Biztonság
Biztonság
  Helyi biztonság Linux alatt
    általános intézkedések
      fizikai biztonság
      boot loader jelszavasítása
        grub
        lilo
        init=/bin/bash
      használt merevlemezek megsemmisítése
        http://freshmeat.net/projects/disksanitizer
        legjobb: fizikai megsemmisítés
      backupok védelme
        kompromittált backup + rendszervisszaállítás kikényszerítése = behatolás
        kódolt backupok
          http://duplicity.nongnu.org/
        offsite backupok
      elkülönített partíciók
        /, /boot, /usr, /var, /tmp, /home, /opt
        noexec és nosetuid flag azokon, amik nem tartalmaznak futtatható fájlokat
kompatibilitási gondok! - logrotate nem fut noexec /tmp-vel
        ro flag használata a rendszer normál üzeme közben
        ro média használata (pl. cd-rom) a gyökér fájlrendszernek
      helyesen felkonfigurált tűzfal
        iptables
        http://www.linuxguruz.com/iptables/
      szükségtelen csomagok eltávolítása
        minimális telepítésből kezdjük a rendszer építését
        rpm -qa
          telepített programok listája
      patch/update management
        csak ismert és ellenőrzött forrásból
        előzetesen tesztelve
        írásos munkamenetet követve
        utólagos monitoring kövesse
      rendszerszolgáltatások minimalizálása
        netstat
        /etc/inittab
        inetd konfiguráció
      rendszerindítás és újraindítás védelme
        CTRL-ALT-DEL kikapcsolása (/etc/inittab)
        default runlevel beállítása
      TCP wrappers szolgáltatás helyes konfigurációja
        /etc/hosts.allow
        /etc/hosts.deny
      kernel hálózati beállítások
        /etc/sysctl.conf
        net.ipv4.tcp_syncookies = 1
          SYN flood támadás ellen
        net.ipv4.conf.all.accept_source_route = 0
          MitM támadás ellen
        net.ipv4.conf.all.accept_redirects = 0
          MitM támadás ellen
        net.ipv4.conf.all.rp_filter = 3
          ingres and egres filtering - IP Spoofing ellen
        net.ipv4.icmp_echo_ignore_all = 1
          ping kikapcs
        net.ipv4.icmp_echo_ignore_broadcasts = 1
          broadcast ping kikapcs
        net.ipv4.icmp_ignore_bogus_error_responses = 1
          egyéb gyanús icmp kikapcs
        net.ipv4.conf.all.log_martians = 1
          nem megfelelő című csomagok naplózása
        http://www.linuxsecurity.com/content/view/111337/65/
        http://www.linuxexposed.com/content/view/49/52/
      SSH démon konfigurációja
        /etc/ssh/sshd_config
        Port 2222
          alapértelmezett TCP port megváltoztatása
        PermitRootLogin no
        UsePrivilegeSeparation yes
          sshd két privilégium szinten fogadja a kapcsolatokat
        Protocol 2
        AllowTcpForwarding no
        X11Forwarding no
        StrictModes yes
          ssh konfigurációs fájlok jogainak ellenőrzése
        IgnoreRhosts yes
        HostbasedAuthentication no
        RhostsRSAAuthentication no
        #Subsystem sftp /usr/lib/misc/sftp-server
          SFTP kikapcsolása
        PermitEmptyPasswords no
        PasswordAuthentication no
          jelszavas azonosítás tiltása
        RSAAuthentication yes
          kulcs alapú azonosítás engedélyezése
        PubkeyAuthentication yes
          kulcs alapú azonosítás engedélyezése
      jogosultságok beállítása
        umask
        SetUID és SetGID fájlok keresése
          find / -path /proc -prune -o -type f -perm +6000 -ls
        Bárki által írható fájlok keresése
          find / -path /proc -prune -o -perm -2 ! -type l -ls
        Tulajdonos nélküli fájlok keresése
          find / -path /proc -prune -o -nouser -o -nogroup
      host alapú IDS telepítése
        http://en.wikipedia.org/wiki/Host_based_intrusion_detection_system
        fcheck
        tripwire
        ossec
        saját script... stb...
