VMware के साथ प्रयोग

इस पोस्ट में, मैं न्यायपालिका समुदाय के लिए VMware vSphere 4.1 के साथ मेरे अयोग्य और अनैच्छिक प्रयोगों के परिणाम प्रस्तुत करता हूं

काम के बारे में

मैंने अपनी स्नातक परियोजना के एक विशेष खंड के हिस्से के रूप में यह अध्ययन किया।
अनुसंधान भाग NIST SP 800-125 मानक ( पोस्ट देखें) के अनुवाद पर आधारित है।
एक विशेष खंड को सबसे अधिक संभावित खतरों का अध्ययन करने का काम दिया गया था, इसलिए एक आंतरिक घुसपैठिए का मॉडल चुना गया था।

स्टैंड के बारे में

स्टैंड 3 ESX 4.1 सर्वरों का एक समूह है जो 4 VMs (दो Ubuntu 12.10 के लिए दो, WinServer 2008 R2 के लिए दो) चलाता है, प्रत्येक दो vNIC के साथ: एक साझा प्रयोगशाला VLAN स्थानीय खंड और एक अलग VLAN में रूट की गई है।
उपयोग किए गए एप्लिकेशन सॉफ़्टवेयर से:

• विंडसरक 1.8.7 विंडोज के लिए
• Tcpdump और dsniff पैकेज

प्रयोगों

सूँघने
पहली चीज जो मैंने तलाशनी शुरू की, वह थी वर्चुअल वर्चुअल मोड। पहले से ही इस प्रक्रिया में, मैं VMware समुदाय पर एक अच्छा व्यापक लेख भर आया। क्योंकि मूल हमेशा रिटेलिंग से बेहतर है, मैं सीधे लिंक का उपयोग करने की सलाह देता हूं।

मैक स्पूफिंग
पर्याप्त शारीरिक "स्मार्ट" स्विच में ऐसे तंत्र होते हैं जो मैक एड्रेस स्पूफिंग जैसे हमलों को रोकते हैं। ये हैं, उदाहरण के लिए, सिस्को सिस्टम्स स्विच में पोर्ट सिक्योरिटी सेटिंग्स, जिनकी मदद से आप प्रत्येक डिवाइस पोर्ट के लिए अनुमत पतों को हार्ड-कोड कर सकते हैं।
आभासी वातावरण की अपनी विशिष्टता है। मैक पते सहित सभी वीएम सेटिंग्स को वीएम फाइलों में संग्रहीत किया जाता है, जो केवल वर्चुअलाइज्ड इन्फ्रास्ट्रक्चर के व्यवस्थापक को बदलने के लिए अधिकृत है। यह वीएम बनाने और उन्हें आभासी बंदरगाहों के समूहों के साथ-साथ वीएलएएन से जोड़ने में भी सक्षम है। इसके अलावा, एक सेटिंग मैक एड्रेस चेंजेस है - एक्सेप्ट / रिजेक्ट, जो वीएम फाइल में दर्ज किए गए एड्रेस से अलग एड्रेस वाले नेटवर्क को एक्सेस करने की अनुमति देता है या अतिथि ओएस को प्रतिबंधित करता है (जो, हालांकि, डिफ़ॉल्ट रूप से प्रतिस्थापन की अनुमति देता है)।
यह पता बदलने पर रोक लगाने के लिए तर्कसंगत होगा, हालांकि, ऐसी स्थिति की कल्पना करना मुश्किल नहीं है, जहां IaaS (सेवा के रूप में इन्फ्रास्ट्रक्चर) सेवा के ग्राहक को इस अवसर की आवश्यकता है (उदाहरण के लिए, इसके सॉफ्टवेयर का परीक्षण करने के लिए)।
एक विकल्प: पिछले खतरे के साथ ही ऐसा करने के लिए - विभिन्न सेटिंग्स के साथ वीएलएएन को भागों में विभाजित करें।
दूसरे विकल्प पर विचार करें, जब वीवीआई के व्यवस्थापक, अक्षमता के कारण या वीएमवेयर डेवलपर्स की भविष्यवाणी की उम्मीद में, डिफ़ॉल्ट सेटिंग्स को छोड़ देता है (बंदरगाहों के एक समूह के लिए प्रमुख मोड सक्षम नहीं है)।

आइए एक बाहरी होस्ट (स्थानीय नेटवर्क से) के साथ विंडोज वीएम में से एक के बीच आईसीएमपी एक्सचेंज लक्ष्य सूचना प्रवाह हो।
एक हमलावर के पास यह सब होना चाहिए: पीड़ित का मैक पता और उसके वीएम में अतिथि ओएस के स्थानीय प्रशासक के अधिकार।
हमला:
सूदो सु -
ifconfig eth0 नीचे
ifconfig eth0 hw ईथर न्यू_एमएसी
ifconfig eth0 ऊपर
tcpdump –n src होस्ट 10.106.30.104

