Millä tutkia yritetäänkö koneeseen tunketua

[screwdriver]

Jep, eli millä ohjelmilla voisi seurata/etsiä koneelta jotain ohjelmia/juttuja jotka ei sinne kuulu.
Siis jos joku yrittää tunkeutua koneelle (Win XP Prof) niin millä sitä pystyy seuraamaan?
Jotain freeware ohjelmia mieluiten. Vinkkiä kiitos.

 

[Mike]

http://www.lavasoftusa.com/software/adaware/

 

[protsku]

Ad-Awaren lisäksi toinen hyvä on Spybot, Sygate Personal Firewall -ohjelmasta taas löytyy Attack History Graph ja ohjelma hälyttää jos joku yrittää skannata portteja tietokoneesta.

Niin ja onhan xp:ssä näppärä komento nimeltä netstat johon voi sitten vielä näpytellä erilaisia optioita tilanteen mukaan. Tällä voi mm. tsekata p2p-yhteyksien ip-numeroita joka on varsin kätevää.

:D

 

[voda]

Vähän offtopic, mutta olisiko teillä tietoa, että miten pystyisi koputtelemaan tunkeutujan omia portteja.. Eli kun joku scannaa minun koneen portteja, niin siitä jää minulle aina ip (usein feikki, mutta kuitenkin). Tunkeutumisyrityksen jälkeen olisi kiva pommittaa tämän pahantahtoisen konetta..

pingi on tietenkin nopea ratkaisu, mutta pitäs keksiä jotain tehokkaampaa..

 

[naksu]

Tärkeintä on, että asentaa tietoturvapäivitykset välittömästi. Ottaa default-sharet pois päältä ja muistaa myös päivittää kaikkia ohjelmiaan. Esim. p2p softien tietoturva-aukkoja kannattaa seurata tarkasti. Sitten kannattaa lopettaa outlookin käyttö, imuroida esim. mozilla ja käyttää sen mailisoftaa. Näin ei vahingossa päästä mailin mukana tullutta troijalaista koneeseen kun mozillan kanssa on pakko erikseen avata liite ja ajaa se, mikäli välttämättä haluaa saastuttaa koneensa.

Sitten kannattaa esim. käydä osoitteessa:

http://www.securityfocus.com/bid

parin päivän välein katsomassa, mikäli listassa olisi joku ohjelma jota itse käyttää. Tämän jälkeen kannattaa lukea päivitysohjeet ja päivittää kyseinen ohjelma. Yksi erittäin hyvä ratkaisu on myös lopettaa IE:n käyttö selaimena ja käyttää esim. mozilla firefoxia. Virustarkistussofta on myös hyvä olla käytössä. Personal firewall on ihan turha kapistus jos tietoturva on kunnossa. Palomuurit ovat muutenkin aivan turhia, koska niiden käyttä perustuu siihen, että suojataan huonosti suojatut koneet. Jos yksittäisten koneitten tietoturva olisi kunnossa, niin ei tarvittaisi palomuureja.

 

[naksu]

Vähän offtopic, mutta olisiko teillä tietoa, että miten pystyisi koputtelemaan tunkeutujan omia portteja.. Eli kun joku scannaa minun koneen portteja, niin siitä jää minulle aina ip (usein feikki, mutta kuitenkin). Tunkeutumisyrityksen jälkeen olisi kiva pommittaa tämän pahantahtoisen konetta..

pingi on tietenkin nopea ratkaisu, mutta pitäs keksiä jotain tehokkaampaa..

Toi on ihan paskaa, että tunkeutujan IP sun logeissa olisi muka feikki. Nykysin lähes kaikki ISP:t filtteröivät pakettien source IP-osoitteita verkkojensa reitittimissä, joten IP-spooffaus ei ole enää mahdollista (ja TCP:n kohdalla ei ole koskaan ollutkaan ellei hyökkääjä ole murtautunut sinun ja spooffatun IP:n väliseen reitittimeen). Pikemminkin kyse on siitä, että murtautuja yrittää murtautua sun koneeseen jonkun jo murtamansa koneen kautta. Yleensä nämäkin ovat automaattisia botteja, joten siellä takana ei ole mikään muu kuin tavallinen automatiikka, joka levittää sitä eteenpäin.

