Sistema de Prevenção de Intrusão em Redes sem Fio Italo Bruno Territory Sales Manager italo.bruno@flukenetworks.com (61) 9276-4608

Preciso de WLAN? Por que WLAN? Mobilidade; Visitantes; BYOD; Demanda Superior.

Se eu preciso, então.. relutar por quê?

VOCÊ SABE O QUE VOCÊ NÃO SABE? VOCÊ PODE VER O QUE NÃO PODE VER?

Wireless LANs Introduziu Novos Riscos Risco de Segurança WLANs pode ultrapassar segurança tradissional e expor a corporação Ameaças wireless precisam ser rapidamente diagnosticadas e paradas Risco Operacional WLAN não deveria roubar banda cabeada Dificuldade em diagnosticar problemas na performance WLAN Risco Regulatório Conformidade com leis e regulamentos auditáveis Novas Tecnologias Wireless VoIP Wireless “N” Wireless “ac” BYOD

Desafios à Wireless nas Corporações Quão eficientemente é o planejamento, implantação e otimização de redes 802.11n?, 802.11ac? Onde posicionar Pontos de Acesso (APs) para melhor performance? Como gerenciar ameaças à segurança? Como realizar diangóstico (throubleshooting) eficiente? Minha rede WLAN comportará VoIP sobre WiFi?, VDI?, BYOD? Está minha rede em conformidade com padrões internacionais?

71% das reclamações são sobre conectividade e performance; BYOD – Mais de 500 respostas de múltiplos segmentos verticais ao redor do mundo: 82% das organizações permitem uso de dispositivos móveis (BYOD) na rede WLAN corporativa; 51% das organizações estão preocupadas sobre como BYOD irá afetar o consumo de banda; 52% das organizações recebem diversas reclamações por dia dos colaboradoes tendo dificuldades em conectar na rede WLAN corporativa com seus dispositivos móveis pessois; 71% das reclamações são sobre conectividade e performance; Aproximadamente 50% das organizações estão planejando um redesenho da rede para acomodar o crescimento de BYOD *According to an internal survey of Fluke Networks customers/prospects

Vulnerabilidades WLAN CommView DriftNet Redes Sem Fio são vulneráveis a ataques especializados: Muitos dos ataques exploram fraquezas na tecnologia desde que segurança WLAN 802.11 é relativamente nova comparada à tradicional segurança às redes cabeadas e o próprio perímetro de defesa. Má configuração, configuração incompleta e os próprios usuários. Bem conhecidos e documentados parâmetros defaults em equipamentos.

Mas o que é segurança? Segurança da Informação refere-se a garantir que os usuários possam realizar apenas as tarefas que eles estão autorizados a fazer e acessar apenas a informação à qual eles estão autorizados a ter.

Ameaças Wireless – Quatro Classes Principais Existem quatro principais classes de ameaças à segurança em redes sem fio: AMEAÇAS NÃO ESTRUTURADAS AMEAÇAS ESTRUTURADAS AMEAÇAS EXTERNAS AMEAÇAS INTERNAS

Ameaças Wireless Ameaças Não Estruturadas Indivíduos facilmente utilizando ferramentas de hacking. Netstumbler Inssider Característica: Oportunistas por natureza. Tipicamente pouco competente tecnicamente e pouco persistente.

Ameaças Wireless Ameaças Estruturadas Hackers que são altamente motivados e tecnicamente competentes; Eles sabem e pesquisam vulnerabilidades nos sistemas wireless. Eles entendem e desenvolvem códigos de exploração, scripts e programas.

Ameaças Wireless Alguns WiFi APs em hardware compacto. Quão fácil seria colocar um dispositivo destes for a da vista numa sala de conferência ou embaixo de uma mesa?

Ameaças Wireless Ameaças Externas Hackers criam um modo para invadir a rede principalmente fora das edificações, tais como em estacionamentos, construções próximas ou áreas comuns.

Ameaças Wireless Ameaças Internas: Acesso interno não autorizado e mau uso do acesso por 60% a 80% de incidentes reportados de acordo com um estudo feito pelo FBI; Usuários instalam APs com pouca ou nenhuma segurança configurada; Dispositivos móveis com má configuração dos parâmetros de rede sem fio; Exessivo vasamento de sinal 802.11; Política de segurança fraca ou inexistente. Não seguimento de padrões internacionais de segurança; Usuário não intencionado induzindo vulnerabilidades.

Mas o que exatamente eles fazem? Antes de discutir remediação e/ou mitigação das Vulnerabilidades em Redes sem Fio, uma boa prática seria visualizar brevemente a metodologia básica dos Ataques às Redes sem Fio.

