Введение
В общем, вы не думайте, что Defcon — это единственная конференция хакеров на западном побережье США. Мероприятие по компьютерной безопасности Toorcon проводится уже шестой год и вызывает немалый интерес специалистов.
Конференция Toorcon проводилась с 24 до 26 сентября в солнечном калифорнийском городе Сан-Диего. Посетило её более 300 человек — в результате получилась небольшая, но дружная группа специалистов, интересующихся компьютерной безопасностью.
Мы тоже не остались в стороне и постараемся осветить это мероприятие, начиная от информативных семинаров и заканчивая выставкой производителей. Возможно, в следующем году вы пожелаете поучаствовать в конференции лично.
Информативные семинары
Скотт Кеннеди (Scott Kennedy) рядом с тренировочной стойкой.
Около 20 человек не пожалели $300-500 (в зависимости от времени регистрации), чтобы посетить специальные семинары (Deep Knowledge Seminars) в пятницу, перед открытием Toorcon. Они продолжались по 75 минут и оказались крайне информативными.
Один из самых интересных семинаров — Mobile Cyber Warfare Training — провёл Скотт Кеннеди из SAIC. Он был посвящён тренингу ИТ-персонала против кибератак. SAIC проводит тренинг «Red versus Blue», где ИТ-персонал (Blue Team) должен защищать сеть от группы хакеров (Red Team).
Всё необходимое аппаратное обеспечение для состязания размещается в небольшой стойке, которую легко транспортировать. Кстати, для группы в пятнадцать человек тренировка стоит около $20 000.
Тренировка «Red versus Blue» очень важна для практикующих сетевых администраторов, которые часто не имеют достаточного опыта отражения атак. В команде хакеров (Red Team) участвуют представители SAIC, которые применяют все свои знания, чтобы сломить команду ИТ-персонала. Во время битвы возникает немало интересных решений.
Мы поинтересовались, какие самые сумасшедшие способы защиты встречались Скотту Кеннеди. Чтобы остановить атаку на ядро, одна из групп ИТ-персонала решила удалить ядро ОС с компьютера Sun — такой подход работал великолепно до перезагрузки системы. Как вы понимаете, сервер вряд ли загрузится, если ядро отсутствует.
Мы все наслышаны о частых взломах web-сайтов. Хакеры проникают на сайт и подменяют файл index.html на что-то дикое и непредсказуемое. Подобные атаки сильно досаждают ИТ-персоналу.
Один администратор, почти гений, скопировал файл index.html в другой каталог, а затем добавил в расписание задачу перезаписи оригинального файла index.html каждую секунду. Если подобный способ и не может остановить атаку, он позволяет сохранить web-сайт компании. Даже если атакующий поменяет файл index.html, в следующую секунду он будет перезаписан правильной копией.
Некоторые администраторы пошли ещё дальше и записали сайт на CD, а потом копировали его в папку «Apache» каждую секунду. Поскольку CD доступен только для чтения, хакер ничего сделать не сможет.
Семинары в субботу и воскресенье
Основные семинары проводились в субботу и воскресенье. Они были разбиты на два потока: «Attack and Destroy» («Атакуй и уничтожай») и «Protect and Defend» («Защищай и сохраняй»). Темы семинаров были разнообразны: от текущего состояния беспроводной безопасности до анонса новых хакерских утилит типа Unicorn scan.
Большинство докладчиков записали слайды в форматах PDF или PowerPoint на CD, который раздавался участникам. Идея великолепная, поскольку посетить все семинары невозможно. Также во время мероприятия не нужно себя утруждать и делать заметки.
Один из семинаров, «Advanced Packet Injection in 802.11a/b/g Networks» («Расширенная подмена пакетов в сетях 802.11a/b/g»), проводился в условиях цензуры со стороны представителей правительства США. Докладчики Бред Харрис (Brad Harris) и «Deker» получили письмо, в котором настоятельно не рекомендовалось проводить подобный доклад на Toorcon. Впрочем, семинар состоялся, но превратился в сессию вопросов и ответов, умело обходя правительственное минное поле.
Беспроводное оружие массового уничтожения
Докладчик «Beetle» из Shmoo Group всегда привлекает внимание своим остроумным и практичным стилем. На семинаре «The Wireless Weapons of Mass Destruction» («Беспроводное оружие массового уничтожения») было затронуто множество тем и рассказано о многих утилитах. Доклад и код доступны на сайте Shmoo.
