ataques em redes Flashcards
spoofing
O termo Spoofing está diretamente relacionado ao assunto de falsificação ou adulteração de alguma informação com vistas a alteração de algum tipo de identidade ou identificador. Duas são as principais intenções com isso:
- Se passar por alguma pessoa, instituição ou dispositivo que possua certo grau de confiabilidade e legitimidade para dar confiança à informação enviada. Por exemplo, posso enviar e-mails em nome da Receita Federal para obter informações dos usuários.
- Esconder informações da origem de tal forma que não seja possível a identificação ou o rastreamento do atacante.
Falsificação de e-mail (E-mail spoofing)
É um recurso básico para realização de SCAM! E aqui, muita atenção pessoal! Não é SCAN (varredura) e sim SCAM (foco na enganação do usuário) com M!!!
Para se manipular as informações dos e-mails, basta-se adulterar os dados do cabeçalho do SMTP, mais especificamente, do campo FROM, além dos campos REPLY-TO e RETURN-PATH.
Atacantes se passando por alguém conhecido, solicitando que você clique em
um link ou execute um arquivo anexo;
- Atacantes se passando por seu banco, solicitando que você siga um link fornecido na
própria mensagem e informe dados da sua conta bancária; - Atacantes se passando por administrador do serviço de e-mail que você utiliza,
solicitando informações pessoais e ameaçando bloquear a sua conta caso você não as envie.
Man in the Middle
A sua principal característica é a capacidade de se inserir no meio de uma comunicação entre dois nós. Assim, ao invés de se ter uma comunicação direta entre as vítimas, tem-se o estabelecimento de duas novas conexões, conforme podemos perceber na imagem a seguir:
Pode simplesmente acessar e extrair os dados violando a confidencialidade. Para mitigar esse tipo de ataque, pode-se utilizar a criptografia para tornar os dados ilegíveis;
- Pode modificar os dados, ainda que não consiga ter acesso ao conteúdo de forma direta, violando assim a Integridade. Para mitigar esse tipo de ataque, pode-se utilizar recursos que visam controlar a integridade dos dados como cálculos de verificação ou funções HASH;
- Pode simplesmente escolher quais mensagens devem ou não chegar até o destino, eliminando as demais, violando assim o princípio da DISPONIBILIDADE. Para mitigar esse tipo de ataque, pode-se utilizar técnicas de controle semelhantes às que são implementadas pelo protocolo TCP para confirmação de recebimento;
- Pode usar a identidade do usuário para realizar a autenticação em serviços diversos, violando o princípio da AUTENTICIDADE. Esse tipo de ataque, também é conhecido como ataque REPLAY. Para mitigar esse tipo de ataque, pode-se utilizar de chaves dinâmicas de sessão com prazo curto e temporário de validade.
ARP (Address Resolution Protocol)
Como já vimos, o ARP tem a característica de traduzir endereços IP para endereços MAC. O procedimento padrão do ARP é o envio de um ARP request para todos da rede de tal modo que somente o “dono” de determinado endereço IP deveria responder com a informação de seu endereço MAC através da mensagem ARP REPLY.
RARP -> Reverse ARP –> MAC para o IP
ARP Spoofing ou ARP Poisoning (Envenenamento das tabelas MAC:IP do switch)
O atacante envia a informação para BOB com o intuito de se passar por ALICE dizendo que o IP 10.0.0.7 tem como MAC correspondente o cc:cc:cc:cc:cc:cc, quando o correto seria aa:aa:aa:aa:aa:aa, que é o endereço da ALICE.
Faz o mesmo procedimento ao enviar a informação para ALICE se passando por BOB, ao informar que o endereço 10.0.0.1 possui como MAC correspondente o endereço MAC cc:cc:cc:cc:cc:cc, quando o correto deveria ser bb:bb:bb:bb:bb:bb.
Assim, o atacante envenenou as tabelas ARP de ALICE e BOB. Agora, sempre que a ALICE encaminhar uma mensagem para BOB, ela será redirecionada para o ATACANTE e vice- versa.
Esse é um ataque extremamente fácil de ser realizado, tanto a nível do próprio Sistema Operacional como através de ferramentas, como CAIN&ABEL.
IP Spoofing
Temos aqui um ataque bastante simples com o objetivo de mascarar ataques de rede com o intuito de não deixar rastros que possam incriminar um atacante.
Ou seja, digamos que determinado atacante queira fazer uma varredura em um firewall de uma instituição. Nesse caso, adultera-se os pacotes IP de tal modo a mascarar o IP real do atacante. O mesmo princípio se aplica quando se objetiva a derrubada de um servidor, através de DoS, por exemplo, que veremos mais à frente.
Se um volume muito grande de requisições parte de um mesmo host, gera-se uma suspeita de que está sendo realizado um ataque. Assim, pode-se adulterar os pacotes dando a impressão que são vários hosts realizando requisições distintas.
Outros tipos de ataques também são gerados a partir do IP Spoofing. Vamos analisar a imagem abaixo:
Ataque SMURF
A partir do SPOOFING de IP, pode-se gerar ataques mais elaborados e potentes. Um exemplo deles é o ataque SMURF. Esse tipo de ataque consiste em enviar ataques de resposta à vítima a partir de mensagens do tipo echo request para um endereço de broadcast com o “IP SPOOFADO” da vítima. A figura a seguir nos ajuda a entender este conceito:
Assim, o atacante sabendo que o IP da vítima é o 9.9.9.9, ele adultera o campo FROM do pacote IP de uma mensagem do tipo echo request. Essa mensagem possui como destino um IP de Broadcast de alguma rede que responde a PINGS.