Toisaalta et hyödy mitään siitä, että pommitat tämän konetta. Jos ajattelit portscannata tämän koneen, niin se tuskin haittaa tätä toista tippaakaan. Itseäni evvk, jos joku portscannailisia mun konetta, mikäli tiedän, että oma tietoturva on kunnossa. Lisäksi et pysty käynnistämään mitään vastahyökkäystä kuten DoS-hyökkäystä, koska sulla tuskin riittää siihen kaistaa, joten ainoaksi vaihtoehdoksi jää jonkun softapohjaisen virheen mahdollistaman DoS-hyökkäyksen tai murron hyödyntäminen. Nämä voit samalla unohtaa. Lisäksi rikot myös lakia, jos hyödynnät niitä.

 

[metalman]

jees, kannattaa useimmiten unohtaa kaikenlaiset vastatoimet jos niskaan ei tule muuta kuin jotain harmitonta porttiscannia, se nyt ei haittaa ketään jos on palomuuri kunnossa.

 

[naksu]

jees, kannattaa useimmiten unohtaa kaikenlaiset vastatoimet jos niskaan ei tule muuta kuin jotain harmitonta porttiscannia, se nyt ei haittaa ketään jos on palomuuri kunnossa.

Eikä haittaa ketään, jolla ei olisi palomuuria myöskään. Jostain syystä porukka pitää nykyään palomuuria jonain ihmelääkkeenä vaikka se on lähes hyödytön kapistus. Se mihin pitää panostaa on yksittäisten koneitten tietoturva (eli päivitysten asennus), mutta se vaatii taas enemmän vaivaa kun taas palomuuri pysyy staattisena lähes vuodesta toiseen, koska käytettävät protokollat ja portit pysyvät samoina.

Lisäksi palomuurin järkevä käyttö vaatii aika paljonkin osaamista. Itseäni ärsyttää kun porukka aina postailee turhia logeja messuboardeille joka kerta kun palomuurin logeissa on muka ollut joku murtautumisyritys. Toiseksi porukat avaa aina portteja kun joku ohjelma ei toimi. Jos palomuuri kysyy, että pitäisikö päästää paketti X läpi, niin siihen ei tavallinen koneenkäyttäjä osaa sanoa juuta eikä jaata.

edit:

En pidä palomuureja hyödyttöminä, koska niillä saa hyviä logeja palvelinten verkon käytöstä, jos esim. yhdistää niiden logeja mrtg:n logien kanssa. Mutta tärkeintä olisi muistaa korjata itse ongelma, eikä vain yrittää lakaista sitä maton alle...

 

[voda]

Palomuurit ovat muutenkin aivan turhia, koska niiden käyttä perustuu siihen, että suojataan huonosti suojatut koneet. Jos yksittäisten koneitten tietoturva olisi kunnossa, niin ei tarvittaisi palomuureja.

Anna kun arvaan, sä et käytä ms:n tuotteita...?

Palomuurit on kuitenkin suhteellisen vaivaton tapa pitää erossa ylimääräisiltä hyökkäyksiltä (kuitenkaan vähättelemättä muutakin tietoturvaa)...

 

[protsku]

Palomuurin kanssa koneelle ei ole tullut vielä toistaiseksi yhtään Lovsanin tapaista mönkiäistä. Ennen niitä tuli kuukausittain. Tämä on aika merkittävä ero käytettäessä Microsoftin ohjelmia.

;)

P.S. Mielestäni tavan kotikoneelle riittää 1-windows updatet 2-antivirus 3-palomuuri 4-ei avata roskaposteja eikä varsinkaan niiden liitetiedostoja

 

[naksu]

Anna kun arvaan, sä et käytä ms:n tuotteita...?

Palomuurit on kuitenkin suhteellisen vaivaton tapa pitää erossa ylimääräisiltä hyökkäyksiltä (kuitenkaan vähättelemättä muutakin tietoturvaa)...

Itse en käytä, mutta mun ylläpitämässä verkossa kyllä niitä käytetään. Kaikki msrpc yms. portit on kyllä palomuurattu, mutta tietoturvapäivitykset asennetaan kyllä samana päivänä kun niistä raportoidaan. Suurin osa tietoturvasta on kyllä hoidettu ihan käyttöoikeuksien puolesta, outlookit on poistettu työasemista ja oletusselaimena on kaikilla mozilla (ja sitä kyllä noin yleensäkin käytetään). Nämä ei tietenkään poista sitä ongelmaa, mikä aiheutuu bugeista softissa, mutta madot ja troijalaiset tulevat kyllä aina jonkin verran päivitysten perässä.

