maquina da minha rede, ai essa maquina fica bloqueada?
Otimas dicas do Pitanga mesmo poderia i parar no Wiki...
Vlws mesmo....
depende de como estiver configurado, o snort geralmente ignora a rede interna, isso aconteceria com endereços externosCitação:
Postado originalmente por jotacekm
e se o invasor usar esse ip de rede interna falso, e o meu guardian estiver configurado para ignorar a rede interna, entao esse ataque externo seria ignorado?Citação:
Postado originalmente por 1c3_m4n
eu procurei por pen-test e acabei achando um tal de TFTP bruteforce. Pelo q eu entendi ele foi usado pra testar alguma coisa da cisco ou sei la o que... Bom o q interessa eh q rodei ele em uma maquina aqui contra a minha, e o guardian bloqueou ele!