به عنوان يك متخصص امنيت شبكه شما بايد بتوانيد در برابر حملات Enumeration و درج اطلاعاتي هويتي از سرور يا سرويس هايتان ، آنها را امن كنيد. در اين مقاله مي خواهيم به روشهاي مقابله با حملات Enumeration بپردازيم و ايمن سازي شبكه در برابر اينگونه حملات را با هم مرور كنيم.
معرفي روشهاي مقابله با LDAP Enumeration به زبان بسيار ساده
دقت كنيد كه جلوگيري از LDAP Enumeration اصلا به سادگي جلوگيري از Enumeration در ساير سرويس ها نيست به دليل اينكه اگر به درستي اين سرويس كار نكند كل فعاليت شبكه داخلي شما كه بعضا مبتني بر Active Directory است دچار اختلال مي شود.
در واقع بهترين راهكار جلوگيري از LDAP Enumeration بدون اينكه مشكلي براي كاربران به وجود بيايد استفاده از مكانيزم Application Virtualization اي مثل Citrix است كه به شما يك Remote Session مي دهد كه بتوانيد كارهاي خودتان را انجام بدهيد اما طبيعتا هر كسي نمي تواند با استفاده از اين مكانيزم همه كاربران شبكه را به استفاده از اين ابزار هدايت كند.
جلوگيري از LDAP Enumeration بايستي خيلي با احتياط انجام شود و از جمله مواردي است كه شما به خيلي چيزها بايد توجه كنيد كه دچار مشكل نشوند. اما بصورت كلي استفاده كردن از پروتكل NTLM و به ويژه NTLMv3 در شبكه براي برقراري ارتباط با Active Directory و همچنين استفاده از Basic Authentication در ارتباطات باعث كاهش ريسك اين تكنيك مي شود ،
شما بايد سعي كنيد كه ترافيك عبوري را محدود به كاربران عضو دومين و از طريق پروتكل هاي امني مثل SSL يا IPsec رد و بدل كنيد. و آخرين گزينه كه يك قابليت مبهم سازي هم مي باشد اين است كه از همان ساختار نامگذاري ايميل ها براي نامگذاري كاربران شبكه استفاده نكنيد.
آشنايي با روشهاي مقابله با SNMP Enumeration به زبان بسيار ساده
دقت كنيد كه ساده ترين و موثرترين اقدام در خصوص آسيب پذيري هاي يك سرويس اين است كه اگر اين سرويس مورد نياز نيست ! پس آن را غيرفعال كنيد ! يعني چيزي كه وجود نداشته باشد آسيب پذيري هم نخواهد داشت بنابراين شما بايد سرويس يا Agent اي كه براي SNMP استفاده نمي شود را از روي سرورها و كلاينت ها و ساير تجهيزاتي كه از آن استفاده نمي كنيد غيرفعال كنيد و به كلي حذف كنيد. اگر توانايي حذف كردن اين سرويس را نداريد سرويس آن را در سيستم عامل ها غيرفعال يا Disable كنيد.
اگر امكان اين وجود ندارد كه سرويس را غيرفعال كنيد يا حذف كنيد شما بايد Community String هاي پيشفرضي كه براي اين سرويس مورد استفاده قرار مي گيرد را تغيير بدهيد. در واقع با تغيير دادن Default Community String شما خطري به نام Default Passwords را از روي اين سرويس حذف كرده ايد و امنيت اين سرويس را بالا برده ايد.
اگر در شبكه هاي مبتني بر سيستم عامل هاي سرور و كلاينت مايكروسافت كار مي كنيد و امكان استفاده از قابليت هاي Group Policy را داريد قابليتي به نام Additional restrictions for anonymous connections را فعال كنيد و بر روي كلاينت ها نيز اعمال كنيد از طرفي دسترسي به انواع null session ها از جمله pipe ها و share ها را محدود كنيد و در ضمن IPsec را نيز مي توانيد در شبكه براي رمزنگاري داده ها و ارتباطات استفاده كنيد.
فراموش نكنيد خواه ناخواه مسدود كردن دسترسي به پورت هاي مورد استفاده توسط SNMP نيز بسيار موثر است زيرا در صورت عدم امكان غيرفعال كردن اين سرويس پورت مورد نظر توسط فايروال حفاظت مي شود بنابراين دسترسي به پورت 161 هم بصورت UDP و هم بصورت TCP را مسدود كنيد. همچنين به عنوان نكته آخر ، قبل از نصب كردن Component هاي ويندوز بررسي كنيد كه آيا همزمان SNMP را نيز نصب مي كنند يا خير اگر اينطور است اين Component ها را نصب نكنيد.
