Salve Maria! e Viva Cristo REI!: Segurança de Redes

Mostrando postagens com marcador Segurança de Redes. Mostrar todas as postagens

sexta-feira, 28 de novembro de 2008

Bloqueio de streaming de áudio e vídeo no Squid

Esta dica serve para bloquear o acesso e/ou o download de arquivos de áudio e vídeo no Squid.

Sua aplicação prática é o bloqueio de rádios online, download de arquivos MP3, filmes e demais formatos que sobrecarregam o link de internet da empresa, poupando o ouvido do administrador de redes, no caso, você. ;-)

Como fazer:

Abra o arquivo /etc/squid/squid.conf e insira as seguintes linhas:

# Regra para bloqueio de extensões de rádios online / arquivos de streaming:
acl streaming rep_mime_type ^video/x-ms-asf

acl proibir_musica urlpath_regex -i \.aif$ \.aifc$ \.aiff$ \.asf$ \.asx$ \.avi$ \.au$ \.m3u$ \.med$ \.mp3$ \.m1v$ \.mp2$ \.mp2v$ \.mpa$ \.mov$ \.mpe$ \.mpg$ \.mpeg$ \.ogg$ \.pls$ \.ram$ \.ra$ \.ram$ \.snd$ \.wma$ \.wmv$ \.wvx$ \.mid$ \.midi$ \.rmi$

http_access deny proibir_musica
http_reply_access deny streaming

Salve o arquivo e reinicie o Squid. Na próxima vez que o usuário tentar baixar algum conteúdo de MP3, vídeo ou até mesmo acessar uma rádio online, o Squid fará o bloqueio e impedirá o acesso.

Créditos para este Artigo: Luciano Areal
http://www.vivaolinux.com.br/dica/Bloqueio-de-streaming-de-audio-e-video-no-Squid

segunda-feira, 10 de novembro de 2008

NETSH: Modificando o Firewall do Windows

1) Desabilitando o alerta de segurança da central de segurança do windows XP/2003
netsh firewall set notifications mode = disable

2) Desailitando o firewall do Windows XP SP2 e 2003
netsh firewall set opmode mode = disable

3) Abrindo uma porta no firewall do windows XP SP2 e 2003 (em nosso exemplo: porta 999)
netsh firewall set portopening protocol = TCP port = 999 name = Porta_de_teste mode = enable scope = all profile = all

4) Habilitando um determinado programa para passar despercebido pelo firewall do windows
netsh firewall set allowedprogram program = c:\windowssystem32\nc.exe name = Programa_de_teste(netcat) mode = enable scope = all profile = all

NETSH: Windows XP e Windows 2003

Um poderoso comando que poucos utilizam e é muito bom para qualquer ação com o sistema operacional é o NETSH, você pode realizar diversas operações de rede, como alterações de endereço IP, servidor de DNS, WINS, renomear placa de rede, configuração de filtro IPSEC, configuração do firewall do Windows XP SP2, entre outras funções.

Abaixo veremos alguns comandos úteis, como alterações de dados em interface, e um comando que ajuda a diagnosticar problemas na rede.

Antes de testar os comandos perceba que o nome utilizado abaixo é “REDE LOCAL”, e no windows ele vem como “Local Area Connection”, para renomear sua placa você pode ir ao menu Iniciar,Conexões de Rede, clicar com o botão direito em cima da placa de rede e renomear.

1) Alteração de IP na interface para endereço estático:
netsh interface ip set address name="Rede Local" static 10.0.0.9 255.255.255.0 10.0.0.1 1

2) Alteração de IP na interface para endereço DHCP
netsh interface ip set address name="Rede Local" source=dhcp

3) Alterando o Gateway e metrica
netsh interface ip set address "Rede Local" gateway = 10.0.0.1 gwmetric = 2

4) Alterando o DNS da placa de rede
netsh interface ip set dns "Rede Local" source=static addr=200.200.200.200 register=PRIMARY

Alguns comandos que funcionam apenas com Windows XP SP2 !!!

1) Mostrar configuração do Firewall do Windows XP
netsh firewall show config

2) Reseta configurações do Firewall para padrão
netsh firewall reset

3) Reseta todas configurações de REDE (Útil em caso de spywares contaminar, e seu micro não conseguir mais requisitar um IP ao DHCP Server)
netsh winsock reset

Agora um ótimo comando para verificação de problemas em sua configuração de rede.

