最新ポートスキャン対策

•

2 recomendaciones•1,388 vistas

FFRI, Inc.

Tecnología

Fourteenforty Research Institute, Inc.
1
Fourteenforty Research Institute, Inc.
最新ポートスキャナ対策
Fourteenforty Research Institute, Inc.
株式会社フォティーンフォティ技術研究所
http://www.fourteenforty.jp
取締役技術担当金居良治

Fourteenforty Research Institute, Inc.
2
お題目
• ポートスキャンとは？
• Tarpit を利用した対策
• OpenBSD pf を利用した対策
• Fourteenforty が独自に考案した対策

Fourteenforty Research Institute, Inc.
3
ポートスキャンとは？
• ターゲットサーバ上で、どのようなサービスが
実行されているかを検出する技術
• 脆弱性検出の基本的な手法で、脆弱性管理に
は必須のテクニック
• したがって、攻撃にも使用される技術
• nmap でスキャンした例
PORT STATE SERVICE VERSION
80/tcp open http Apache httpd 2.3.0-dev ((Unix))

Fourteenforty Research Institute, Inc.
4
Tarpit
• スキャンを遅らせ、スキャンにかかるコストを増
加させる
• Spam 対策の spam tarpit は有名
• ネットワーク経由で広まるウイルスの伝搬速度
を低下させることが出来る
• ipfilter (LinuxのFirewall), LaBrea

Fourteenforty Research Institute, Inc.
5
Tarpit の実装 (アプリケーションレベル)
• アプリケーションレベルで遅延させる(プロトコ
ル検出を遅延させる)
• sendmail 等々で同様の機能あり
GET / HTTP/1.0 GET / HTTP/1.0
HTTP/1.0 302 Found H
T
T
P...
User AttackerServer

Fourteenforty Research Institute, Inc.
6
Tarpit の実装 (Layer 2, 3)
• TCP Window サイズを 0 にする
→ プロトコル検出を遅延させる
• 存在しない IP アドレスへの arp/icmp/SYN
scan に答える
→ 存在しない IP へのポートスキャンやプ
ロトコル検出はことごとくタイムアウトする

Fourteenforty Research Institute, Inc.
7
OpenBSD pf
• OpenBSD な人達が作っているファイアウォール
• {Free,Net,Open}BSD で使える
• Windows にも移植されている (機能限定版)
• p0f という機能を使ってスキャナー対策が可能

Fourteenforty Research Institute, Inc.
8
OpenBSD pf - p0f について
• Passive Os Fingerprinting (受動的OS検出)
• SYN パケットの IP オプションやTTL等の特徴
的パターンから接続元のOSを特定する
• Fingerprint ファイルが必要
Windows nmapServer
SYN
SYN ACK
SYN
Windowsから
なので接続許可
nmap からは
接続拒否
SYN RST

Fourteenforty Research Institute, Inc.
9
Fourteenforty 独自の SYN スキャン対策
• SYN ACK や SYN RST のパケットを強制的に IP フ
ラグメントに分割する
• IP フラグメントは、巨大なデータの分割送信を行う仕
組み
• nmap 等のすべての SYN スキャナはフラグメントの
再構成に対応していない
• 通常の TCP/IP スタックには影響を与えずに、ポート
スキャンだけ出来なくなる
• しかも、Fingerprint ファイルが不要！

Fourteenforty Research Institute, Inc.
10
強制フラグメント方式の実装
• OpenBSD pf のルールの一部として実装
• ファイアウォールのルールと一緒として、非常
に柔軟な設定が可能
pass out inet proto tcp from any port 80 to any flags SA/SA forcefrag
pass out inet proto tcp from any port 80 to any flags RA/RA forcefrag
→ port 80 への接続について強制フラグメントを有効にする
• nmap で SYN スキャンが出来なくなる事を確認

Fourteenforty Research Institute, Inc.
11
強制フラグメント方式の構成例
• ファイアウォールとして利用する場合
X
WWW, SMTP
一般ユーザ
SYN スキャナ
強制フラグメント機能付き

Fourteenforty Research Institute, Inc.
12
結論
• ポートスキャナ対策をご紹介
• 今まで無理だと思われていた SYN スキャン対
策を Fourteenforty で考案
• これにより、攻撃にかかるコストを増加させる
事が可能となる

Fourteenforty Research Institute, Inc.
13
ありがとうございました
Fourteenforty Research Institute, Inc.
株式会社フォティーンフォティ技術研究所
http://www.fourteenforty.jp
取締役技術担当金居良治
kanai@fourteenforty.jp

Más contenido relacionado

La actualidad más candente

技術紹介: S2E: Selective Symbolic Execution Engine

Asuka Nakajima

Rtミドルウェア講習会第2部資料

openrtm

Mr201305 tizen security_jpn

FFRI, Inc.