      bastille
        biztonsági beállításokat ellenőrző és elvégző scriptek
        http://www.bastille-unix.org
        http://bastille-linux.sourceforge.net
    Helyi felhasználók kezelése
      minimális privilégiumok elve érvényesüljön
        sudo
        chmod
        ACL rendszer bővítései (grsecurity, etc...)
      bejelentkezés forrásának és idejének korlátozása
        iptables
        tcp wrappers
        sshd konfiguráció
      inaktív elérések törlése
        last parancs
        rendszernaplók
        nem zárolt elérések keresése
          egrep -v '.*:\*|:\!' /etc/shadow | awk -F: '{print $1}'
        nem használt (egy fájlt sem birtokló) elérés keresése
          find / -path /proc -prune -o -user <account> -ls
      több gépen legyen azonos az UID
        könnyebb adminisztráció
        egyszerűbb eseménykövetés
        fájlok másolása biztonságosabb
      minden természetes személynek saját felhasználója legyen (számonkérhetőség)
      jelszavak elévülésének engedélyezése
        /etc/login.defs
        PASS_MAX_DAYS
          max ennyi napig érvényes
        PASS_MIN_DAYS
          min ennyi időt kell várni két változtatás között
        PASS_WARN_AGE
          ennyi nappal lejárat előtt figyelmeztet
        /etc/default/useradd
        INACTIVE
          ennyi nappal lejárat után az elérés kikapcsol
        EXPIRE
          lejárat pontos dátuma YYYY-MM-DD
        chage -l felhasználó
      PAM - Pluggable Authentication Modules
        X/Open Single Sign-on (XSSO) standard
        jellemzők
          moduláris
          dinamikusan bővíthető
          egymásra építhető (stackable)
        szolgáltatások
          authentication management
          account mananagement
          password management
          session management
        felhasználási lehetőségek
          erős jelszavak kényszerítése
            /etc/pam.d/common-password
            password requisite pam_cracklib.so retry=3 minlen=8 difok=3
            minlen=8
              legalább 8 karakter hosszú jelszó
            difok=3
              legalább 3 karakter különbség legyen a régi és új jelszó közöt
            pam_unix.so ... remember=26
              az előző 26 jelszót ne engedje beállítani
            http://sourceforge.net/projects/cracklib
          sikertelen próbálkozások utáni kizárás
            /etc/pam.d/common-account
            account required pam_tally.so onerr=fail no_magic_root
            onerr=fail
              ha valami gond van, az alapértelmezett eredmény
            no_magic_root
              a root sem kivétel
            /etc/pam.d/common-auth
            auth required pam_tally.so per_user deny=5 no_magic_root reset
            deny=5
              5 próbálkozás után kitilt
            reset
              sikeres belépés nullázza a számlálót
            faillog parancs
          root belépés tiltása
            /etc/pam.d/common-account
              illetve a konkrét szolgáltatások
            account required pam_access.so
            /etc/security/access.conf
            -:ALL EXCEPT users :ALL
              csak az "users" csoport tagjai léphetnek be
        http://www.kernel.org/pub/linux/libs/pam/
        http://en.wikipedia.org/wiki/Pluggable_Authentication_Modules
    A root elérés használata
      rendszergazdaként próbáljuk ki a veszélyes parancsokat
        ls foo*.txt
        rm foo*.txt
      helyettesítsük az rm parancsot intelligensebb megoldással
        megerősítés kérése
        "recycle bin" támogatás
      lehető legrövidebb ideig rendelkezzünk rendszergazdai jogkörrel
        sudo
        root login kikapcsolása az sshd-ben
      a root PATH-jában ne legyenek felhasználó által írható könyvtárak
        ne legyen benne a "."
        ne legyen benne a "/tmp"
        stb...
      ne használjunk adminisztrátorként elavult távoli szolgáltatásokat
        ftp
        telnet
        rlogin, .rhosts fájl, stb...
      korlátozzuk a root felhasználó terminálelérését
        /etc/securetty
        lehetőleg csak helyi terminált engedélyezzünk
      "think before you type"
    Linux Kernel biztonság
      grsecurity
        RBAC, ACL
        Random IPID
        Process hiding
        Chroot restrictions
        TPE (trusted path execution)
        Symlink restrictions
        Policy Learning mode
        http://www.grsecurity.org/
      LIDS
        Linux Intrusion Detection System
        MAC (mandatory access control)
        Trusted Domain Enforcement (TDE)
        TPE (trusted path execution)
        http://www.lids.org
      SELinux
        Security Enhanced Linux
        NSA/DOD, RedHat, HP, IBM
        Exec-Shield integráció
        RBAC
        User-space access vector cache
        Policy Learning mode
        http://www.nsa.gov/research/selinux/index.shtml
      AppArmor
        Novell
        MAC
        Policy Learning mode
        Sub-process confinement: can confine individual PHP pages, mod_perl scripts, and Tomcat servlets
        http://www.linux-magazine.com/w3/issue/69/AppArmor_vs_SELinux.pdf
        http://forge.novell.com/modules/xfmod/project/?apparmor
      RSBAC
        Rule Set Based Access Control
        MAC, ACL, stb...
        PaX integráció
        Secure delete
        Process hiding
        Filesystem hiding for files you have no access for
        Symlink redirection
        in kernel user management
        on-access virus scanning
        Policy Learning mode
        http://www.rsbac.org/
      smack
        Simplified Mandatory Access Control Kernel for Linux
        MAC
        http://schaufler-ca.com/
      következtetések
        egyik megoldás sem "fájdalommentes"
        mindegyik megoldásnak saját userspace kiegészítői vannak
        egyik megoldás sem kompatibilis visszafelé (nem is lehet)
        még nem tudni, melyik lesz a de facto standard
    http://www.linuxsecurity.com/docs/LDP/Security-HOWTO/local-security.html
    http://www.puschitz.com/SecuringLinux.shtml
  Kriptográfia alapok
    fogalmak
      hash
        AKA: digest, message digest
        egyirányú matematikai algoritmus
        kérdőjeles matematikai terület
        ideális esetben
          tetszőleges üzenethez könnyen kiszámítható
          nehéz adott hash értékhez megfelelő üzenetet találni
          nehéz az üzenetet a hash megváltozása nélkül módosítani
          nehéz két üzenetet találni azonos hash értékkel
          nehéz = a rendelkezésre álló elméleti tudás és számítási teljesítmény
segítségével gyakorlatilag időhiány miatt kivitelezhetetlen
        jelenleg
          ütközik
(könnyen lehet két azonos hash kódú üzenetet találni)
            MD4
            MD5
            RIPEMD
            SHA-0
            SHA-1 időigényesen (2^63 variációval)
          képezhető
(könnyen lehet egy hash kódhoz megfelelő üzenetet találni)
            MD4 is csak időigényesen (2^102 variációval)
          "biztonságos"
            RIPEMD-128/256
            RIPEMD-160/320
            SHA-256/224
            SHA-512/384
            Tiger(2)-192/160/128
            WHIRLPOOL
        http://en.wikipedia.org/wiki/Cryptographic_hash_function
      cypher
        Szimmetrikus kódolási algoritmus
        kódolás: f(KEY,message)=encoded - f'(KEY,encoded)=message
        biztonságosabb terület matematikai szempontból, mint a hash
        adó és vevő közös titkos kulcson osztoznak
        a kulcs titkos megbízható csatornán jut el mindkét félhez
        ideális esetben
          gyors (akár hardveresen is implementálható)
          nehéz egy üzenet kódolt és kódolatlan formája között kapcsolatot találni
          nehéz egy tetszőlegesen nagy kódolt üzenet alapján a kulcsot kideríteni