NETSH DIAG GUI

Executando o comando acima, você terá uma tela como a abaixo:

Clique em “Set scanning options”

Você terá uma tela como a acima exibida, selecione os serviços que deseja testar e clique no botão “Scan your system”. E você terá uma tela como a exibida abaixo.

É isto, para quem gostou e quer conhecer mais os commandos do NETSH basta abrir o NETSH, clicando em Iniciar, executar e digitando NETSH, ele possui help para cada seção utilizando o caracter ? .

Referência completa no link abaixo:

http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/netsh.mspx

Crédito deste tutorial:

Artigo Técnico
NETSH - Windows XP e Windows 2003
Por Guilherme Carnevale
http://www.itcentral.com.br/default.asp?id=3&mnu=3&ACT=5&content=11

quinta-feira, 9 de outubro de 2008

Como Bloquear o ULTRA-SURF

O processo foi realizado com sucesso, estou utilizando um servidor linux Debian instaldo.

1º Passo – Instalar o tcpdump (Sniffer)

apt-get install tcpdump

2º Passo – Instar o Snort (IDS)

apt-get install snort

3º Passo - vamos configurar a regra de identificação do
Ultra-Surf: Edite o arquivo dns.rules

vi /etc/snort/rules/dns.rules

Agora, adiciona a seguinte regra (lembrando que é tudo numa
única linha):

alert udp $HOME_NET any -> !$HOME_NET 53 (msg: "[OSSEC] Consulta de DNS Externo Possivel Ultrasurf"; content:"|00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00|"; classtype: policy-violation;threshold:type limit, track by_src, count 1, seconds 5; sid:1000059; rev:2;)

Salve o arquivo, reinicie o serviço:

/etc/init.d/snort stop

/etc/init.d/snort start

4º Passo – Instalar o OSSEC (HIDS)

Acesse o site: http://www.ossec.net/main/downloads, e baixe o arquivo: ossec-hids-1.6.1.tar.gz

wget http://www.ossec.net/files/ossec-hids-1.6.1.tar.gz

Descompacte o arquivo baixado e acesse a pasta onde foi descompactado:

tar xvzf ossec-hids-1.6.1.tar.gz

cd ossec-hids-1.6.1

Agora, execute o instalador do hids:

./install.sh

No caso atual, pretende-se bloquear o Ultra-Surf, então, não vamos configurar os análises dos diversos logs, vamos nos ater apenas aos logs do snort.

Parâmetros da Instalação do OSSEC

Idioma: BR

Tipo de instalação: LOCAL

Envia Email: NÃO

Verificação de Integridade: NÃO

Detecção de rootkits: NÃO

Respostas Automáticas: SIM

Após a conclusão do OSSEC, você receberá a seguinte mensagem:

- Para iniciar o OSSEC HIDS:

/var/ossec/bin/ossec-control start

- Para parar o OSSEC HIDS:

/var/ossec/bin/ossec-control stop

5º Passo – Configurando o OSSEC (HIDS)

Edit o arquivo de configuração do ossec.

vi /var/ossec/etc/ossec.conf

O meu arquivo ficou assim, note que houve algumas modifficações no arquivo original, para adequar as minhas necessidades.

<ossec_config>

<rules>
<include>rules_config.xml</include>
<include>pam_rules.xml</include>
<include>sshd_rules.xml</include>
<include>telnetd_rules.xml</include>
<include>syslog_rules.xml</include>
<include>arpwatch_rules.xml</include>
<include>symantec-av_rules.xml</include>
<include>symantec-ws_rules.xml</include>
<include>pix_rules.xml</include>
<include>named_rules.xml</include>
<include>smbd_rules.xml</include>
<include>vsftpd_rules.xml</include>
<include>pureftpd_rules.xml</include>
<include>proftpd_rules.xml</include>
<include>ms_ftpd_rules.xml</include>
<include>ftpd_rules.xml</include>
<include>hordeimp_rules.xml</include>
<include>vpopmail_rules.xml</include>
<include>vmpop3d_rules.xml</include>
<include>courier_rules.xml</include>

<include>web_rules.xml</include>

<include>apache_rules.xml</include>
<include>mysql_rules.xml</include>
<include>postgresql_rules.xml</include>
<include>ids_rules.xml</include>
<include>squid_rules.xml</include>
<include>firewall_rules.xml</include>
<include>cisco-ios_rules.xml</include>
<include>netscreenfw_rules.xml</include>
<include>sonicwall_rules.xml</include>
<include>postfix_rules.xml</include>
<include>sendmail_rules.xml</include>
<include>imapd_rules.xml</include>
<include>mailscanner_rules.xml</include>
<include>ms-exchange_rules.xml</include>
<include>racoon_rules.xml</include>
<include>vpn_concentrator_rules.xml</include>
<include>spamd_rules.xml</include>
<include>msauth_rules.xml</include>
<include>mcafee_av_rules.xml</include>

