مقابله با zero-day وسایر تهدیدات پیشرفته سیتم عامل

[salamis]

سلام

وقت بخیر

سوالم قدری کلی هست،ببخشید.

در دنیای گنو/لینوکس در بین تکنولوژی هایی که لینوکس به دنیا معرفی کرده،برای مقابله/کاهش خطرات zero-day  راه حلی وجود داره؟

 

[morijordan]

سلام

وقت بخیر

سوالم قدری کلی هست،ببخشید.

در دنیای گنو/لینوکس در بین تکنولوژی هایی که لینوکس به دنیا معرفی کرده،برای مقابله/کاهش خطرات zero-day  راه حلی وجود داره؟

 

شیب؟شیبدار؟
من که نفهمیدم چی شد!میشه یکم حوصله به خرج بدی بگی اینی که گفتی ینی چه؟

[سینوسی]

آسيب پذيري zero-day چيست؟

يكي از اصطلاحات حفره‌هاي امنيتي، آسيب پذيري روز صفر يا zero-day مي‌باشد. در واقع اين نوع آسيب‌پذيري، روشي از حمله يا نفوذ از طريق يكي از حفره‌هاي موجود در نرم‌افزارها يا برنامه‌هاي كاربردي مي‌باشد كه از ديد طراحان و توسعه‌دهندگان آن مخفي مانده است. مهاجمان بدون اعلام به شرکت سازنده نرم افزار و پيش از شناسايي اين آسيب‌پذيري و مشكل امنيتي توسط برنامه نويسان، آن را كشف كرده و براي حمله و يا نفوذ به سيستم‌هاي كاربران از آن استفاده مي‌كنند و یا روش های استفاده از این حفره (poc , exploit) توسط نفوذگران در سطح عمومی منتشر می شود.به اين خاطر به آن آسيب پذيري روز صفرم مي‌گويند زيرا يك روز قبل از دانستن حفره توسط برنامه‌نويسان و توسعه‌دهندگان، هكرها از آن باخبر شده و از آن سوء استفاده مي‌كنند. يعني برنامه‌نويسان هيچ فرصتي براي ارسال تعمير و ابزار اصلاحي نمي‌يابند!

مقابله با خطرات 0day
این روزها انتشار poc های 0day  تبدیل به یک روند مشخص در دنیای امنیت شده است .
در واقع پس از پیدا شدن مشکل امنیتی شخص پیدا کننده آن می بایست بر اساس روند حرفه ای گزارشی را از مشکل یافت شده به شرکت صاحب نرم افزار ارائه کند و منتظر تماس های بعدی و هماهنگی های لازم بماند تا شرکت تولید کننده نرم افزار وقت بررسی بیشتر و اصلاح نرم افزار خود را پیدا کند .در مراحل بعد شرکت تولید کننده نرم افزار دست به انتشار یک بسته اصلاحیه می زند که امروزه با نام Patch یا update معروف گردیده است . این نرم افزار کوچک که توسط شرکت تولید کننده نرم افزار تولید شده است به اصلاح مشکل گزارش شده کمک می کند .اما اگر در این بین شخصی بدون هماهنگی های قبلی دست به انتشار اطلاعات و چگونگی استفاده از نقاط ضعف یک نرم افزار عمومی را بزند . شرکت تولید کننده نرم افزار نیاز به یک زمان حداقل دو هفته ای برای تولید اصلاحیه را دارد . و در این زمان تمام سیستم هایی که  از نرم افزار مورد نظر استفاده می کنند اسیب پذیر می باشند و راهی برای نفوذ به آنها باز گذاشته می شود .بیشترین میزان انتشار 0day ها مربوط به نرم افزار هایی معرفی مانند,Adobe acrobat , adobe flash palyer , microsoft office می باشند . با روند تغییر حملات به سمت client side یا همان چیزی که کاربران به صورت روزانه به ان سر کار دارند باعث شده تا برای انتشار بد افزارها رقابتی سنگین در بازار سیاه نفوذگران شکل گیرد در حال حاظر 0day  بسته نرم افزاری microsoft office هزاران دلار در بازار سیاه معامله می شوند .
 

