No es difícil suponer que cuando tienes la escala de Google te encuentras con problemas que el resto no tenemos, o que sí tendremos, pero en unos años. Es algo que ya ha pasado con un buen número de tecnologías, desde MapReduce hasta Kubernetes y que, quién sabe, también pasará con el tema de este post. Esta vez nos centramos en el modelo de seguridad tradicional que conoce todo el mundo. Acceso limitado a la red perimetral a través de firewalls, redes DMZ, VPNs y similares son algo que todos hemos usado.

Una de las críticas, diría que con razón, que se hacen a este modelo es que una vez se accede a un nivel, todas las máquinas de esa capa quedan a la vista. De esta manera, es probable que un administrador de base de datos tenga acceso a servidores de almacenamiento o red, o a todas las máquinas de un mismo dominio de Windows. Algo a tener en cuenta dada la necesidad que parece que tenemos de pulsar sobre mensajes que nos mandan príncipes nigerianos.

Por supuesto, esta no deja de ser una simplificación. En la práctica se pueden securizar más estos niveles, se pueden usar tecnologías tipo IPSEC y similares, o se puede tener un control más específico de quién accede a dónde. Hoy en día, a menudo, aunque se conzca el problema de base, cuando la cantidad de gente que trabaja en estos entornos es limitada y controlada, puede parecer razonable asumir el riesgo en relación al coste de cualquier otra medida.

Claro, cuando la escala es lo suficientemente grande, el control se hace más complicado. Hay muchos servicios, de todo tipo; algunos se gestionan vía SSH, otros vía Web, o con APIs específicos. En cuanto a los administradores, además de los propios responsables de las plataformas, puede haber personal externo, estudiantes en prácticas, personal de atención al cliente, y tantos otros. Para terminar, el acceso también es más diverso. Lo que antes era un PC en una oficina, ahora puede ser un PC, o un portátil en casa, o una tablet desde la Wifi del tren.

Con estos antecedentes, y dados los ataques y problemas propios del entorno, Google comenzó un proyecto interno para cambiar su gestión de la seguridad. Evidentemente, los recursos y el nivel técnico de estas "grandes" les permiten llegar a desarrollos que para el resto son complicados de alcanzar, pero los conceptos más generales siempre pueden adaptarse y, llegado el momento, implementarse en entornos más pequeños.

En este post voy a hacer un resumen básico de lo que se busca con BeyondCorp, que es como ha llamado Google a su proyecto interno, pero también me gustaría ver qué software podríamos usar para hacer una implementación, aunque sea básica, de las ideas principales que se buscan. Si queréis dejar de leer ahora y pasar a documentación más completa, estos enlaces pueden serviros:

  • BeyondCorp: Web con información básica y enlaces a algunos artículos técnicos. Está desarrollada por ScaleFT, una de las empresas que han creado un producto en la línea de los documentos publicados por Google, y que están documentados en la propia web. Son fáciles de leer, os los recomiendo.
  • Google BeyondCorp: Web de referencia en Google Cloud.
  • Zero Trust Networks: Uno de los pocos libros que he visto sobre la materia. Son poco más de 200 páginas, y siempre podréis sacar conclusiones y ver qué os sirve y qué no.

¿Qué son las redes Zero Trust?

Una red Zero Trust es una red en la que no se confía. Por lo tanto, todos los dispositivos que están el ella se gestionan como si estuviesen directamente conectados a Internet (que no deja de ser una red de este tipo), independientemente de si dan servicio externo o interno. En definitiva, se trata de complementar todo aquello para lo que el modelo tradicional es efectivo, añadiendo medidas contra lo que los estándares actuales, la segmentación de red, DMZs y similares son más limitados:

  • Equipos comprometidos por Phising, Keyloggers, ...
  • Shells inversos en servidores con aplicaciones no actualizadas
  • Movimiento lateral entre equipos de un mismo segmento de red
  • Contraseñas vulnerables
  • Acceso a servidores internos desde servidores públicos vulnerables
  • ...

Las redes Zero Trust se fundamentan en lo siguiente:

  • Asumir que el tráfico dentro de un centro de datos o de una red corporativa es seguro es erróneo. La segmentación en zonas y la seguridad perimetral que se ha venido siguiendo estos años no impiden los movimientos laterales dentro de un mismo nivel en el momento en el que un servidor o dispositivo se vea comprometido.
  • Todas las redes deben considerarse hostiles.
  • Las amenazas pueden ser tanto internas como externas.
  • Que un dispositivo pertenezca a un segmento de red no es suficiente para garantizar la confianza.
  • Todos los dispositivos, usuarios y flujo de red deben estar autorizados y autenticados.
  • Las políticas de acceso deben ser dinámicas.

Elementos principales

Independientemente de cómo se implemente, una parte importante del trabajo va a ser la capa de control. Hablamos del entorno que va a identificar a usuarios y dispositivos, y que va a autorizar el acceso a los elementos de la red. Idealmente, se va a formar una entidad con el dispositivo desde el que se accede, el usuario que lo está intentando, y la aplicación. A partir de aquí, el sistema tomará una decisión basada en las variables que se consideren adecuadas, y que pueden ir en la línea de las siguientes:

  • ¿Se está accediendo desde un equipo inventariado?
  • ¿El equipo tiene todas las actualizaciones de seguridad instaladas?
  • ¿Desde dónde se está intentando acceder?
  • ¿A qué hora?
  • ¿Qué usuario está intentando acceder?
  • ¿A qué aplicación o servidor se quiere acceder?
  • ¿Qué método está usando para acceder? ¿Qué algoritmo de seguridad?

En realidad, esta lista se podría completar con todo tipo de información adicional. El objetivo es que este sistema de control use estos datos para tomar una decisión (permitir o no), y que abra el camino para que se pueda establecer la conexión, de forma dinámica, entre ese cliente (y solo ese cliente) y el destino (y solo ese destino).

¿Cómo autorizamos un intento de acceso?

Por lo general, al hablar de autenticación hablamos de algún tipo de cifrado. En definitiva, se trata de intentar garantizar que un dispositivo origen puede acceder a un recurso, y para esto, estándares tan desarrollados como los certificados basados en X.509 son una elección lógica. Es relativamente común que se usen CAs privadas para crear los certificados que se usan en una organización.

