Segurança Flashcards
O que são Backdoors? Como funcionam?
Programas de backdoor, como Netbus e Back Orifice, são usados por criminosos digitais para obter acesso não autorizado a um sistema ignorando os procedimentos normais de autenticação. Backdoors concedem aos cibercriminosos acesso contínuo a um sistema, mesmo que a organização tenha corrigido a vulnerabilidade original usada para atacar o sistema.
O que são Rootkits? Como funcionam?
Esse malware foi projetado para modificar o sistema operacional para criar um backdoor, que os invasores podem usar para acessar o computador remotamente.
A maioria dos rootkits utiliza as vulnerabilidades do software para escalonar privilégios e modificar arquivos de sistema.
Os Rootkits também podem modificar as ferramentas forenses e de monitoramento do sistema, tornando-os muito difíceis de detectar. Na maioria dos casos, um computador infectado por um rootkit precisa ser apagado e qualquer software necessário reinstalado.
Quais as semelhanças e diferenças entre vírus, worms e trojans?
Os três são códigos maliciosos que infectam computadores e se associam a certos tipos de arquivo. Diferente dos trojans que se disfarçam como um arquivo saudável, vírus e worms se replicam em diferentes partes do sistema. Enquanto vírus precisam da interação do usuário para serem executados e focam em explorar o sistema, worms não precisam de interação e focam em explorar a rede.
O que são ataques DoS? Quais as duas principais formas que ele ocorre?
Ataques DoS (Denial of Service) são focados em interromper o funcionamento de um sistema. Suas principais formas são através de uma quantidade enorme de acessos simultâneos visando provocar lentidão no sistema e envio em massa de pacotes mal formatados que o sistema terá dificuldade para interpretar.
Como funciona um ataque de DNS Spoofing?
A falsificação de DNS ou o envenenamento de cache DNS (em inglês, DNS SPoofing) é um ataque no qual dados falsos são introduzidos em um cache de resolvedor de DNS - o banco de dados temporário no sistema operacional de um computador que registra visitas recentes a sites e outros domínios da Internet.
Esses ataques de veneno exploram uma fraqueza no software DNS que faz com que os servidores DNS redirecionem o tráfego de um domínio específico para o computador do invasor.
Como funciona a camada 2?
A camada 2 refere-se à camada de link de dados no modelo de comunicação de dados Open Systems Interconnection (OSI).
Em seus termos mais simples, o endereço MAC identifica o destinatário de um endereço IP enviado pela rede, e o ARP resolve endereços IP para endereços MAC para transmissão de dados.
Como funciona um ataque de inundação de MAC?
Os dispositivos em uma rede são conectados por um switch de rede usando o switching de pacote para receber e encaminhar dados para o dispositivo de destino. A inundação de MAC compromete os dados transmitidos para um dispositivo. Um invasor inunda a rede com endereços MAC falsos, comprometendo a segurança do switch de rede.
Como funcionam ataques de Spoofing de IP, ARP e MAC?
Spoofing é um ataque de representação e tira proveito de uma relação de confiança entre os dois sistemas.
A falsificação de endereço MAC ocorre quando um invasor disfarça seu dispositivo como um dispositivo válido na rede e, portanto, pode ignorar o processo de autenticação
.
O ARP spoofing envia mensagens ARP falsificadas através de uma LAN. Isso vincula o endereço MAC de um invasor ao endereço IP de um dispositivo autorizado na rede.
O spoofing de IP envia pacotes IP com um endereço de origem falsificado para se disfarçar.
Como funcionam os ataques de Man in the Middle?
Um ataque de MitM acontece quando um criminoso digital assume o controle de um dispositivo sem o conhecimento do usuário. Com esse nível de acesso, um invasor pode interceptar, manipular e retransmitir informações falsas entre o remetente e o destino pretendido.
Como funciona um ataque de SMiShing?