Em seguida, o roteador distribuirá essas mensagens para todos os nós que fazem parte daquela rede. Assim, cada nó responderá às requisições com uma mensagem do tipo ECHO REPLY.
Entretanto, como o IP de origem corresponde ao endereço IP da vítima, todo esse tráfego será redirecionado à vítima, gerando indisponibilidade do serviço.
Interceptação de tráfego (Sniffing)
Interceptação de tráfego, ou sniffing, é uma técnica que consiste em inspecionar os dados
trafegados em redes de computadores, por meio do uso de programas específicos chamados
de sniffers (Ex. Wireshark e TCPDump). Esta técnica pode ser utilizada de forma:
Legítima: por administradores de redes, para detectar problemas, analisar desempenho e
monitorar atividades maliciosas relativas aos computadores ou redes por eles
administrados.
Maliciosa: por atacantes, para capturar informações sensíveis, como senhas, números de cartão de crédito e o conteúdo de arquivos confidenciais que estejam trafegando por meio de conexões inseguras, ou seja, sem criptografia.
Note que as informações capturadas por esta técnica são armazenadas na forma como trafegam,
ou seja, informações que trafegam criptografadas apenas serão úteis ao atacante se ele
conseguir decodificá-las.
Ataques de força bruta
descobrir uma senha ou alguma outra informação através do método de tentativa e erro de forma exaustiva
importância de se ter senhas grandes de complexas com o objetivo de tornar esse tipo de ataque inviável
relacionado à capacidade de processamento computacional de um atacante.
aplicam também à quebra de chaves criptográficas para que seja possível a interpretação de dados criptografados
tentar dicionários de senhas mais óbvias para reduzir combinação
PAM Privileged Access Management
Privileged Access Management (PAM) comprises security controls and policy management to govern and control access to privileged accounts, workstations, and servers. Privileged accounts are accounts that have elevated permissions, such as administrator accounts. PAM controls who can use these accounts to perform critical tasks, such as installing software, making changes to system settings, or accessing sensitive data.
Desfiguração de página (Defacement)
Desfiguração de página, defacement ou pichação, é uma técnica que consiste em alterar o conteúdo da páginaWebde um site
Explorar erros da aplicação Web;
Explorar vulnerabilidades do servidor de aplicação Web;
Explorar vulnerabilidades da linguagem de programação ou dos pacotes utilizados no desenvolvimento da aplicação Web;
Invadir o servidor onde a aplicação Web está hospedada e alterar diretamente os arquivos que compõem o site;
Furtar senhas de acesso à interface Web usada para administração remota.
Muita atenção, pois, o conceito que acabamos de ver é diferente do PHISHING, que veremos a seguir.
PHISHING
A ideia aqui não é invadir algum sistema para adulterá-lo, mas sim, copiar uma página legítima e divulgar às vítimas para obtenção de informações privadas. O principal meio de divulgação das páginas falsas é por e-mail através de SPAM.
Spear Phishing
Esse tipo de ataque é similar ao Phishing com a diferença de ter um destino específico, como uma empresa ou órgão governamental, produzindo assim um ataque customizado através da falsificação de e-mails.
pharming
Este tipo de ataque ocorre quando um tráfego que originalmente deveria ir para um site legítimo é redirecionado para outro.
Percebam a diferença do Phishing padrão. No Phishing o usuário já dispara o acesso à uma página falsa na origem, enquanto no Pharming, há um desvio ao longo da rede, sendo quase que transparente para o usuário.
Essa forma de ataque pode ocorrer de diversas formas, como por meio da alteração do servidor DNS (DNS Poisoning), em que se faz um apontamento para um IP de destino que armazena conteúdo similar, porém, é um site malicioso para se obter dados.
Esse tipo de ataque pode acontecer tanto nos arquivos de configuração de DNS local (Cache Poisoning) quando em um servidor de consulta.
Negação de Serviço (Denial of Service – DoS)
ataque para “tirar” um serviço do ar.
Envio de um grande volume de requisições para um serviço específico (como acesso à uma página WEB), consumindo seus recursos de processamento, quantidade de sessões suportadas, banda de internet, memória, disco, entre outros;
Exploração de vulnerabilidade em programas causando sua indisponibilidade.
Negação de Serviço Distribuído (Distributed Denial of Service)
Tem os mesmos princípios do ataque DoS, porém, é tratado de forma coordenada e distribuída, sejam por computadores envolvidos de forma voluntária ou de forma involuntária (zumbis).
rede de computadores zumbis, muitas vezes chamadas de botnets
Este tipo de ataque tem um alto grau de sucesso devido à grande dificuldade de se detectar e reagir a tempo a esse tipo de ataque. Na maioria das vezes a ação é reativa com vistas a mitigar o prejuízo.
DRDoS ou DDoS Refletor
A ideia é utilizar zumbis para enviar requisições com endereços forjados para usuários legítimos e não infectados. Entretanto, devido ao IP forjado gerado pelos zumbis, os hosts legítimos encaminham o tráfego (resposta às requisições) à vítima, algo semelhante ao que vimos no SMURF ATTACK.
Entretanto, com o volume, tem-se um poder de fogo muito maior. Percebam que o ataque, diferentemente do DDoS padrão, não ocorre de forma direta dos zumbis para a vítima, e sim, por intermediários que funcionam como refletores. A figura abaixo nos apresenta uma comparação entre os três tipos:
