Module 18 điều tra các cuộc tấn công web

Điều tra công web Tin tức: Cuộc công vào PNNL bắt đầu Máy chủ Web Công cộng Zero-day Flash payload lây nhiễm cho khách truy cập vào máy chủ Web công khai nhà thầu Pacific Northwest National Lab Bộ Năng lượng Cuộc cơng mạng phát Phịng thí nghiệm Quốc gia Tây Bắc Thái Bình Dương (PNNL) kỳ nghỉ cuối tuần ngày tháng sử dụng kết hợp lỗ hổng máy chủ Web trọng tải gây công zero-day Adobe Flash, theo quan chức Bộ Năng lượng PNNL, sở nghiên cứu phát triển vận hành theo hợp đồng với Bộ Năng lượng, phát thứ mà họ mô tả cơng có chủ đích "tinh vi" vào hệ thống vào thứ Sáu trước kỳ nghỉ lễ, buộc tổ chức phải tạm thời hủy bỏ hầu hết dịch vụ mạng nội mình, bao gồm email, SharePoint, ạng LAN không dây, thư thoại truy cập Internet PNNL chặn lưu lượng truy cập nội điều tra giảm nhẹ vụ công Phịng thí nghiệm cho biết khơng có thơng tin phân loại nhạy cảm truy cập công Tin tức pháp y Vụ bắt giữ gây ý Nhóm hacker trơ ​trẽn LulzSec Khi nghi phạm di chuyển, Ryan Cleary trông không nguy hiểm: niên 19 tuổi nhợt nhạt trông trẻ tuổi, mặc áo phông trượt ván trắng quần thể thao, đứng lo lắng phịng xử án hơm thứ Năm Nhưng cáo buộc cảnh sát Anh liên kết ông Cleary với nhóm công có tên Lulz Security, hay LulzSec, nhóm tội phạm Internet tuần gần đây, công trang web mạng máy tính bao gồm Thượng viện Hoa Kỳ, Cơ quan Tình báo Trung ương Sony Các tờ báo cải Anh nhanh chóng chọn ơng Cleary kẻ chủ mưu tội phạm trẻ tuổi đứng sau LulzSec, gọi ông "Hack the Lad" tiêu đề trang Mẹ anh, bà Rita, cho biết trai bà thơng minh lại có tiền sử bệnh tâm thần, bao gồm chứng sợ chứng sợ hãi Luật sư ông, Ben Cooper, mô tả ông Cleary "một niên dễ bị tổn thương." Mặc dù không rõ ông ta phải chịu tai tiếng, việc bắt giữ ông Cleary khiến ông trở thành tâm điểm ý công chúng với sóng vụ hack máy tính, thực tập thể trực tuyến vơ định hình Cảnh sát cho ông Cleary phạm tội sử dụng trái phép máy tính để thực cơng từ chối dịch vụ, cơng trang Web có nhiều thơng báo tự động chúng phải đóng cửa Họ nói mục tiêu tổ chức bao gồm Cơ quan Tội phạm Có Tổ chức Nghiêm trọng Anh Kịch Ba công dân Nga bị buộc tội tống tiền công ty thương mại điện tử Vương quốc Anh vào ngày tháng 10 năm 2006 Ivan Maksakov, Alexander Petrov Denis Stepanov bị buộc tội nhận triệu đô la từ công ty Vương quốc Anh Bộ ba tập trung vào trang web cờ bạc Internet Vương quốc Anh, thu thập thông tin sòng bạc web Anh văn phòng nhà cách sử dụng phần mềm gián điệp thành viên thiết kế Sau đó, họ yêu cầu tiền chuộc từ chủ sở hữu trang web cách đe dọa họ công Từ chối Dịch vụ Trong sáu tháng hoạt động mình, bị cáo công 54 máy chủ web 30 quốc gia khác Đơn vị Tội phạm Công nghệ cao Quốc gia Anh (NHTCU) nhà chức trách Nga điều tra vụ việc bắt giữ chúng Nghiên cứu tình Nhà nghiên cứu bảo mật Secunia cho biết "lỗ hổng nghiêm trọng" Microsoft Word 2000 bị khai thác kẻ cơng nguy hiểm, dẫn đến việc thực thi mã từ xa hệ thống người dùng Lỗ hổng ảnh hưởng đến hệ thống chạy Windows 2000 xảy xử lý tài liệu Word 2000 độc hại, theo cố vấn bảo mật Secunia Công ty bảo mật Symantec, mà cách vài ngày phát vụ khai thác, Trojan MDropper.Q, lưu ý họ sử dụng công hai bước Trojan MDropper.Q khai thác lỗ hổng Microsoft Word để đánh rơi tập tin khác, biến thể Backdoor Femo, theo tư vấn bảo mật Symantec "Cũng lỗ hổng Office (Microsoft) gần khác, tài liệu kết hợp mã khai thác phải mở dễ bị cơng Microsoft Word 2000 để hoạt động", lời khuyên Symantec "Như vậy, làm cho lỗ hổng bảo mật khơng thích hợp để tạo sâu mạng tự tái tạo." Microsoft chưa phát hành vá cho lỗ hổng bảo mật người dùng khuyến cáo từ bỏ việc mở tài liệu không đáng tin cậy Lần khai thác lỗ hổng Office diễn sau công độc hại tương tự vào tháng Trong trường hợp cụ thể đó, hệ thống người dùng bị nhiễm mở tài liệu Excel độc hại có tên "okN.xls" Tệp độc hại chứa mã Trojan Mdropper.J, sau loại bỏ chương trình Booli.A hệ thống người dùng Booli.A sau tải nhiều tệp độc hại vào PC người dùng Các mơ-đun • Giới thiệu Ứng dụng Web • Kiến trúc ứng dụng web • Tại máy chủ web bị xâm phạm • Tổng quan Nhật ký Web • Nhật ký Dịch vụ Thơng tin Internet (IIS) • Nhật ký máy chủ web Apache • Tấn cơng web • Điều tra cơng web • Điều tra công web máy chủ dựa Windows • Điều tra nhật ký IIS Apache • Giao diện trang web • Chiến lược bảo mật cho ứng dụng web • Cơng cụ phát cơng web • Cơng cụ định vị địa IP Giới thiệu Ứng dụng Web Máy chủ Web Thống kê bảo mật ứng dụng web Thị trường chia sẻ máy chủ Giới thiệu Ứng dụng Web Ứng dụng web cung cấp giao diện người dùng cuối máy chủ web thông qua tập hợp trang web tạo cuối máy chủ chứa mã tập lệnh để thực thi động trình duyệt web máy khách Các tổ chức dựa vào ứng dụng Web công nghệ Web 2.0 để hỗ trợ quy trình kinh doanh cải thiện hiệu suất Mặc dù ứng dụng web thực thi số sách bảo mật định, chúng dễ bị công công khác SQL injection, cross-site scripting, session hijacking, v.v Các công nghệ web Web 2.0 cung cấp nhiều khả công để khai thác ứng dụng web Công cụ điều tra công web: Scrawlr công cụ HP giúp thu thập thông tin trang web kiểm tra lỗ hổng SQL injection Các công cụ định vị địa IP Tra cứu Whois (Cont'd) Whois Lookup công cụ trực tuyến để thu thập thông tin trang web Tra cứu Whois Kết SmartWhois SmartWhois tiện ích thơng tin mạng hữu ích cho phép bạn tra cứu tất thơng tin có sẵn địa IP, tên máy chủ miền Nó cung cấp thơng tin quốc gia, tiểu bang tỉnh, thành phố, tên nhà cung cấp mạng, quản trị viên thông tin liên hệ hỗ trợ kỹ thuật ActiveWhois Active Whois công cụ mạng để tìm thơng tin địa IP miền Internet Nó xác định quốc gia, địa cá nhân bưu điện chủ sở hữu LanWhoIs LanWhols giúp xác định đăng ký miền trang web, đâu nào, thơng tin người hỗ trợ CountryWhois - CountryWhois tiện ích để xác định vị trí địa lý địa IP - Nó tương tự SmartWhois, trọng tâm nhận dạng IP đến quốc gia - Đặc trưng: ● ● ● Nó phân tích nhật ký máy chủ Nó kiểm tra tiêu đề email Nó xác định gian lận thẻ tín dụng trực tuyến CallerIP - CallerIP giúp người dùng biết kết nối với máy tính báo cáo địa IP - Nó chạy dấu vết địa IP - Đặc trưng: ● Nó cung cấp giám sát kết nối thời gian thực ● Nó xác định quốc gia xuất xứ cho tất kết nối thực với máy bạn ● Nó cung cấp báo cáo Whois toàn giới cho kết nối giám sát Real Hide IP Real Hide IP công cụ sử dụng để ẩn địa IP để truy cập Internet ẩn danh; IP giả xuất thay địa IP thực Quản lý địa IP - Công cụ IP Address Manager (IPAM) giúp xác định xem địa IP có khả dụng hay khơng, mạng doanh nghiệp ông cụ IPAM quét định kỳ mạng cung cấp trạng thái sẵn có địa IP mạng Các tính IPAM: ● ● ● ● ● ● Tích hợp Active Directory Chế độ xem phân cấp Quản trị dựa vai trò Chi tiết IP đầu cuối Khám phá / Thêm mạng Quét linh hoạt - - Pandora FMS Pandora FMS phần mềm mã nguồn mở giám sát Pandora FMS phát hiện: ● Thay đổi giao diện trang web ● Nếu giao diện mạng không hoạt động ● Rò rỉ nhớ ứng dụng máy chủ Đặc trưng: ● Nó theo dõi hệ thống ứng dụng bạn ● Nó cho phép bạn biết trạng thái phần tử hệ thống Tóm tắt mơ-đun ● Ứng dụng web cung cấp giao diện người dùng cuối máy chủ web thông qua tập hợp trang web tạo cuối máy chủ chứa mã tập lệnh để thực thi động trình duyệt web máy khách ● Vectơ công đường phương tiện mà kẻ cơng truy cập vào máy tính tài nguyên mạng để thực công trọng tải gây kết độc hại ● Làm mặt trang web xảy kẻ xâm nhập có ác ý thay đổi hình thức trực quan trang web cách chèn thay liệu khiêu khích thường xun gây khó chịu ● Nhật ký bảo mật máy tính chứa thơng tin kiện xảy hệ thống mạng tổ chức ● Lỗi injection lỗ hổng ứng dụng web cho phép liệu không đáng tin cậy diễn giải thực thi phần lệnh truy vấn ● Phát xâm nhập nghệ thuật phát hoạt động khơng phù hợp, khơng xác bất thường ... • Tấn công web • Điều tra cơng web • Điều tra công web máy chủ dựa Windows • Điều tra nhật ký IIS Apache • Giao diện trang web • Chiến lược bảo mật cho ứng dụng web • Cơng cụ phát cơng web •... địa MAC Tấn công web Tấn công trang web - Tấn công trang web - Tại Máy chủ Web bị xâm phạm Giả mạo tham số / biểu mẫu Một công giả mạo thông số web liên quan đến việc thao tác thông số trao đổi... dùng Giả mạo liệu Các công thứ cấp từ trang web Tấn công đổi giao diện web Trộm liệu Quyền truy cập root vào ứng dụng máy chủ khác Tấn công đổi giao diện web Làm giao diện trang web xảy kẻ xâm nhập