Blindando sua rede com o HLBR - Um IPS invisível e brasileiro

dailson

O HLBR é um projeto brasileiro destinado à segurança em redes de computadores. O HLBR é um IPS (Intrusion Prevention System) bastante eficiente e versátil, podendo ser usado até mesmo como bridge para honeypots e honeynets. Como não usa a pilha TCP/IP do sistema operacional, ele é "invisível" a outras máquinas na rede e atacantes, pois não possui número de IP.

[ Hits: 125.798 ]

Por: Dailson Fernandes (fofão) - http://www.dailson.com.br em 09/11/2007

0 0

Denuncie Favoritos Indicar Impressora

Testando: Provocando uma reação do HLBR

Depois de todo o ambiente instalado, precisamos saber se o HLBR está no ar.

Como o HLBR é o responsável em fazer a ponte entre as máquinas. o fato de você executar um ping entre máquinas que tem o HLBR no meio já é suficiente para saber que ele está no ar e funcionando.

Porém vamos testar com um ataque. Para vermos a ação do HLBR em tempo real, vá em um console onde o HLBR está instalado e faça:

# tail -f /var/log/hlbr/hlbr.log

Vamos fazer um ataque simulando o vírus CODRED que atacava uma vulnerabilidade de um servidor IIS causando um Buffer Overflow.

Supondo que seu servidor Web seja 192.168.10.100, digite no browser:

http://192.168.0.100/GET/default.ida?

Veja no HLBR que o Log começa a aparecer com a mensagem:

22/09/2007 13:20:27 XXX.1.249.50:50019->200.XXX.XXX.XXX:80 (codered-nimda-1) default.ida request

Outro ataque, seria a mudança de diretório em um servidor Web. Este ataque permitia ao invasor navegar na estrutura de disco do servidor Web.

http://192.168.10.100/../..
ou
http://192.168.10.100/../../etc/passwd

Veja no HLBR que o Log começa a aparecer com a mensagem:

03/07/2007 17:08:12 XXX.1.249.50:50019->200.XXX.XXX.XXX:80 (webattacks-1-re) directory change attempt (unicode,asc,plain)

Ou ainda, um ataque para explorar o Shell das máquinas Windows (ataque que caracterizava o vírus NINDA)

http://192.168.10.100/system/cmd.exe?dir+c:

Veja no HLBR que o Log começa a aparecer com a mensagem:

22/09/2007 13:30:07 XXX.1.249.50:50019->200.XXX.XXX.XXX:80 (codered-nimda-2-re) (root|cmd|explorer) request

Página anterior Próxima página

Páginas do artigo

   1. Introdução
   2. O que é o HLBR?
   3. Hardware e softwares necessários
   4. Preparando o ambiente para o HLBR
   5. Instalando o HLBR
   6. Configurando o HLBR
   7. As regras de detecção de ataque
   8. Onde posicionar o HLBR?
   9. Colocando para funcionar!
   10. Auditoria: Visualizando LOGS e arquivos de DUMP
   11. Testando: Provocando uma reação do HLBR
   12. Vídeos do HLBR em ação
   13. Conclusão, créditos e links

Outros artigos deste autor

Gerenciando logs do Linux pela WEB com o PHPSYSLOG-NG (parte 1)

Instalando o IBM LOTUS SYMPHONY Beta3

NTFS-3g: Leitura e gravação em NTFS com segurança? Ainda não!

Enrolado para configurar o Samba? Chame o SWAT

Utilizando o RSYNC para fazer backups de servidores e estações Windows

Leitura recomendada

Quebrando a criptografia RSA

Configurando o IDS - Snort / Honeypot (parte 2)

Framework OSSIM - Open Source Security Information Management

SSH completo (passo a passo)

O Kerberos não é um cachorro de 3 cabeças!

Comentários

[1] Comentário enviado por lucas.suporte em 09/11/2007 - 11:20h

Otimo artigo, se esse prog funcionar com todos esses recursos será uma grande ferramenta de proteção para a rede.
Com certeza vou testar !!!
Abraços e parabens
Lucas Rocha
Analista de redes em GNU/Linux

0 0

[2] Comentário enviado por gersonraymond em 09/11/2007 - 11:34h

Realmente ótimo artigo estarei testando o HLBR e também divulgando esta brilhante ferramenta mais uma vez "parabéns, valeu mesmo", um abraço.

Gerson Raymond
Administrador de Redes

0 0

[3] Comentário enviado por valterrezendeeng em 09/11/2007 - 17:01h

Vamos prestigiar o nacional.

Parabens pelo artigo e parabens aos desenvolvidores pelo produto nacional e principalmente de qualidade

Vou testar e divulgar

Valeu

Valter

Sup Informatica

0 0

[4] Comentário enviado por warlinux em 09/11/2007 - 18:25h

Esse sim é um artigo de ótima qualidade, muito bem explicado.

Parabéns tanto pela criação da ferramenta como pela elaboração do artigo.

Só me restou uma dúvida, como essas rules, podem ser atualizadas, vcs estão sempre criando novas regras, como funciona ?

Falow abraços

0 0

[5] Comentário enviado por dailson em 09/11/2007 - 20:50h

As regras não estão sendo atualizadas constantemente oficialmente.
Mas estamos trabalhando em um sistema de regras com atualizações semanais/mensais.

Dailson

0 0

[6] Comentário enviado por pogo em 10/11/2007 - 12:46h

Parabéns pelo excelente texto, Dailson! Continue sempre enviando material com esta qualidade aqui para o VOL!

Pra quem quiser mais algum material sobre IPS, pode acessar lá no meu blog. Publiquei uma série explicando um pouco sobre esta tecnologia (neste link aí mesmo vocês já irão encontrar links para as outras partes do texto):

http://blog.pedroaugusto.eti.br/2007/10/22/intrusion-prevention-systems-parte-1/

Se quiserem saber um pouco mais sobre sistemas IDS, lá no blog também tem uma série sobre isso:

http://blog.pedroaugusto.eti.br/2007/10/16/ids-parte-1/

Espero que gostem e que consiga complementar este ótimo texto do colega.

[]'s

Pedro.

0 0

[7] Comentário enviado por evertonpinto em 10/11/2007 - 13:39h

?comentario=everton

Parabéns pelo artigo. Está bastante explicativo para iniciantes como eu.
Mas ainda bem que tenho um professor chamado Dailson Fernandes... para tirar algumas dúvidas .
é isso ai prof vc é o cara.
kkkkkkkkkkkkkkkkkk

0 0

[8] Comentário enviado por demattos em 10/11/2007 - 23:07h

Parabens pelo artigo, esta bem trabalhado, coloquei em prova e funcionou com o Fedora Core 5

0 0

[9] Comentário enviado por capitainkurn em 11/11/2007 - 14:41h

Artigo formidável! Parabéns e obrigado por compartilhar seu conhecimento conosco!

Além da ferramenta ser fantástica, a sua didática é exímia!

Parabens!

0 0

[10] Comentário enviado por Ruy_Go em 12/11/2007 - 18:47h

Vamos testar ele.... valorizar o nacional como disse o amigo acima...

Vou testar no Slackware 11

0 0

[11] Comentário enviado por dfsantos em 16/11/2007 - 17:56h

Ola pessoal!
Acho que fiz caca, compilei o kernel sem suporte a tcp-ip era pra fazer isso mesmo?
Pois não achei opção específica para compilar sem suporte a ip.
Estou tendo um probleminha na hora de dar um start no hlbr quando executo o comando:
/etc/init.d/hlbr start ou restart
Aparece a seguinte mensagem:
device eth0 entered promiscuous mode
couldn't create socket for MTU
Error binding socket
Error Initializing interfaces
device etho left promiscuous mode

0 0

[12] Comentário enviado por dailson em 19/11/2007 - 10:09h

Oi Dfsantos.

Aconselho a você fazer testes com o kernel normal utilizando os endereços 127.... nas suas placas, conforme tutorial.
Não há desvantagens nisso, só vantagens!!!
Retirar o TCP/IP todo, vai dar bronca mesmo.

Dailson

0 0

[13] Comentário enviado por araujosilva em 27/11/2007 - 12:01h

Parabens Dailson !!!

Fico muito satisfeito de ter tido a oportunidade de ver o trabalho antes de ser transformado neste ótimo artigo.

abraços

Sgt araujo - 5cta - Recife - PE

0 0

[14] Comentário enviado por dailson em 28/11/2007 - 11:00h

Obrigado Grande Araújo!!!!

Um grande abraço!!!

Dailson

0 0

[15] Comentário enviado por klein.rfk em 11/12/2007 - 11:10h

kras, isso é muito legal.........
vou testar no Slack....
uma pergunta, ele apenas gera os LOGs?
ou dropa/bloqueia/rejeita os pacotes de um possível atacante?

0 0

[16] Comentário enviado por dailson em 12/12/2007 - 10:51h

Oi Klein

Ele bloqueia os pacotes já por padrão, se vc quiser que ele apenas faça o log, tem que mudar a action para action2.
Obs: Funciona perfeitamente no slack

Dailson

0 0

[17] Comentário enviado por akilesbrasil em 26/01/2009 - 09:16h

ola estou tento problemas com as interfaces..consigo por os ips de loopback...
na eth0 entra o cabo da net....
na eth1 que vai pro outro server ... esse cabo e normal cross...pois não funciona...
nen fixando o ip...nen deixando por dhcp

flw muito bom o artigo...

0 0

[18] Comentário enviado por dailson em 02/02/2009 - 15:29h

Oi Akilesbrasil

Desculpa a demora pra responder, mas estava de férias ...

Então vamos lá:
Por DHCP não vai funcionar.
Vc deve colocar os ips 127.0.0.2 na eth0 2 127.0.0.3 na eth1. E veja se funciona.
E se lembre que depois de colocar os ips, vc deve reiniciar o HLBR.
Para que a NET passe, o hlbr deve estar no ar.
Outro erro muito comum, é o fato dos cabos crossover.
Pelo que vi, do lado na net, use cabo normal.
Do lado do servidor, use cabo crossover.
Se não funcionar, posta aê!!

0 0

[19] Comentário enviado por fireroot em 28/07/2014 - 16:22h

Hoje passe por um problema eu coloquei em uma maquina com três interfaces sendo quando "startei" o hlbr simplesmente meu Switch foi inudado por spanning tree sendo deixando em parafusos. sistema Debian 7.6 (wheezy) tendo tambem funçao roteador, serviço ssh e Stwch 3con. Obrigado.

0 0