Como siempre, alrededor de este concepto se pueden desarrollar todo tipo de sistemas avanzados que controlan la validez de los certificados, el inventario, y todo lo que se os ocurra. Hay gente que crea certificados válidos por poco tiempo, otros usan ocsp, y también los hay que incluyen información que puede ser útil en la toma de decisiones en alguno de los atributos que define el protocolo.

¿Cómo autenticamos un intento de acceso?

Ojo, que autorizar y autenticar no son lo mismo. En su forma más simple, podemos estar hablando de un formulario web que se enganche a una base de datos de usuarios, sea del tipo que sea. Por lo tanto, un usuario se conectará desde un equipo autorizado, con las credenciales que tenga asignadas en ese momento.

Una vez más, a partir de esta idea básica se pueden hacer todo tipo de desarrollos y comprobaciones. Con los datos que tenemos ya es esta fase, podremos mostrar un listado de servidores a los que permitir la conexión, topes de tiempo para acceder, obtener datos de otros sistemas internos, como puede ser de monitorización, y tantos otros.

¿Cómo hacemos efectivo el acceso?

En estos últimos años la automatización ha sido una de las tecnologías que más han avanzado, y diría que es una de las claves que permiten implementar un sistema Zero Trust con facilidad. En su forma más sencilla, se puede usar ansible, chef, puppet, cfengine y similares para activar los permisos necesarios. Sistemas más avanzados permitirían, además, la configuración de accesos a nivel de red, vlanes o enrutamiento, en función de la infraestructura con la que se trabaje.

Implementación de ejemplo

Cuando se lee documentación de este tipo de tecnologías se tiende a concretar poco el software que podría usarse para implementarlas. Hagamos una prueba de concepto, aunque sin escribir código, y siempre limitándonos a lo más básico.

Uno de los ejes fundamentales sobre el que gira la tecnología Zero Trust es el cifrado. Para conseguirlo, nos interesaría tener una buena gestión de certificados. Hacer un inventario no es trivial, y mucho menos si queremos asociar de manera efectiva los portátiles (por ejemplo) en los que se instalan, con los usuarios a los que pertenecen. Si somos creativos, podemos hacer cosas muy sencillas pero que pueden ser interesantes, como por ejemplo definiendo atributos extra (los certificados X.509 permiten añadir cosas como teléfonos, estados, y muchos otros), o usando números de serie para los certificados. Imaginad, por ejemplo, que llevamos el control de un certificado que pertenece a un usuario (en base a los datos del Subject), y que incrementamos el número de serie cada vez que haya una actualización de seguridad. El usuario se instalará el nuevo certificado cuando actualice su equipo, y el sistema solo validará la sesión SSL si es así. Es algo simple, pero puede ser un buen punto de partida.

# openssl req -new -key client_new.key -out client_new.csr
-----
Country Name (2 letter code) [AU]:??
State or Province Name (full name) [Some-State]:????
Locality Name (eg, city) []:????
Organization Name (eg, company) [Internet Widgits Pty Ltd]:????
Organizational Unit Name (eg, section) []:????
Common Name (e.g. server FQDN or YOUR name) []:usuario
Email Address []:usuario@example.com
--- No es difícil incluir más atributos aquí

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

#root@ansible:~# openssl x509 -req -days 365 -in client_new.csr -CA ca.cert -CAkey ca.key -set_serial 1 -out client_new.crt

Enseguida veremos que los servidores web o los proxies modernos pueden leer estos valores.

Incluso en los casos en los que la aplicación que usemos no funcione con certificados, los navegadores, en su inmensa mayoría, sí los usan. Gracias a esto podríamos generar las reglas de acceso necesarias para un cliente desde el navegador, y permitir el acceso a esa otra aplicación con la confianza suficiente de que se origina desde un cliente válido. Las implementaciones más avanzadas usan proxies, por ejemplo de SSH, o tienen utilidades que cambian, en el caso de SSH, la configuración de los clientes y del servidor para que usen los nuevos certificados. El termino medio que planteo basa la autenticación y la autorización en un interfaz web muy compatible con los certificados, para que luego el cliente pueda conectarse al servidor de la forma más natural, que en el caso de SSH no dejan de ser las claves públicas y privadas de toda la vida. No es algo perfecto, ni mucho menos, pero es genérico y no obliga a reconfigurar los servidores constantemente.

Pasemos a lo que puede ser el interfaz web con la lógica necesaria para el sistema.

Queremos controlar el estado de los certificados en detalle, y para eso no hay nada como Nginx y su módulo para Lua Este no es un post sobre Nginx, así que solo daré algunas pistas sobre cómo se podría implementar todo esto sobre lo que estamos hablando con Nginx, pero hasta ahí.

Como sabéis los que conocéis Nginx, los certificados de servidor "de siempre" se leen con directivas como estas:

ssl_certificate /ruta/certificado_servicio;
ssl_certificate_key /ruta/clave_servicio;

Y se puede obligar al uso de un certificado cliente, instalado en el navegador, que se haya firmado con una CA

ssl_client_certificate      /ruta/certificado_ca;
ssl_verify_client           on;

Con esto ya sabremos que solo se accederá al sitio desde equipos en los que se haya instalado un certificado que hayamos firmado con nuestra CA. Lo que no hemos hecho es ampliar la lógica y usar el número de serie o el Subject del certificado. No hay problema, Nginx crea variables con todo lo que necesitamos, y que podemos usar en la fase de acceso de los distintos location. Si usamos el módulo Lua, no habrá ningún problema para acceder a los datos que nos manda el navegador, y para aplicar la lógica que queramos con ellos. Podemos leer datos de inventario desde una base de datos, desde redis, en un json desde un servidor independiente, .... Hay librerías para todos los gustos.

location ??? {
  access_by_lua_block {
    -- En la variable $ssl_client_s_dn tenemos un cadena de texto con el email, el CN, OU, O, L, ST, C y otros atributos menos habituales que hayamos configurado
    local dn = ngx.var.ssl_client_s_dn

    -- En la variable $ssl_client_serial tenemos el numero de serie del certificado del cliente.
    local serial = ngx.var.ssl_client_serial

    -- A partir de aqui, accedemos a donde sea que tengamos la gestion del inventario, y permitimos el acceso, o no
    -- ngx.exit(403)
    -- ngx.exit(ngx.OK)
  }
}

La autenticación es básicamente cosa de programación, del estilo de lo que hemos hecho siempre. Una ventana de acceso, login, password con credenciales del usuario, y todo lo demás. Esto se complementaría con el bloque de control de certificado que hemos descrito antes. Además, siempre se pueden incluir ventanas adicionales en las que un usuario autenticado vea los host a los que puede acceder, y quizá puedan definir una franja horaria en la que van a conectarse a ese host o grupo de hosts.

