| Ricardo | <jfs> me gustaría que mi línea DSL fuera más rápida ... |
|---|
| Ricardo | :o |
|---|
| Ricardo | <sarnold> (nunca hay suficiente ancho de banda) |
|---|
| Ricardo | <jfs> Ok. |
|---|
| Ricardo | <jfs> Empecemos |
|---|
| Ricardo | Antes de nada, bienvenido todo el mundo |
|---|
| Ricardo | Estoy poniendo unas transparencias en http://www.dat.etsit.upm.es/~jfs/debian/doc/tiger-hids/ |
|---|
| Ricardo | (no intenten descargarlas aún, o dará un 404) |
|---|
| Ricardo | Voy a dar ahora una presentación sobre Tiger |
|---|
| Heimy | Por desgracia, es una herramienta antigua. |
|---|
| Heimy | :) |
|---|
| Heimy | La presentación está disponible en http://www.dat.etsit.upm.es/~jfs/debian/doc/tiger-hids/html/ |
|---|
| Heimy | cubre mucho más de lo que probablemente tendré tiempo de hablar |
|---|
| Heimy | Intentaré usarlo como guía pero no estrictamente. |
|---|
| Heimy | Por cierto, la versión PDF es _mucho_ mejor. De manera que vayan y descárguenla de http://www.dat.etsit.upm.es/~jfs/debian/doc/tiger-hids/tiger-hids.pdf |
|---|
| Heimy | Antes que nada. ¿Por qué quiero hablar de Tiger? |
|---|
| Heimy | Algunos podrían decir que Tiger es una herramienta vieja, que es obsoleta y no sirve para mucho más. |
|---|
| Heimy | (yo mismo lo he dicho a veces) |
|---|
| Heimy | El interés por hablar sobre Tiger es presentar la nueva versión de la herramienta a una audiencia más amplia |
|---|
| Heimy | ¿Por qué? Porque es una de las pocas herramientas de auditoría de seguridad multiplataforma, modular y _libre_ |
|---|
| Heimy | Y porque es una de las pocas herramientas de detección de intrusiones multiplataforma, modular y _libre_ |
|---|
| Heimy | Hablemos primero sobre Detección de Intrusiones, que abreviaré llamando ID (Intrusion Detection) |
|---|
| Heimy | (Por cierto, pasé la presentación en español, ya obsoleta, a html-es y las transparencias en inglés están ahora en http://www.dat.etsit.upm.es/~jfs/debian/doc/tiger-hids/html/) |
|---|
| Heimy | (lo siento) |
|---|
| Heimy | La detección de intrusiones se puede describir como el arte de detectar actividades inapropiadas, incorrectas o anómalas (de la FAQ de SANS). |
|---|
| Heimy | Hay muchos problemas al respecto de la detección de intrusiones. Principalmente, que realmente no es fácil determinar con precisión qué es «actividad inapropiada, incorrecta o anómala» |
|---|
| Heimy | ¿Por qué? |
|---|
| Heimy | Porque lo que es inapropiado para una organización dada, podría no serlo en una diferente. |
|---|
| Heimy | Por tanto, no tiene sentido tener un sistema de detección de intrusiones (sea esto lo sque sea) |
|---|
| Heimy | Si no tenemos una normativa de seguridad (security policy) |
|---|
| Heimy | No voy a hablar sobre normativa de seguridad, ya que es un tema bastante extenso y no es el de esta presentación |
|---|
| Heimy | Pero todos deben entender que sin una normativa de seguridad, incluso teniendo la mejor herramienta de seguridad de la tierra, no haremos nada útil. |
|---|
| Heimy | _Sin embargo_ |
|---|
| Heimy | Algunas personas podrían decir: «hey, yo no tengo una normativa de seguridad, pero tengo una herramienta de ID, ¡y funciona!» |
|---|
| Heimy | Sí, esto es cierto. Pero sólo porque hay algunas cosas comunes que la mayoría interpretaría como una violación de la normativa de seguridad. |
|---|
| Heimy | Por ejemplo, un ataque DoS (de negación de servicio) contra un servidor, un intento de obtener claves por fuerza bruta en un servidor, lo que sea... |