É uma variação do phishing que usa mensagens SMS como meio para enganar suas potenciais vítimas.
Quais as semelhanças e as diferenças entre ataques de bluejacking e bluesnarfing?
Ambos são ataques focados em explorar dispositivos conectados via bluetooth. O bluejacking usa do bluetooth para enviar mensagens não autorizadas ou chocantes para seus alvos. Enquanto isso, o bluesnarfing usa o bluetooth para copiar informações de um dispositivo de destino.
Quais são, em ordem descrecente de efetividade, os principais protocolos para proteção de redes Wi-Fi?
WPA2, WPA e WEP.
Como funciona um ataque de gêmeo do mal? Geralmente, se enquadra em qual categoria de ataques?
Um ataque de gêmeos do mal descreve uma situação em que o access point do invasor é configurado para parecer uma opção de conexão melhor. Depois de se conectar ao ponto de acesso maligno, o invasor pode analisar o tráfego da rede e executar ataques MitM.
Como funciona um ataque de Script entre sites?
Script entre sites (XSS) é uma vulnerabilidade comum encontrada em muitos aplicativos da web. Funciona assim:
- Os criminosos digitais exploram a vulnerabilidade XSS ao injetar scripts que contêm código mal-intencionado em uma página da Web.
- A página da Web é acessada pela vítima, e os scripts mal-intencionados passam inadvertidamente para o navegador.
- O script mal-intencionado pode acessar cookies, tokens de sessão ou outras informações confidenciais sobre o usuário, que são enviadas de volta ao criminoso digital.
- Munido dessas informações, o criminoso digital pode se passar por um usuário.
Qual a principal vulnerabilidade de segurança do protocolo IP?
Uma das maiores vulnerabilidades do protocolo IP é que ele não faz nenhum esforço para validar se o endereço IP de origem contido em um pacote realmente veio dessa origem.Por esse motivo, os agentes de ameaças podem enviar pacotes usando um endereço IP de origem falsificado. Além disso, os agentes da ameaça podem adulterar os outros campos do cabeçalho IP para realizar seus ataques.
Como funcionam ataques de ICMP?
São ataques em que os invasores usam pacotes de eco (pings) do ICMP (Internet Control Message Protocol) para descobrir sub-redes e hosts em uma rede protegida, gerar ataques de inundação de DoS e alterar as tabelas de roteamento de hosts.
Dê 3 exemplos de mensagens ICMP comuns de interesse para os agentes de ameaças, junto com a explicação de como são geralmente usados.
- ICMP solicitação de eco (echo request) e resposta do eco (echo reply) -> usado para executar verificação de host e ataques de DoS.
- ICMP inacessível -> usado para executar ataques de reconhecimento e varredura de rede.
- Resposta da máscara ICMP -> Isso é usado para mapear uma rede IP interna.
- ICMP redireciona -> Isso é usado para atrair um host alvo para enviar todo o tráfego através de um dispositivo comprometido e criar um ataque MiTM.
- Descoberta de rotas ICMP -> Isso é usado para injetar entradas de rota falsas na tabela de roteamento de um host de destino.
Como se prevenir de ataques ICMP ?
As redes devem ter uma filtragem rigorosa da lista de controle de acesso ICMP (ACL) na borda da rede para evitar a sondagem ICMP vindo da Internet. Os analistas de segurança devem ser capazes de detectar ataques relacionados ao ICMP, observando o tráfego capturado e os arquivos de log. No caso de grandes redes, os dispositivos de segurança, como firewalls e sistemas de detecção de intrusão (IDS), devem detectar tais ataques e gerar alertas para os analistas de segurança.
Como funciona um ataque de amplificação e reflexão?
O ataque consiste em duas etapas:
- Amplificação - O agente da ameaça encaminha a mensagem de solicitação de eco ICMP para muitos hosts. Essas mensagens contêm o endereço IP de origem da vítima.