La idea es garantizar que el acceso se ha hecho desde un equipo autorizado, y que se ha hecho por un usuario autenticado. Al final de todo, podremos haber generado una sesión típica con el navegador cliente. Esta sesión puede servir si usamos este servidor como proxy para accesos web. Imaginad, por ejemplo, que queremos que los accesos a wp-login.php de un Wordpress solo puedan realizarse a través de este sistema. Solo necesitamos las reglas básicas para que Nginx haga de proxy a ese destino, controlando la validez de la sesión. La ventaja es que el Wordpress no necesita ningún tipo de modificación, ya que es el proxy de autenticación el encargado de controlar los accesos en este nivel.

Para mantener las cosas simples, imaginad que solo tenemos un número determinado de Wordpress que queremos controlar. De no ser así, esta parte también podría ser dinámica y programada sin mayor dificultad; en Nginx se puede usar Lua para elegir upstream.

upstream wordpress {
  ip_hash;
  server ip_wordpress;

Tendríamos una serie de location para gestionar el login, con sus métodos GET y POST, luego tendríamos las ventanas adicionales. Al final tendríamos otro location que haría el proxy_pass. Hay muchas formas de cifrar sesiones y cookies en Nginx. No trato de enseñarlas aquí o de hacer un bloque completo. Es solo una idea básica.

location = /wp-login.php {
  set $dominio 'example.com';

  access_by_lua_block {
    -- Que no se olvide la parte de autorizacion en base al certificado
    --
    -- Lo normal es que usasemos un POST para recibir el host al que redirigir, y que usasemos balancer_by_lua para elegir dinamicamente el upstream
    --
    if ngx.var.request_method == "GET" then
      return
    elseif ngx.var.request_method ~= "POST" then
      ngx.exit(403)
    end
    local ck = require "resty.cookie"
    local cookie, err = ck:new()
    if not cookie then
      ngx.exit(403)
    end

    -- Un usuarios validado con todo OK tendria una cookie AUTHSESSION (por ejemplo) cifrada que usariamos para verificar que el acceso esta permitido
    local authsession = cookie:get("AUTHSESSION")
    if not authsession then
      -- No permitimos si no hay cookie
      ngx.exit(403)
    end
    --
    -- Es un ejemplo basico de uso de cookies, pero hay otras alternativas
    -- Tenemos cookie AUTHSESSION, la descifrariamos y, si fuese ok, seguimos adelante
    -- Tambien hay muchas opciones para ver TTLs y confirmar que no ha expirado
    --
    -- Si llegase el host en un POST, podemos leerlo sin problemas
    ngx.req.read_body()
    local args, err = ngx.req.get_post_args()
    -- En args estan los parametros que han llegado en el POST
    -- Si todas las comprobaciones fuesen bien, hariamos el proxy_pass
    return
  }

  proxy_pass https://wordpress;
  proxy_set_header Host $dominio;
  proxy_set_header X-Real-IP $remote_addr;
}

location / {
  set $dominio 'example.com';

  proxy_pass https://wordpress;
  proxy_set_header Host $dominio;
  proxy_set_header X-Real-IP $remote_addr;
}

Falta mucho código, pero no quiero convertir esto en un post sobre Nginx/Lua. La idea que quiero transmitir es que podemos meter un proxy entre nuestro destino (nos centramos en HTTP en este caso) y el cliente. La única modificación que hay que hacer al Apache o lo que sea que gestione el Wordpress es limitar los accesos a wp-login.php, para que solo se pueda llegar desde el proxy de acceso. De esta manera, quien quiera administrarlo tendrá que pasar por todo el proceso de validación, pero sería transparente para el resto de usuarios.

Para las aplicaciones basadas en HTTP es fácil gestionar un proxy. Para el resto, este tipo de proxies pueden ser más complicados, aunque en este momento se está terminando el soporte Lua para el módulo stream que permitirá hacer proxies muy interesantes.

En cualquier caso, como he comentado al principio, es fácil complementar el control de accesos a, por ejemplo, SSH, usando la misma idea que hemos usado hasta ahora. Un usuario puede usar su navegador desde su portatil, y Nginx puede crear una petición a un servicio externo que sincronice la clave pública y cree una regla iptables que habilite el acceso. Otro proceso podría, vía cron por ejemplo, revocar ese acceso y esa regla llegado el momento.

Si optasemos por ansible sería muy sencillo hacer un pequeño servidor en flask o tornado que usasen el api python del propio ansible para lanzar las tareas que habilitan el acceso. En Nginx tendríamos un nuevo upstream, tipo:

upstream tornado {
  ip_hash;
  server 127.0.0.1:puerto;

y un location parecido al que hemos escrito para wp-login.php haría una llamada a ese tornado que lanzaría las tareas de ansible contra los módulos authorized_key e iptables. Con Nginx/Lua, crear una petición para un upstream es algo trivial. Aquí van unas pistas para los interesados:

location = /acceso_ssh.html {
  set $dominio 'example.com';

  access_by_lua_block {
    -- Que no se olvide la parte de autorizacion en base al certificado
    --
    -- En el POST recibiríamos el servidor destino, la IP origen, y
    -- cualquier otro dato necesario para ansible
    --
    -- Por supuesto, toda la parte de la sesion de navegador sigue
    -- siendo necesaria
    --
    -- Imaginemos que tenemos el host remoto en la variable hostremoto
    -- del formulario que nos llega en el POST
    -- El modulo Lua recibe la IP origen en la variable ngx.var.remote_addr
    -- Podriamos tener en inventario las claves publicas de los usuarios
    --
    ngx.req.read_body()
    if not args then
      ngx.exit(403)
    end
    local args, err = ngx.req.get_post_args()
    local iporigen = ngx.var.remote_addr
    local host_remoto = args["hostremoto"]
    local clave_ssh = args["clave_publica"]