          nehéz egy üzenet kódolt és kódolatlan verziójának birtokában a kulcsot kideríteni
        ismert ideális algoritmus
          One Time Pad (OTP)
          a kulcs teljesen véletlenszerű
          a kódolás menete: szöveg XOR kulcs
          a kulcs mérete azonos a kódolandó szöveggel
        gyakori algoritmusok
          RC4
            nagyon gyors
            gyenge pontja ismertek biztonsági szempontból
            kevés, közepes méretű üzenetre megfelelő lehet
          Blowfish/Twofish
            közepesen gyors
            biztonságosnak tűnik, de kevés kihívással volt dolga
          AES
            közepesen gyors
            egyelőre bizonyítottan biztonságos
            a kulcsmérettől függ a sebesség
          DES
            lassú
            hetek (napok?) alatt törhető
          TripleDES
            nagyon lassú
            becslések szerint 2030-ig nem törhető
            csak rövid üzenetekre javasolt
          http://www.javamex.com/tutorials/cryptography/ciphers.shtml
      nyílt kulcsú titkosítás
        asszimetrikus algoritmus
        nincs szükség biztonságos csatornára
        kódolás: f(K_A_PUB,message)=encoded - f'(K_A_PRIV,encoded)=message
        aláírás: f(K_A_PRIV,digest)=sign - f'(K_A_PUB,sign)=digest
        a gyakorlatban szimmetrikus kulcsok védelmére használják leginkább
        technikai problémák
          valódi véletlenszámokat igényel
          a faktorizáció nem bizonyítottan nehéz
            de az elliptikus görbék (ECC) bizonyítottan azok
            http://en.wikipedia.org/wiki/Elliptic_curve_cryptography
          az implementáció nehéz
            az RSA és ElGamal implementációkban
ismert gyengeségek vannak
          side channel támadásokra érzékeny
            a kódolás időanalízise vagy feszültséganalízise
felfedi a titkos kulcsot
          MitM támadásra érzékeny
            de web of trust vagy CA ezen segíthet
            sshv2 challange protokoll megoldja
        adminisztratív problémák
          a személy és a titkos kulcs kapcsolata jogilag kérdéses
          kulcs visszavonása nehézségekbe ütközhet (pl.: célzott DOS miatt)
          kulcsok váltása nehézkes (főleg ha gyorsan kell váltani)
          a kulcs kompromittálódása a múltbeli üzeneteket is érvényteleníti
            ez ellen: PFS - perfect forward secrecy
            a rövid távú kulcsok nem függenek a hosszú távú kulcsoktól
            http://en.wikipedia.org/wiki/Perfect_forward_secrecy
          digest kompromittálódása a múltbeli aláírásokat is lerontja
            megoldás: archív dokumentumok folyamatos újraaláírása
        http://en.wikipedia.org/wiki/Public-key_cryptography
    PKI (public key infrastructure)
      CA
        Certificate Authority
        egyszeres biztonsági pont
        http://en.wikipedia.org/wiki/Certificate_authority
      DPM - Digital Postmarks
        letagadhatatlanságot biztosító elektronikus postai időbélyeg
        Posta Italia
        US postal service
        Microsoft
        http://en.wikipedia.org/wiki/Digital_Postmarks
      Timestamping
        letagadhatatlanságot biztosító szolgáltatás
      CRL
        certificate revocation list
        http://en.wikipedia.org/wiki/Certificate_revocation_list
      CSR
        certificate signing request
      openssl parancssor
        self signed certificate
        publikus kulcs export
        certificate tesztelés
        SHA1 digest
        SHA1 aláírás
        SHA1 aláírás ellenőrzése
        AES titkosítás
        BASE64 kódolás
        BASE64 és AES dekódolás
        SMIME titkosítás
        SMIME aláírás
        SMIME ellenőrzés
        SMIME dekódolás
        SMIME ellenőrzés és dekódolás
        http://madboa.com/geek/openssl/
    PGP (pretty good privacy)
      web of trust
      kgpg
        generate key pair (expert mode!)