الان مي خواهيم در خصوص نحوه جلوگيري از SMB Enumeration توضيح بدهيم. سرويس SMB سرويسي است كه بصورت ذاتي از نظر امنيتي بسيار مي تواند خطرناك باشد هرچند كه ماهيت برخي از سرويس هاي حياتي شبكه نيز بر عهده اين سرويس مي باشد. اكثر سرويس هايي كه در شبكه وابسته به ماهيت اشتراك گذاري هستند اعم از اشتراك گذاري فايل و پرينتر از اين سرويس استفاده مي كنند.
اين روزها به غير از بحث Enumeration حملات بسيار زيادي در حوزه Ransomware يا باج افزارها نيز بر روي اين سرويس انجام مي شود كه اين سرويس را هر روز خطرناكتر از روز قبل مي كند اما خواه ناخواه دو حالت وجود دارد براي امن كردن اين سرويس ، اگر شما سروري داريد كه داراي سرويس هاي خاصي اعم از DNS يا Web است و ماهيت اشتراك گذاري مثل فايل و پرينتر بر روي آن وجود ندارد مي توانيد سرويس SMB را به كلي از روي آن حذف كنيد.
در سيستم عامل هاي ويندوزي مي توانيد از طريق تنظيمات كارت شبكه قابليت File and Printer Sharing For Microsoft Networks را غيرفعال و Uninstall كنيد يا در ويندوزهاي سرور مي توانيد در قسمت Component هاي موجود SMB را حذف كنيد.
بر روي سرورهايي كه بصورت مستقيم بر روي اينترنت سرويس دهي مي كنند حتما اين سرويس را غيرفعال كنيد و بصورت كامل از روي سرور حذف كنيد ، پورت هاي 139 و 445 بصورت TCP را از طريق فايروال سيستم مسدود كنيد و در نهايت در سيستم عامل هاي خانواده ويندوز از طريق تنظيمات رجيستري تنظيمات مربوط به جلوگيري از Null Sessions را از طريق RestrictNullSessAccess انجام بدهيد تا از خطرات ناشي از Enumeration در امان باشيد.
معرفي روشهاي مقابله با SMTP Enumeration به زبان بسيار ساده
نوبت به روش هاي جلوگيري از اين حملات و امن كردن سرويس SMTP مي رسد. امن كردن سرويس SMTP به نسبت ساير سرويس ها تقريبا ساده تر است در وهله اول بررسي كنيد كه اصلا شما نياز به سرويس SMTP داريد يا خير ؟
در بسياري از موارد شما مي توانيد پروتكل IMAP را جايگزين اين سرويس كرده و بصورت آنلاين همه كارهايتان را انجام بدهيد اما اگر مجبور به استفاده از SMTP هستيد حتما ارسال ايميل به گيرندگان ناشناس يا Unknown Receipts را در تنظيمات ايميل سرور خودتان غيرفعال كنيد يعني تا زمانيكه اعتبار درخواستي كه به سمت ايميل سرور مي آيد تعيين نشود ايميل پاسخ به اين دومين هاي ناشناس را ارسال نكنيد.
معمولا نرم افزارهاي ايميل سرور اطلاعاتي از نوع ايميل سرور و نسخه ايميل سرور را در هر ايميلي كه ارسال مي كنند با پيام ها ارسال مي كنند كه مي تواند باعث افشاي نسخه ايميل سرور و در نتيجه انجام حملات مبتني بر نسخه ايميل سرور شود ، در تنظيمات هر ايميل سروري اين امكان وجود دارد كه از ارسال و در اصطلاح Sign كردن ايميل ها با نام ايميل سرور خودداري شود كه اينكار را بايد در تنظيمات ايميل سرور انجام بدهيد.
در نهايت قابليت Open Relay را در تنظيمات SMTP سرور غيرفعال كنيد. ايميل سرورها قابليتي دارند كه مي توانند چندين آدرس Domain مختلف را بر روي خودشان سرويس دهي كنند و همچنين به عنوان يك Third Party يا نرم افزار جانبي براي ارسال ايميل ساير دومين ها نيز مورد استفاده قرار بگيرند كه به اينكار در اصطلاح فني Relay كردن گفته مي شود. هر تلاشي كه براي ارسال كردن ايميل با آدرس هاي دوميني به غير از آدرس هاي Local خود سرور انجام شود به عنوان Relay نيز شناخته مي شود كه اين قابليت در ايميل سرور شما بايد غيرفعال شود.