    -- Simulemos que el servidor tornado recibe un json en el cuerpo, por cambiar

    local habilitar_acceso = {}
    habilitar_acceso["ip"] = iporigen
    habilitar_acceso["servidor"] = host_remoto
    habilitar_acceso["clave"] = clave_ssh

    ngx.req.set_body_data(cjson.encode(habilitar_acceso))

    res = ngx.location.capture("/habilitar_ssh", {method = ngx.HTTP_POST})

    -- Si tornado devuelve un codigo HTTP diferente a 200 es un error
    if res.status ~= 200 then
      ngx.exit(403)
    end

    return
  }

  # Si todo ha ido bien el acceso se habra creado (via tornado) y podremos mostrar un html
  # o lo que sea con un mensaje de OK. Podria ser un html estatico o generado
  # via content_by_lua
}

location = /habilitar_ssh {
  # A este location llega el POST con el cuerpo creado a partir
  # de la tabla habilitar_acceso, formateado como json

  internal;
  # Imaginemos que tenemos este endpoint en tornado donde se llama a ansible
  # Tendria que implementar POST, y leer y parsear el json
  # Devolveria un codigo HTTP 200 si todo hubiese ido bien
  proxy_pass http://tornado/habilitar_ssh;
}

Conclusiones

La verdad es que he dudado de si interesaba escribir código en este post. Evidentemente, no estamos hablando de un proyecto de fin de semana, así que, lo que he escrito, en realidad, no sirve para nada. Sin embargo, tampoco siempre se lee documentación con detalles concretos, así que esto podría dar alguna idea a alguien.

En cualquier caso, viniendo en cierta medida de Google (en realidad los conceptos no son nuevos, en absoluto), no sería raro que las palabras "Zero Trust" se vayan escuchando cada vez más, y que se hagan más desarrollos.

En definitiva, aunque la parte del código sea poco útil, espero que las ideas que hay detrás de todo esto hayan quedado claras. Se lo preguntaré a las tres personas que van a leer el post.


Monitorización orientada a host con OSSEC III

dom, 16 nov 2008 by Foron

En este último post de la serie vamos a ver, como siempre muy por encima, la funcionalidad "active response" que ofrece ossec. En definitiva, se trata de ser capaces de ejecutar un script cuando se activa un evento. Esto normalmente se usa para añadir reglas en firewalls, para añadir reglas tcp wrapper o para bloquear usuarios, pero en el fondo se puede hacer cualquier cosa que se pueda escribir en un programa. Por ejemplo, si una de las máquinas monitorizadas es un servidor de correo se podría añadir una IP que generase una alerta a una lista de acceso, o a una base de datos RBL. O también se podrían añadir reglas de modsecurity en un servidor web.

Para el ejemplo de este post, digamos que como administradores ya estamos usando psad para crear reglas en nuestro firewall. Digamos, además, que sólo queremos que sea psad el responsable de las reglas dinámicas en el cortafuegos.

Infraestructura ossec

Rootkits, accesos no permitidos, .... No parece necesario justificar la necesidad de tener el firewall monitorizado, ¿Verdad?

Nuestro objetivo es crear reglas para psad desde ossec. Primero definimos el comando en ossec.conf para poder usarlo más adelante en la configuración de la respuesta activa.

  <command>
    <name>psad</name>
    <executable>psad.sh</executable>
    <expect>user,srcip</expect>
  </command>

El script "psad.sh" (que guardaremos en $ossec_instalacion/active-response/bin con permisos de ejecución) tiene el siguiente contenido:

  #!/bin/bash
  # Anyade una regla de psad usando la IP origen. Tambien pasamos el usuario, pero no lo vamos a usar.
  # Entrada: user, srcip
  # Salida: Nada. Ejecuta una regla psad
  ACCION=$1
  USUARIO=$2
  IP=$3

  psad -fw-block-ip $IP

Ahora sólo queda configurar la respuesta activa en ossec.conf.

  <active-response>
    <disabled>no</disabled>
    <command>psad</command>
    <location>defined-agent</location>
    <agent_id>001</agent_id>
    <level>10</level>
    <rules_group>authentication_failures</rules_group>
  </active-response>

Estamos diciendo que vamos a ejecutar en el agente 001 (el firewall) el comando psad cuando ocurra un evento de nivel 10 y del grupo authentication_failures (por ejemplo la regla 5720).

Veamos si funciona bien intentando loguearnos varias veces desde una máquina (después de haber recargado la configuración de ossec). Este es el resultado

  Nov  9 00:50:03 firewall psad: added iptables auto-block against 192.168.10.133 for 3600 seconds

  Chain PSAD_BLOCK (1 references)
  target     prot opt source               destination
  DROP       all  --  192.168.10.133       0.0.0.0/0

Como siempre, y para aquellos que quieran profundizar más, recomiendo el libro http://www.elsevierdirect.com/product.jsp?isbn=9781597492409.

read more

Monitorización orientada a host con OSSEC II

jue, 13 nov 2008 by Foron

En mi primer post sobre ossec he mostrado los pasos para hacer una instalación básica y completamente estándar de ossec. En este post vamos a ver lo que hay por debajo del software.

Ossec usa tres componentes: un detector de rootkits, una herramienta para revisar la integridad del sistema, y el analizador de logs. Todas ellas se configuran en el fichero ossec.conf.

Este fichero de configuración tiene una estructura muy clara, en formato xml, en el que se definen varios bloques.

En este post sólo voy a dar algunas ideas básicas sobre el formato con el que se definen las reglas que describen los eventos detectables en los logs.

Tanto el chequeo de integridad como el detector de rootkits se configuran de una forma muy similar, así que lo dejaré para que quien quiera se pelee con ello.