- Reflexão - Todos esses hosts respondem ao endereço IP falsificado da vítima para sobrecarregá-lo.
Como funcionam ataques de falsificação de endereços IP (address spoofing)?
Os ataques de falsificação de endereço IP ocorrem quando um agente de ameaça cria pacotes com informações falsas de endereço IP de origem para ocultar a identidade do remetente ou para se passar por outro usuário legítimo. O agente de ameaças pode obter acesso a dados inacessíveis ou burlar as configurações de segurança. A falsificação é geralmente incorporada a outro ataque, como um ataque Smurf.
Qual a diferença entre um ataque de falsificação de endereços (spoofing) cego e um não-cego? Quando são geralmente utilizados?
Spoofing não cego - O agente da ameaça pode ver o tráfego que está sendo enviado entre o host e o destino. O agente de ameaça usa a falsificação não cega para inspecionar o pacote de resposta da vítima alvo. A falsificação não cega determina o estado de um firewall e prever número de sequência. Também pode seqüestrar uma sessão autorizada.
Spoofing cego - O agente da ameaça não pode ver o tráfego que está sendo enviado entre o host e o destino. A falsificação cega é usada em ataques de negação de serviço.
Como funciona um ataque de falsificação de MAC (MAC Spoofing)?
Os ataques de falsificação de endereço MAC são usados quando os atores de ameaças têm acesso à rede interna. Os agentes de ameaças alteram o endereço MAC de seu host para corresponder a outro endereço MAC conhecido de um host de destino, fazendo com que o switch encaminhe os quadros destinados ao host de destino para o host atacante.
Quais são os três serviços oferecidos pelo protocolo TCP?
- Entrega confiável - O TCP incorpora reconhecimentos para garantir a entrega, em vez de depender de protocolos de camada superior para detectar e resolver erros. Se uma confirmação não for recebida à tempo, o remetente retransmitirá os dados. Exigir reconhecimentos dos dados recebidos pode causar atrasos substanciais. Exemplos de protocolos da camada de aplicação que usam a confiabilidade do TCP incluem HTTP, SSL / TLS, FTP, transferências de zona DNS e outros.
- Controle de fluxo - TCP implementa controle de fluxo para resolver esse problema. Em vez de reconhecer um segmento de cada vez, vários segmentos podem ser reconhecidos com um único segmento de reconhecimento.
- Comunicação stateful - A comunicação com estado do TCP entre duas partes ocorre durante o handshake de três vias do TCP. Antes que os dados possam ser transferidos usando o TCP, um aperto de mãos triplo abre a conexão TCP. Se ambos os lados concordarem com a conexão TCP, os dados poderão ser enviados e recebidos por ambas as partes usando o TCP.
Quais são as três etapas necessárias para se estabelecer uma conexão TCP?
1 - O cliente iniciador requisita uma sessão de comunicação cliente-servidor com o servidor.
2 - O servidor reconhece a sessão de comunicação cliente-servidor e solicita uma sessão de comunicação servidor-cliente.
3 - O cliente inicial reconhece a sessão de comunicação servidor-cliente.
Como funciona um ataque de Inundação de SYN TCP ?
- O invasor envia várias solicitações SYN para o servidor web.
- O servidor web responde com SYN-ACK’s para cada solicitação SYN e espera completar o handshake de três vias.
- O invasor não responde aos SYN-ACK’s.
- O usuário válido não pode acessar o servidor web porque o servidor web tem muitas conexões TCP semi-abertas.
Como funciona um Ataque de redefinição de TCP? Qual o seu principal intuito?
Um ataque de redefinição de TCP pode ser usado para encerrar as comunicações TCP entre dois hosts. Uma conexão TCP termina quando recebe um bit RST. Essa é uma maneira abrupta de interromper a conexão TCP e informar o host de recebimento para parar imediatamente de usar a conexão TCP. Um agente de ameaça pode fazer um ataque de redefinição de TCP e enviar um pacote falsificado contendo um TCP RST para um ou ambos os pontos de extremidade.
