IDS под микроскопом

Докучаев Дмитрий aka Forb

Хакер, номер #073, стр. 073-048-4

3. Обход IDS

Единственным обходом умной утилиты является ручное сканирование портов. Чтобы осуществить такой скан, прителнеться к интересующему тебя порту, затем выжди с десяток секунд и подцепись к другому сервису. И так для каждого порта. Лишь в этом случае PortSentry не сочтет твое любопытство за попытку сканирования, а ты сможешь без труда опознать все открытые сервисы на машине.

4. Советы администратору

Чтобы не дать хакеру шансов на успех, не пиши ничего в фэйковом баннере. Более того, советую тебе закрыть файрволом важные сервисы и увеличить в конфиге список открываемых портов. Тогда достигаются два результата: хакер не поймет, что на сервере стоит IDS, и, соответственно, не сможет просканировать порты на твоем сервере.

Бдящий Tripwire на страже порядка

Самое время плавно перейти к обзору локальных IDS. Без колебаний я начну знакомство с моей любимой программы Tripwire. Эта система обнаружения атак давно установлена на моем сервере и не раз напоминала о странных вещах :).

1. Установка

Чтобы не заморачиваться с компиляцией, рекомендую стянуть уже собранные бинарники (www.tripwire.org/files/tripwire-2.3-47.bin.tar.gz). Единственный минус этого способа – уже собранный проект весит 2,5 метра против 400 Кб в ASCII-виде. В архиве ты найдешь каталог policy. Переходи туда и открывай twpol.txt. Этот файл служит для конфигурации политики IDS. Открой его и найди слово «rulename». Нашел? Замечательно! Поставь запятую после директивы severity, перейди на новую строку и впиши: «emailto = «твой@почтовый.адрес». И так для каждого правила. Если ты еще не понял, эта фича нужна для того, чтобы IDS слала тебе отчет на почту после каждого сканирования. Здесь же можешь ознакомиться со списком файлов, которые проверяются системой обнаружения атак, и изменить его.

После разборок с политикой переходи в корневой каталог архива и пиши: «./install.sh». Инсталлятор ознакомит тебя с лицензией, попросит подтвердить отсутствие возражений, а затем спросит у тебя парочку ключиков - local и site. Запомни их и никогда не забывай, иначе не сможешь изменить политику IDS.

Теперь можно инициализировать базу TripWire. Это делается командой tripwire –m –i.

2. Возможности

Tripwire создан для того, чтобы осуществлять аудит системных файлов и оповещать администратора в случае их изменения. После каждого сканирования на e-mail сисадмина приходит отчет, из которого легко определить, кто и когда трогал критические системные файлы.

Как я уже говорил, tripwite использует внутренний алгоритм шифрования своих конфигов с помощью ключей. Все это добро находится в каталоге /etc/tripwire. Если тебе захотелось изменить политику IDS, выполни запрос «tripwire –m p –-policy path/to/new/policy». Бинарник спросит у тебя два ключа и в случае их соответствия обновит конфигурационные файлы.

3. Обход IDS

Обойти малютку tripwire непросто. Как-то раз я поднял привилегии на удаленной машине, залил туда руткит и обнаружил в файлах кронтаба, что каждые 12 часов запускается IDS. Исходя из факта, что local/site-ключей я не знал, изменить политику было невозможно. Пришлось искать на винте дистрибутив IDS, в котором, кстати сказать, находился файлик с действующей политикой, и слегка изменять конфиги. Я убрал из списка все затрояненные бинарники и переконфигурировал IDS. Что касается ключей, то они, естественно, стали другими. Однако прием сработал и админ не сразу догадался, что его сервер протроянили.