परिणाम: हमलावर पूरे विनिमय को स्वीकार करता है। इसके अलावा, हमले का पता लगाना बहुत मुश्किल है। हमलावर VM पर पहुंचने वाले अनुरोधों की आवृत्ति परिवर्तित नहीं हुई है और हमलावर पर इंटरसेप्ट किए गए संदेशों की आवृत्ति के बराबर है, जिसका अर्थ है कि वर्चुअल स्विच केवल पैकेट को डुप्लिकेट करता है। मशीनों के अंत: क्रिया का भी उल्लंघन नहीं किया जाता है। इन वीएम के बीच सीधा आदान-प्रदान असंभव हो जाता है।

मैक बाढ़
सबसे "अशुद्ध" प्रयोग, बिना सोचे-समझे किए गए, लेकिन दिलचस्प परिणामों की ओर ले जाते हैं और निश्चित रूप से, अधिक विस्तृत अध्ययन की आवश्यकता होती है।

प्रत्येक भौतिक स्विच सीएएम (सामग्री पता योग्य मेमोरी) डेटा या बस, एक स्विचिंग टेबल के साथ संचालित होता है। विभिन्न मॉडलों के लिए इसकी मात्रा भिन्न होती है। उदाहरण के लिए (ब्राइड्स द्वारा जाने वाले डेटा जहां वे वैज्ञानिक सत्य का ढोंग नहीं करते हैं):

• सिस्को उत्प्रेरक 2960 - 8000 मैक पते तक;
• सिस्को उत्प्रेरक 3560 - 12000 मैक पते तक;
• सिस्को उत्प्रेरक 6500 - 96000 मैक पते तक।

जब CAM तालिका भरी होती है, तो नई प्रविष्टियाँ नहीं जोड़ी जा सकेंगी, सभी ट्रैफ़िक सभी पोर्ट पर जाएँगे (हालाँकि सामान्य स्थिति में, स्विच अलग तरह से व्यवहार कर सकते हैं)। सभी नेटवर्क ट्रैफ़िक के लिए एक हमलावर "सुन" सकता है और गोपनीय जानकारी प्राप्त कर सकता है।
इस तरह के हमले को दबाने के लिए, यह इंगित करना आवश्यक है कि स्विच पोर्ट पर जिससे उपयोगकर्ता जुड़ा हुआ है, उदाहरण के लिए, एक से अधिक मैक पते नहीं हो सकते हैं, और यदि एक से अधिक दिखाई देता है, तो पोर्ट को अक्षम स्थिति में रखें और सुरक्षा उल्लंघन के बारे में व्यवस्थापक को संदेश भेजें (उदाहरण के लिए, सिस्को में पोर्ट सुरक्षा सेटिंग्स)।
VMware में एक जाली प्रसारण सेटिंग है - स्वीकार / अस्वीकार, लेकिन, जैसा कि ऊपर चर्चा की गई है, ऐसी स्थितियां हो सकती हैं जब इसे लागू करना संभव नहीं है। इसलिए, जोखिमों को प्रबंधित करने के लिए इस तरह के हमलों के संभावित परिणामों को स्पष्ट करने की आवश्यकता है।
हमले को लागू करने के लिए, dsniff पैकेज से macof प्रोग्राम का उपयोग किया गया था।

मुझे प्रयोग के नुकसान के बारे में कहना चाहिए:

1. सबसे पहले, यह मुख्य है: हमलावर एक निष्क्रिय वीएलएएन में थे, हमलावर एक अलग वीएलएएन में थे। इसके विपरीत करना ज्यादा सही होगा।
2. दूसरा एक सर्किट की कमी है। क्लस्टर उपयोग से परिणामों को आंकना मुश्किल हो जाता है

लेकिन पहले बातें पहले।

हमले की शुरुआत के साथ, पैकेट घबराना तुरंत बढ़ गया,लेकिन अभी तक कुछ भी महत्वपूर्ण नहीं है।
कुछ मिनटों के बाद, वीएम कंसोल ने "धीमा" होना शुरू कर दिया, व्यक्तिगत पैकेज खो जाने लगे।
अंत में, शुरुआत के 5-7 मिनट बाद, सब कुछ ध्वस्त हो गया: इससे पहले कि vCenter के लिए ग्राहक का कनेक्शन बंद हो जाए, उसने देखा कि कुछ VM अनुपलब्ध थे, VM कंसोल खुले नहीं थे - रैक का शीर्ष विफल रहा।
व्यवहार में, इसका मतलब न केवल सार्वजनिक सेवा के DoS, बल्कि संभवतः, प्रदाता की कुछ आंतरिक सेवाएं भी हैं, जो स्वीकार्य जोखिम नहीं हो सकता है, जिसका अर्थ है कि काउंटरमेस की आवश्यकता है।

मुझे कहना होगा, मैंने हब मोड में वर्चुअल स्विच के संक्रमण को रिकॉर्ड नहीं किया (कम से कम वीएलएएन को आखिरी में विभाजित किया गया था)।

ऊपर वर्णित कमियों के कारण, यह कहना मुश्किल है कि वास्तव में क्या हुआ और सही कारण क्या था (कम से कम मेरे लिए)। मुझे बहुत खुशी होगी अगर कोई टिप्पणी (या hp में) परिणाम को हल करने में सक्षम है।

यह सब मेरे काम का सबसे दिलचस्प है।
मैं प्रतिक्रिया के लिए तत्पर हूं: सुझाव, सुझाव, सुधार और बहुत कुछ। =) आपके ध्यान के लिए धन्यवाद।