کاربرد استفاده از 0day چگونه است ؟
بیشتر 0day ها  به سه صورت اصلی یافت می شوند :

1- انتشار 0day در بازار سیاه و استفاده ان به وسیله افراد سود جو .
در این روش نفوذگران و خرابکاران اینترنتی پس از خرید این نقاط آسیب پذیری قادر هستند تا کامپیوتر های بسیاری را به ویروس ها و بد افزار ها  (spyware,Malware ها) آلوده کنند . پس از آلوده شدن هزاران کامپیوتر گنگهای خرابکار اینترنتی کنترل هزاران کامپیوتر را بدست می گیرند و قادرند از انها در حملات DDOS یا تولید spam (نامه های تبلیغاتی)  استفاده کنند . حتی در برخی موارد با بدست آوردن اطلاعات کاربران دست به دزدی از حساب افراد می زنند(مانند بد افزار zeus) . در واقع هدف اصلی استفاده این گروه ها از 0day ها بدست آوردن پول می باشد .این دسته از 0day ها معمولا در نرم افزارهای که در برنامه تحت وب کاربرد دارند بیشتر یافت می شوند و مورد علاقه تبهکاران انلاین می باشند. از جمله این مشکلات امنیتی می توان به برنامه هایی مانند . Microsoft Office , Adobe flash player , Adobe air ,Microsoft internet explorer , FireFox , Adobe acrobar reader , Java virtual machine اشاره کرد . امروزه در بیشتر کامپیوتر های متصل به اینترنت که جهت وبگردی و کارهای روزمره توسط کاربران مورد استفاده قرار می گیرند حداقل یکی از این برنامه ها موجود می باشند . پس خرید یک 0day در این نرم افزار ها ،فرصتی طلایی برای تبه کاران اینترنتی محسوب می شود تا در کمترین زمان ممکن سیستم های بیشتری را به ویروس ها آلوده کنند و پول بیشتری به دست آورند .
 
2- استفاده از 0day ها به صورت رسمی برای حملات Penetration test یا Targeted attack .
 امروزه با گسترش بازار 0day ها می توان بسته های نرم افرای که توسط شرکت های امنیتی تولید شده اند را پیدا کرد که در خود چندین ضعف امنیتی به صورت 0day را جای داده اند .بیشتر این 0day ها در سرویس های تحت شبکه مانند mail server  ها یا سرویس های دیگر که در شبکه مورد استفاده قرار می گیرند  در این بسته ها موجود می باشند . سرویس هایی مانند بانک های اطلاعاتی mssql , oracle یا حتی سریس دهنده های وب مانند iis یا apache .متخصصین امنیت با پرداخت هزینه های بالا و به صورت رسمی این 0day ها را خریداری کرده و در انجام پروژهای تست نفوذپذیری (Penetration test) از آنها استفاده می کنند .
از معروف ترین پکیج های مورد استفاده این دسته می توان به بسته هایی اشاره کرد به بر اساس نرم افزار canavas کار می کنند . canavas یک فریم ورک ازمون تست نفوذپذیری می باشد که مانند Metasploit کار می کند .
از نام دار ترین بسته های 0day  می توان به Vulndisco،DSquare's D2 Exploitation Pack ،Argeniss Ultimate 0day Exploits اشاره کرد که همگی تحت فریم ورک canavas مورد استفاده قرار می گیرند .
 
3- در موارد بسیار معدودی محققان امنیت جهت بدست آوردن کردیت یا از روی بی تجربگی دست به انتشار یک 0day می زنند .

منبع:

کد: [انتخاب]

http://www.idsco.ir/%D8%A2%D8%B3%D9%8A%D8%A8-%D9%BE%D8%B0%D9%8A%D8%B1%D9%8A-zero-day-%DA%86%D9%8A%D8%B3%D8%AA%D8%9F

[jackshepherd]

دست تون درد نکنه.مطلب اموزنده و جامعی بود.

[محمودی فرد]

نیاز به هزاران دلار نیست ! خیلی ها دیر آپدیت میکنند  نمونش هم heart blead  ssh  بود که یاهو خیلی کمپانی های بزرگ دیگه برای ساعتها آسیب پذیر بودند . تو آدرس http://www.rapid7.com/db/modules/  هم می شود ببینید  چقدر حفره داریم ! ان هم در نرمافزارهایی که خیلی ها به امنیتشان مینازند !!!

[salamis]

وقت بخیر

هدف از سوالم یکی از تکنولوژی های گنو/لینوکس  یعنی Grsecurity بود.
http://grsecurity.net/

Grsecurity is an extensive security enhancement to the Linux kernel that defends against a wide range of security threats through intelligent access control, memory corruption-based exploit prevention, and a host of other system hardening that generally require no configuration

Only grsecurity provides protection against zero-day and other advanced threats that buys administrators valuable time while vulnerability fixes make their way out to distributions and production testing

[VAHIDN]

با سلام
بهترین برنامه ها به ترتیب زیر هستند :
SELinux
GrSecurity
AppArmor
به ترتیب اولی خیلی خیلی سخت هست تنظیمش و ساخت NSA آمریکا ولی خیلی حرفه ای
AppArmor هم به آسانی تنظیم می شه ولی می شه دورش زد با تغییرات در هارد
GrSecurity چیزی مابین این دوتا هست و به نظرم بهترین انتخاب هست .
استفاده از SELinux و GrSecurity اگر که اطلاعات کافی از امنیت در لایه های زیرین سیستم عامل داشته باشید بهترین انتخاب هست.