[Haftanın güvenlik yazılımı]
Yazılım adı :P0f
İndirme adresi :http://lcamtuf.coredump.cx/p0f.shtml
İşlevi : Pasif işletim sistemi belirleme aracı
Ortamı : Linux/UNIX/Windows
p0f network üzerinden dinleme yaparak gelip giden paketlerden paketleri gönderen sistemlerin hangi işletim sistemine sahip olduğunu belirlemek için kullanılan bir araçtır. İşletim sistemi yanında hedef sistemin uptime süresi, varsa load balancer firewall gibi ek cihazları da belirleyebilir.
Genellikle işletim sistemi belirleme için Nmap, Nessus, Xprobe gibi araçlar kullanılır, bu araçların ortak özelliği hedef sisteme çeşitli özel paketler göndererek dönen cevaplardan işletim sistemini belirlemektir. Bu tip bir belirleme yönteminde hedef sistem önünde bulunan IDS/IPS gibi sistemlere yakalanma oranı yüksektir. P0f ise hedef sisteme herhangi bir paket göndermeden sadece dinleme modunda işletim sistemi saptama yapar.
[root@vps-fw ~]# p0fp0f - passive os fingerprinting utility, version 2.0.8
(C) M. Zalewski <lcamtuf@dione.cc>, W. Stearns <wstearns@pobox.com>
p0f: listening (SYN) on 'rl0', 262 sigs (14 generic, cksum 0F1F5CA2), rule: 'all'.
216.9.253.87:33269 - Linux 2.6, seldom 2.4 (older, 4) (NAT!) (up: 1762 hrs)
-> 10.10.10.2:110 (distance 18, link: GPRS, T1, FreeS/WAN)
189.74.181.188:18221 - Windows 2000 SP2+, XP SP1+ (seldom 98)
-> 91.93.119.80:25 (distance 13, link: pppoe (DSL))
200.164.86.74:61665 - Windows 2000 SP4, XP SP1+
-> 91.93.119.80:25 (distance 14, link: ethernet/modem)
122.161.82.83:2453 - Windows 2000 SP4, XP SP1+
-> 91.93.119.80:25 (distance 15, link: pppoe (DSL))
77.121.0.19:3336 - Windows 2000 SP4, XP SP1+
-> 91.93.119.80:25 (distance 10, link: ethernet/modem)
115.161.223.153:3058 - Windows XP/2000 (RFC1323+, w+, tstamp+) [GENERIC]
Signature: [65535:110:1:64:M1460,N,W3,N,N,T0,N,N,S:.:Windows:?]
-> 91.93.119.80:25 (distance 18, link: ethernet/modem)
91.93.119.80:54291 - UNKNOWN [65535:63:1:48:M1460,S,E:P:?:?]
-> 208.184.224.88:25 (link: ethernet/modem)
59.184.152.171:3761 - Windows 2000 SP2+, XP SP1+ (seldom 98)
-> 91.93.119.80:25 (distance 15, link: (Google/AOL))
189.243.35.233:3821 - Windows 2000 SP2+, XP SP1+ (seldom 98)
-> 91.93.119.80:25 (distance 10, link: pppoe (DSL))
65.55.34.208:45597 - Windows 2000 SP4, XP SP1+
-> 91.93.119.80:25 (distance 10, link: ethernet/modem)
91.93.119.80:62738 - UNKNOWN [65535:63:1:48:M1460,S,E:P:?:?]
-> 207.246.196.124:25 (link: ethernet/modem)
91.93.119.80:62928 - UNKNOWN [65535:63:1:60:M1460,N,W3,S,T:.:?:?] (up: 5500 hrs)
-> 155.223.64.165:25 (link: ethernet/modem)
65.55.90.112:20018 - Windows 2000 SP4, XP SP1+
-> 91.93.119.80:25 (distance 11, link: ethernet/modem)
^C+++ Exiting on signal 2 +++
[+] Average packet ratio: 190.91 per minute.#p0f -V 'tcp port 80'istenirse '' arasında bpf sentaksına uygun filtreler yazılarak da kullanılabilir.
İşletim sistemine göre firewall kuralı yazmaPacket Filter güvenlik duvarında işletim sistemine göre kural yazma esnekliği vardır. Bu özellik p0f'dan esinlenerek yazılmıştır. İşletim sistemine göre kural yazarak ağınızda bulunan eski tip işletim sistemlerinin internete çıkışını engelleyebilirsiniz.