Métodos de Ataques Wireless Métodos de ataques Wireless podem ser divididos em 3 principais categorias: Reconhecimento; Ataque acesso; Negação de Serviço (DoS).

Simpático, não?

Pequena câmera dentro do urso E agora, continua simpático? Câmera no urso Como você identifica um dispositivo invasor e dispositivos fora do padrão 802.11 que podem comprometer a performance e segurança da WLAN? Pequena câmera dentro do urso 2.4 GHz Wireless Receiver *AirMagnet Enterprise solved this problem for a financial services company

Reconhecimento Reconhecimento é um descobrimento não autorizado e o mapeamento de sistemas, sinais, serviços ou vulnerabilidades; É também conhecido como coleta de informações que comumente precedem uma efetiva tentativa de acesso ou ataque DoS; Reconhecimento é similar ao ladrão rondando a vizinhança por casas inseguras. Reconhecimento wireless é comumente chamado de wardriving or warchalking.

Reconhecimento Reconhecimento: É ilegal em alguns países podendo resultar em punição.

O projeto War Driving Day A sexta edição do projeto War Driving Day, quarta ocorrida no Centro da Cidade do Rio de Janeiro, teve cobertura do Jornal O Globo. http://www.seginfo.com.br/war-driving-day-seguranca-redes-sem-fio/#wdd4

Resultados descobertos O número de redes abertas, sem qualquer proteção de senha para acesso, ainda é grande. A variação é pequena ao longo das edições, sendo 50% em 2010 e 45% em 2013. Como o número de redes quase triplicaram desde a primeira edição, o número de redes sem proteção está consideravelmente alto, sendo 4.507 redes desprotegidas, número este maior do que o total registrado em 2011 (4.094).

Acesso AirSnort Sistemas de acesso e/ou intrusão, neste contexto, trazem a habilidade para um intruso não autorizado de ganhar acesso ao dispositivo ao qual não tem permissão. Acessando sistemas aos quais não tem acesso não raro envolvem processar um script ou ferramenta de exploração a vulnerabilidades conhecidas em sistemas ou aplicações. Incluem: Exploração de senhas fracas ou inexistentes; Exploração de serviços (HTTP, FTP, SNMP, CDP e Telnet); Engenharia Social. São práticas ilegais.

Acesso – Ataque Rogue AP A maioria dos clientes irão associar-se ao Ponto de Acesso com sinal mais forte. Se um AP não autorizado, usualmente um AP rougue, tem o sinal mais forte, o cliente irá associar-se a este AP; O rogue AP terá então acesso ao tráfego da rede e aos usuários associados; O AP rogue pode também utilizar de ARP Poisoning e IP Spoofing para enganar clientes a enviarem senhas e informações sigilosas.

Negação de Serviço (DoS) DoS ocorre quando um ataquante desabilida ou corrompe a rede wireless, sistemas ou serviços com a intenção de negar os serviços a usuários autorizados; Ataques DoS podem ter várias forams; Na maioria das vezes envole apenas rodar um script ou utilizar uma ferramenta.

Negação de Serviço (DoS) – Ataques Envio de falsos frames de desassociação / desautenticação que força o cliente a desconectar do ponto de acesso; Jamming (congestionamento): Um atacante simplesmente sobrecarrega a potência do sinal do AP válido; Interferência intencional Frequência 2.4Ghz possui apenas 3 canais não sobrepostos, com isso canais 802.11b/g e n em 2.4Ghz são especialmente suscetíveis a este tipo de ataque.

Ataques adicionais Man-In-The-Middle MAC Spoofing Engenharia Social. Espionagem da sessão wireless; Manipulação da sessão wireless. MAC Spoofing Explora fraquezas no filtro de endereços MAC. Engenharia Social.

Princípios de Segurança Modelo CID de Segurança Confidencialidade Permitir o acesso aos recursos apenas a quem precisa tem permissão para uso. Integridade Prática em garantir que o dado em trânsito permaneça inalterado; Garantir que os comunicadores são quem dizem ser. Disponibilidade Garantir que o acesso à informação será concedido apenas a pessoas autorizadas, por motivos autorizados e em localização autorizada.

Princípios de Segurança AAA: Autenticação: Prática de validar e verificar a identidade: 3 Fatores: Algo que você conhece –ID do usuário e Senha; Algo que você tem – SecureID Smart Cards, Tokens Algo que você é – Biometria, Leitura de retina, impressão digital. Autorização Prática em prover acesso à informação a usuários autenticados baseados no nível pré-definido de acesso autorizado, também chamado de acesso baseado em regras; Accounting (Auditing) Prática de garantir que o acesso ao dado será autidável e que a integridade do dado auditado ou mecanismo será mantido;

Fato #1- 802.11 MAC é enviado em texto claro O planejamento básico do protocolo 802.11 deixa pouco para a imaginação: A maioria do tráfego de gerenciamento flui em texto claro; Torna fácil interferir no estado da conexão dos dispositivos, até mesmo capturar fragmentos de fluxos.

