Введение

В общем, вы не думайте, что Defcon – это единственная конференция хакеров на западном побережье США. Мероприятие по компьютерной безопасности Toorcon проводится уже шестой год и вызывает немалый интерес специалистов.

Конференция Toorcon проводилась с 24 до 26 сентября в солнечном калифорнийском городе Сан-Диего. Посетило её более 300 человек – в результате получилась небольшая, но дружная группа специалистов, интересующихся компьютерной безопасностью.

Мы тоже не остались в стороне и постараемся осветить это мероприятие, начиная от информативных семинаров и заканчивая выставкой производителей. Возможно, в следующем году вы пожелаете поучаствовать в конференции лично.

Информативные семинары

Скотт Кеннеди (Scott Kennedy) рядом с тренировочной стойкой.

Около 20 человек не пожалели $300-500 (в зависимости от времени регистрации), чтобы посетить специальные семинары (Deep Knowledge Seminars) в пятницу, перед открытием Toorcon. Они продолжались по 75 минут и оказались крайне информативными.

Один из самых интересных семинаров – Mobile Cyber Warfare Training – провёл Скотт Кеннеди из SAIC. Он был посвящён тренингу ИТ-персонала против кибератак. SAIC проводит тренинг “Red versus Blue”, где ИТ-персонал (Blue Team) должен защищать сеть от группы хакеров (Red Team).

Всё необходимое аппаратное обеспечение для состязания размещается в небольшой стойке, которую легко транспортировать. Кстати, для группы в пятнадцать человек тренировка стоит около $20 000.

Тренировка “Red versus Blue” очень важна для практикующих сетевых администраторов, которые часто не имеют достаточного опыта отражения атак. В команде хакеров (Red Team) участвуют представители SAIC, которые применяют все свои знания, чтобы сломить команду ИТ-персонала. Во время битвы возникает немало интересных решений.

Мы поинтересовались, какие самые сумасшедшие способы защиты встречались Скотту Кеннеди. Чтобы остановить атаку на ядро, одна из групп ИТ-персонала решила удалить ядро ОС с компьютера Sun – такой подход работал великолепно до перезагрузки системы. Как вы понимаете, сервер вряд ли загрузится, если ядро отсутствует.

Мы все наслышаны о частых взломах web-сайтов. Хакеры проникают на сайт и подменяют файл index.html на что-то дикое и непредсказуемое. Подобные атаки сильно досаждают ИТ-персоналу.

Один администратор, почти гений, скопировал файл index.html в другой каталог, а затем добавил в расписание задачу перезаписи оригинального файла index.html каждую секунду. Если подобный способ и не может остановить атаку, он позволяет сохранить web-сайт компании. Даже если атакующий поменяет файл index.html, в следующую секунду он будет перезаписан правильной копией.

Некоторые администраторы пошли ещё дальше и записали сайт на CD, а потом копировали его в папку “Apache” каждую секунду. Поскольку CD доступен только для чтения, хакер ничего сделать не сможет.

Семинары в субботу и воскресенье

Основные семинары проводились в субботу и воскресенье. Они были разбиты на два потока: “Attack and Destroy” (“Атакуй и уничтожай”) и “Protect and Defend” (“Защищай и сохраняй”). Темы семинаров были разнообразны: от текущего состояния беспроводной безопасности до анонса новых хакерских утилит типа Unicorn scan.

Большинство докладчиков записали слайды в форматах PDF или PowerPoint на CD, который раздавался участникам. Идея великолепная, поскольку посетить все семинары невозможно. Также во время мероприятия не нужно себя утруждать и делать заметки.

Один из семинаров, “Advanced Packet Injection in 802.11a/b/g Networks” (“Расширенная подмена пакетов в сетях 802.11a/b/g”), проводился в условиях цензуры со стороны представителей правительства США. Докладчики Бред Харрис (Brad Harris) и “Deker” получили письмо, в котором настоятельно не рекомендовалось проводить подобный доклад на Toorcon. Впрочем, семинар состоялся, но превратился в сессию вопросов и ответов, умело обходя правительственное минное поле.

Беспроводное оружие массового уничтожения

Докладчик “Beetle” из Shmoo Group всегда привлекает внимание своим остроумным и практичным стилем. На семинаре “The Wireless Weapons of Mass Destruction” (“Беспроводное оружие массового уничтожения”) было затронуто множество тем и рассказано о многих утилитах. Доклад и код доступны на сайте Shmoo.