Güvenlik duvarıyla birlikte kullanılırken dikkat edilmesi gereken en önemli husus p0f çıktılarının doğruluğudur. Yani Windows 2000 sistemleri yasaklayacağım derken Windows 2003 sistemleri engellemek işimize gelmez. Bu konuda p0f'un güveenilirliği %99 üzerinde olsa da kritik sistemlerde engelleme değil sadece loglama amaçlı kullanılmalıdır.
Aşağıdaki firewalll kuralı işletim sistemi Windows 2000 olan ve SMTP bağlantısı yapmaya çalışan sistemleri bloklamaktadır.
block in on $ext_if proto tcp from any os "Windows 2000" to $ext_if port 25Alternatif araçlar: Ettercap, Network Miner
[Haftanın Misafiri]Türkiye'de bilgi güvenliğinin çeşitli dallarında çalışan uzmanları tanıtıyoruz. Bu haftaki konuğumuz
OWASP-TR kapsamında Web Uygulama Güvenliği üzerine çalışmalarıyla tanınan Bedirhan URGUN.
NGB)Kısaca kendinizden bahsedebilir misiniz?Bedirhan URGUN:Lisans ve yüksek lisans eğitimini bilgisiyar mühendisliği alanında tamamladım. Profesyonel çalışma alanım güvenli yazılım geliştirme süreçleri ve web uygulama güvenliği. Özellikle güvenli geliştirme süreçleri bir çok alt konudan oluşuyor ve büyük kurumsal şirketlerde uygulanması tam bir hendek-deve vakası. Meraklarım ise daha çok yeşil bir saha ve beyaz bir top etrafında oynanıyor...
NGB)Güvenlik işine nasil bulaştınız?
Bedirhan URGUN: Güvenlik işine duyduğum ilgi yüksek lisans sırasında aldığım bir ders (William Stallings, Cryptography and Network Security) ile başladı. İlk başlarda yazılım ve güvenliği birleştirebileceğim bir alan arıyordum. 2005 senesinde Tubitak-UEKAE'de çalıştığım sırada bir çalışma arkadaşım web güvenliğine yönlendirdi beni. Daha sonra her akşam iş çıkışı yazıcı çıktıları ile eve gittiğimi hatırlıyorum.
NGB)Turkiye'de bilgi guvenligi konusunu degerlendirebilir misinizBedirhan URGUN:Bir çok zorluk ve eksiklik olduğu aşikar ama bu bir istisna değil. Hem kurumsal hem de kamusal alanlarda bilinçlendirme konusunda elimizden geleni yapmamız şart. Bu alanlara, özel şirketler olduğu kadar üniversiteler (hatta liseler) ve diğer kamu kurumları da dahil.NGB)Bu ise yeni baslayanlara neler onerirsiniz?Bedirhan URGUN:Bilgi güvenliği alanının her konusunda yeni işe başlayanlara kendini yetiştirmek isteyenlere önerim, araştırmacı ruhlarını ön plana koymalarıdır. Her zaman sistematik çalışma yapmamız mümkün olmayabilir ama temel konuların iyi öğrenilmesi çok önemli (network protokolleri, yazılım temelleri, temel ingilizce, v.b.). Bu süreç bazıları tarafından karate öğrenme sırasında yapılan "cilala parlat" tekniği olarak da bilinir. Ayrıca arkadaşlarımızın her ne kadar ilk bakışta heyecanlı gelse de gücün karanlık tarafına geçmemelerini öneriyorum.
NGB)Sizce 2015 yilinda bilgi guvenligi dunyasi hangi konulari konusuyor olacak?Bedirhan URGUN:Bilgi güvenliğinin ana konuları değerini yitirmeyecektir; risk/açıklık yönetimi, açıklıklar, standardlar. Yakınsama süreci gerçekleştikçe mobil güvenliğin önemi bir o kadar artacaktır. Her ne kadar eski yapılan hatalardan dersler çıkarılıp, uygulansa da kullanıcı/cihaz sayısının ve bağımlılığın artması beraberinde bilgi güvenliğinin çok daha ciddiye alınmasını getirecektir.NGB) Zaman ayırarak sorularımıza cevap verdiğiniz için teşekkür ederiz.
[Etkinlikler]
-Web Güvenlik Topluluğu(OWASP-TR) buluşuyor26 Eylül Cumartesi saat 14:00′de Taksim/İstanbul’da buluşuyor.http://www.webguvenligi.org/etkinlik/bulusma-26-eylul.htmlOracle Developer Day: 15 Ekim 2009