Protezione wireless - Strumenti
La corretta implementazione dei controlli di sicurezza nelle reti wireless è oggigiorno fondamentale, poiché influisce direttamente sulla redditività di alcune aziende e sulla riservatezza delle informazioni. Gli strumenti di sicurezza wireless devono essere utilizzati per testare (controllare) le implementazioni wireless regolarmente. Un buon controllo della sicurezza wireless non è solo un test pratico, ma anche una documentazione adeguata, comprese le raccomandazioni su come rendere la WLAN più sicura.
C'è un sacco di possibili controlli che si possono provare a eseguire:
- Audit di livello 1
- Audit di livello 2
- Controllo della sicurezza WLAN
- Audit dell'infrastruttura cablata
- Audit di ingegneria sociale
- Audit del sistema di prevenzione delle intrusioni wireless (WIPS)
Strumento di controllo della sicurezza Wi-Fi
Nella parte precedente abbiamo elencato una serie di audit che è possibile effettuare, al fine di valutare la sicurezza dell'implementazione wireless. Cercheremo di esaminare i punti uno per uno e vedere: in primo luogo, perché un determinato audit è rilevante e, in secondo luogo, come è possibile eseguirlo.
Livello 1 e Livello 2 Audit
L'obiettivo di un audit di livello 1 è determinare la copertura RF (parte del rilevamento del sito basato sulle prestazioni) e scoprire potenziali fonti di interferenze RF (parte dell'audit di sicurezza per l'identificazione delle fonti di DoS di livello 1). Durante un audit di sicurezza wireless, si esegue un'analisi dello spettro per rilevare eventuali trasmettitori continui o inserire intenzionalmente jammer RF (che causano un DoS di livello 1).
Per quanto riguarda l'audit wireless di livello 2, l'obiettivo è rilevare eventuali dispositivi canaglia o dispositivi 802.11 non autorizzati. L'esecuzione di un audit di livello 2 è fondamentale negli ambienti che non dispongono di un monitoraggio Wireless IPS (WIPS) implementato (altrimenti WIPS funzionerà automaticamente, poiché questo è il suo lavoro).
Un elenco di punti su cui l'auditor dovrebbe concentrarsi durante l'esecuzione di un'indagine sul sito di livello 2 è: indirizzi MAC, SSID, tipi di dispositivi utilizzati, tipi di traffico, canali in uso, possibili configurazioni predefinite, possibili attacchi di livello 2 in corso , client ad hoc, ecc.
Durante l'esecuzione dell'audit di livello 1 o 2, l'auditor potrebbe utilizzare i seguenti strumenti:
Sniffer / analizzatori di protocollo (es. Wireshark)
Iniettori di segnale 2,4 / 5 GHz.
Strumenti offensivi (mdk3, Void11, Bugtraq, IKEcrack, FakeAP, ecc.)
Come esempio ti mostrerò uno strumento coltellino svizzero chiamato mdk3. È uno strumento di prova che consente di sfruttare la rete wireless. Solo per citare alcune opzioni, ti consente di fare:
Flood fake beacon tools (come un modo per imitare un falso AP).
DoS dei frame di autenticazione (può causare il blocco o il riavvio dell'AP se vulnerabile).
Flood of disassociation / de-authentication frames (to kick out valid users out from the network).
Test di sicurezza wireless 802.1X.
Abuso di sistemi di prevenzione / rilevamento delle intrusioni wireless (WIPS / WIDS) e un sacco di altre cose dannose.
La creazione del Layer 2 DoS dei frame di de-autenticazione utilizzando il tuo kali Linux (strumento mdk3) è estremamente semplice e può essere ottenuta con un singolo comando, come mostrato nella schermata seguente.
Ovviamente ci sono sempre molti modi per ottenere lo stesso risultato. Puoi ottenere lo stesso effetto usandoaireplay-ngattrezzo. L'indirizzo MAC dopo "-a" è il valore BSSID dell'AP che trasmette una particolare rete WLAN.
Controllo della sicurezza WLAN
L'obiettivo del controllo della sicurezza della WLAN è indagare se e come una particolare WLAN può essere compromessa. I tipi di debolezza che il potenziale aggressore cercherebbe (e i punti deboli su cui dovrebbe concentrarsi il revisore della sicurezza wireless) sono principalmente legati all'autenticazione, alla crittografia, ai tipi di WLAN implementate, alle chiavi deboli in uso e simili.
Gli strumenti che sono una buona combinazione per quell'uso sono:
Sniffer / analizzatori di protocollo (es. Wireshark).
Strumenti di rilevamento wireless (es. NetStumbler, Kismet, Win Sniffer, WiFiFoFum, ecc.).
Strumenti di crittografia / autenticazione (test) (aircrack-ng, script personalizzati, tutti i tipi di strumenti di crittoanalisi).
Come puoi vedere, l'audit di sicurezza della WLAN di base non è qualcosa per cui hai bisogno di un software specializzato. Usare l'app sul tuo smartphone potrebbe fare il lavoro!
Audit dell'infrastruttura cablata
Per quanto riguarda la comunicazione di rete wireless, anche la parte cablata deve essere protetta affinché l'intero sistema possa essere considerato sicuro. L'audit dell'infrastruttura cablata dovrebbe coprire i seguenti punti:
- Ispezione del firewall utilizzato per limitare l'accesso degli utenti WLAN a determinate risorse di rete.
- Le interfacce Switchport non utilizzate devono essere disabilitate.