Como funciona um ataque de sequestro de sessão TCP?
Sequestro de sessão TCP é outra vulnerabilidade do TCP. Embora seja difícil de conduzir, um agente de ameaça assume um host já autenticado quando ele se comunica com o alvo. O agente de ameaça deve falsificar o endereço IP de um dos hosts, prever o próximo número de sequência e enviar um ACK para o outro host. Se for bem-sucedido, o agente da ameaça poderá enviar, mas não receber, dados do dispositivo de destino.
O que é o protocolo UDP? Qual sua principal característica? Quais serviços geralmente o usam?
UDP é um protocolo de camada de transporte não orientado à conexão. Ele tem uma sobrecarga muito mais baixa que o TCP, porque não é orientado a conexão e não oferece retransmissão, sequenciamento e mecanismos de controle de fluxo sofisticados que fornecem confiabilidade.
UDP é comumente usado por DNS, DHCP, TFTP, NFS e SNMP. Também é usado com aplicações em tempo real, como streaming de mídia ou VoIP.
A baixa sobrecarga do UDP também o torna muito interessante para protocolos que efetuam transações simples de requisição e resposta. Por exemplo, usar TCP para o DHCP geraria tráfego de rede desnecessário. Se nenhuma resposta for recebida, o dispositivo reenvia a solicitação.
Como funciona um ataque de inundação UDP?
Em um ataque de inundação UDP, todos os recursos em uma rede são consumidos. O invasor envia uma inundação de pacotes UDP, geralmente de um host falsificado, para um servidor na sub-rede. O programa varrerá todas as portas conhecidas tentando encontrar portas fechadas. Isso fará com que o servidor responda com uma mensagem inacessível da porta ICMP. Como existem muitas portas fechadas no servidor, isso cria muito tráfego no segmento, que consome a maior parte da largura de banda. O resultado é muito semelhante a um ataque de negação de serviço (DoS).
Cite 3 exemplos de ataques ao protocolo IP.
- Ataques ICMP
- Ataques de negação de serviço (DoS)
- Ataques Distribuídos de Negação de Serviço (DDoS)
- Ataque de Falsificação de Endereços
- Ataque man-in-the-middle (MiTM)
- Sequestro de sessão
Cite três exemplos de ataques DNS
- Ataques de resolvedor aberto de DNS
- Ataques furtivos de DNS
- Ataques de sombreamento de domínio DNS
- Ataques de tunelamento de DNS
O que é e para que serve um resolvedor aberto de DNS?
Muitas organizações usam os serviços de servidores DNS abertos ao público, como o GoogleDNS (8.8.8.8), para fornecer respostas às consultas. Esse tipo de servidor DNS é chamado de resolvedor aberto. Um resolvedor aberto de DNS responde a consultas de clientes fora de seu domínio administrativo.
Como funciona um ataque de envenenamento de cache DNS?
Os invasores enviam informações de recurso de registro falsificado (RR) a um resolvedor de DNS para redirecionar usuários de sites legítimos para sites maliciosos. Os ataques de envenenamento de cache DNS podem ser usados para informar o resolvedor de DNS a usar um servidor de nomes mal-intencionado que fornece informações de RR para atividades mal-intencionadas.
Como funciona um ataque de amplificação e reflexão de DNS? Por que esses ataques são possíveis?
Os agentes de ameaças usam ataques DoS ou DDoS em resolvedores abertos do DNS para aumentar o volume de ataques e ocultar a verdadeira fonte de um ataque. Os agentes de ameaças enviam mensagens DNS para os resolvedores abertos usando o endereço IP de um host de destino. Esses ataques são possíveis porque o resolvedor aberto responderá às perguntas de qualquer pessoa que faça uma pergunta.
Como funciona um ataque de utilização de recursos DNS?
