Zdobywanie fortecy bez wyważania drzwi.

Transkrypt

1 Zdobywanie fortecy bez wyważania drzwi. Bezpieczeństwo zdalnego dostępu administracyjnego. Franciszek Lewenda Specjalista ds. Bezpieczeństwa IT

2 Agenda Zdalny dostęp administracyjny Zdobywanie fortecy ataki/słabości Ochrona wybrane zabezpieczenia Pojedyncze zabezpieczenia nierozwiązane problemy Podejście kompleksowe Podsumowanie, Q&A

3 O jakim dostępie mowa?

4 Zdalny dostęp administracyjny 3rd party Serwery / urz. Sieciowe / WebApp/ bazy danych Internet LAN Lokalni admini Zdalni admini 3rd party

5 Zdalny dostęp administracyjny = Zdalny dostęp to: Drzwi dostępne z zewnątrz, Dostęp administracyjny to: Szerokie uprawnienia możliwość: Nieuzasadnionego dostępu do danych, Kasowania lub modyfikacje informacji, Niedozwolonych operacji w systemie, Zacierania śladów nadużyć, A przy okazji: Duże środowisko = dużo kont i haseł, Problemy z audytem i rozliczalnością.

6 Zdobywanie fortecy

7 Nasza sieć to forteca, ale

8 1. Atak na drzwi

9 Źródło: Raport CERT Polska 2013 Portscan

10 Ataki słownikowe Pod koniec roku 2013 CERT Polska informował o nowym rodzaju bota, przeznaczonego do ataków DDoS, który infekował serwery zarówno z systemem Linux, jak i Windows. W przypadku systemu Linux rozprzestrzeniał się za pomocą ataku słownikowego na hasła usługi SSH. Źródło:

11 2. Atak na człowieka

12 LinkedIn hacking

13 Admin poza zasięgiem zabezpieczeń styku C&C Internet

14 Wyciek danych z OVH Serwerownia OVH właśnie poinformowała o incydencie bezpieczeństwa. Sprawa jest poważna, ponieważ naruszone zostały zabezpieczenia wewnętrznej sieci biurowej pracowników data center. Jak doszło do włamania? Atakujący miał najpierw przejąć konto jednego z administratorów OVH, a następnie przy jego pomocy uzyskał dane dostępowe do konta VPN innego pracownika odpowiadającego za tzw. backoffice. Stamtąd miał już otwartą drogę do wewnętrznych usług i systemów. Źródło:

15 3. Zagrożenie wewnętrzne

16 Udostępnianie danych uwierzytelniających

17 It happens Sprawozdanie z konferencji SECURITY CASE STUDY 2014 Valery Milman wskazał z kolei jako główne problemy, które następnie omówił: wspólne konta administracyjne, dzielenie się uprawnieniami, brak wiedzy co do ilości kont uprzywilejowanych, brak wiedzy na temat tego jakie dane faktycznie mamy chronić. Źródło:

18 Zabezpieczanie fortecy

19 1. Silne uwierzytelnianie

20 CERB

21 Drugi składnik uwierzytelniania

22 Korzyści TFA: Niezaprzeczalność dostępu Odporność na ataki brute force Nie trzeba pamiętać i ciężko udostępnić hasła CERB: Niski koszt tokena Niski koszt logistyki Integracja AD/RADIUS Łatwa migracja z wdrożonych rozwiązań TFA

23 2. Monitoring i rejestracja zdalnych sesji administracyjnych

24 FUDO

25 Zasada działania sqeiloc1orbg1a3dq9ljljcm9hu sqeiloc1orbg1a3dq9ljljcm9hu YjCJZWAYkICHTCTAoywSBFr GW0XxG2IdU3A28SUsb4X3Staj GW0XxG2IdU3A28SUsb4X3Staj czap12ffomqijefxrw5tmzi5 51x20sM4XXEhzRdQNM0RPB2p 51x20sM4XXEhzRdQNM0RPB2p 2YykQ7ocEYewwRZ6CBMC8K root# komenda1 root# komenda1

26 Natywny klient RDP VNC SSH

27 Scenariusze wdrożenia 1/2 Tryb transparentny ssh p 22

28 Scenariusze wdrożenia 2/2 Tryb pośrednika

29 Korzyści Czynnik dyscyplinujący Personel obcy Personel własny Materiał szkoleniowy Wyciek danych wiemy co wyciekło

30 3. Zarządzanie hasłami i dostępem

31 Secret Server

32 Panel użytkownika

33 Korzystanie z dostępu - request

34 Cisco zmiana hasła

35 Automatyczna zmiana haseł Active Directory Amazon AS/400 Check Point Cisco Dell DRAC DSEE Enterasys Google HP ilo Juniper MS SQL Server MySQL ODBC Oracle OpenLDAP PostgreSQL Salesforce SAP SSH / Telnet Sybase UNIX/Linux/Mac (root też) VMWare ESX WatchGuard

36 Korzyści Systemy odporne na ataki brute-force Zgodność z wymaganiami na hasła Single SignOn, wygoda Centralne zarządzanie uprawnieniami dostępu Nie da się zalogować do systemu lokalnie Pełny audyt użytkowników i systemów

37 Pojedyncze zabezpieczenia

38 Narzędzie doskonałe Czy istnieje?

39 CERB Problemy, których nie rozwiązuje Tylko uwierzytelnianie Ograniczone możliwości audytu

40 FUDO Problemy, których nie rozwiązuje Logowanie lokalne ciągle możliwe Potencjalne podszycie się pod support Tabelka z mapowaniem portów

41 Thycotic Problemy, których nie rozwiązuje Mogłoby być lepiej: Wbudowane TFA Wbudowane rejestrowanie sesji Hasło do Thycotica da się udostępnić

42 Podejście kompleksowe

43 Jedno zabezpieczenie może nie wystarczyć. Ale

44 CERB + FUDO

45 CERB + Thycotic

46 Thycotic + FUDO

47 CERB + Thycotic+ FUDO

48 Podsumowania czas

49 Podsumowanie Czy da się żyć bez zdalnego dostępu? Jego bezpieczeństwo jest bardzo istotne: Potencjalny wektor ataku Możliwość nadużyć trudnych do wykrycia Duże i zróżnicowane środowiska to: Trudności w zarządzaniu uprawnieniami Trudności z audytem i rozliczalnością Lek na wszystko nie istnieje.

50 Q&A Czas na pytania

51 Dziękuję za uwagę!