- Dovrebbe essere utilizzata una password complessa e, se possibile, dovrebbero essere utilizzati protocolli con crittografia incorporata (HTTPS, SSH).
Audit di ingegneria sociale
L'ingegneria sociale è il tipo di "attacco" che utilizza approcci non tecnici per ottenere le informazioni. Invece di provare a decifrare la password wireless, forse è più facile chiederla? Forse sarebbe più facile ottenere il PIN WPS, che ti consentirebbe di connetterti a una WLAN protetta?
Quegli scenari sembrano fantastici, ma posso assicurarti che accadono anche nella vita reale. Per proteggersi da ciò, la cosa più importante è essere consapevoli di quali dati dovrebbero essere mantenuti privati e cosa condividere. Negli ambienti domestici in cui sei l '"amministratore" della rete, sei solo tu a decidere cosa mantenere privato. D'altra parte, negli ambienti aziendali, sarebbe un ruolo dei dipartimenti di sicurezza emettere campagne di sensibilizzazione alla sicurezza per istruire il personale, su quale sarebbe un uso corretto della rete wireless e quale sarebbe un uso improprio.
Sistemi di prevenzione delle intrusioni wireless
Sulla rete cablata, il sistema di prevenzione delle intrusioni (IPS) viene utilizzato per eseguire un'ispezione approfondita dei pacchetti dei pacchetti in transito, al fine di cercare anomalie, trojan o altri pezzi di codice dannosi.
Nel mondo wireless, è simile, ma si concentra sulla reazione ai dispositivi wireless canaglia, piuttosto che agli eventi di sicurezza. Wireless Intrusion Prevention System (WIPS), si concentra sul rilevamento e la prevenzione dell'uso di dispositivi wireless non autorizzati. L'idea alla base di WIPS, è di avere alcuni AP nella tua infrastruttura dedicati configurati in modalità WIPS (non trasmettere alcuna rete WLAN o consentire all'utente di associarsi). Questi AP sono preconfigurati per un particolare canale di frequenza e ascoltano sempre lo spettro di frequenze, alla ricerca di anomalie.
Un altro approccio consiste nell'avere una serie di sensori passivi dedicati (invece di AP) per eseguire questo lavoro. I diversi tipi di anomalie che potresti aspettarti di vedere sono: flusso di frame di de-autenticazione o flusso di frame di dissociazione, rilevamento di WLAN trasmesse da AP con BSSID sconosciuto, ecc. Se pensi a un'ispezione approfondita dei pacchetti o al rilevamento di codici dannosi, devono ancora essere rilevati sulla rete cablata, utilizzando dispositivi IPS / IDS dedicati.
In quanto attaccante non hai i mezzi per eseguire una soluzione WIPS in quanto si tratta di una misura tecnica difensiva. A causa del prezzo e del sovraccarico di gestione, solo le aziende più grandi potrebbero averlo in esecuzione (tuttavia è piuttosto raro). Una delle possibili implementazioni della soluzione WIPS, può essere basata sul modello Cisco Wireless Infrastructure. La soluzione Cisco Wireless (nella sua forma più semplice) si basa sul Wireless LAN Controller (WLC) e sul set di AP. La soluzione WIPS presuppone che alcuni AP siano esclusi dal normale servizio WLAN e siano impostati in modalità IPS e dedicati esclusivamente all'ispezione dello spettro di frequenza.
La pagina principale di Cisco Wireless LAN Controller (WLC) è mostrata di seguito (i campi riservati erano coperti con il cerchio nero).
Questo particolare WLC sta attualmente gestendo 38 AP che lo hanno aggiunto. L'elenco dettagliato di tutti gli AP, insieme ai relativi indirizzi MAC, indirizzi IP e modalità AP, può essere visualizzato nella scheda "Wireless".
Tutti gli AP che sono attualmente uniti, sono impostati in "Modalità locale". Significa che sono dedicati a fornire una copertura wireless regolare e annunciano tutte le WLAN configurate. Per trasformare un particolare AP in una "modalità IPS" come la conosciamo, dobbiamo cliccare su uno degli AP e cambiare la sua "modalità AP" in una speciale "modalità monitor".
Dopo che l'AP è stato impostato in modalità "Monitor" e la modifica è stata applicata, l'AP si riavvierà. Da quel momento, il suo unico lavoro è ascoltare sullo spettro di frequenze e rilevare gli attacchi lato wireless. Per impostazione predefinita, WLC ha un set predefinito di firme che AP cercherà. Sono elencati nello screenshot seguente:
Come puoi vedere, l'elemento numero 9 è "Deauth flood", con Frame Type - Management e corrispondente Action - Report (significa che notificherà solo l'attacco utilizzando i messaggi di log, ma non intraprenderà alcuna azione).
Con la configurazione che abbiamo qui, quando il potenziale aggressore utilizzerebbe lo strumento mdk3 o aireplay-ng per interferire con la rete WLAN esistente, basata su Cisco Wireless Infrastructure, l'attacco verrà rilevato e gli amministratori di rete riceveranno una notifica. Ci sono altri prodotti che possono portare la sicurezza wireless a un livello superiore. Con i servizi di localizzazione wireless, lo strumento potrebbe rilevare la tua posizione geografica esatta in alcuni luoghi molto sicuri, forse verrebbe una guardia per ispezionare la fonte dell'attacco o potrebbe essere chiamata la polizia.
Come accennato in precedenza, è possibile soddisfare una tale configurazione solo in ambienti aziendali. In installazioni più piccole o ambienti domestici, non si soddisfano tali misure di sicurezza.