معرفي روشهاي مقابله با DNS Enumeration به زبان بسيار ساده
نوبت به ارائه راهكارها براي امنيت بيشتر اين سرويس در مقابل حملات DNS Enumeration است . در اولين گام سعي كنيد تا زمانيكه به اين سرويس مسلط نشده ايد و دقيقا مكانيزم كاري آن را درك نكرده ايد سرويس DNS عمومي راه اندازي نكنيد. اين يك پيشنهاد دوستانه از طرف خودم بود
اما بصورت كلي زمانيكه DNS سرور در سيستم عامل هاي مختلف را نصب و راه اندازي مي كنيد قابليت يا گزينه اي وجود دارد كه امكان Zone Transfer را فعال يا غيرفعال مي كند و در عين حال شما سرورهايي كه مجاز به دريافت Zone Transfer هستند را نيز مشخص مي كنيد. اگر قرار نيست DNS سرور شما Zone Transfer داشته باشد اين قسمت را غيرفعال كنيد و اگر قرار است با سرورهاي خاصي ارتباط و Zone Transfer داشته باشد حتما آدرس هاي IP آنها را در اين ميان تعريف كنيد.
اگر در شبكه هاي مبتني بر سيستم عامل هاي مايكروسافت هستيد و DNS سرور شما ويندوز سرور است و بر روي يك Doman Controller قرار دارد مطمئن شويد كه Replication بين Domain Controller ها براي سرويس DNS حتما از طريق اكتيودايركتوري انجام مي شود به زبان ساده تر هيچوقت گزينه نگهداري Zone در قالب فايل در تنظيمات DNS سرور را فعال نگه نداريد مگر در زمانيكه نياز به كپي كردن Zone داشته باشيد. اگر از تركيب دو نوع DNS سرور داخلي و خارجي يا مكانيزم DNS Split در شبكه استفاده مي كنيد مطمئن شويد كه آدرس هاي IP Private شما در DNS سرور Public شما قرار نگرفته و بصورت عمومي در دسترس نباشند.
نوع خاصي از ركوردهاي DNS به نام HINFO وجود دارد كه اطلاعاتي از قبلي نوع سيستم عامل سرور و حتي اطلاعاتي مربوط به نوع CPU و ... را در خود نگه مي دارد. شما بايد مطمئن باشيد كه در DNS سرور شما HINFO Record يا چيزي مشابه آن وجود نداشته باشد و چنين ركوردهايي را از مجموعه فايل Zone حذف كنيد. در فرآيند مديريتي DNS هيچوقت ركوردها يا اطلاعات تماسي قرار ندهيد كه از طريق آن مهاجم بتواند حملات مهندسي اجتماعي را تدارك ببيند و تا جاي ممكن اطلاعات هويتي و تماس را از سرويس DNS حذف كنيد.
حتما از فرآيند مبهم سازي در ركوردها استفاده كنيد و يك الگوريتم مبهم سازي براي خودتان بصورت درون سازماني و برون سازماني تعريف كنيد براي مثال Accounting.tosinso.com بصورت واضحي نشان مي دهد كه سرور حسابداري در پشت زمينه اين اسم قرار دارد اما وقتي با اسمي مثل 00989121.tosinso.com مواجه شويد مهاجم نمي تواند سرويس پس زمينه را تشخيص بدهد و شناخت شبكه داخلي برايش مبهم تر خواهد شد.
پيش زمينه هاي ورود به دنياي هك و امنيت قطعا دوره هاي آموزش شبكه هاي كامپيوتري و به صورت ويژه دوره آموزش نتورك پلاس است. در دوره آموزش هك قانونمند و يا دوره CEH شما به خوبي با نحوه پياده سازي چنين حملاتي آشنا مي شويد و صد البته مفاهيم مربوط به ماهيت و مفاهيم امنيت شبكه و هك و نفوذ را نيز در دوره آموزش سكيوريتي پلاس آموزش خواهيد ديد. پيشنهاد مي كنم اگر هنوز در خصوص دنياي هك و نفوذ داراي ابهام هستيد حتما مقاله چگونه هكر شويم در اين لينك را مطالعه كنيد. اميدوارم مورد توجه شما عزيزان قرار گرفته باشد. با تشكر محمد نصيري
فراموش نكنيد كه هم Public Community String و هم Private Community String را تغيير بدهيد. با توجه به آسيب پذيري هايي كه در نسخه هاي قديمي SNMP وجود داشت حتما در صورت امكان و پشتيباني نرم افزارها يا سيستم عامل هاي خود ، نسخه SNMP خودتان را حتما به Version 3 ارتقاء بدهيد زيرا اين نسخه از اين سرويس داراي رمزنگاري در لايه پسورد و پيام هايي است كه در شبكه منتقل مي كند وهمين مورد باعث مي شود كه امكان شنود اطلاعات توسط مهاجمين به حداقل برسد.
برچسب:
, آموزش هك ،آموزش هك قانونمند،آموزش CEH ،آموزش سكيوريتي پلاس،آموزش Security،آموزش امنيت شبكه،
ادامه مطلب
بازدید: