JIT SPRAY АНАЛИЗ TDSS - Xakep Online

достают через АНБ. Выбор, по большому счету,
ограничен только фантазией админа.
Разумеется, все это протоколируется.
Например, говорю про свою машину, так как
знаю ее лучше всего.
Собственно, сама машина — 200 рупий. ОС
к ней идет бесплатно, у меня была CentOS. Сервер
«Астериск» — 100 рупий. IP tables — 100
рупий. WireShark — 100 рупий. Войс-клиент
— 100 рупий.
Кстати, интересный нюанс — все сервера мы
строили сами, с нуля, а вот готовые имейджи
рабочих компьютеров нам прислали из
АНБ. Над этими образами в АНБ изначально
хорошо так посидели, и часть нашей задачи
заключалась еще и в том, чтобы все это хорошо
осмотреть и почистить. Просто переустановить
все заново было нельзя, нужно было именно
разобраться, что с ними сделали, и все это
аккуратно вычистить.
М.: И что же там было?
Д.Х.: Скорее уж, чего там только не было!
Руткиты там были в ассортименте, троянов
куча, целый выводок вирусов, а на двух компах
вообще RAdmin стоял в открытую. Самое
смешное, что один RAdmin наш нуб-помощник,
проверявший образы, умудрился пропустить.
Заметил я его чисто случайно.
М.: А можно поподробнее на счет «хакерского
софта», который вы юзали? Это была фигура
речи, или вы действительно используете
какие-то не слишком легальные тузлы?
Д.Х.: Все защитные тулзы абсолютно легальны.
Разве что на админском компе что-то
такое было, но я туда не заглядывал. Есть такой
термин — plausible deniability... То есть, если
я чего-то не знаю, и меня об этом спросят, то я
совершенно честно и искренне смогу сказать,
что «разумеется, нет, я ничего не знаю, ничего
не видел!». Вот из этих соображений и не
заглядывал :).
С другой стороны, то, что есть в открытом доступе,
не всегда равняется тому, что легально.
Rainbow Tables — они легальны? Вроде бы
нет. Но они есть у каждого уважающего себя
айтишника. Или Metasploit? Это я так, называю
первое пришедшее в голову. Тот же самый
BackTrack... у нас там много всего интересного
есть.
М.: Хорошо, с подготовкой, кажется, разобрались.
Теперь расскажи о том, как проходит
соревновательная неделя Cyber Defense
Exercise.
Д.Х.: В общем, вся сетка строится примерно
за неделю. То есть устанавливается VPN,
делаются серверы, все это соединяется,
настраиваются антивири и файерволы...
Потом это несколько дней тестируется во
всех режимах, а затем начинается непосредственно
игра.
Каждый день игры состоит из трех частей:
Red Time — 08.00-16.00, все на местах, включая
Gray Cell, жизнь кипит.
White Time — 06.00-08.00, 16.00-22.00, на
месте может быть минимальное количество
людей, «серые» отдыхают, красная команда
обещает не слишком сильно нас трепать.
Пока длится «белое время», можно назначить
два часа Downtime («перерыв»), когда всю
сетку можно вывести в полный даун и работать
над серверами. Апдейты, там, латание
найденных дырок, восстановление работоспособности.
Все это назначается в конце
рабочего дня, 16.00.
«Äîñòàòü ÀÍÁ ïîëó÷èëîñü òîëüêî ó US
Airforce Institute of Technology, íî ýòè ïàðíè
óæå ïîëó÷àþò äîêòîðàòû â îáëàñòÿõ IT-áåçîïàñíîñòè,
è îíè âçÿëè òîëüêî 1 òîêåí èç 16.
Ýòî âïîëíå íîðìàëüíàÿ ñòàòèñòèêà»
XÀÊÅÐ 09 /140/ 10
Black Time — 22.00-06.00, никого из наших в
лаборатории быть не может, активность «красных»
минимальна.
Последнее появилось недавно и сделано это
в основном для того, чтобы гарантировать,
что мы вообще спим — в прошлых играх были
случаи, когда люди работали сутками напролет
и устраивали себе в лабе спальные места.