Fato #2: Hackers Precisam estar no range do espectro RF WLAN Para tentar um ataque ao tentar uma conexão o atacante precisará usar WLAN. 400m 100m

O que é único sobre segurança WLAN Outside Inside NEIGHBORS HACKERS EAVESDROPPERS Wireless Security Wired Security Unlimited entry points All devices are critical to security Few, heavily secured entry points

Entretanto, sua WLAN pode ser observada à distância AP Coverage (11g @ 54 Mbps service) AP Coverage (11b @ 1.0 Mbps edge) I see your Beacon!

Boa notícia Hacker precisa estar na cobertura de RF Boa notícia: Hackers precisam estar bem próximo da edificação (ou do dispositivo móvel); Má notícia: Quase impossível de prevenir em áreas densamente urbanas ou industriais.

Ainda assim Medo não deve impedir o progresso

IMPLANTAR 24x7x365 Enterprise WIDS/WIPS. Ações para Mitigação Segurança Física; Minimizar vazamento de sinal RF; Utilizar padrões fortes de criptografia/autenticação. IMPLANTAR 24x7x365 Enterprise WIDS/WIPS.

Sua rede está sendo ‘hackeada’? Ou… Quantos ataques criam sintomas notórios para usuários autorizados? Que dizer de interferência / ruído de RF? Novos Ataques? SEM WIPS NUNCA IRÁ SABER!!!

O que WIPS pode fazer por sua WLAN? Legenda: Análise da Segurança WLAN O que Como / Quem Nível de risco Frequência / Plano de Detecção Como Prevenir

Rogue AP- “Vizinho transitório” O que: Rogue AP é detectado, mas seu estado muda constantemente. Diagnóstico cuidadoso é necessário. Como / Quem: Pode ser um AP rogue malicioso com intuito em hackear. Pode ser apenas um vizinho benigno. Nível de Risco: BAIXO Se o AP for um vizinho benigno, haverá pouca chance de problemas. Frequência: MÉDIA Full-time / Full-coverage monitoramento WIDS requerido Como Prevenir: Não há como prevenir

AP no escritório ao lado “Vizinho” Rogue AP AP no escritório ao lado T T Como saber se é um vizinho?

Situação: #1, Terça 16:30

Então… AP Rogue surge às 16:30, fica por 30 min. Mesmo comportamento no próximo dia. Uma investigação revela: mesmo comportamento, mesmo SSID em 2 outras unidades da empresa em cidades diferentes! Um leitor móvel no notebook poderá ajudar? -- OU – Implemente dispositivo WIPS/WIDS.

Redes WLAN Ad-hoc O que: MS Windows permite o adaptador WLAN operar como ad-hoc (ponto a ponto). A maioria dos laptops tem esta função ativada por default. fault. Nova falha pode piorar a exploração deste tipo de conexão. Como / Quem: Pode ser proveniente de computadores de colaboradores configurado erroneamente. Nível de Risco: Alto Hacker poderia estabelecer uma conexão ad-hoc, levantar ataques no laptop e potencialmente conectar-se a outras conexões de rede ativas. Frequência: ALTA Full-time / full-coverage monitoramento WIDS pode instantaneamente detectar e localizar o dispositivo Como prevenir: Educar os colaboradores. Utilizar função WIPS para localizar e bloquear nós ad-hoc ativos.

Perigo real Laptops conectados à rede cabeada COM ad-hoc WLAN ativo. Hackers podem adentrar à rede cabeada. Auditor Externo!! Visitante Terceirizado

Rogue AP – Usuários avançados O que: “usuários avançados” conectam APs não autorizados à rede cabeada sem qualquer recurso de segurança. Como / Quem: Colaboradores iniciando rede WLAN temporária. Colaborador “esperto” tentando burlar as regras de segurança. Nível de Risco: ALTO Acesso não autorizado WLAN à rede corporativa. Algumas configurações podem causar dano severo à rede. Frequência: BAIXA Full-time / full-coverage monitoramento WIDS requerido. Como prevenir: Educar os colaboradores. Uso de WIPS para monitorar WLAN e a rede Cabeada.

SITUAÇÃO REAL: Grande Problema!!! Colaboradores conectam AP à rede utilizando baixa ou nenhuma segurança. Utilizam o esquema de IP conhecido. Resultado: 4 horas de inatividade.