Под Windows существует не так много беспроводных утилит – не считая NetStumbler да и встроенных в систему средств. “Beetle” показал, как можно атаковать интерфейс WMI (Windows Management Interface), а с помощью скрипта vbscript создавать очень полезные утилиты.

Наиболее полезной будет утилита HotspotDK, расшифровывающаяся как “Hot Spot Defense Kit”. Утилита позволяет определять атаки, связанные с точками доступа. Она предупредит беспроводного пользователя, когда определит другой SSID, MAC-адрес или существенное изменение в силе сигнала.

Все события заносятся в журнал, и их можно потом проанализировать. Вы можете считать HotspotDK системой обнаружения вторжения для вашей беспроводной карты. Утилита видна как значок в панели задач и не мешает работе.

Группа Shmoo будет проводить своё собственное мероприятие 4-6 февраля 2005 года в Вашингтоне. Если качество доклада можно считать показателем, то встреча будет интересной. Дополнительную информацию можно получить здесь.

Unicornscan: адский сканер портов

Большинство ИТ-специалистов знают о существовании утилит сканирования портов, типа Nmap и scanrand. Эти инструменты отсылают пакеты в поисках открытых портов на машинах жертв. Хотя инструменты и бывают полезны, набор функций часто бывает слабоват.

Роберт Ли (Robert E. Lee) из Dyad Security анонсировал утилиту Unicornscan, представляющую собой расширенный сканер портов. Она базируется на технологии “stateless packet scanning” и может быстро сканировать указанные машины. Результаты сохраняются в базу данных и могут использоваться позднее.

Утилита имеет удобный web-интерфейс со всевозможными опциями. Достаточно интересной особенностью является эмуляция нескольких IP-стеков, чтобы обманывать умные брандмауэры на машине жертвы. Некоторые компании обеспечивают доступ только стеку OpenBSD. С Unicornscan проблем не возникнет: пара щелчков мыши, и у вас под рукой стек OpenBSD.

Как сообщил Ли, Unicornscan может выдавать 30 000 пакетов в секунду на обычной сетевой карте. В ближайшем будущем он надеется достичь миллиона пакетов в секунду. Вообще, во время тестирования Unicornscan сетевая карта ноутбука-жертвы сгорела, поскольку не смогла справиться со столь высоким количеством пакетов.

Сканирование можно запускать по расписанию. Хорошая функция для тестирования машин на другой стороне света. Сканирование можно остановить и запустить позже.

После долгого дня трудового

Спонсором субботней вечеринки стала Shmoo Group, обеспечив посетителей пивом и пиццей “на халяву”. Если кто-то не хотел ждать вечера, то можно было пройтись в один из близлежащих ресторанов и баров.

Ряд семинаров в воскресенье не был проведён из-за отсутствия докладчиков. Будем надеяться, что домой они доберутся успешно.

Выставка компаний: отмычки и кофеиновые конфетки

Подобно конференции Defcon, на Toorcon продавали разнообразные мелочи. Если вы желали поднять уровень компьютерных знаний, то можно было приобрести книжки по хакерству со скидкой 20-30%. В качестве бонуса можно было получить и подпись автора.

Не желаете получить старинную технику Sun, Cobalt или Big IP? Одна из компаний предлагала широкий ассортимент старых серверов и маршрутизаторов. Не желаете установить в свою стойку голубую коробку Cobalt? Там же можно было купить КПК Apple Newton по $15.

Компания Irvine Underground продавала отмычки. Их сразу же можно было проверить в деле – на нескольких замках, отданных на растерзание посетителям.

Засыпаете на лекциях? Не беда, поскольку Irvine Underground продавала различные кофеиновые конфеты и леденцы. Две или три конфеты заменяют чашку кофе. Некоторые посетители закупали их просто пачками. Но не переусердствуйте.

Для тех хакеров, кто любит красиво и оригинально приодеться, на конференции можно было купить футболки с забавными рисунками и надписями. Из цветовой гаммы наиболее популярным был чёрный цвет.

Заключение

Toorcon – это недорогая конференция, где можно получить знания о компьютерной безопасности, потренироваться и пообщаться с умными людьми. Многие хакерские продукты объявляются на конференции впервые. Вы можете спросить у экспертов совета и получить квалифицированную консультацию. Для любого специалиста в области компьютерной безопасности посещение Toorcon будет очень полезным.