Slides apresentados na disciplina de Segurança em Linux na Especialização em Segurança da Informação - Faculdade iDEZ.

1. Pós-Graduação Lato-Sensu em Segurança da Informação
Curso de Informática Avançada
SNMP / ZABBIZ
© Aécio
Especializando em Segurança da Informação
Alberto José Ferreira de Lima
Especializando em Segurança da Informação - iDez
Mestrando em Educação - UFPB
Pedro
Especializando em Segurança da Informação
João Pessoa, julho de 2010.

2. Agenda
Pós-Graduação Lato-Sensu em Segurança da Informação
• Motivação
• SNMP
• Vulnerabilidades
• Contra-medidas
• ZABBIX
• Procedimentos de instalação/configuração
• Demonstrar uma vulnerabilidade/correção
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 2

3. Motivação para gestão da rede – “Coisas acontecem”
Pós-Graduação Lato-Sensu em Segurança da Informação
• Por quê gerenciar?
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 3

4. Motivação para gestão da rede – “Coisas acontecem”
Pós-Graduação Lato-Sensu em Segurança da Informação
application
transport
network network
network
data link data link
data link network
physical physical
physical data link
physical
network
data link
physical
network
data link
physical
network network
data link data link
physical physical
network
application data link application
transport physical transport
network network
data link data link
physical physical
• Redes de computadores são sistemas complexos
autônomos formados por uma grande quantidade
de hardware e componentes de software.
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 4

5. Motivação para gestão da rede – “Coisas acontecem”
Pós-Graduação Lato-Sensu em Segurança da Informação
• Inúmeras questões/problemas potenciais
para lidar com ...
interrupção de dispositivos
má-configuração
dispositivo gerenciado
problemas de segurança
dispositivo gerenciado
problemas de desempenho
bugs de software
dispositivo gerenciado
dispositivo gerenciado
outras questões
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 5

6. Motivação para gestão da rede – “Coisas acontecem”
Pós-Graduação Lato-Sensu em Segurança da Informação
• Nesta apresentação, mostraremos um
protocolo e uma ferramenta disponíveis para
identificar e resolver estes problemas.
– SNMP
– ZABBIX
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 6

7. SNMP
Pós-Graduação Lato-Sensu em Segurança da Informação
Gerenciamento de rede
• Em linhas gerais, emprega o uso de ferramentas, técnicas e sistemas
para ajudar os administradores no gerenciamento de vários
dispositivos.
4 objetivos-chave
• Monitorar ...
– ver o que está acontecendo
– interfaces de hosts, os níveis de tráfego, os níveis de serviço, segurança,
desempenho, alterações na tabela de roteamento, etc
• Analisar ...
– determinar o que isso significa
• Reativa controle ...
– agir com base no que está acontecendo
• Gerenciar proativamente ...
– agir com base naquilo que as atuais tendências dizer que vai acontecer
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 7

8. SNMP
Pós-Graduação Lato-Sensu em Segurança da Informação
Componentes básicos
Network Management Station (NMS) agente dado
entidade
dado dispositivo gerenciado
gerência
agente dado
network
management dispositivo genciado
Protocol - SNMP
agente dado
agente dado
dispositivo gerenciado
dispositivo gerenciado
dispositivos gerenciados contêm objetos gerenciados cujos dados
são reunidos numa Management Information Base (MIB)
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 8

9. SNMP
Pós-Graduação Lato-Sensu em Segurança da Informação
SNMP é baseado em 4 partes:
• Protocolo SNMP
– Define o formato das mensagens trocadas entre os
sistemas de gerência e agentes.
– Usa UDP, porta 161 (requisições/respostas) e 162
(notificações).
– Versões: SNMPv1, SNMPv2, SNMPv3.
– Especifica as operações Get, GetNext, Set, and Trap.
• GET, usado para retirar um pedaço de informação de
gerenciamento.
• GETNEXT, usado interativamente para retirar
sequências de informação de gerenciamento.
• SET, usado para fazer uma mudança no subsistema
gerido.
• TRAP, usado para reportar uma notificação ou para
outros eventos assíncronos sobre o subsistema
gerido
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 9