|---|
| Heimy | Ahora, la detección ID se puede hacer de varias maneras, dependiendo de _dónde_ se haga |
|---|
| Heimy | Supongo que muchas personas están al tanto de que se puede hacer ID analizando los paquetes que se intercambian en una red. |
|---|
| Heimy | Si "vemos" un paquete sospechoso, podríamos pensar que es un ataque e informar de ello |
|---|
| Heimy | Esto es una intrusión basada en redes, y es lo que detecta Snort (para citar la herramienta libre más conocida en este campo) |
|---|
| Heimy | Sin embargo, los sistemas de detección intrusiones mediante red presentan varios problemas: no son capaces de analizar paquetes cifrados (IPsec, SSL, o similares), básicamente están pensados en buscar patrones o "huellas" (hay algunos intentos de desarrollar nuevos tipos), y los sensores de ID en red pueden verse simplemente sobrecargados en redes de alta velocidad. |
|---|
| Heimy | Además, sólo pueden detectar actividades sospechosas que impliquen comunicación en redes. No pueden atacar intentos de un operador en una consola. |
|---|
| Heimy | Y ahí es donde entra la detección de intrusiones en máquinas: intrusiones hechas _en_ la máquina |
|---|
| Heimy | Por cierto, todos aquellos que quieran preguntar algo, hagan todas las preguntas que quieran durante la presentación usando el canal #qc |
|---|
| Heimy | (Por favor, empiecen las preguntas con 'jfs:' para que pueda verlas fácilmente) |
|---|
| Heimy | De manera que tiger intenta ayudar a evitar las HID (Host ID), intentando analizar la máquina y determinar qué hay en ella de sospechoso |
|---|
| Heimy | Pero eso no es para lo que fue desarrollado Tiger en realidad. |
|---|
| Heimy | Tiger se desarrolló como un conjunto de scripts de seguridad que comprobasen el sistema para determinar problemas de seguridad. |
|---|
| Heimy | Y ésa es la tarea principal que realiza Tiger: una auditoría de seguridad de cualquier máquina dada |
|---|
| Heimy | (no tiene que ser necesariamente aquella en la que se esté ejecutando) |
|---|
| Heimy | Por lo tanto, ¿qué es realmente una auditoría de seguridad? |
|---|
| Heimy | Sacado del RFC2828 |
|---|
| Heimy | : |
|---|
| Heimy | (I) Una revisión y examen independiente de los registros y actividades de un sistema para determinar la idoneidad de los controles del sistema, asegurar la adecuación a la normativa de seguridad y procedimientos establecidos, detectar brechas en los servicios de seguridad, y recomendar cualquier cambio que esté indicado como contramedida |
|---|
| Heimy | Si ejecuta Tiger, intentará analizar el sistema y determinar desviaciones de la normativa de seguridad. |
|---|
| Heimy | Por supuesto, todos tenemos una normativa de seguridad a estas alturas, ¿verdad? :-) |
|---|
| Heimy | Si no es el caso, Tiger aún será útil |
|---|
| Heimy | Para eso, como cualquier otro ID, intentará detectar problemas que indiquen un problema de seguridad, sin importar nuestra normativa |
|---|
| Heimy | ¿Alguna pregunta hasta ahora? |
|---|
| Heimy | <tarzeau> jfs: ¿podrías dar ejemplos? |
|---|
| Heimy | ¡Por supuesto que puedo! |
|---|
| Heimy | Un ejemplo del mundo real: |
|---|
| Heimy | Norma de seguridad: «no se permite a los usuarios ejecutar demonios que proporcionen servicios en las máquinas del departamento» |
|---|
| Heimy | (osea, nada de servidores de juegos, ningún servidor apache oculto, etc...) |
|---|
| Heimy | Por supuesto, podríamos eliminar las herramientas que los usuarios pueden usar para hacer esto |
|---|
| Heimy | Incluso implementar controles de acceso o capacidad (capabilities) que podrían evitar que esto se hiciera posible |
|---|
| Heimy | pero si no se puede (por cualquier razón) entonces deberemos _confiar_ en que nuestros usuarios harán lo que les hemos dicho |
|---|
| Heimy | y no tenemos ninguna razón para desconfiar de nuestros usuarios, ¿verdad? ;) |
|---|
| Heimy | Bien, un usuario X podría estar ejecutando el programa Y y proporcionar un servidor de juegos para que lo use toda la Internet |
|---|
| Heimy | Una auditoría de seguridad debería detectarlo como una desviación de la normativa de seguridad |
|---|
| Heimy | (esto, en ralidad, no es nada infrecuente, especialmente en algunos entornos universitarios) |
|---|
| Heimy | ¿Alguna otra pregunta? |
|---|
| jfs | Heimy: s/normativa/política/ :) |
|---|
| Heimy | bueeeeno |
|---|
| Heimy | traduciré normativa como política |
|---|
| jfs | :-) |
|---|
| Heimy | ya sabes lo que pienso al respecto :P |
|---|
| Heimy | s/normativa de seguridad/política de seguridad/ <- en todo lo que llevamos de charla |
|---|
| Heimy | Ok... (Espero que la audiencia no esté dormida :) |
|---|
| Heimy | volvamos a tiger |
|---|
| Heimy | <MJesus> hummm no !! |
|---|
| Heimy | <jfs> El enfoque escogido para Tiger es útil para proporcionar tanto una herramienta para auditorías de seguridad _como_ una herramienta para detección de intrusiones |
|---|
| Heimy | otra pregunta: <amd> ¿qué pasa si un usuario ejecuta un programa malicioso con la ayuda de cron? |
|---|
| Heimy | que también podríamos detectarlo de dos maneras: |
|---|
| Heimy | 1.- el usuario necesita meter una entrada en cron y eso se puede buscar |
|---|
| Heimy | 2.- el usuario neccesita tener permisos para ejecutar 'cronjobs' (lo cual puede no ser lo que dice la política) |
|---|
| Heimy | El problema de seguridad no está en que se ejecute o no el programa, sino en si el sistema ha sido modificado o no para poderlo ejecutar |
|---|
| Heimy | de manera que podamos detectarlo cuando va a ser ejecutado o antes/después de haberlo ejecutado porque el sistema ha sido configurado para hacerlo |
|---|
| Heimy | Volvamos a la presentación |
|---|
| Heimy | El asunto es que las detecciones de intrusiones y las auditorías de seguridad no se diferencian demasiado. Se puede hacer ID simplemente monitorizando de forma constante lo que sucede en el sistema y comparándolo con nuestra política; y hacemos una auditoría cuando sólo lo hacemos una vez |
|---|
| Heimy | Ahora tenemos que decidir hacia donde queremos que se dirija la presentación |
|---|
| Heimy | (Ya avisé que no tenía una guía estricta) |
|---|
| Heimy | Puedo hablar sobre la historia de Tiger, y cómo me convertí en su desarrollador principal y sobre cómo debería evolucionar (en general) el proyecto |
|---|
| Heimy | O puedo hablar sobre el diseño (actual) de Tiger y su arquitectura, cómo escribir módulos, desventajas, etc.. |
|---|
| Heimy | Por favor, (aquellos que no se hayan dormido): hagamos una votación rápida en #qc (las respuestas pueden ser 'evolution' o 'design') - evolución o diseño |
|---|
| Heimy | (por ahora van empatados) |
|---|
| Heimy | ok |
|---|
| Heimy | acabó la votación |
|---|
| Heimy | déjenme contar los votos :-) |
|---|
| Heimy | <jfs> evolution 7: baikonur, tarzeau, MJesus, Ratta_, melvyn, lopopora |
|---|
| Heimy | ok, evolución 7, diseño 9 (si he contado correctamente). Lo que significa que unas 120 personas están durmiendo :) |
|---|
| Heimy | Voy a hablar primero sobre el tema del diseño, y luego hablaré sobre la evolución de Tiger |
|---|
| Heimy | (así todo el mundo estará contento) |
|---|
| Heimy | Bien. Dije que Tiger es multi-plataforma, modular y _libre_ |
|---|
| Heimy | Por supuesto, lo de libre se debe a que se proporciona bajo la licencia GPL |
|---|
| Heimy | De manera que cualquiera puede usarlo (para cualquier propósito) siempre que se proporcione el fuente, se contribuya con parches, etc. Ya conocen de qué va. |
|---|
| Heimy | Es multiplataforma porque Tiger no depende de ninguna herramienta especial. |
|---|
| Heimy | Está programado en shell normal y corriente (¡sorpresa!) ysando otras herramientas POSIX |
|---|
| Heimy | de manera que podría ejecutarse en casi cualquier tipo de UNIX disponible. |
|---|
| Heimy | (e incluso en Windows, si instalamos las utilidades POSIX, aunque no lo he probado) |
|---|
| Heimy | De manera que está hecho con SH + AWK + SED + otras herramientas de UNIX |
|---|
| Heimy | Pueden revisar las fuentes en el CVS para confirmarlo: http://savannah.nongnu.org/cgi-bin/viewcvs/tiger/tiger/ |
|---|
| Heimy | Hay unas pocas herramientas que se necesita compilar en el sistema para poder ejecutarlas |
|---|
| Heimy | (aquellas escritas en C) |
|---|
| Heimy | http://savannah.nongnu.org/cgi-bin/viewcvs/tiger/tiger/c/ |
|---|
| Heimy | Esto es lo que lo hace multiplataforma |
|---|
| Heimy | Créanme, incluso instalar perl en algunas plataformas puede llegar a ser un dolor |
|---|
| Heimy | y es modular porque cada prueba de seguridad está escrita en su propio módulo |
|---|
| Heimy | Hay dos maneras de ejecutar cualquier módulo dado: bien mediante 'tiger' (que ejecutará todos los módulos configurados), o de forma independiente |
|---|
| Heimy | La función del sistema de detección de intrusiones se obtiene, de hecho, ejecutando algunos de los módulos a intervalos de tiempo especificados y comparando los resultados entre ejecuciones |
|---|
| Heimy | Lo bueno de esta modularidad es que es realmente sencillo tomar un módulo cualquiera y ejecutarlo sin necesidad del resto de material de Tiger |
|---|
| Heimy | Sólo se necesita que los ficheros de configuración que hacen que Tiger sepa qué herramientas (o ficheros de configuración) están disponibles en el sistema y cómo debe llamarlos |
|---|
| Heimy | Por eso es por lo que verán en las fuentes de Tiger la siguiente estructura: |
|---|
| Heimy | systems/ |
|---|
| Heimy | |-- AIX |
|---|
| Heimy | | |-- 3 |
|---|
| Heimy | | |-- 4 |
|---|
| Heimy | |-- HPUX |
|---|
| Heimy | |-- IRIX |
|---|
| Heimy | | |-- 4 |
|---|
| Heimy | | |-- 5 |
|---|
| Heimy | | |-- 6 |
|---|
| Heimy | |-- Linux |
|---|
| Heimy | | |-- 0 |
|---|
| Heimy | | |-- 1 |
|---|
| Heimy | | |-- 2 |
|---|
| Heimy | |-- SunOS |
|---|
| Heimy | | |-- 4 |
|---|
| Heimy | | |-- 5 |
|---|
| Heimy | ... |
|---|
| Heimy | estos son ficheros de configuración específicos para cada sistema que conoce Tiger |
|---|
| Heimy | bien, están en esos directorios. De manera que los ficheros para Solaris 8 (SunOS 5.8) están en systems/SunOS/5/ |
|---|
| Heimy | Tiger está diseñado de tal manera que determinará qué SO estamos ejecutando (sistema operativo, revisión y arquitectura) |
|---|
| Heimy | y usará los ficheros de configuración disponibles en $OS/$REV/$ARCH, $OS/$REV/, $OS, o los generales (si no dispone de ninguno) |
|---|
| Heimy | Estos ficheros de configuración son los que le dicen a Tiger dónde están situados SED, AWK, LS, HEAD, CAT ... |
|---|
| Heimy | (ya que la localización de estas herramientas varía entre diferentes sistemas UNIX, así como las opciones de línea de órdenes, el sitio donde encontrar los ficheros de configuración, etc...) |
|---|
| Heimy | por tanto, cada módulo se configura a sí mismo lo primero (. $basedir/config y $BASEDIR/initdefs) y entonces determina si tiene todas las herramientas que necesita |
|---|
| Heimy | Ejemplo (check_rhosts): haveallcmds AWK CAT EXPR GEN_PASSWD_SETS JOIN LS RM SED || exit 1 |
|---|
| Heimy | ¿Cómo se ejecutan los módulos? |
|---|
| Heimy | Como dije anteriormente: |
|---|
| Heimy | - mediante una tarea de cron |
|---|
| Heimy | (tigercron, que intenta hacer detección de intrusiones) |
|---|
| Heimy | - o mediante la herramienta principal: 'tiger' |
|---|
| Heimy | que ejecutará todos los módulos definidos en el fichero de configuración 'tigerrc' |
|---|
| Heimy | (este fichero de configuración también contiene algunos datos que se pueden usar para configurar el comportamiento de algunos módulos) |
|---|
| Heimy | ¿Cómo implemento mi política de seguridad en Tiger? |
|---|
| Heimy | - determino qué módulos son apropiados y los activo |
|---|
| Heimy | - configuro los módulos adecuadamente (podrían tener algunas variables que cambien su comportamiento, por ejemplo: usuarios a los que no se comprobará porque se les considera usuarios 'administrativos') |
|---|
| Heimy | - creando mis propios módulos (para cosas que Tiger no haga) |
|---|
| Heimy | Algunos módulos no pueden modificar para que no informen de cosas que consideran un problema de seguridad. Y aquí es donde entran los informes de base. |
|---|
| Heimy | Podemos ejecutar tiger y leer el informe. Podría decir que tenemos algunos problemas de seguridad que no nos importan demasiado. |
|---|
| Heimy | Nota de traducción: donde dije "informes de base", lean "baseline" |
|---|
| Heimy | Podríamos tomar estos avisos de seguridad y añadirlos a un 'baseline' (un fichero por cada módulo) |
|---|
| Heimy | La siguiente vez que se ejecute la comprobación de seguridad (mediante el módulo), _no_ aparecerán estos avisos. |
|---|
| Heimy | (Nota de traducción: baseline == plantilla) |
|---|
| Heimy | ¿alguna pregunta hasta ahora? |
|---|
| Heimy | ¿alguien? |
|---|
| Heimy | <sarnold> jfs: ¿qué evita que un intruso modifique alguno de esos ficheros 'baseline' para evitar que se ejecuten algunas comprobaciones? |
|---|
| Heimy | primero, cambiar un baseline no evitará que se ejecute la comprobación |
|---|
| Heimy | cambiar el servidor cron sí |
|---|
| Heimy | cambiar el baseline podría evitar que tiger informase de algunos problemas de seguridad cuando se ejecuta |
|---|
| Heimy | Indicaré (al final de la presentación) algunos de los pros y contras de Tiger y quizá lo comprendas con más profundidad. |
|---|
| Heimy | El problema principal es: se puede engañar a la ID en espacio de usuario (no en espacio de núcleo). La única protección es la que ofrezca el sistema (permisos, MAC, etc..) |
|---|
| Heimy | Otra pregunta: <amd> ¿qué aspecto tienen los informes de tiger? |
|---|
| Heimy | Respuesta: hay dos tipos: informes de texto sencillos e informes en HTML |
|---|
| Heimy | los ficheros de texto plano no son muy bonitos: |
|---|
| Heimy | (ejemplo) |
|---|
| Heimy | Security scripts *** 2.2.4-20, 2002.0903.1138 *** |