En ossec.conf se definen los logs que se quieren monitorizar dentro de secciones "localfile". Un ejemplo:

  <localfile>
    <log_format>syslog</log_format>
    <location>/var/log/auth.log</location>
  </localfile>

En este caso se dice que queremos vigilar auth.log, del tipo syslog. Existen varios formatos definidos, como apache o snort-full, por citar dos ejemplos. Syslog se usa en los casos en los que se loguea un único evento por linea. Sort-full, por poner otro ejemplo, está adaptado al tipo de log que deja snort cuando usa el formato de salida full.

Una vez definidos los formatos, empezamos a hablar de reglas. El primer paso es que ossec detecte qué tipo de entrada de log es. Para esto se usan los decoders (decoder.xml) Veamos un ejemplo.

  <decoder name="sshd">
  <program_name>^sshd</program_name>
  </decoder>

Este decoder "se activa" cuando la entrada de log es generada por el programa sshd (sshd[5493] en el siguiente ejemplo):

  Feb  3 19:22:33 server sshd[5493]: Accepted publickey for prueba from 192.168.10.2 port 50560 ssh2

Pero, a pesar de la importancia de esta sencilla regla (después veremos por qué), necesitamos extender el decoder para que sea útil.

  <decoder name="ssh-failed">
  <parent>sshd</parent>
  <prematch>^Failed \S+ </prematch>
    <regex offset="after_prematch">^for (\S+) from (\S+) port \d+ \w+$</regex>
    <order>user, srcip</order>
  </decoder>

Gracias a la primera y simple regla "sshd" nos aseguramos que ossec sólo va a analizar la entrada de log contra esta segunda regla, mucho más compleja, si dicho log está relacionado con ssh. Esto es una gran mejora en el rendimiento del sistema.

Sin entrar en explicaciones detalladas, esta regla se cumple con este tipo de log:

  Jul 26 22:06:10 server sshd[3727]: Failed password for prueba from 192.168.10.2 port 50519 ssh2

Y además crea dos "variables"; una con el usuario que ha intentado conectarse y otra con la IP origen.

Teniendo estos datos ya podemos empezar con las reglas "de verdad". Veamos algo del fichero sshd_rules.xml

  <rule id="5700" level="0" noalert="1">
    <decoded_as>sshd</decoded_as>
    <description>SSHD messages grouped.</description>
  </rule>

  <rule id="5716" level="5">
    <if_sid>5700</if_sid>
    <match>^Failed|^error: PAM: Authentication</match>
    <description>SSHD authentication failed.</description>
    <group>authentication_failed,</group>
  </rule>

De manera similar a los decoders, se define una primera regla básica para ssh, que ayudará a ossec en no tener que analizar reglas de apache (por ejmplo) en logs de ssh.

La segunda regla (5716) generará una alerta de nivel 5 cuando haya un intento de login erroneo. Pero también se pueden crear reglas compuestas que activarán alertas de mayor nivel si hay x intentos fallidos desde una misma IP

  <rule id="5720" level="10" frequency="6">
    <if_matched_sid>5716</if_matched_sid>
    <same_source_ip />
    <description>Multiple SSHD authentication failures.</description>
    <group>authentication_failures,</group>
  </rule>

Gracias al formato xml es muy sencillo añadir nuevas reglas. También se pueden enviar correos con las alertas a cuentas de correo diferentes en base, por ejemplo, al agente que ha generado la alerta o al nivel de la misma.

En el tercer y último post de la serie vamos a integrar ossec con psad.

read more

Inspección de tráfico con tcpdump y tcpflow

sáb, 08 nov 2008 by Foron

Antes de seguir con el segundo post sobre ossec, voy a dar un par de pistas sobre cómo ver el tráfico que pasa por una sesión tcp. Esto sí que es todo un mundo, así que me limito, como casi siempre, a dar cuatro detalles para que quien quiera se haga una idea de lo que se puede hacer y siga investigando.

Por supuesto, el que se pueda "espiar" lo que se está trasmitiendo no significa que debamos (ni podamos) hacerlo, al menos si no queremos tener problemas legales.

Vamos a empezar por lo básico. Necesitamos capturar tráfico para poderlo analizar después con cierta tranquilidad. Para esto usamos el conocido tcpdump, aunque podemos usar otros, como por ejemplo, snort.

  tcpdump -n -i eth1 -s 1515 -U -w /tmp/captura.pcap '(tcp port 20) or (tcp port 21) or (tcp port 25)'
  tcpdump: listening on eth1, link-type EN10MB (Ethernet), capture size 1515 bytes

Para saber lo que hacen los parámetros nada mejor que el manual :-)

Dejamos esta terminal abierta y con el comando en ejecución. Vamos a ir analizando lo que se vuelca en captura.pcap en otra terminal.

Primera prueba.

Desde otra máquina vamos a hacer un telnet al puerto 25 y a mandar un correo.

  telnet 192.168.10.1 25
  Trying 192.168.10.1...
  Connected to 192.168.10.1.
  Escape character is '^]'.
  220 smtp.example.com ESMTP Postfix
  helo prueba.example.com
  250 smtp.example.com
  rset
  250 2.0.0 Ok
  helo prueba.example.com
  250 smtp.example.com
  mail from: prueba@example.com
  250 2.1.0 Ok
  rcpt to: prueba1@example.com
  250 2.1.5 Ok
  data
  354 End data with .
  Subject: Titulo del correo
  Este texto se ve en la captura
  .
  250 2.0.0 Ok: queued as 1F7426C420
  quit
  221 2.0.0 Bye
  Connection closed by foreign host.

Nuestro volcado tiene datos.... vamos a ver que tiene usando tcpflow.