10. SNMP
Pós-Graduação Lato-Sensu em Segurança da Informação
• Structure of Management Information (SMI)
– Regras especificando o formato usado para definir
objetos gerenciados na rede que o protocolo SNMP
acessa.
– Os objetos são definidos usando Abstract Syntax
Notation One ASN.1 (ITU-T X.208 / ISO 8824).
• Management Information Base (MIB)
– Um mapa da ordem hierárquica de todos os
objetos gerenciados e como eles são acessados.
– MIB-II, RMON MIB, Bridge MIB, Repeater MIB,
X.25 MIB, FDDI MIB, Token Ring MIB, ...
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 10

11. SNMP
Pós-Graduação Lato-Sensu em Segurança da Informação
iso(1)
• Object IDentifier (OID)
1
org(3)
- Identificador global para um tipo de
objeto parcitular 3
dod(6)
6
- Um OID consiste de uma sequência
de inteiros, os quais especificam internet(1)
uma posição de um objeto na árvore 1
de identificação de objetos global directory(1) 4
1
- Exemplo .1.3.6.1.2.1.1 mgmt(2) experimental(3)
2 3
- iso(1) org(3) dod(6) internet(1) mib-2(1)
mgmt(2) 1
mib-2(1) system(1)
6
system(1) 1
interfaces(2) ip(4)
2 4
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 11

12. SNMP
Pós-Graduação Lato-Sensu em Segurança da Informação
• Segurança
– SNMP Communities String como senha.
– Community
• Relação entre um agente e gerentes.
• Community Name
– Usado para validar as mensagens SNMP
– SNMP Password.
– Default ‘Get’ community name: “public”.
– O SNMPv2 oferece uma boa quantidade de
melhoramentos em relação ao SNMPv1, incluindo
operações adicionais do protocolo, melhoria na
performance, segurança, confidencialidade e
comunicações Gerente-para-Gerente.
– A SNMPv3 inclui implementação na segurança ao
protocolo como, autenticação e controle de acesso
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 12

13. Vulnerabilidades
Pós-Graduação Lato-Sensu em Segurança da Informação
• Testes no SNMPv1 pela Finland’s Oulu
University revelou as seguintes
vulnerabilidades no protocolo SNMP:
– Manipulação de Trap
• Múltiplas vulnerabilidades foram encontradas na
forma como decodificar numerosos NMSs e
processar mensagem do tipo trap.
– Solicitação de manipulação
• Os testes também revelaram deficiências na
forma dos agentes SNMP decodificar e processar
a solicitação de mensagens SNMP.
• Essas vulnerabilities podem levar aos
seguintes ataques:
– denial of service attacks, format string
vulnerability, and buffer overflows.
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 13

14. Vulnerabilidades
Pós-Graduação Lato-Sensu em Segurança da Informação
• INSECURE SETTINGS
– Uso incorreto do nome da comunidade
– Uma vez que faz uso de uma conexão do protocolo
de comunicação UDP, agentes SNMP aceitam
solicitações de entrada sem qualquer configuração
de sessão anterior.
– A maioria dos dispositivos já vêm habilitados com
o SNMP e configurados com a comunidade padrão
“public” para acesso somente de leitura e “privado”
para acesso de leitura/gravação
– O nome de comunidade string é incorporado
dentro de uma mensagem SNMP mensagem e
transportados através da rede em texto puro.
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 14

15. Vulnerabilidades
Pós-Graduação Lato-Sensu em Segurança da Informação
• SPOOFING (Falsificação)
– Rede de controle de acesso também é insuficiente
para bloquear ataques a essas vulnerabilidades,
porque os endereços de origem UDP
podem ser facilmente falsificado.
– Um atacante pode enviar pacotes com um endereço de
origem de um NMS autorizado falsificados
endereço de um NMS autorizado para gerar uma falha
no dispositivo de destino.
– Além disso, alguns implementações SNMP por padrão
aceitam pacotes SNMP enviados para a rede através do
endereço de broadcast.
– Os atacantes podem facilmente enviar pacotes de
difusão para comprometer toda a rede, mesmo sem
saber o endereço do dispositivo de destino e o nome da
comunidade SNMP.
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 15

16. Contra medidas
Pós-Graduação Lato-Sensu em Segurança da Informação
• SNMPv1 Scanners
• Patches dos fabricantes
• Desabilitar ou remover o serviço SNMP
• Ingress Filtering (Filtragem de entrada)
• Filtragem de saída
• Mudar o nome da string da comunidade
padrão
© Aécio, Alberto e Pedro, 2010 ― SNMP / ZABIX 16