        add photo ID
        add identity
        sign key
        ecrypt text
        sign text
        verify signature
        decrypt text
  Titkosított kommunikáció
    titkosítás nélküli próba
      lenny2# tcpdump -n -vvXX
      lenny1# netcat -l -p 12345
      lenny3# echo hello world | netcat 192.168.1.1 12345
    SSH
      lásd még: sshd biztonsági beállítások
      port forwarding
        lenny2# tcpdump -n -vvXX | grep hello
        lenny1# netcat -l -p 12345
        lenny3# ssh -L 1234:127.0.0.1:12345 192.168.1.1
        lenny3# echo hello world | netcat 127.0.01 1234
        http://en.wikipedia.org/wiki/Port_forwarding
    SCP
      lenny3# scp 192.168.1.1:/etc/hostname /root/lenny1-hostname
    SSL
      lenny2# tcpdump -n -vvXX | grep hello
      lenny1: create self signed cert /root/cert.pem
      lenny1# netcat -l -p 12345
      lenny1# stunnel -f -p /root/cert.pem -d 1234 -r 12345
      lenny3# stunnel -f -c 12345 -r 192.168.1.1:1234
      lenny3# echo hello world | netcat 127.0.0.1 12345
      kliens cert ellenőrzés lehetősége
      http://www.stunnel.org/
  Hálózatok biztonsági kérdései
    Rendellenes IP csomagok
      XMAS packet
        AKA: nastygram, kamikaze, lamp test
        FIN, URG, PSH flagek bekapcsolva
      Chernobyl packet
        "Network Meltdown"
        broadcast storm kiváltására
        pl.: forrás és cél mac és IP cím is két átjátszott hálózathoz tartozik
      Martian packet
        "Packet from Mars"
        a forrás cím nem route-olható az adott alhálózaton
        Dark Address (Dark Internet)
          "Packet to Mars"
          a célcím nem routeolható az adott hálózaton
akár az egész Interneten
          DoS támadások forrása lehet
      Bogon packet
        IANA foglalt IP címtartományból/ba irányuló csomag
        Fenntartott címek
          10.0.0.0/8
          172.16.0.0/12
          192.168.0.0/16
        Kiosztatlan címek
          pl: 100.x.x.x-107.x.x.x
      Fragmentációs támadások
        átfedő fragmensek
          "teardrop" DOS támadás
        fragmentációs buffer túlcsordítása
        IP csomag összméret túlcsordulás (max 64k)
        fragmens felülírás
          a vevő mást lát, mint az IDS
        túl sok fragmens
        hiányzó fragmensek
          sosem lehet összerakni
        túl kicsi fragmensek (<400 byte)
    IP Spoofing
      hamisított forráscímű IP csomagok küldése
      LAN-on szinte mindig működik
      WAN-on a routereken múlik, mi történik
      védekezési módok
        egress filtering
          kimenő csomagok forráscímének ellenőrzése
          alsó szinten egyszerű, központi routereken bonyolult feladat
          http://en.wikipedia.org/wiki/Egress_filtering
        ingress filtering
          bejövő csomagok forráscímének ellenőrzése
          bonyolultabb, általában központi routereken fontos
          http://en.wikipedia.org/wiki/Ingress_filtering
        TCP használata
        IP traceback
          csomag eredeti forrásának visszakövetése
          nehéz feladat, sok csomagot igényel
          http://en.wikipedia.org/wiki/IP_traceback
      http://en.wikipedia.org/wiki/IP_address_spoofing
    IP Hijacking
      IP címtartományok elragadása
      Routing protokollokba való beavatkozás
      February 24, 2008: Pakistan's attempt to block YouTube access within their country takes down YouTube entirely.