Um ataque de DoS que consome os recursos dos resolvedores abertos do DNS. Esse ataque do DoS consome todos os recursos disponíveis para afetar negativamente as operações do resolvedor aberto do DNS. O impacto desse ataque de DoS pode exigir que o resolvedor aberto do DNS seja reinicializado ou que os serviços sejam interrompidos e reiniciados.
Como funciona um ataque DNS furtivo de fluxo rápido? Para que servem?
O ataque consiste consiste em mudar os endereços IPs do DNS a cada poucos minutos através atrás de uma rede que muda rapidamente de hosts DNS comprometidos.
Os invasores usam essa técnica para ocultar seus sites de entrega de phishing e malware . As redes de bots geralmente empregam técnicas do Fast Flux para impedir a detecção eficaz de servidores mal-intencionados.
Como funciona um ataque DNS furtivo de fluxo de IP duplo? Para que servem?
Os atores de ameaças usam essa técnica para alterar rapidamente o nome do host para os mapeamentos de endereço IP e também para alterar o servidor de nomes autoritativo. Isso aumenta a dificuldade de identificar a fonte do ataque.
Como funciona um ataque DNS furtivo de algoritmos de geração de domínio?
Os atores de ameaças usam essa técnica em malware para gerar aleatoriamente nomes de domínio que podem ser usados como pontos de encontro para seus servidores de comando e controle (C&C).
Como funciona um ataque de sombreamento de domínio DNS?
O sombreamento de domínio envolve o agente de ameaças coletando credenciais de conta de domínio para criar silenciosamente vários subdomínios a serem usados durante os ataques. Esses subdomínios normalmente apontam para servidores mal-intencionados sem alertar o proprietário real do domínio pai.
Quais são as etapas de um ataque de tunelamento de DNS?
1 - Os dados são divididos em vários blocos codificados.
2 - Cada pedaço é colocado em um rótulo de nome de domínio de nível inferior na consulta DNS.
3 - Como não há resposta do DNS local ou em rede para a consulta, a solicitação é enviada aos servidores DNS recursivos do ISP.
4 - O serviço DNS recursivo encaminhará a consulta para o servidor de nomes autorizado do invasor.
5 - O processo é repetido até que todas as consultas contendo os chunks sejam enviadas.
6 - Quando o servidor de nomes autoritativo do invasor recebe as consultas DNS dos dispositivos infectados, ele envia respostas para cada consulta DNS, que contém os comandos encapsulados e codificados.
7 - O malware no host comprometido recombina os pedaços e executa os comandos ocultos.
Como funciona, de maneira simplificada, um ataque de tunelamento de DNS?
Os agentes de ameaças que usam o tunelamento DNS colocam tráfego que não é de DNS, dentro do tráfego DNS. Esse método geralmente contorna soluções de segurança. Para que o agente da ameaça use o túnel DNS, os diferentes tipos de registros DNS, como TXT, MX, SRV, NULL, A ou CNAME, são alterados. Por exemplo, um registro TXT pode armazenar os comandos enviados para os bots de host infectados como respostas DNS.
Como funciona um ataque de Spoofing de DHCP?
Um ataque de spoofing de DHCP ocorre quando um servidor DHCP invasor está conectado à rede e fornece falsos parâmetros de configuração IP aos clientes legítimos. Um servidor não autorizado pode fornecer uma variedade de informações enganosas:
Gateway padrão errado - O ator da ameaça fornece um gateway inválido ou o endereço IP de seu host para criar um ataque MiTM. Isso pode não ser totalmente detectado, pois o invasor intercepta o fluxo de dados pela rede.
Servidor DNS errado - O agente de ameaças fornece um endereço de servidor DNS incorreto, apontando o usuário para um site malicioso.
Endereço IP errado - O agente de ameaças fornece um endereço IP inválido, um endereço IP de gateway padrão inválido ou ambos. O agente de ameaça cria um ataque de negação de serviço no cliente DHCP.