  # tcpflow -r captura.pcap -c port 25
  192.168.010.001.00025-192.168.010.002.41403: 220 smtp.example.com ESMTP Postfix
  192.168.010.002.41403-192.168.010.001.00025: helo prueba.example.com
  192.168.010.001.00025-192.168.010.002.41403: 250 smtp.example.com
  192.168.010.002.41403-192.168.010.001.00025: rset
  192.168.010.001.00025-192.168.010.002.41403: 250 2.0.0 Ok
  192.168.010.002.41403-192.168.010.001.00025: helo prueba.example.com
  192.168.010.001.00025-192.168.010.002.41403: 250 smtp.example.com
  192.168.010.002.41403-192.168.010.001.00025: mail from: prueba@example.com
  192.168.010.001.00025-192.168.010.002.41403: 250 2.1.0 Ok
  192.168.010.002.41403-192.168.010.001.00025: rcpt to: prueba1@example.com
  192.168.010.001.00025-192.168.010.002.41403: 250 2.1.5 Ok
  192.168.010.002.41403-192.168.010.001.00025: data
  192.168.010.001.00025-192.168.010.002.41403: 354 End data with .
  192.168.010.002.41403-192.168.010.001.00025: Subject: Titulo del correo
  192.168.010.002.41403-192.168.010.001.00025: Este texto se ve en la captura
  192.168.010.002.41403-192.168.010.001.00025: .
  192.168.010.001.00025-192.168.010.002.41403: 250 2.0.0 Ok: queued as 1F7426C420
  192.168.010.002.41403-192.168.010.001.00025: quit
  192.168.010.001.00025-192.168.010.002.41403: 221 2.0.0 Bye

Sorpresa, tcpflow ha generado, en esta caso por salida estándar (-c), todo lo que ha sido capturado en el puerto 25.

Segunda prueba.

Bien, vamos con algo un poco diferente, pero igual de fácil (recordad que esto no son más que ideas)

Ahora vamos a suponer que he programado un rootkit que se llama exploit, y que lo voy a subir por ftp a la máquina que estamos monitorizando.

  ftp 192.168.10.1
  Connected to 192.168.10.1.
  220 Este es un servidor privado. Por favor cierre la sesion inmediatamente.
  Name (192.168.10.1:prueba):
  331 Please specify the password.
  Password:
  230 Login successful.
  Remote system type is UNIX.
  Using binary mode to transfer files.
  ftp> put exploit
  local: exploit remote: exploit
  200 PORT command successful. Consider using PASV.
  150 Ok to send data.
  226 File receive OK.
  101992 bytes sent in 0.00 secs (29433.1 kB/s)
  ftp> quit
  221 Goodbye.

Muy bien, ahora veamos lo que tenemos, empezando por el puerto 21, y después por el 20.

  # tcpflow -r captura.pcap -c port 21
  192.168.010.001.00021-192.168.010.002.50427: 220 Este es un servidor privado. Por favor cierre la sesion inmediatamente.
  192.168.010.002.50427-192.168.010.001.00021: USER prueba
  192.168.010.001.00021-192.168.010.002.50427: 331 Please specify the password.
  192.168.010.002.50427-192.168.010.001.00021: PASS secreto
  192.168.010.001.00021-192.168.010.002.50427: 230 Login successful.
  192.168.010.002.50427-192.168.010.001.00021: SYST
  192.168.010.001.00021-192.168.010.002.50427: 215 UNIX Type: L8
  192.168.010.002.50427-192.168.010.001.00021: TYPE I
  192.168.010.001.00021-192.168.010.002.50427: 200 Switching to Binary mode.
  192.168.010.002.50427-192.168.010.001.00021: PORT 192,168,10,2,205,32
  192.168.010.001.00021-192.168.010.002.50427: 200 PORT command successful. Consider using PASV.
  192.168.010.002.50427-192.168.010.001.00021: STOR exploit
  192.168.010.001.00021-192.168.010.002.50427: 150 Ok to send data.
  192.168.010.001.00021-192.168.010.002.50427: 226 File receive OK.
  192.168.010.002.50427-192.168.010.001.00021: QUIT
  192.168.010.001.00021-192.168.010.002.50427: 221 Goodbye.

Vamos a hacer ahora que tcpflow genere un fichero con el tráfico del puerto 20. Para esto quitamos el parámetro -c.

  # tcpflow -r captura.pcap  port 20
  # file 192.168.010.002.52512-192.168.010.001.00020
  192.168.010.002.52512-192.168.010.001.00020: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.8, stripped

Sorpresa, tenemos un fichero binario ..... con el exploit. Bueno, en realidad en una copia de /bin/ls, pero vale para el ejemplo

  # strings 192.168.010.002.52512-192.168.010.001.00020
  .......
  Usage: %s [OPTION]... [FILE]...
  List information about the FILEs (the current directory by default).
  Sort entries alphabetically if none of -cftuvSUX nor --sort.
  Mandatory arguments to long options are mandatory for short options too.
    -a, --all                  do not ignore entries starting with .
    -A, --almost-all           do not list implied . and ..
        --author               with -l, print the author of each file
    -b, --escape               print octal escapes for nongraphic characters
        --block-size=SIZE      use SIZE-byte blocks
  .......

¿Qué pasa en la realidad, cuando tenemos cientos o miles de sesiones de correo o ftp y queremos ver una concreta? Por un lado debemos guardar el tráfico que queremos investigar, claro, pero luego debemos saber qué sesiones se han establecido, a qué hora, cuánto tráfico ha pasado por ellas, entre que puertos, .... Para esto hay mucho software, pero un buen ejemplo es argus. A partir de aquí, podemos generar expresiones más elaboradas para usar en tcpflow (algo más que "port 20")

read more

Monitorización orientada a host con OSSEC I

sáb, 01 nov 2008 by Foron

En el mundo del software libre hay multitud de proyectos que, debido a su calidad, han terminado siendo comprados por empresas para ser usados como parte de sus soluciones comerciales. Dos ejemplos son sguil y ossec.

En la próxima serie de dos posts voy a comentar muy por encima lo principal de ossec.

Ossec es un proyecto relacionado con la seguridad informática, y particularmente con lo que se suele llamar HIDS. Dicho de otra forma, y simplificando mucho, se trata de una aplicación que monitoriza una máquina, y que detecta las anomalías que puedan producirse en el sistema. Para hacer esto usa sobre todo una herramienta para la detección de rootkits, otra para revisar la integridad de ficheros y ejecutables del sistema, y por último un potente sistema para analizar logs.

En cuanto a la arquitectura del sistema, usa básicamente un modelo de servidor/agentes, con lo que tendremos una máquina (servidor) encargada de recibir y actuar en base a la información que reciba de los agentes que, en definitiva, son las máquinas que están siendo monitorizadas. La forma de actuar del servidor es, por una parte, enviando noficaciones, y por otro lado, si así se configura, generando reglas firewall que se ejecutarán en los propios agentes.

