open_ports.sh Vet du vad din dator gör på nätet? tisdag den 19 oktober 2010

Transkript

1 open_ports.sh Vet du vad din dator gör på nätet?

2

3 open_ports.sh (bash-script) tar reda på följande: Öppna förbindelser utåt: program port användare vilken dator man pratar med (DNS-namn) var i välden den finns (land & stad) IPv4 & IPv6* Vilka program lyssnar till inkommande förbindelser: IPv4/v6 program användare port (namn & nummer) servicerange *) IPv6 ännu så länge i IPv4-kompatibelt läge

4 Skapa data Scriptet kör varannan minut och genererar data när scriptet körs av root skapas data när det körs av en annan användare visas data Alla insamlade data läggs som textfiler i en katalog som alla kan läsa, /Library/cs.lth.se/ OpenPorts Den geografiska uppslagningen lagras av prestandaskäl i en växande fil (2400 IPadresser på 4 månader ) Den lokala maskinens IP-adress och lokation reds ut (d.v.s. om man sitter bakom NAT)

5 Presentation av data På skärmen (med programmet GeekTool) i Terminalfönster:

6 Kontroller Varannan timme kontrolleras checksumman för programmet lsof för att upptäcka ett eventuellt intrång. Accessrättigheterna på de ingående filerna Så att det finns datafiler alls (varnar annars) Så att launchd-komponenten kör (sköter körningen varannan minut) Så att datafilerna är yngre än 1 timme Så att man har en IP-adress alls

7 Cirka 500 rader med enkla standardkommandon awk case chgrp chmod curl cut diff dirname echo egrep exit find for grep *) Mac-specifika kommandon host hostname iconv if ifconfig launchctl* less ls lsof mkdir mv openssl printf ps rm route say* sed sort touch uniq wc while >

8 Ett annat sätt att se det: >

9 Exempel från verkligheten

10 Min egen Mac (10.6)

11 Mac OS X 10.6 Server

12 Mac OS X 10.5 Server

13 Intrång!! Så här ser det ut vid ett pågående intrångsförsök (via ssh):

14 vilket leder oss in på nästa script: breakins.sh håller reda på ssh Intrångsförsök: hur många? varifrån? Riktiga (?) inloggningar: vem? varifrån? interaktivt eller med sparad nyckel? fortfarande inloggad? su vem, när och till vem?

15 Breakins.sh Körs var femte minut När den körs av root genereras data När den körs av andra presenteras data (i teminal-fönster eller via GeekTool) Den sparar en dagbok över dagens värste försyndare: : 101: :China:Changchun :2451: :China:Ningbo : 0::: : 110: :China:Guangzhou : 70: :Russian Federation:Moscow : 0::: :1509: :China:Shanghai : 861: :China:Shanghai : 43: :United States:San Diego : 0::: : 184: :Korea, Republic Of:Seoul :4269: :Mexico:Mexico :26129: :: : 194: :China:Hangzhou : 190: :China:Shenzhen : 228: :China:Beijing : 8: :China:Wenzhou

16 breakins.sh har en kompis ban.sh Används för att förhindra trafik till tråkmånsar (använder route -nv add $IP/ för detta) Sparar information i en fil Dessutom slår den upp vad för OS som används av angriparen (sparas) Vid systemstart laddas denna fil Körs det som vanlig användare visas vad som är spärrat

17

18