Velmi podrobné monitorovaní sítě

[Mirek Prýmek]

Pokud je to prostředí firmy, stejně tam mají jejich pc a pokud tam mají jejich pc, řeší to keyloggery.

Přesně tak - pokud můžu na kompl instalovat certifikáty, tak tam můžu nainstalovat patchnutej prohlížeč, kterej mi zazelená adresu jakoukoli a zobrazí údajnej certifikát jakejkoli.

[Reklama]

[rado3105]

Potom kde je možné analyzovať komunikáciu...cez netflow viem, že sa dá odchytať, kto aké stranky otvára...lenže ako je možné robiť analyzu paketov - čiže vidieť vyslednú podobu odchytenej komunikácie...

[Sten]

Pokud je to prostředí firmy, stejně tam mají jejich pc a pokud tam mají jejich pc, řeší to keyloggery.

Přesně tak - pokud můžu na kompl instalovat certifikáty, tak tam můžu nainstalovat patchnutej prohlížeč, kterej mi zazelená adresu jakoukoli a zobrazí údajnej certifikát jakejkoli.

Je tady rozdíl. Pokud tam nainstaluju certifikáty, pak jim velmi pravděpodobně bude důvěřovat i prohlížeč, který si tam nainstaluje uživatel. Keylogger je sice také řešení, ale ten se dá prakticky využít jen zpětně (jestli vůbec, moc legální to nebude), zatímco proxy může blokovat komunikaci v reálném čase.

[maros]

Potom kde je možné analyzovať komunikáciu...cez netflow viem, že sa dá odchytať, kto aké stranky otvára...lenže ako je možné robiť analyzu paketov - čiže vidieť vyslednú podobu odchytenej komunikácie...

Sonda, network tap, wireshark.

[maros]

Cmuchalum, co si hraji na NSA, by stejne bylo nejlepsi dat par facek.

Ako mam detegovat, ze niekde v sieti mam zombie PC, ktory posiela sifrovane prikazy botnetu?
Ano endpoint security. Ak ta nezaberie? Musim mat k dispozicii viacstupnovu ochranu.
Posledna skusenost: hacknuty web sa pripajal na server v internete na port 80, kde bezal SSH server.

[Reklama]

[maros]

Ako mam detegovat, ze niekde v sieti mam zombie PC, ktory posiela sifrovane prikazy botnetu?

Lepsie povedane, PC prijima prikazy od botnetu a naspat s botnetom komunikuje cez HTTPS.

[Trident]

Potom kde je možné analyzovať komunikáciu...cez netflow viem, že sa dá odchytať, kto aké stranky otvára...lenže ako je možné robiť analyzu paketov - čiže vidieť vyslednú podobu odchytenej komunikácie...

Udelas si mirror provozu na nejakem portu v segmentu site kde te to zajima a dal to analyzujes. Vetsinou se to jmenuje port mirror/port monitor. Proste to replikuje vsechen provoz jeste na jiny port. Tohle funguje i na jinych sitovych technologiich nez ethernetu. Jestli uz to zpracujes  online nebo offline normalnim packet snifferem, pripadne nejakym drahym uberdevicem na analyzu provozu uz je na tobe
Samozrejmne jde pouzit i bastl reseni ze se napichnes pres hub nebo pres pripravek mezi draty ktere te zajimaji.

[Jenda]

Co se týče ostatního (nešifrovaného) provozu, úplně na to stačí tcpdump.

Ane. Jedna věc je mít na disku terabajt zalogovaných TCP spojení (to je triviální, stačí spustit sniffer), druhá věc je vybrat z toho terabajtu potřebnou informaci. To je podle druhu provozu často zatraceně složité.

[Jenda]

Ako mam detegovat, ze niekde v sieti mam zombie PC, ktory posiela sifrovane prikazy botnetu?
Ano endpoint security. Ak ta nezaberie? Musim mat k dispozicii viacstupnovu ochranu.
Posledna skusenost: hacknuty web sa pripajal na server v internete na port 80, kde bezal SSH server.

Skoro bych řekl, že tohle detekovat nejde - pokud si dá útočník alespoň trochu záležet. Ta data můžou být třeba ukrytá v obrázcích - pak to vypadá, že si si občas někdo stáhne fotku. Steganografických knihoven se na netu válí plno a automatickou realtime analýzu snadno obejde i ta nejjednodušší.

[Tonda_]

Jde to..konkretne tento pripad vyresis Tim za povolis jest to komunikaci ktera je nutna a of PC co ji musi mit.

I pokud mas PC a pripokuje se na port 80.Staci proxy a je to . Jedine co muze na port 80 je proxy. Proxy kontroluje ze co jde pres in je http atd

Security je komplexni tema a nejde navrhnout 100% spolehlivy system
Ale jde hodne minimalizovat