Parafraseando o clássico anúncio do serviço público, são 10 p.m., você sabe o que está na sua rede? A dura realidade é que, se você está confiando em ferramentas de segurança que usam a atribuição do porto para determinar se o tráfego deve ser inspecionado e por quais ferramentas, então não, você provavelmente não sabe o que está em sua rede. Neste blog explicarei algumas razões pelas quais é assim, e como a Gigamon pode lidar com uma vulnerabilidade emergente.

Pacotes disfarçados
Vamos falar sobre uma maneira relativamente nova que os atacantes estão iludindo a detecção, especificamente através da falsificação de portas.

Spoofing de porta é uma forma de falsificação de rede. A falsificação de rede descreve um tipo específico de ataque cibernético, no qual um ator de ameaças tenta obter acesso a uma rede falsificando um usuário, dispositivo, porta de rede ou computador autorizado. Através da falsificação de porta/rede uma vez que o invasor tenha acesso, eles são capazes de se mover facilmente através de seus sistemas, comprometendo seus dados vitais.

Spoofing de porta é uma falsificação de rede que depende do uso de portas TCP/UDP de rede não padrão. Existem muitas variações e detalhes, mas a ideia básica é que um invasor tenta contornar as salvaguardas do perímetro direcionando o tráfego de rede com intenção maliciosa usando portas não padrão (leia-se: inesperada).

Exemplo: Port Spoofing SSH Traffic
Um dos exemplos mais comuns e perigosos, que vou investigar aqui, é a falsificação de tráfego de protocolo de conchas seguras (SSH). O SSH é geralmente atribuído à porta 22. As ferramentas de segurança supõem que o tráfego SSH usará a porta 22, e quase todas as equipes de rede do mundo mantêm essa porta completamente bloqueada. Eles não querem, afinal, estranhos aleatórios iniciando sessões SSH dentro de suas redes, controlando servidores e transferindo arquivos.

protegido. Direita?

Não é bem assim.

Não porto 22, mas porto 443
E se alguém falsificasse o tráfego da SSH? Digamos que eles enviem para a porta 443 em vez da porta 22. A porta 443 é amplamente utilizada para HTTPS/SSL/TLS. O tráfego HTTPS é totalmente onipresente na empresa moderna, tanto para atividades críticas aos negócios quanto para pessoas físicas. Os firewalls de TI não vão bloquear rotineiramente a porta 443/HTTPS, tornando-se assim um ponto de entrada ideal para atacantes.

Vulnerabilidade: Avaliação do tráfego apenas por porta
Você vê o problema: Se sua infraestrutura de segurança determinar o tráfego legítimo da Internet apenas por porta, então ele não notará nada incomum sobre esses pacotes falso-HTTPS que poderiam ser sessões SSH que abrigam malware disfarçado ou transportando dados confidenciais.

Para adicionar insulto à lesão, pensando que esse tráfego é HTTPS, a rede pode até enviar esse tráfego hostil de SSH para ferramentas irrelevantes em sua suíte (por exemplo, um firewall de aplicativo web) que são incapazes de analisá-lo. Se você fala uma língua estrangeira para mim, eu não vou compreender o significado. Da mesma forma, quando a maioria das ferramentas de segurança recebem o tipo errado de tráfego, eles não podem analisá-lo. Eles receberão SSH e o tratarão como HTTPS, dando de ombros e dizendo “Eu não sei o que é isso” antes de continuar a ignorá-lo.

SSH: Está chamando de dentro da casa
Isso é ruim porque o SSH é um dos protocolos mais arriscados que uma organização poderia permitir.

Quão ruim? Um ator mal-intencionado poderia usar spoofing para criar um cliente SSH dentro da rede corporativa, definindo-o para ouvir uma determinada porta externa. Então é uma questão simples enviar comandos para ele através de um servidor externo de comando e controle. O invasor pode causar todos os tipos de dano, seja para plantar malware, exfiltrar arquivos ou até mesmo redirecionar consultas internas de banco de dados para um banco de dados externo sob seu controle, sem nenhum mais sábio.

Outro agressor poderia subornar um membro da equipe de limpeza para esconder um Raspberry Pi debaixo do chão e conectá-lo à rede. A TI nota um aumento do tráfego “SSL” para um determinado endereço IP, mas, ei, isso é coisa de serviços web, então sem maior percepção das ferramentas de segurança, eles apenas assumem que os desenvolvedores estão trabalhando em algum projeto e deixam isso assim. Mais uma vez, o atacante tem carta branca para fazer o que quiser.

Isso pode estar acontecendo agora. Se suas ferramentas de monitoramento não são inteligentes o suficiente para olhar além de significantes superficiais como porta de destino, como você saberia?

Você não pode se esconder da inspeção de pacotes profundos
Não basta apenas monitorar o tráfego indo e vindo dos portos; você precisa de informações sobre o que esse tráfego realmente é — uma capacidade de olhar além do número da porta, usando dpi (Deep Packet Inspection, inspeção de pacotes profundos) para identificar corretamente aplicativos e protocolos. Na Gigamon, nos referimos a isso como inteligência de aplicativos.

A Gigamon introduziu recentemente o Application Filtering Intelligence, que identifica mais de 3.000 aplicativos comuns de negócios e consumidores usando inspeção profunda de pacotes. A Inteligência de Filtragem de Aplicativos não olha apenas para os cabeçalhos externos, mas também olha mais profundamente para o pacote. Analisamos profundamente as características únicas do pacote que definem um determinado aplicativo.

No caso de falsificação de porta, a Gigamon pode alertá-lo para o fato de que o tráfego de aplicativos SSH camuflado estava sendo enviado através da porta 443.

Então é fácil de resolver, quer isso signifique atualizar regras para bloquear esse tráfego ou alguma outra forma de remediação. O ator ruim pode tentar falsificar para qualquer porta que quiser, mas toda vez que a Inteligência filtrante de aplicativos Gigamon irá identificá-la corretamente.

Infelizmente, os atacantes estão continuamente evoluindo suas táticas. É provável que os atacantes passem para outros vetores assim que perceberem que as organizações estão em seu jogo de spoofing de porta. A Gigamon está comprometida em ajudá-lo a monitorar e controlar melhor o tráfego da rede, para que você esteja pronto para o que vem a seguir.