Verkko on kyllä jatkuvasti hyökkäilyn kohteena, koska se on osa funetia ja kaistaa on paljon ja samaten halukkaita sen saamiseksi... UNIX-puolella taas koneessa ei ole yhtäkään porttia kuuntelemassa mikään softa, ellei sitä tarvita. Tietokantapalvelimilla on omat palomuurinsa, jotka avaavat portit vain niitä tarvitseville koneille. Käytän kyllä palomuureja paljon ja loggailen esim. yhteyksiä SSH-portteihin, vaikka ne muuten ovat auki, mutta tämä tuo vain jotain lisää. Tärkeintä on kuitenki yksittäisten koneitten tietoturva. Palomuureja voi miettiä sitten kun on muut asiat kunnossa.

 

[voda]

tietoturvapäivitykset asennetaan kyllä samana päivänä kun niistä raportoidaan.

eikö päivitysten asentaminen suoraan tuotantoon ole liiketoiminnan kannalta aika suuri riski... Ei ole ihan yksi tai kaksi kertaa, kun softat lakkaavat toimimasta päivitysten asennuksen jälkeen..

 

[protsku]

eikö päivitysten asentaminen suoraan tuotantoon ole liiketoiminnan kannalta aika suuri riski... Ei ole ihan yksi tai kaksi kertaa, kun softat lakkaavat toimimasta päivitysten asennuksen jälkeen..

Juu, mutta troijan hevoset ja madot ovat vielä suurempi riski? Korjatkaa jos olen väärässä.

 

[protsku]

Naksu: kannattaisiko kotikäyttäjien siirtyä mielestäsi linuxiin tavallisessa nettisurffailussa ja käyttää windowsia ainoastaan siihen pelien pelaamiseen? Toisin sanoen, kuinka hyvällä tasolla on mielestäsi sellaisten perusdistrojen kuin Mandraken ja Fedoran tietoturva jos käyttää uusinta versiota? Tulisiko kotikäyttäjän päivittää linuxinsa vähintään kerran viikossa sitä mukaa kun linuxin tietoturva-aukkoja havaitaan vai riittääkö uuden distron asentaminen 2 kertaa vuodessa?

Kiitos ja kumarrus ammattilaisen näkökulmasta jo etukäteen!

 

[naksu]

eikö päivitysten asentaminen suoraan tuotantoon ole liiketoiminnan kannalta aika suuri riski... Ei ole ihan yksi tai kaksi kertaa, kun softat lakkaavat toimimasta päivitysten asennuksen jälkeen..

Onhan se, mutta kaikissa palvelimissa on onneksi UNIX. Ongelmia tulee harvemmin kun asentaa jotain minor releasea jostain softasta ja open source softien kohdalla myös vanhempia versioita yleensä päivitetään tietoturvapäivitysten suhteen (esim. linuxin 2.0 kerneli tai samba 2.2). Ongelmia tulee silloin, jos haluaa päivittää uudempaan versioon, jossa on paljon uusia toimintoja ja vanhoja on poistettua tai korvattu uusilla. Toisaalta jos pitää sorsat tallella, niin voi itse paikata löydetyt reiät. Päivitykset kannattaa toki aina testata ennen kuin pistää ne käyntiin palvelimille ja vanhat binäärit tulee aina säilyttää (UNIX:n puolella tuo on helppoa kun asentaa uuden version toisen prefixin kanssa ja vasta kun haivaitsee, että se toimii, niin asentaa sen vanhan tilalle (muistaen tietysti backupata vanhan version), wintoosan kohdalla ei helposti onnistu rekisterin takia...).

Wintoosan kohdalla on kyllä ADS:eä varten w2k3-palvelimet, mutta kun niissä ei pyöri mitään muuta kuin pelkkä käyttis, niin päivitysten asentaminen ei kyllä tuota ongelmia. Muilla saattaa tietysti olla enemmän ongelmia. Päivittäminen on kyllä todella paskaa hommaa. Tosin linuxin saa kyllä aika turvalliseen kuntoon poistamalla kaikki tarpeettomat suid/sgid binäärit ja muut tarpeettomat ohjelmat, sekä säätämällä tiedosto-oikeudet todella tiukoiksi ja lisäksi ajamalla lähes kaikki chrootin alla vailla root-oikeuksia. Silloin joutuu harvemmin päivittämään mitään. Wintoosan kohdalla kaikki toiminnot menee yleensä msrpc:n kautta, josta valitettavasti löytyy vähän turhan usein bugeja ja silloin ei auta mikään muu kuin päivitys.

 

[naksu]

Naksu: kannattaisiko kotikäyttäjien siirtyä mielestäsi linuxiin tavallisessa nettisurffailussa ja käyttää windowsia ainoastaan siihen pelien pelaamiseen? Toisin sanoen, kuinka hyvällä tasolla on mielestäsi sellaisten perusdistrojen kuin Mandraken ja Fedoran tietoturva jos käyttää uusinta versiota? Tulisiko kotikäyttäjän päivittää linuxinsa vähintään kerran viikossa sitä mukaa kun linuxin tietoturva-aukkoja havaitaan vai riittääkö uuden distron asentaminen 2 kertaa vuodessa?

Kiitos ja kumarrus ammattilaisen näkökulmasta jo etukäteen!

Itselläni ei ole kokemusta kuin gentoosta, debianista, redhatistä, fedorasta ja slackwaresta. Täytyy sanoa, että en todellakaan muista mitä redhatissä ja fedorassa yms. pyörii tuollaisen perusasennuksen jälkeen kun itse käytän custom-asennusta ja redhatin kickstartia asentamaan uudet koneet suoraan valmiiksi tehdystä imagesta (vähän kuin wintoosan RIS).

Mutta mutta, jos valitsee tuon minimalistisen desktop-asennuksen, jossa on sitten just mozilla jne., niin aika pieni riski on tulla hakkeroiduksi. Tärkeintä on, että koneessa ei pyöri yhtäkään sovellusta, joka kuuntelisi jotain porttia. Nämä näkee komennolla (täytyy ajaa roottina):

netstat --listening -p

Tuon pitäisi tulostaa listan, joka omalla läppärilläni näyttää tältä:

Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 *:ssh *:* LISTEN 3315/sshd
udp 0 0 *:bootpc *:* 3250/dhcpcd
Active UNIX domain sockets (only servers)
Proto RefCnt Flags Type State I-Node PID/Program name Path
unix 2 [ ACC ] STREAM LISTENING 4664 3519/X /tmp/.X11-unix/X0

Tuo kertoo, että koneeni kuuntelee ssh-porttia ja tuo alempi sitä, että käytän DHCP:tä (bootpc). Ainoastaan "Active Internet connections" puolesta kannattaa olla kiinnostunut, "Active UNIX domain sockets" on vain koneen sisäistä kommunikaatiota varten. Käytännössä sinulla ei pitäisi olla yhtäkään ohjelmaa tuossa ylemmässä rivissä, koska tuskin tarvitset esim. ssh:lla etäkäyttöä koneellesi. "PID/Program name"-sarakkeesta näet ohjelman nimen joka kuuntelee kyseistä porttia. Löydät luultavasti tuon kyseisen ohjelman nimen esim. redhatin "setup"-työkalun "System services" alavalikosta. Tuolta sitten etsit vastaavan ohjelman, poistat listasta, ja käynnistät koneen uudelleen. Sama toimii myös fedorassa.

Vähän vastaavat toimenpiteet voi myös tehdä wintoosassa poistamalla turhat servicet, mutta wintoosassa ei ole mahdollista poistaa paljoakaan, koska muuten kone lakkaa toimimasta.

Mutta jos saat kaikki nuo turhat roskat linuxistasi pois, niin koneeseen on käytännössä mahdoton murtautua. Eli voit hyvin ajaa vuoden samaa linuxia eikä sille tarvitse tehdä mitään. Tietysti weppiselaimia yms. on hyvä välillä päivitellä, mutta muuten on aika minimaaliset riskit, että saat tehtyä jotain pahaa. Tärkeintä on tietysti, että ei _ikinä_ käytä konetta roottina vaan jollain tavallisella käyttäjätunnuksella. Ei myöskään kannata ajaa mitään binäärimuodossa netistä haettua softaa ellei luota sivuun. Ohjelmat kannattaa aina asentaa redhatin virallisen rpm:n kautta.

 

[Dachar]

Kuten Naksu onkin hyvin sanonut, ammattilaisesti, paras tietoturva on ihan perustavaa laatua. Suurin ongelma niin yksittäisillä ihmisillä kuin eri organisaatioilla on ihmisten aiheuttamat, asennellaan kaikki mitä netistä löydetään, avataan kaikki mitä saadaan ja sitten ihmetellään suureen ääneen että "on se tämä tietotekniikka sitten paskaa, kaikki sekoaa ihan itsestään ja Pahat hakkerit tuhosivat kaiken".
Ex-tietoturva ammattilaisena kierrellen konsultoimassa/kouluttamassa yrityksiä heidän tietoturvastaan..ongelma on ihmisten päässä, ei koneissa

 

[naksu]