Под Windows существует не так много беспроводных утилит — не считая NetStumbler да и встроенных в систему средств. «Beetle» показал, как можно атаковать интерфейс WMI (Windows Management Interface), а с помощью скрипта vbscript создавать очень полезные утилиты.
Наиболее полезной будет утилита HotspotDK, расшифровывающаяся как «Hot Spot Defense Kit». Утилита позволяет определять атаки, связанные с точками доступа. Она предупредит беспроводного пользователя, когда определит другой SSID, MAC-адрес или существенное изменение в силе сигнала.
Все события заносятся в журнал, и их можно потом проанализировать. Вы можете считать HotspotDK системой обнаружения вторжения для вашей беспроводной карты. Утилита видна как значок в панели задач и не мешает работе.
Группа Shmoo будет проводить своё собственное мероприятие 4-6 февраля 2005 года в Вашингтоне. Если качество доклада можно считать показателем, то встреча будет интересной. Дополнительную информацию можно получить здесь.
Unicornscan: адский сканер портов
Большинство ИТ-специалистов знают о существовании утилит сканирования портов, типа Nmap и scanrand. Эти инструменты отсылают пакеты в поисках открытых портов на машинах жертв. Хотя инструменты и бывают полезны, набор функций часто бывает слабоват.
Роберт Ли (Robert E. Lee) из Dyad Security анонсировал утилиту Unicornscan, представляющую собой расширенный сканер портов. Она базируется на технологии «stateless packet scanning» и может быстро сканировать указанные машины. Результаты сохраняются в базу данных и могут использоваться позднее.
Утилита имеет удобный web-интерфейс со всевозможными опциями. Достаточно интересной особенностью является эмуляция нескольких IP-стеков, чтобы обманывать умные брандмауэры на машине жертвы. Некоторые компании обеспечивают доступ только стеку OpenBSD. С Unicornscan проблем не возникнет: пара щелчков мыши, и у вас под рукой стек OpenBSD.
Как сообщил Ли, Unicornscan может выдавать 30 000 пакетов в секунду на обычной сетевой карте. В ближайшем будущем он надеется достичь миллиона пакетов в секунду. Вообще, во время тестирования Unicornscan сетевая карта ноутбука-жертвы сгорела, поскольку не смогла справиться со столь высоким количеством пакетов.
Сканирование можно запускать по расписанию. Хорошая функция для тестирования машин на другой стороне света. Сканирование можно остановить и запустить позже.
После долгого дня трудового
Спонсором субботней вечеринки стала Shmoo Group, обеспечив посетителей пивом и пиццей «на халяву». Если кто-то не хотел ждать вечера, то можно было пройтись в один из близлежащих ресторанов и баров.
Ряд семинаров в воскресенье не был проведён из-за отсутствия докладчиков. Будем надеяться, что домой они доберутся успешно.
Выставка компаний: отмычки и кофеиновые конфетки
Подобно конференции Defcon, на Toorcon продавали разнообразные мелочи. Если вы желали поднять уровень компьютерных знаний, то можно было приобрести книжки по хакерству со скидкой 20-30%. В качестве бонуса можно было получить и подпись автора.
Не желаете получить старинную технику Sun, Cobalt или Big IP? Одна из компаний предлагала широкий ассортимент старых серверов и маршрутизаторов. Не желаете установить в свою стойку голубую коробку Cobalt? Там же можно было купить КПК Apple Newton по $15.
Компания Irvine Underground продавала отмычки. Их сразу же можно было проверить в деле — на нескольких замках, отданных на растерзание посетителям.
Засыпаете на лекциях? Не беда, поскольку Irvine Underground продавала различные кофеиновые конфеты и леденцы. Две или три конфеты заменяют чашку кофе. Некоторые посетители закупали их просто пачками. Но не переусердствуйте.
Для тех хакеров, кто любит красиво и оригинально приодеться, на конференции можно было купить футболки с забавными рисунками и надписями. Из цветовой гаммы наиболее популярным был чёрный цвет.
Заключение
Toorcon — это недорогая конференция, где можно получить знания о компьютерной безопасности, потренироваться и пообщаться с умными людьми. Многие хакерские продукты объявляются на конференции впервые. Вы можете спросить у экспертов совета и получить квалифицированную консультацию. Для любого специалиста в области компьютерной безопасности посещение Toorcon будет очень полезным.