Лично нам спать там уже не приходилось (да
и не позволялось), но зато у нас возникли
«перебои» с едой. То есть так получилось,
что времени на походы в столовую, даже по
очереди, у нас не оставалось. Вообще и никак.
В итоге наши профессора были вынуждены по
очереди нас кормить — тупо таскали нам еду
прямо в лабораторию.
М.: То есть АНБ действует в полную силу, не
щадит вас и передохнуть не дает?
Д.Х.: Нет, не щадит. Единственные «поблажки»
с них стороны — они не используют
свои личные наработки и запрещен DoS. В
остальном они могут прибегать ко всему, что
можно найти в относительно открытом доступе.
Все то же самое, что может заполучить в свое
распоряжение гипотетический хакер.
М.: Ты еще упоминал команду «серых» (Grey
cell), которая в этом году стала нововведением
и здорово вас достала, не расскажешь, что они
делали?
Д.Х.: О, они нам мешали. Нет, даже не так
— МЕШАЛИ! У нас из Gray cell был всего один
человек, но нам хватило. Он каждый день
приходил к нам и очень достоверно играл роль
юзера среднестатистического, обыкновенного.
Типа, такой стандартный офисный планктончик.
У него с собой имелась папочка, в которой
значился конкретный «план действий», то
есть подробно описывалось, чем он должен
заниматься каждые полчаса. Он поочередно
становился одним из шести виртуальных
пользователей, и приступал к исполнению
этого плана. Скажем, полчаса он читал e-mail,
который ему присылали, естественно из АНБ,
другие полчаса, пытался загрузить .pdf с
такого-то сайта, потом он общался на форуме и
так далее. Если ему прислали линк — он гордо
на него кликал, прислали экзешник в аттаче —
запускал. Нам он о своих намерениях, конечно,
не докладывал, и его плана мы не видели, так
что узнать, чем он занят, можно было только по
факту. После его «работы» машину приходилось
останавливать, снимать с сетки, лечить
и чистить, теряя баллы. И отказать ему в этих
действиях или как-то ограничить было никак
нельзя, ведь мы обязаны предоставить ему
условия для работы.
М.: А известно, кто помимо этого противостоит
вам в АНБ? Напирают сильно?
Д.Х.: Те, кто работает в АНБ. Именно в Red
Team. Настоящей :).
(Интересный факт: игровая атакующая
команда Red cell состоит из 40 с лишним
человек. Возглавляют эту группу специалисты
из АНБ’шной Red Team, но помимо них там
задействованы и люди из Технологического
института ВВС, Школы повышения квалификации
офицерских кадров ВМС, Канадского
НИЦ обеспечения безопасности связи,
Канадской оперативной группы по информационным
операциям, а также из Командования
информацион ными операциями ВМС резерва
ВМС США и Командования информационными
операциями резерва армии США.)
А методы атак у них любые. Сканируя нашу
сетку, ищут в ней слабые места, после чего их
эксплойтируют. Джек-пот — рут доступ на машину.
Утешительный приз — убийство сервиса.
Честно скажу — всех подробностей я не знаю,
у нас очень четкое распределение обязанностей,
и я занимался, в основном, своей
станцией с VoIP. Ее сканировали многократно,
но у меня было закрыто вообще все, кроме 10
нужных портов, так что меня даже «потрогать»
не смогли.
Знаю, что в основном наезжали на веб-сервер
и очень активно ковыряли форум. «Джаббер»
у нас вроде бы был зеленый постоянно, что
там с ним детально творилось — не в курсе.
Веб-краулеры приходилось блокировать, как я
уже говорил — чувак из Gray cell тупил жестоко,
из-за него две рабочие машины несколько раз
пришлось снимать с сетки и чистить полностью.
За это минусы шли, да... А вообще, у нас
на аппаратном файерволе постоянно сидел
человек и блокировал все IP, за которыми было
замечено что-то неадекватное.
Зато в конце конкурсной недели у нас есть
093