90% 以上の Android 端末に直接深刻な影響を及ぼし、まず間違いなく過去最大規模のセキュリティアップデートを引き起こすであろう Stagefright 脆弱性。しかしその情報の伝えられ方には数々の問題が存在し、結果としてかなりの混乱を引き起こしてしまった。このセッションでは、Stagefright 脆弱性がどういうものなのかを解説しつつ、引き起こされた騒動全体を振り返り、反省点と将来への展望を見出す。

さらば、Stagefright 脆弱性

Tsukasa Oi

2014 1018 OSC-Fall Tokyo NETMF

Atomu Hidaka

Riscv+fpga200606

たけおかしょうぞう

n this paper, behavioral-based detection powered by machine learning is introduced. As the result, detection ratio is dramatically improved by comparison with traditional detection. Needless to say that malware detection is getting harder today. Everybody knows signature-based detection reaches its limit, so that most anti-virus vendors use heuristic, behavioral and reputation-based detections altogether. About targeted attack, basically attackers use undetectable malware, so that reputation-based detection doesn't work well because it needs other victims beforehand. And it is a fact that detection ratio is not enough though we use heuristic and behavioral-based detections. In our research using the Metascan, average detection ratio of newest malware by most anti-virus scanner is about 30 %( the best is about 60 %). By the way, heuristic and behavioral-based detections are developed by knowledge and experience of malware analyst. For example, most analysts know that following features are indicator that those programs are malicious. - A file imports VirtualAlloc, VirtualProtect and LoadLibrary only and has a strange section name - An entry point that does not fall within declared text or code section - Creating remote threads into a legitimate process like explore.exe - After unpacking, calling OpenMutex and CreateMutex to avoid multiple infections - Register itself to auto start extension points like services and registry - Creating a .bat file and try to delete own itself through executing the file with cmd.exe - Setting global hook to capture keystroke using SetWindowsHookEx Heuristic and behavioral-based detections are developed based on those pre-determined features like above. Analysts are finding those features day by day. But, this kind of work is not appropriate for human. Therefore we classified programs as malware or benign by machine learning through dynamic analysis results. Thereby, detection ratio is dramatically improved and we could recognize that which features are strongly related to malware by numeric score. And then, we could find the features which we’ve never found by this method. Finally, the outlook and challenges of this method will be tackled.

Fighting advanced malware using machine learning (Japanese)

FFRI, Inc.

2017 summercamp 04

openrtm

僕は、数ヶ月前にアップル社のEFIファームウェアの0 dayを公開しました。この0 dayは直接EFIファームウェアからのOSへのアクセスが可能という重要かつ危険なバグです。様々なルートキットの中でもEFI系ルートキットは最も面白く強力なルートキットです。低レイヤーで動くためフォレンジックからの隠匿、また長期間にわたり存在し続けることが可能です。EFIモンスターは動物のジャガーと同様に忍びやかに活動し、稀に人から目撃されます、しかしこれは彼らが存在しないということではない。EFIモンスターは諜報活動機関のルートキットカタログにも含まれているはずです。しかしこれらのルートキットを探し出すツールは数少ない。本プレゼンではEFIの世界を紹介することでこのようなモンスターを探し出す手だてを提供することを目的としています。EFIの世界はとても難しいように思われがちだが実際はそれほどでもなく、とても興味深い研究領域です。BlackHatで公開されたThunderstrike 2はEFIルートキットの可能性と問題点を明らかにした良い例です。