Este primer post sólo va a describir la instalación de ossec. Dejamos para posts posteriores la configuración.

La instalación de ossec es muy sencilla. Es suficiente con ejecutar el típico install.sh del fichero de instalación que se puede descargar desde la web.

  sh install.sh

Una vez seleccionamos el idioma de instalación empieza el tema.

  1- What kind of installation do you want (server, agent, local or help)? server
    - Server installation chosen.
  2- Setting up the installation environment.
    - Choose where to install the OSSEC HIDS [/var/ossec]:  /usr/local/ossec-1.6
       - Installation will be made at  /usr/local/ossec-1.6 .
  3- Configuring the OSSEC HIDS.
    3.1- Do you want e-mail notification? (y/n) [y]:
     - What's your e-mail address? zzz@yyyyyyy.net
     - We found your SMTP server as: mail.yyyyyyy.net.
     - Do you want to use it? (y/n) [y]:
     --- Using SMTP server:  mail.yyyyyyy.net.
    3.2- Do you want to run the integrity check daemon? (y/n) [y]:
     - Running syscheck (integrity check daemon).
    3.3- Do you want to run the rootkit detection engine? (y/n) [y]:
     - Running rootcheck (rootkit detection).
    3.4- Active response allows you to execute a specific
         command based on the events received. For example,
         you can block an IP address or disable access for
         a specific user.
         More information at:
         http://www.ossec.net/en/manual.html#active-response
     - Do you want to enable active response? (y/n) [y]: n
       - Active response disabled.
    3.5- Do you want to enable remote syslog (port 514 udp)? (y/n) [y]:
     - Remote syslog enabled.
    3.6- Setting the configuration to analyze the following logs:
      -- /var/log/messages
      -- /var/log/auth.log
      -- /var/log/syslog
      -- /var/log/vsftpd.log
      -- /var/log/mail.info
      -- /var/log/dpkg.log
      -- /var/log/snort/alert (snort-full file)
      -- /var/log/apache2/error.log (apache log)
      -- /var/log/apache2/access.log (apache log)

     - If you want to monitor any other file, just change
       the ossec.conf and add a new localfile entry.
       Any questions about the configuration can be answered
       by visiting us online at http://www.ossec.net .

     --- Press ENTER to continue ---

A partir de aquí empieza a compilar los distintos componenetes. He elegido una instalación para el servidor que recibirá los eventos, y he activado tanto la detección de rootkits como la revisión de integridad, pero he dejado sin activar la respuesta activa, que básicamente se trata de añadir entradas a hosts.deny y reglas de firewall.

El syslog remoto lo vamos a usar para recibir mensajes desde los agentes.

Por cierto, mientras escribía estas líneas el sistema se ha terminado de compilar:

  - System is Debian (Ubuntu or derivative).
  - Init script modified to start OSSEC HIDS during boot.
  - Configuration finished properly.
  - To start OSSEC HIDS:
                 /usr/local/ossec-1.6/bin/ossec-control start
  - To stop OSSEC HIDS:
                 /usr/local/ossec-1.6/bin/ossec-control stop
  - The configuration can be viewed or modified at /usr/local/ossec-1.6/etc/ossec.conf
      Thanks for using the OSSEC HIDS.
      If you have any question, suggestion or if you find any bug,
      contact us at contact@ossec.net or using our public maillist at
      ossec-list@ossec.net
      ( http://www.ossec.net/main/support/ ).
      More information can be found at http://www.ossec.net
  ---  Press ENTER to finish (maybe more information below). ---

A partir de aquí, por un lado tendremos que configurar ossec (ossec.conf), y después tendremos que ir añadiendo los agentes con la utilidad /usr/local/ossec-1.6/bin/manage_agents.

Vamos a arrancar el servidor y a añadir un par de agentes, uno en linux y otro en windows. Bueno, el agente windows no lo voy a documentar aquí. Tiene un instalador gráfico que se descarga desde la web, y los pasos son muy similares.

  /usr/local/ossec-1.6/bin/ossec-control start
  Starting OSSEC HIDS v1.6 (by Third Brigade, Inc.)...
  Started ossec-maild...
  Started ossec-execd...
  Started ossec-analysisd...
  Started ossec-logcollector...
  Started ossec-remoted...
  Started ossec-syscheckd...
  Started ossec-monitord...
  Completed.

  # ps aux | grep osse
  ossecm    5579  0.0  0.0   2076   528 ?        S    17:45   0:00 /usr/local/ossec-1.6/bin/ossec-maild
  ossec     5587  0.0  0.1   2664  1312 ?        S    17:45   0:00 /usr/local/ossec-1.6/bin/ossec-analysisd
  root      5591  0.0  0.0   1796   468 ?        S    17:45   0:00 /usr/local/ossec-1.6/bin/ossec-logcollector
  root      5603  2.5  0.0   1944   512 ?        D    17:45   0:04 /usr/local/ossec-1.6/bin/ossec-syscheckd
  ossec     5607  0.0  0.0   1980   480 ?        S    17:45   0:00 /usr/local/ossec-1.6/bin/ossec-monitord
  ossecm    5610  0.0  0.0   2076   300 ?        S    17:45   0:00 /usr/local/ossec-1.6/bin/ossec-maild

  # ./manage_agents
  ***********************************************
  * OSSEC HIDS v1.6 Agent manager.  *
  * The following options are available:  *
  ***********************************************
     (A)dd an agent (A).
     (E)xtract key for an agent (E).
     (L)ist already added agents (L).
     (R)emove an agent (R).
     (Q)uit.
  Choose your action: A,E,L,R or Q: A

  - Adding a new agent (use '\q' to return to the main menu).
    Please provide the following:
      * A name for the new agent: agente1
      * The IP Address of the new agent: 172.17.0.131
      * An ID for the new agent[001]:
  Agent information:
      ID:001
      Name:agente1
      IP Address:172.17.0.131
  Confirm adding it?(y/n): y
  Agent added.

