CEH by BGA - Gün 2 - Ders 4

Güvenlik Sistemlerini Atlatma Yöntemleri

• Alınan önlemlerin bir işe yaramadığını gösterecek konu.
• Bilgi güvenliği alanı çok dinamik; statik çözümlerle önlem alınamayacağı gösterilecek.
• IPS vb sistemlerin ne kadar "güvenilmez / güvenilmemesi gereken" sistemler olduğunu göreceğiz.
• Güvenlik personllerinden temel bilgi sahibi olmadan ileri seviye işler bekleniyor. Mesela TCP/IP bilmeden Firewall/IPS yönetmesi isteniyor.
• Günümüz sınırgüvenliği sistemleri
• Router
• Network cihazı olsa da güvenlik amaçlı kullanılabiliyor.
• DoS saldırıları salt router'la önlenebilir.
• Firewall (Güvenlik Duvarı)
• IPS/IDS
• WAF
• DDoS engelleme sistemleri
• DLP (Veri Sızma Engelleme) => Parayı nereye harcayacağını bilmeyenlerin kurduğu sistem :)
• ...

Firewall

• Ağlar arası erişim kontrolü amacıyla kullanılır.
• Port ve IP bazlı çalışır (Next generation firewall'lardan bahsetmiyoruz)
• İçeriği denetleyemez (Next gen. fw'lardan bahsetmiyoruz)
• 2 çeşit engelleme yapar:
• DROP (Paketi drop et, cevap dönme)
• REJECT (Reject yanıtıdön)
• Firewall olup olmadığını anlama
• hping -p 80 -S <hedefIP>
• hping -p 81 -S <hedefIP>
• hping -p 91 -S <hedefIP>
• Kapalı portlar için yanıt dönmüyorsa firewall olduğu anlaşılır.
• Firewall politikasının kapalı portlar için gelen talebi DROP etmek, trafiği meşgul etmemek için tercih edilebilir (DoS'a karşı)
• TTL değerlerinden firewall keşfi
• L3 routing işlemi yapan bir cihaz, TTL'i bir  azaltır.
• Firewall'ın geçireceği bir paket (SYN mesela) ve geçirmeyeceği bir paket (FIN mesela) gönderilir, dönecek yanıtların TTL değerleri incelenir.
• Bir port açıksa bütün portlar açıktır. Bir protokol açıksa bütün protokoller açıktır.
• Bazı Firewall atlama yöntemleri:
• SSH Tunnelling. Firewall, içeriğe bakarsa (next generation firewall'lar) tünelleme olduğunu anlar, ama klasik yaklaşımda port bazlıkontrol yapan firewall'larda bu tünel üzerinden tüm trafiği akıtırız ve firewall bunu anlayamaz.
• Ultrasurf. Firewall atlatmanın en zirve yöntemlerinden biri.
• OpenVPN. Herhangi bir port üzerinden UDP veya TCP bağlanabilir.
• L7 Firewall (Application Firewall)
• Paket içinde /etc/passwd geçiyorsa engelle diyebiliriz mesela (CTF'lerde kullanılır bu).
• "/./" bloğu çöp karakter (null karakter). /etc/passwd engellenmişse "/etc/.//passwd" geçiyor olabilir. Bu tür denemeler yapılabilir.
• Linux'te L7-filter, bu tür firewall'lara örnektir.
• (Parantez) hackvertor.co.uk