      http://en.wikipedia.org/wiki/IP_hijacking
      http://bgpmon.net/
      http://cyclops.cs.ucla.edu/
    Data Leak
      AKA: Data Spill, Data Breach
      Privát adatok szándékolatlan publikása az Interneten
      Következmények
        ID theft
        ügyfelek elfordulása
        üzleti titkok elvesztése
      http://en.wikipedia.org/wiki/Data_spill
    Inter-protocol attack
      különböző szöveges protokollok keverése
      pl.: SMTP üzenet egy HTTP formon, action="http://mailszerver:25"
      a kliens jogosultságaival, forráscímével kerül elküldésre
      http://en.wikipedia.org/wiki/Inter-protocol_communication
    WiFi
      Clear Channel Assessment attack
        CSMA/CA blokkolása folyamatos adással
        http://en.wikipedia.org/wiki/Clear_Channel_Assessment_attack
      WEP crack
    URL Spoofing
      Böngésző address bar hamisítás
(böngésző sebezhetőség)
      IDN Homoglyph támadás
        Ciril
          асһеіјорѕху
          BFHKMT
        Görög
          ΑΒΕΗΙΚΜΝΟΡΤΧΥΖ
        Örmény
          ghnoquj
        Héber
          oin
        http://en.wikipedia.org/wiki/IDN_homograph_attack
      http://en.wikipedia.org/wiki/Spoofed_URL
    Fingerprinting
      Egy eszköz vagy számítógép azonosító jegyeinek vizsgálata
      Megszemélyesítéses támadások előkészítése
      Adatgyűjtés (ID theft)
      Megtámadni kívánt rendszer feltérképezése
      fajtái
        aktív
        passzív
      http://en.wikipedia.org/wiki/Device_fingerprint
    MAC flooding
      Switchek CAM táblájának túlterhelése
      HUB üzemmódba kapcsolnak
      http://en.wikipedia.org/wiki/MAC_flooding
    DOS
      DDoS
        Botnet
          Kraken, Srizbi - 3-500 ezer gép
          http://en.wikipedia.org/wiki/Botnet
        Smurf attack
          Broadcast ICMP Echo Request
a támadni kívánt gép spoofed forrás címével
          http://en.wikipedia.org/wiki/Smurf_attack
        Fraggle attack
          Smurf UDP verziója (UDP echo és chargen portokra)
          http://en.wikipedia.org/wiki/Fraggle_attack
        Amplificator
          egy bizonyos DDoS támadási formát erősítő alhálózat
          általában hibás konfiguráció miatt válik kihasználhatóvá
          pl.: Smurf amplificator
      http://en.wikipedia.org/wiki/Denial-of-service_attack
    Monokultúra
      Sok azonos architekúrájú gép
      Azonos sebezhetőségekkel...
    Open Proxy
      Publikus átjátszó állomás
      HTTP, Socks, SMTP, stb...
      szándékos vagy konfigurációs hiba
      malware is okozhatja
      előnyök
        cenzúra elleni küzdelem
        anonimitás
      hátrányok
        Malware terjedési útvonalak
        SPAM
        zombi gépek irányítása
      http://en.wikipedia.org/wiki/Open_proxy
    Sniffing
      hálózati forgalom lehallgatása
      "white hat" felhasználása is fontos
      http://en.wikipedia.org/wiki/Packet_capture
    Ellenőrzetlen eszközök
      Rogue DHCP server
      Rogue Access Point
      Greynet
        Hálózati adminisztrátorok engedélye nélkül telepített hálózati alkalmazások
        Példák
          IM - instant messaging kliensek
          P2P kliensek
          Seti@Home és társai
          Adware, spyware
        Veszélyek
          malware terjesztés
          információ szivárogtatás
          láthatatlan párhuzamos kommunikációs hálózat kiépítése
          kliens gépek biztonsági és stabilitási problémái
        http://en.wikipedia.org/wiki/Greynet
    Shell shoveling
      shell beleirányítása egy szerver csatornába
      pl. bash over SMTP
      http://en.wikipedia.org/wiki/Shell_shoveling
    Phishing
      http://en.wikipedia.org/wiki/Phishing
    Spyware
      http://en.wikipedia.org/wiki/Spyware
    Sybil attack
      Egy személy több identitással
      pl.: Szavazások hamisítása, bónusz kreditek gyűjtése, stb...
      http://en.wikipedia.org/wiki/Sybil_attack
  Hálózatok biztonsági eszközei
    DMZ
      demilitarizált zóna
      AKA: Data Management Zone, Demarcation Zone, Perimeter Network
      AKA: Secure Service Network (SSN)
      publikus szolgáltatások hálózati szegmense
      LAN-DMZ-WAN
      jellemző szolgáltatások
        SMTP szerver
        Web szerver
        Proxy szerver
        Reverse proxy szerver
      jellemző kialakítás
        egy tűzfalas
          egyszerűbb, olcsóbb
        két tűzfalas
          akár két külön márka
          nem biztos, hogy biztonságosabb
        Bastion host (egy gépes DMZ)
      http://en.wikipedia.org/wiki/DMZ_(computing)
    Firewall
      lásd korábban!
      Hole punching
        UDP/TCP hole punching
        két NAT tűzfal mögötti kliens egy külső publikus szerver
adatai alapján kapcsolódik egymáshoz
        SEQ+ACK számok szinkronizálása
        portszámok szinkronizálása
        alacsony TTL értékű "nyitó" csomag kiküldése mindkét oldalon
        http://en.wikipedia.org/wiki/Firewall_pinhole
        http://natblaster.sourceforge.net/
        vö: uPnP
      http://en.wikipedia.org/wiki/Firewall
    Router
      Layer3
      ACL
    Switch
      Layer2
      VLAN
    Black hole
      routerek /dev/null-ja
    Proxy
      Forward (egyszerű) Proxy
      Reverse Proxy
    VPN szerver
      Virtual Private Network
      Split Tunneling
        Egyszerre WWW és VPN használat
        http://en.wikipedia.org/wiki/Split_tunneling
    Bouncer
      IRC
      FTP
    CBAC
      Content Based Access Control
      alkalmazási szintű információk alapján végzett csomagszűrés
      http://en.wikipedia.org/wiki/Context-based_access_control
    DPI
      Deep Packet Inspection
      a csomagok adat részének vizsgálata
      előnyök
        adatbányászat
        biztonsági funkciók
        vírusszűrés
        spamszűrés
      hátrányok
        adatbányászat
        cenzúra
        lehallgatás
      http://en.wikipedia.org/wiki/Deep_packet_inspection
      NBAR - Network Based Application Recognition
        Cisco szolgáltatás
        főleg QoS célokra
        http://en.wikipedia.org/wiki/NBAR
    Defense in Depth
      információ biztosítási stratégia
      biztonságtudatos tervezés és implementáció minden szinten
      http://en.wikipedia.org/wiki/Defense_in_Depth_(computing)
    Fingerprinting
      "White Hat" felhasználása
    Penetration Testing
      Behatolási vizsgálat
        Mélysége szerint
          Intelligence only
            adatgyűjtés
          Medium penetration
            nem-DOS támadások
          Deep penetration
            ami belefér
        Tudásbázis szerint
          White box
            root account
          Gray box
            valid account
          Black box
            total outsider
      Eszközök
        Ethical Hacking
          "White Hat" hacking
          http://en.wikipedia.org/wiki/Ethical_hack
        War Dialing/Walking/Driving
        Port/Service Scan
      http://en.wikipedia.org/wiki/Penetration_test
    Honeypot/honeynet
      szándékosan elérhetővé tett támadási felület
      támadási források azonosítása
(egy honeypoton minden bejövő forgalom illegitim)
pl.: spamtrap hálózatok
      támadások lassítása
(port scan, stb...)
        AKA: tarpit
      honeytoken - szándékosan kiszivárogtatott információ
(pl. egy email cím, amit el lehet "lopni" a honlapról)
      http://en.wikipedia.org/wiki/Honeypot_(computing)
    IDS/NIDS
      Network Intrusion Detection System
      jellemzően mintaillesztésen alapszik
      http://en.wikipedia.org/wiki/Network_intrusion_detection_system
    IPS
      Intrusion Prevention System
      fajtái
        content based
        protocol analysis
        rate based
      http://en.wikipedia.org/wiki/Intrusion_prevention_system
    NAC - Network Access Control
      Ágens nélküli vagy ágens alapú
      Out of band és inline
      Karantént is használhat
      előnyök
        worm terjedés akadályozása
        policy enforcement
        identity and access management
      http://en.wikipedia.org/wiki/Network_Access_Control
    Port Knocking
      előre definiált csomagmintázat küldésére megnyíló tűzfal
      http://en.wikipedia.org/wiki/Port_knocking
    Port Triggering
      egy kimenő csomag hatására befelé nyitó tűzfal
      http://en.wikipedia.org/wiki/Port_triggering
  Tematika
    Hogyan támadható a linuxos gép és a hálózati környezet?
Támadások típusai. (3,3)
      Port scanneles (K)
      Trójai vírus (K)
      DOS DDOS típusú támadás (K)
      Email útján terjedő vírusok (K)
      TCP/IP alapú sebezhetőségek (K)
    Behatolások érzékelése, és védekezés lehetőségei –
IDS fogalma és megvalósítása (9,9)
      Linuxos naplózás – Naplózást kezelő eszközök –
watch, swatch, analog, iptrap (K)
      Linuxos háttértár megfigyelése – tripwire (K)
      A linuxos háttértár védelme – Szolgáltatások indítása a CHROOT-tal (K)
      A hálózati környezet és forgalom megfigyelése:
      tcpdump, ethereal, nmap, nessus (K)
      A gép túlterheltség elleni védelme: syncookie, watchdog (K)
      A PAM lehetőségei (K)
    Hálózati adatátvitel biztonsága (6,3)
      Szinkron és aszinkron titkosítás és hitelesítés
Nyilvános kulcsos kommunikáció megvalósítása (K)
      Titkosítás eszközei: SSL, SSH, GnuPg PGP, ipsec (K)
    Optimális hálózati szerkezet kialakítása (6,6)
      A belső hálózat (intranet) felosztása A DMZ szerepe (K)
      Intranetek összekapcsolása – VPN kialakítása –
Tűzfal szerepe – Ipsec konfigurálása (Freeswan) (K)
openssl req
-x509 -nodes -days 365
-newkey rsa:1024
-keyout mycert.pem
-out mycert.pem
openssl rsa -in mycert.pem -pubout > mypubkey.pem
openssl x509 -text -in cert.pem
openssl dgst -sha1 /etc/passwd
openssl dgst -sha1
-sign mycert.pem
-out passwd.sha1
/etc/passwd
openssl dgst -sha1
-verify mypubkey.pem
-signature passwd.sha1
/etc/passwd
openssl enc -aes-256-cbc -salt
-in /etc/passwd
-out passwd.enc
openssl enc -base64
-in passwd.enc
-out passwd.enc.ascii
openssl enc -d -aes-256-cbc -a -in passwd.enc.ascii
openssl smime -encrypt -des3
-in /etc/passwd
mycert.pem > mymessage.mime
openssl smime -sign
-signer mycert.pem
-in mymessage.mime > mymessage.mime.signed
openssl smime -verify
-CAfile mycert.pem
-in mymessage.mime.signed
openssl smime -decrypt
-in mymessage.mime
-inkey mycert.pem
openssl smime -verify
-CAfile mycert.pem
-in mymessage.mime.signed |
openssl smime -decrypt
-inkey mycert.pem
openssl req
-x509 -nodes -days 365
-newkey rsa:1024
-keyout /root/cert.pem
-out /root/cert.pem