あなたのAppleにもEFIモンスターはいませんか？ by Pedro Vilaça - CODE BLUE 2015

CODE BLUE

ROBOMECH2017 RTM講習会第1部・その1

openrtm

Takep lpc1114-190614

たけおかしょうぞう

2016 summercamp rtshell入門

openrtm

171128 01

openrtm

RTミドルウェアサマーキャンプ2018「Rtshellj入門」

openrtm

170622 02

openrtm

2019 summercamp 02

openrtm

Report for S4x14 (SCADA Security Scientific Symposium 2014)

Kuniyasu Suzaki

2013 summercamp 06

openrtm

2014 0228 OSC-Spring Tokyo NETMF

Atomu Hidaka

人工知能学会RTM講習会第3部：プログラミング実習担当：髙橋三郎氏 (産業技術総合研究所) 概要：深層学習による画像認識を利用した移動ロボット制御システムを作成することで、実際の研究、開発へのアプリケーション応用について学びます。チュートリアル(第３部推論結果の検証) チュートリアル(第３部データ収集・蓄積)

人工知能学会RTM講習会第3部：プログラミング実習

openrtm

La actualidad más candente (20)

技術紹介: S2E: Selective Symbolic Execution Engine

Rtミドルウェア講習会第2部資料

Mr201305 tizen security_jpn

さらば、Stagefright 脆弱性

2014 1018 OSC-Fall Tokyo NETMF

Riscv+fpga200606

Fighting advanced malware using machine learning (Japanese)

2017 summercamp 04

あなたのAppleにもEFIモンスターはいませんか？ by Pedro Vilaça - CODE BLUE 2015

ROBOMECH2017 RTM講習会第1部・その1

Takep lpc1114-190614

2016 summercamp rtshell入門

171128 01

RTミドルウェアサマーキャンプ2018「Rtshellj入門」

170622 02

2019 summercamp 02

Report for S4x14 (SCADA Security Scientific Symposium 2014)

2013 summercamp 06

2014 0228 OSC-Spring Tokyo NETMF

人工知能学会RTM講習会第3部：プログラミング実習

Similar a 最新ポートスキャン対策

Mr201301 nfc security

FFRI, Inc.

Android: 設計上の技術的な問題点

FFRI, Inc.

ハードウェアによる仮想化支援機能を利用したハイパバイザーIPS

FFRI, Inc.

190605 04

openrtm

YAPC::Asia2015

Masaru Hoshino

Mr201304 open flow_security_jpn

FFRI, Inc.

perfを使ったPostgreSQLの解析(前編)

NTT DATA OSS Professional Services

Similar a 最新ポートスキャン対策 (7)

Mr201301 nfc security

Android: 設計上の技術的な問題点

ハードウェアによる仮想化支援機能を利用したハイパバイザーIPS

190605 04

YAPC::Asia2015

Mr201304 open flow_security_jpn

perfを使ったPostgreSQLの解析(前編)

Más de FFRI, Inc.

In 2017, Microsoft announced the ARM version of Windows. The number of devices with ARM version of Windows is increasing, such as Surface Pro X series and HP ENVY x2, and it is gradually becoming popular. When using these ARM devices, there is a compatibility issue that existing x86/x64 applications cannot be used. However, this problem has been addressed by providing x86/x64 emulation capabilities. In recent years, ARM64EC has been announced, allowing for the gradual migration of x64 applications to ARM. The aggressive introduction of these compatibility technologies is a sign of Microsoft's strong will to promote the ARM version of Windows. On the other hand, doesn't the introduction of new compatibility technologies provide a new avenue of attack for attackers? As far as we know, this point has not even been discussed much at this point. Therefore, we reverse engineered the compatibility technology that exists in Windows on ARM and examined its exploitability. We found that various techniques are available, such as code injection by modifying XTA cache files, and obfuscation by exploiting newly introduced relocation entries. All of these techniques have in common the characteristic that the binary "appearance" and runtime behavior are different, making them difficult to detect and track. In addition, some of the techniques can be widely exploited to interfere with static analysis or sandbox analysis. Therefore, there is a high possibility that they will become a threat to the ARM version of Windows in the future. In this presentation, we will explain the details of our new method and its features with demonstrations. We hope that this presentation will be a good opportunity to develop and promote the security research of Windows on ARM. The PoC code and detailed reverse engineering results will be available on GitHub.