<include>zeus_rules.xml</include>
<include>solaris_bsm_rules.xml</include>
<include>vmware_rules.xml</include>
<include>ossec_rules.xml</include>
<include>attack_rules.xml</include>
<include>local_rules.xml</include>
</rules>
<global>

<white_list>127.0.0.1</white_list>

<white_list>^localhost.localdomain$</white_list>
<white_list>200.165.132.155</white_list>
<white_list>200.149.55.140</white_list>
</global>

<command>
<name>host-deny</name>
<executable>host-deny.sh</executable>
<expect>srcip</expect>
<timeout_allowed>yes</timeout_allowed>
</command>

<command>
<name>firewall-drop</name>
<executable>firewall-drop.sh</executable>
<expect>srcip</expect>
<timeout_allowed>yes</timeout_allowed>
</command>

<active-response>

<command>host-deny</command>
<location>local</location>
<level>6</level>
<timeout>60</timeout>
</active-response>

<active-response>

<command>firewall-drop</command>
<location>local</location>
<level>6</level>
<timeout>60</timeout>
</active-response>

<localfile>
<log_format>syslog</log_format><location>/var/log/squid/access.log</location>
</localfile>
<localfile>
<log_format>snort-full</log_format>
<location>/var/log/snort/alert</location>
</localfile>
</ossec_config>

OBS: Eu modifiquei basicamente nas tags COMMAND e ACTIVE-RESPONSE

Agora vamos configurar as regras para o ids: Edite o arquivo:

vi /var/ossec/rules/ids_rules.xml

adicione a seguinte regra:

<rule id="1000059" level="10">

<category>ids</category>
<description>Utilizacao do UltraSurf.</description>
</rule>

Salve o arquivo e vamos editar as regras de punição para os infratores:

vi /var/ossec/active-response/bin/firewall-drop.sh

Localize as duas linhas abaixo:

ARG1="-I INPUT -s ${IP} -j DROP"

ARG2="-I FORWARD -s ${IP} -j DROP"

E substitua por:

ARG1="-I INPUT -s ${IP} -p tcp --dport 443 -j DROP"

ARG2="-I FORWARD -s ${IP} -p tcp --dport 443 -j DROP"

Localize as duas linhas abaixo:

ARG1="-D INPUT -s ${IP} -j DROP"

ARG2="-D FORWARD -s ${IP} -j DROP"

E substitua por:

ARG1="-D INPUT -s ${IP} -p tcp --dport 443 -j DROP"

ARG2="-D FORWARD -s ${IP} -p tcp --dport 443 -j DROP"

Salve o arquivo, e edite o próximo arquivo de punição:

vi /var/ossec/active-response/bin/host-deny.sh

Localize a linha:

echo "ALL:${IP}" >> /etc/hosts.deny

e Substitua por:

echo "http:${IP}" >> /etc/hosts.deny

Localize a linha:

cat /etc/hosts.deny | grep -v "ALL:${IP}$"> /tmp/hosts.deny.$$

e Substitua por:

cat /etc/hosts.deny | grep -v "http:${IP}$"> /tmp/hosts.deny.$$

Salve o arquivo e inicie o OSSEC

/var/ossec/bin/ossec-control start

OBSERVAÇÔES: Se você fez tudo correto, seu snort e seu ossec estarão trabalhando em conjunto agora, o snort detectará o uso do ultra-surf, e o ossec bloqueará da seguinte forma: criará regras no IPTABLES fechando o acesso ao HTTPS da máquina requisitante, o bloqueio durará 60 segundos, mas lembre-se, o bloqueio será somente HTTPS, o http (web) funcionará normalmente se o usuário desligar o ultra-surf, com isso, você assegurará que o tráfego da máquina cliente não parará sua produção na empresa e ainda deixará o usuário
infrator com uma raiva danada do ultra-surf.

Agradecimentos especiais ao site:

http://listas.cipsga.org.br/pipermail/snort-ids/2008-August/001202.html

pela regra do snort para detectar o uso do ultra surf.

Artur Luís
Tecnólogo em Redes de Computadores

domingo, 31 de agosto de 2008

Video Aula Nº 3 - Arp poisoning + DNS Spoofing

Professor Marcos Flávio Araújo Assunção