Newsgroup: it.comp.sicurezza.varie
Titolo: Come difendersi da HT e simili?

Dopo tutto lo scandalo HT in tanti si chiedono come fare per difendersi 
dagli spioni siano essi di stato o di altro genere, a rigor di logica 
con appositi firewall o proxy si potrebbe garantire accesso solo a 
determinati servizi e porte e tagliare fuori tutto il resto e poi?
 
Saluti!
GabrieleMax

 ha scritto:

C'é poco da fare sul quel lato quando il cavallo di troia é un
 exploit contenuto in software stradiffuso  sul web come adobe
 flash. Spero che con html5 lo mandino in cantina.
-- 

   flash. Spero che con html5 lo mandino in cantina.
 
Si beh... tolto lo 0day possono esserci anche cavalli di troia 
scaricabili in altro modo vedi allegati email o siti internet che con il 
clicca qui ti fanno attivare qualcosa...
 
Quello che mi chiedevo è se filtrando il traffico e controllando i logs 
quindi facendo girare tutto dietro ad un firewall o un proxy anche gli 
stessi smartphone si riesca ad individuare continui collegamenti ad 
esempio verso il "server rumeno" ed in soldoni alla fine ci si accorga 
che su qualche dispositivo ci sia qualcosa di anomalo! :)
 
Tanto gira e rigira il materiale che prelevano dai vari devices da 
qualche parte deve andare quindi chiudere porte, escludere determinati 
siti o nazioni, mettere degli alert su upload anomali e pesanti etc. 
credo che a qualcosa possa servire!
 
Saluti.
GabrieleMax
 

Il 26/07/15 22:08, GabrieleMax ha scritto:

Dipende, un trojan ben fatto contatta lui dall'interno il server hacker 
esterno; un trojan ben fatto incapsula il traffico trojan dentro una 
finta connessione http o https per non dare nell'occhio; un trojan ben 
fatto sostituisce il comando netstat del tuo sistema operativo con uno 
taroccato che restituisca come risultato tutte le connessioni attive 
tranne quelle del trojan stesso; un trojan ben fatto sostituisce il 
comando ps del tuo sistema operativo con uno taroccato che se gli chiedi 
di mostrare i processi attivi nasconda il trojan stesso.
 
Se il trojan e' sconosciuto purtroppo non c'e' quasi scampo, l'unico 
modo che mi viene in mente e' prendere un pc con 2 schede di rete, 
metterci su una distribuzione di linux o openbsd sicuramente non 
infetta, configurare le 2 schede di rete in modalita' bridge 
(trasparenti), collegarne una delle 2 al pc che si sospetta infetto e 
l'altra ad internet e con il pc con openbsd mettersi a sniffare il traffico.
In alternativa, piu' semplicemente, si potrebbe usare uno switch con la 
porta monitor e attaccarsi a questa.
 
Se si nota traffico anomalo verso host con i quali non si sta 
colloquiando (esempio: non stai facendo niente e partono connessioni SSL 
verso la Russia) c'e' da insospettirsi.
 
Il problema e' che molti computer anche non infetti sono zeppi di 
programmini e software inutili del cavolo che quasi di continuo 
contattano il server del produttore per cercare aggiornamenti, ecc. 
Quindi anche se non stai facendo nulla c'e' lostesso del traffico; 
dovresti prima chiudere tutti i processi.
 

 
 
Compito improbo, come fai a discriminare traffico lecito/illecito?
 Puoi bene implementare delle regole con un firewall ma se le
 richieste partono da un software legittimo ma exploitato il
 firewall non lo sa. E non parliamo di porte quasi sempre sono
 random, se sbaglio qualcuno mi cortegga, e vengono generate di
 volta in volta. L'unica via é usare software sicuro, o meglio,
 ragionevolmente sicuro e aggiornato.
-- 

 
 
 
Infatti basta avere una motherboard della Asus e hai la FTP
 sempre connessa a Taiwan di default.
-- 

   sempre connessa a Taiwan di default.
 
Azz... questa non la sapevo... ma anche in questo caso si potrà chiudere 
qualcosa o no?
 
Saluti.
GabrieleMax
 

 dovresti prima chiudere tutti i processi.
 
Tutto questo è vero e valido in ambito MS o forse anche in ambito Apple, 
lato Linux/Debian no o quantomeno non mi sembra in ogni caso ci sarà un 
modo/firewall/proxy per chiudere TUTTO in entrata ed uscita ed avere una 
sorta di alert da parte di firewall/proxy che qualcosa o qualcuno stanno 
cercando di uscire o entrare.
 
Escludo l'utilizzo di software di controllo lato client perchè il virus 
giusto lo potrebbe gabbare, se hai una Debian o un FreeBSD che ti dice 
"occhio sta succedendo qualcosa" io mi fiderei di più tutto stà a capire 
come quel messaggio possa essere di facile fruizione per l'utente client 
ovvero come possa in maniera diretta partire dal firewall ed apparire 
sullo schermo dell'utente client!
 
Lato smartphone ad esempio io utilizzo OpenVPN+OpenSSL verso casa con 
dnsmasquerade per stare tranquilli navigando in hotspot e simili, a 
rigor di logica potrei aggiungere sempre in casa un firewall!
 
Saluti!
GabrieleMax

 Compito improbo, come fai a discriminare traffico lecito/illecito?
 
In parte hai ragione, diciamo che partendo da una Debian associata ad un 
firewall tipo FreeBSD che ti blocca tutto si può stare ragionevolmente 
tranquilli!
 
Lato client bisogna trovare il modo di far arrivare degli alert ogni 
volta che qualcosa cerca di entrare o uscire e di volta in volta si 
decide se acconsentire o meno.
 
Sempre in ambito Debian decidi tu quando aggiornarti quindi tutto 
sommato il compito in questione dovrebbe essere più semplice perchè da 
solo nè il s.o. nè il software va a cercare updates!
 
Discorso diverso in ambito MS o Apple dove ogni 2 secondi qualcosa ti 
chiederà di entrare o uscire però se vuoi sicurezza da qualche parte 
dovrai pur partire!
 
Saluti!
GabrieleMax

 
 
Se blocchi tutto stacca il cavo che fai prima :-)
-- 

 Se blocchi tutto stacca il cavo che fai prima :-)
 
Uno smartphone potrebbe attivarti la connessione wi-fi o 3g, con una 
cooked rom su Android puoi impostare i permessi di root e di user, 
modifichi da root le tabelle di routing+VPN verso il firewall domestico 
ed intanto puoi usare lo smartphone comunque per far foto o telefonare.
 
Ovviamente preventivamente avrai lasciato accesso alle sole applicazioni 
che vuoi che utilizzino internet in questo modo limitiamo l'accesso al 
mondo poi ovvio se ci sono 0day è un altro paio di maniche ma intanto 
permetti al dispositivo di collegarsi solo a determinati server.
 
Saluti.
GabrieleMax

 ha scritto:

Quando lo sai vai a configurare l'utility di aggiornamento del
 firmware ma  prima devi saperlo... E la maggior parte degli
 utenti
non  usa certo netstat
--