  # ./manage_agents

  ***********************************************
  * OSSEC HIDS v1.6 Agent manager.  *
  * The following options are available:  *
  ***********************************************
     (A)dd an agent (A).
     (E)xtract key for an agent (E).
     (L)ist already added agents (L).
     (R)emove an agent (R).
     (Q)uit.
  Choose your action: A,E,L,R or Q: E

  Available agents:
     ID: 001, Name: agente1, IP: 172.17.0.131
  Provide the ID of the agent to extract the key (or '\q' to quit): 001
  Agent key information for '001' is:
  XDAxIGZuMTMxIDE5Mi4xNjguMTXuMTMxIDZzY2IzZjg1Y2JmYjVmOaBhMWM0MWRkMTNjMWQ4OWY4MZMyMjkyYTRiOTk5YjJlZ4U5MjRm5zU0ZGE1N2I3NTk=

  ** Press ENTER to return to the main menu.

Y ya está. Ahora sólo queda instalar el agente en el servidor a monitorizar. La clave se usa para la comunicación agente/servidor.

  # ./install.sh
  ...
  1- What kind of installation do you want (server, agent, local or help)? agent
    - Agent(client) installation chosen.
  2- Setting up the installation environment.
    - Choose where to install the OSSEC HIDS [/var/ossec]: /usr/local/ossec-1.6
      - Installation will be made at  /usr/local/ossec-1.6 .
  3- Configuring the OSSEC HIDS.
    3.1- What's the IP Address of the OSSEC HIDS server?: 172.17.0.1
      - Adding Server IP 172.17.0.1
    3.2- Do you want to run the integrity check daemon? (y/n) [y]:
      - Running syscheck (integrity check daemon).
    3.3- Do you want to run the rootkit detection engine? (y/n) [y]:
      - Running rootcheck (rootkit detection).
    3.4 - Do you want to enable active response? (y/n) [y]: n
      - Active response disabled.
    3.5- Setting the configuration to analyze the following logs:
      -- /var/log/messages
      -- /var/log/auth.log
      -- /var/log/syslog
      -- /var/log/mail.info
      -- /var/log/dpkg.log
    - If you want to monitor any other file, just change
      the ossec.conf and add a new localfile entry.
      Any questions about the configuration can be answered
      by visiting us online at http://www.ossec.net .
  --- Press ENTER to continue ---

Y ahora copiamos la clave pública que antes hemos sacado del servidor:

  ./bin/manage_agents

  ***********************************************
  * OSSEC HIDS v1.6 Agent manager.  *
  * The following options are available:  *
  ***********************************************
     (I)mport key from the server (I).
     (Q)uit.
  Choose your action: I or Q: I
  * Provide the Key generated by the server.
  * The best approach is to cut and paste it.
  *** OBS: Do not include spaces or new lines.
  Paste it here (or '\q' to quit): XDAxIGZuMTMxIDE5Mi4xNjguMTXuMTMxIDZzY2IzZjg1Y2JmYjVmOaBhMWM0MWRkMTNjMWQ4OWY4MZMyMjkyYTRiOTk5YjJlZ4U5MjRm5zU0ZGE1N2I3NTk=
  Agent information:
     ID:001
     Name:agente1
     IP Address:172.17.0.131
  Confirm adding it?(y/n): y
  Added.
  ** Press ENTER to return to the main menu.

Arrancamos el agente... y ya está.

  /usr/local/ossec-1.6/bin/ossec-control start

Y no hay nada más que hacer para tener lo básico de ossec. Por supuesto, todo es muy configurable, y ampliable en base a lo que cada uno necesite.

Desde otra máquina, me intento conectar digamos que 10 veces usando ssh con usuarios invalidos..... sorpresa, recibo este correo.

  OSSEC HIDS Notification.
  2008 Sep 21 22:30:40

  Received From: (agente1) 172.17.0.131->/var/log/auth.log
  Rule: 5712 fired (level 10) -> "SSHD brute force trying to get access to the system."
  Portion of the log(s):

  Sep 21 19:06:32 fn131 sshd[5990]: Invalid user aaaaab from 172.17.0.2
  Sep 21 19:06:26 fn131 sshd[5986]: Failed password for invalid user aaaaa from 172.17.0.2 port 39010 ssh2
  Sep 21 19:06:23 fn131 sshd[5986]: Failed password for invalid user aaaaa from 172.17.0.2 port 39010 ssh2
  Sep 21 19:06:21 fn131 sshd[5986]: Failed none for invalid user aaaaa from 172.17.0.2 port 39010 ssh2
  Sep 21 19:06:21 fn131 sshd[5986]: Invalid user aaaaa from 172.17.0.2
  Sep 21 19:06:09 fn131 sshd[5984]: Failed password for invalid user aaaah from 172.17.0.2 port 39009 ssh2
  Sep 21 19:06:06 fn131 sshd[5984]: Failed none for invalid user aaaah from 172.17.0.2 port 39009 ssh2

Algunos ejemplos con distintos tipos de eventos:

  OSSEC HIDS Notification.
  2008 Oct 09 21:29:03

  Received From: servidor->syscheck
  Rule: 550 fired (level 7) -> "Integrity checksum changed."
  Portion of the log(s):

  Integrity checksum changed for: '/etc/dovecot/dovecot.conf'
  Size changed from '45438' to '45460'
  Old md5sum was: 'bd5c81584dad9725045ec0e52eb0c15c'
  New md5sum is : '439061951cdeb975c21d37b4cc5f8649'
  Old sha1sum was: '8d7ade9a74b9e8ff4d6758c14bdb070ccb15b198'
  New sha1sum is : '8e7d34ba6328a1e5d38645972b369e700f7d05b2'
   --END OF NOTIFICATION

  OSSEC HIDS Notification.
  2008 Oct 07 18:29:00

  Received From: servidor->/var/log/dpkg.log
  Rule: 2902 fired (level 7) -> "New dpkg (Debian Package) installed."
  Portion of the log(s):

  2008-10-07 18:29:00 status installed unzip 5.52-12
   --END OF NOTIFICATION

  OSSEC HIDS Notification.
  2008 Oct 05 17:42:23

  Received From: agente1->/var/log/messages
  Rule: 5104 fired (level 8 ) -> "Interface entered in promiscuous(sniffing) mode."
  Portion of the log(s):

  Oct  5 17:42:21 nurn kernel: device lo entered promiscuous mode
   --END OF NOTIFICATION

En el próximo post veremos un poco sobre la configuración de todas estas reglas.

read more