Kuten Naksu onkin hyvin sanonut, ammattilaisesti, paras tietoturva on ihan perustavaa laatua. Suurin ongelma niin yksittäisillä ihmisillä kuin eri organisaatioilla on ihmisten aiheuttamat, asennellaan kaikki mitä netistä löydetään, avataan kaikki mitä saadaan ja sitten ihmetellään suureen ääneen että "on se tämä tietotekniikka sitten paskaa, kaikki sekoaa ihan itsestään ja Pahat hakkerit tuhosivat kaiken".
Ex-tietoturva ammattilaisena kierrellen konsultoimassa/kouluttamassa yrityksiä heidän tietoturvastaan..ongelma on ihmisten päässä, ei koneissa

Parasta on juuri se, että tietoturvan pitäisi käyttäjien mielestä yleensä olla jotain automaattista, eikä heidän pitäisi siitä välittää. Esim. jos käyttäjät ovat tottuneet käyttämään jotain tietoturvan kannalta pohjimmiltaan surkeata ohjelmaa (kuten outlook), niin yritä mennä sanomaan heille, että sitä ei saa käyttää... ei vain onnistu. Aina tuli valituksia siitä, että toista ohjelmaa on vaikeampi käyttää yms. Ainoa ratkaisu oli poistaa outlook.

Itse olin myös vähän yli vuosi sitten vielä töissä eräässä firmassa, jolloin työtehtäviin kuului käytännössä palomuurien suunnittelu ja asennus erinäisille yrityksille ja samalla piti kouluttaa porukkaa palomuurin vaikutuksista verkon käyttöön, sekä asioita koskien uutta tietoturva policyä. Silloinkin huomasi, että ihmisten asenteet ovat aivan perseestä. Aina löydetään joku kiva pieni ohjelma ja vaikka ohjelmia on kielletty asentamasta, niin "kyllä mä aina tän kerran voin tän asentaa..." ja seuraus on mitä on. Ainoa tapa saada tulosta aikaiseksi on yksinkertaisesti tehdä kaikki tälläinen mahdottomasti. UNIX:lla on kätevä tapa pistää noexec-flägi päälle jokaiseen levyyn jonne käyttäjällä on kirjoitusoikeudet. Wintoosalla ei valitettavasti voi tehdä samaa.

Tietoturva on kyllä sinänsä ihan hienoa ja jopa "ammattilaisten" kohdalla se voi joskus olla aivan syvältä. Tuli esim. tavattua eräs kirjanpitofirma, jonka verkkoa hoiti eräs nimeltämainitsematon yritys. Kyseisen kirjanpitofirman palvelimen kaikki levyt oli jaettu Full Controll Everyone:lla ja firman kaikilla koneilla oli julkiset IP-osoitteet... Sillon ei tiennyt pitäisikö itkeä vai nauraa kun kaikkien asiakkaitten tiedot olivat suoraan julkisia koko maailmalle. Virustorjunnat olivat kyllä kaikki asennetut ja kaikki työntekijät päivittivät koneensa virustietokannan ainakin pari kertaa päivässä. Tässä firmassa vika ei ollut käyttäjien vaan ns. "ammattilaisten".

Eräs mielenkiintoinen juttu on se, että koulujen tietotekniikkaopetuksessa ei vieläkään mainita sanallakaan tietoturvaa. Se kun on nimenomaan asia mikä pitää oppia myös periaatteiden kautta. Nuo asiat voisi saada istutettua ihmisten päähän siinä vaiheessa kun oppivat käyttämään tietokoneita.

 

[Dragon]

Jep, eli millä ohjelmilla voisi seurata/etsiä koneelta jotain ohjelmia/juttuja jotka ei sinne kuulu.
Siis jos joku yrittää tunkeutua koneelle (Win XP Prof) niin millä sitä pystyy seuraamaan?
Jotain freeware ohjelmia mieluiten. Vinkkiä kiitos.

Tässä on yksi, jota olen itse käyttänyt ==>Hijackthis

Ja olet sitten varovainen tuon käytössä... Lue ohjeet.

 

[ljm]

Ad-Awaren lisäksi toinen hyvä on Spybot, Sygate Personal Firewall -ohjelmasta taas löytyy Attack History Graph ja ohjelma hälyttää jos joku yrittää skannata portteja tietokoneesta.

Mitä hyötyä noista hälytyksistä on? Mitä keskiverto koneen käyttäjä hyötyy tästä varoituksesta? Ei todellakaan mitään, koska ei hän siihen voi mitenkään reagoida! Joten moiset popupit voi kyllä suosiolla laittaa pois päältä.