Suponha que um agente de ameaça tenha conectado com êxito um servidor DHCP não autorizado a uma porta de switch na mesma sub-rede que os clientes de destino. O objetivo do servidor não autorizado é fornecer aos clientes informações falsas de configuração de IP.
Quais são as etapas envolvidas em um ataque de falsificação de DHCP?
1 - Um cliente legítimo se conecta à rede e requer parâmetros de configuração de IP. O cliente transmite uma solicitação de descoberta de DHCP procurando uma resposta de um servidor DHCP. Ambos os servidores recebem a mensagem.
2 - Servidores DHCP legítimos e o não autorizado, respondem com parâmetros de configuração de IP válidos. O cliente responde à primeira oferta recebida.
3 - Nesse cenário, o cliente recebeu a oferta não autorizada primeiro. Ele transmite uma solicitação DHCP, aceitando os parâmetros do servidor não autorizado, conforme mostrado na figura. Cada servidor legítimo e não autorizado recebem a solicitação.
4 - No entanto, apenas o servidor não autorizado envia uma resposta ao cliente para confirmar sua solicitação. O servidor legítimo para de se comunicar com o cliente porque a solicitação já foi confirmada.
Como funciona um ataque de iFrame malicioso?
Os atores de ameaças costumam usar quadros inline maliciosos (iFrames). Um iFrame é um elemento HTML que permite que o navegador carregue outra página da Web a partir de outra fonte. Os ataques de iFrame tornaram-se muito comuns, pois são frequentemente usados para inserir anúncios de outras fontes na página. Os atores de ameaças comprometem um servidor da Web e modificam páginas da Web adicionando HTML para o iFrame malicioso. O HTML vincula ao servidor da web do ator da ameaça. Em alguns casos, a página IFrame carregada consiste em apenas alguns pixels. Isso torna muito difícil para o usuário ver. Como o iFrame é executado na página, ele pode ser usado para fornecer uma exploração mal-intencionada, como publicidade de spam, um kit de exploração e outros malwares.
Como se prevenir de um ataque de iFrame malicioso?
- Use um proxy da Web para bloquear sites mal-intencionados.
- Como os invasores geralmente alteram o HTML de origem do iFrame em um site comprometido, verifique se os desenvolvedores da Web não usam iFrames. Isso isolará qualquer conteúdo de sites de terceiros e facilitará a localização de páginas modificadas.
- Use um serviço como o Cisco Umbrella para impedir que os usuários naveguem para sites conhecidos por serem mal-intencionados.
- Certifique-se de que o usuário final entenda o que é um iFrame. Os atores de ameaças costumam usar esse método em ataques baseados na Web.
Como funciona um ataque de amortecimento HTTP 302?
Os atores de ameaças usam o código de status de resposta 302 Found HTTP para direcionar o navegador da Web do usuário para um novo local. Os atores de ameaças costumam usar funções HTTP legítimas, como redirecionamentos HTTP para realizar seus ataques. HTTP permite que os servidores redirecionem a solicitação HTTP de um cliente para um servidor diferente. O redirecionamento HTTP é usado, por exemplo, quando o conteúdo da Web é movido para um URL ou nome de domínio diferente. Isso permite que URLs e marcadores antigos continuem a funcionar. Portanto, os analistas de segurança devem entender como uma função como o redirecionamento HTTP funciona e como ela pode ser usada durante ataques.
Quando a resposta do servidor é um status 302 Encontrado, ele também fornece a URL no campo de localização. O navegador acredita que o novo local é o URL fornecido no cabeçalho. O navegador é convidado a solicitar este novo URL. Esta função de redirecionamento pode ser usada várias vezes até que o navegador finalmente pouse na página que contém o exploit. Os redirecionamentos podem ser difíceis de detectar devido ao fato de que redirecionamentos legítimos ocorrem frequentemente na rede.