Mitigando Vulnerabilidades WLAN

WIDS / WIPS – Sistema indispensável O que considerar? Aplique boas práticas de segurança na configuração de WIPS; Criptografia; AAA; Cobertura do sinal. OU não tenha WLAN.; Resolve? WIDS / WIPS – Sistema indispensável

WIPS – Detecção de ameaças Dispositivos não controlados; Dispositivos falsificados; Ataques de DoS; Detecção de ferramentas de invasão; Ataque de força bruta. MAIS IMPORTANTE CONSTANTE ATUALIZAÇÃO DE ASSINATURAS

WIPS – Localização Localização em mapa real ou planta baixa baseado em técnicas de triangulação; Disparo de alarmes de invasor com base na localização do dispositivo.

POR QUE SEU ACCESS POINT DEVERIA SER SEU SENSOR DE WIPS WIPS – Arquitetura Seu firewall também é seu switch? Seu balanceador também é seu roteador de WAN? Seu IPS também é seu Core de Rede? POR QUE SEU ACCESS POINT DEVERIA SER SEU SENSOR DE WIPS Sistema Autônomo; Sistema Dedicado 100% 24x7; Sistema Agnóstico; Tolerante a falhas.

WIPS – Análise Forense O que passou ainda pode ser análisado; WIPS com captura: Cabeçalho RF; Pacote de Dados; Ativado automaticamente dado ameaça detectada.

WIPS – Diagnóstico e Troubleshooting Investigação profunda dentro dos problemas ou conexões inseguras; Conjunto de ferramentas de diagnóstico e throubleshooting para analizar problemas de conectividade, interferência e mobilidade.

WIPS – BYOD Classificação e agrupamento automático dos dispositivos; Informação detalhada de SO e nome do Modelo; Relatório dos Dispositivos.

Esqueceu de algo? WIPS – Espectro de Frequência 802.11 é um serviço dentro da RF. Alguém mais utiliza? Bluetooth; Telefone sem fio; Forno Microondas.

SOLUÇÕES

Soluções Wireless Wired/WLAN Analysis WLAN Test & Analysis Planning Deployment & Verification Troubleshooting & Interference 24x7 Performance & Security AirMagnet Planner AirMagnet Enterprise AirMagnet Survey Wired/WLAN Analysis WLAN Test & Analysis Spectrum Analysis OptiView XG ® One Touch AT AirCheck™ Wi-Fi Tester AirMagnet Wi-Fi Analyzer AirMagnet VoFi Analyzer AirMedic® USB AirMagnet Spectrum XT

AIR MAGNET ENTERPRISE Monitoramento 24x7

AME Architecture do Sistema – Sensor SmartEdge Todo o tráfego WLAN é processado dentro do Sensor Site Local Servidores AME no Data Center PRIMARY HOT STANDBY <5 Kbps necessários por sensor por servidor, Captura 100% de Performance & Eventos de Segurança Site Remoto Console em NOC / SOC ou remotamente

AME System Architecture- Fault Tolerance Sensor continua a armazenar eventos mesmo que a conexão com o servidor é interrompida. X Local Site Servidores AME no Data Center AME Servers in Data Center X PRIMARY HOT STANDBY Inteligente, um click para atualização de todos os sensores; Dual-Boot previne falha na atualização em queda de alimentação Servidor Hot Backup Automaticamente assume em caso de falha do primário Remote Site Console em NOC / SOC ou remotamente

Completa Visibilidade Wireless Contínua análise em todos os canais wireless, dispositivos e tráfego; Necessário para visualizar ataques complexos (man-in-the middle); Necessário para visualizar comportamento do cliente. Escaneamento de todos os canais incluindo 200 canais adicionais Garante que nenhum rougue ficará escondido. Análise de Espectro visualiza mais fundo que WiFi Expõe ataques DoS em camada 1 e outros dispositivos wireless como Bluetooth ou cameras wireless.

Livraria completa de ataques Detecção de centenas de ataques únicos e ferramentas de ataque Múltiplas técnicas de detecção Cobertura de todas as áreas de vulnerabilidades, políticas de segurança e técnicas de intrusão Vulnerabilidades na configuração; Auditoria das Políticas de Autenticação e encriptação; Ataques de DoS; Ferramentas de hacking e intrusão; Injection attacks, dictionary attacks, MITM Dispositivos Rogue.

Monitoramento do Ar 24x7 Requerimento: Sensores Dedicados – 100% monitorando 24/7: Captura de todos os dispositivos relevantes e ataques; Imediatamente gerar evento para notificação.

Solução de Diagnóstico Portátil OptiView XG; Diagnóstico de rede sem fio e cabeado; Site Survey; Análise de espectro. AirCheck; Qualidade da Rede sem fio simples e pontual.

Solução de Diagnóstico Portátil

Deseja saber mais? Fale comigo Italo Bruno Territory Sales Manager italo.bruno@flukenetworks.com (61) 9276-4608