Appearances are deceiving: Novel offensive techniques in Windows 10/11 on ARM

FFRI, Inc.

TrustZone use case and trend (FFRI Monthly Research Mar 2017)

FFRI, Inc.

Android Things Security Research in Developer Preview 2 (FFRI Monthly Researc...

FFRI, Inc.

An Overview of the Android Things Security (FFRI Monthly Research Jan 2017)

FFRI, Inc.

Black Hat Europe 2016 Survey Report (FFRI Monthly Research Dec 2016)

FFRI, Inc.

An Example of use the Threat Modeling Tool (FFRI Monthly Research Nov 2016)

FFRI, Inc.

STRIDE Variants and Security Requirements-based Threat Analysis (FFRI Monthly...

FFRI, Inc.

Introduction of Threat Analysis Methods(FFRI Monthly Research 2016.9)

FFRI, Inc.

• About Black Hat USA • Hot Research • Vehicle – CANSPY: A Platform For Auditing CAN Devices – Advanced CAN Injection Techniques For Vehicle Networks – Can You Trust Autonomous Vehicles: Contactless Attacks against Sensors of Self-driving Vehicle • IoT – Into The Core – In-Depth Exploration of Windows 10 IoT Core – GATTAttacking Bluetooth Smart Devices – Introducing A New BLE Proxy Tool – GreatFET: Making GoodFET Great Again • Conclusions • References

Black Hat USA 2016 Survey Report (FFRI Monthly Research 2016.8)

FFRI, Inc.

About security assessment framework “CHIPSEC” (FFRI Monthly Research 2016.7)

FFRI, Inc.

Black Hat USA 2016 Pre-Survey (FFRI Monthly Research 2016.6)

FFRI, Inc.

In this report, we pick up briefings of Black Hat Asia 2016 • Mobile Security – Android Commercial Spyware Disease and Medication, Mustafa Saad – Su-a-Cyder: Home-Brewing iOS Malware Like a B0$$!, Chilik Tamir • IoT Security – Lets See Whats Out There Mapping The Wireless IOT, Tobias Zillner – Hacking a Professional Drone, Nils Rodday • Windows Security – DSCompromised:A Windows DSC Attack Framework, Ryan Kazanciyan & Matt Hastings

Black Hat Asia 2016 Survey Report (FFRI Monthly Research 2016.4)

FFRI, Inc.

ARMv8-M TrustZone: A New Security Feature for Embedded Systems (FFRI Monthly ...

FFRI, Inc.

•CODE BLUE 2015 had over 600 visitors from many countries. –It had started two track presentation and youth track. –Two teenagers and a student were on stage. •IoT Security –Medical equipment and social infrastructure were studied. –The white hackers reported these vulnerabilities. •Bug Bounty –Japanese bug hunters are active in the world. –There are things to learn from their way. •APT –APT would have invaded various organizations in Japan. –Forum for information exchange, such as the CODE BLUE is required to counter APT.

CODE BLUE 2015 Report (FFRI Monthly Research 2015.11)

FFRI, Inc.

Latest Security Reports of Automobile and Vulnerability Assessment by CVSS v3...

FFRI, Inc.

Black Hat USA 2015 Survey Report (FFRI Monthly Research 201508)

FFRI, Inc.

A Survey of Threats in OS X and iOS(FFRI Monthly Research 201507)

FFRI, Inc.

Security of Windows 10 IoT Core(FFRI Monthly Research 201506)

FFRI, Inc.

Background •Automobiles equip a lot of ECUs which communicate mutually on In-Vehicle Network to control engine, power window, and so on •IVI devices such as navigation system and ADAS*known-as lane-keeping or brake-assist systems often are connected in the same network •BecauseIn-Vehicle network becoming complicated by various devices, next-generation In-Vehicle network attracts interest as feasible technology at low cost •This slide summarized about following topics –Ethernet prospective as next-generation In-Vehicle network –Recent security research about conventional In-Vehicle network andproposal of measures for the CAN

Trend of Next-Gen In-Vehicle Network Standard and Current State of Security(F...

FFRI, Inc.

Malwarem armed with PowerShell

FFRI, Inc.

Más de FFRI, Inc. (20)