|---|
| Heimy | sáb abr 20 11:21:53 CEST 2002 |
|---|
| Heimy | 11:21> Beginning security report for jfernandezp.germinus.com (i686 |
|---|
| Heimy | Linux 2.4.17-686). |
|---|
| Heimy | # Performing check of passwd files... |
|---|
| Heimy | --WARN-- [pass006w] Integrity of password files questionable (pwck |
|---|
| Heimy | -r). |
|---|
| Heimy | --WARN-- [pass007w] Password control PASS_MIN_LEN missing from |
|---|
| Heimy | /etc/login.defs. |
|---|
| Heimy | # Performing check of group files... |
|---|
| Heimy | (...) |
|---|
| Heimy | Hay notificaciones de errores (ERR), avisos (WARN) e información (INFO) |
|---|
| Heimy | (Por cierto, tarzeau indicó antes otro ejemplo en www.linuks.mine.nu/people/amd/tiger.txt) |
|---|
| Heimy | (Es un ejemplo de un informe diferencial, que es parte de los mensajes que se envían al root para ID) |
|---|
| Heimy | ¿alguna pregunta sobre el diseño? |
|---|
| Heimy | Incluso si no han comprendido completamente el diseño, recomiendo que se bajen el fuente del CVS o naveguen por él |
|---|
| Heimy | <tarzeau> jfs: has probado tiger en el Hurd también? o en algunos BSD? |
|---|
| Heimy | <tarzeau> lo he probado en solaris y funciona bastante bien |
|---|
| Heimy | Pregunta sencilla: no lo he probado ni en el Hurd ni en algunos BSD. |
|---|
| Heimy | Está en mi lista de cosas PORHACER |
|---|
| Heimy | Como veremos más adelante me gustaría que Tiger se usase más tanto en las distribuciones de Linux como en las de BSD |
|---|
| Heimy | En cualquier caso, probar en otras plataformas (aparte de Linux) ha ayudado a depurar algunos errores de programación que estaban ocultos en el código |
|---|
| Heimy | Y aprecio que la gente pruebe la herramienta en cualquier sistema Unix en que quieran hacerlo. |
|---|
| Heimy | (sólo asegúrense de que están usando la última versión, ya que algunas personas han probado 2.2.4, que no estaba realmente del todo bien) |
|---|
| Heimy | Seguiré hablando sobre la evolución de Tiger |
|---|
| Heimy | (si a la gente no le importan que hable tanto) |
|---|
| Heimy | :) |
|---|
| Heimy | Ok. Empecemos con un poco de historia |
|---|
| Heimy | Tiger comenzó siendo un conjunto de scripts de seguridad para analizar un sistema buscando problemas de seguridad |
|---|
| Heimy | nació en 1993 de la mano de Douglas Lee Schales, David K. Hess y David R. Safford |
|---|
| Heimy | en el grupo de redes CIS de la universidad Texas A&M |
|---|
| Heimy | (es por eso que es parte de las herramientas de seguridad TAMU: TAMU = Texas A&M University) |
|---|
| Heimy | http://www.net.tamu.edu/network/tools/tiger.html |
|---|
| Heimy | Se escribió más o menos al mismo tiempo que Cops, SATAN e ISS |
|---|
| Heimy | (si recuerdo bien) |
|---|
| Heimy | lo mantuvo la gente de la TAMU bastante tiempo |
|---|
| Heimy | pero, con el tiempo, y tras sacar la versión 2.2.4 (alrededor de 1994) |
|---|
| Heimy | el trabajo de Tiger se redujo a actualizar el conjunto de "signatures" (huellas) |
|---|
| Heimy | la gente de Advanced Research Corporation (arc) |
|---|
| Heimy | hizo un fork de Tiger que llamaron TARA (http://www-arc.com/tara/) |
|---|
| Heimy | Que aún siguen actualizando (miré el otro día y han sacado la versión 3.0.4, basada, creo, en la versión 3.0 de Tiger) |
|---|
| Heimy | Empecé a trabajar en Tiger hace poco más de un año |
|---|
| Heimy | Estaba buscando una herramienta IDS basada en la máquina para Debian, pero no encuentre mucho (aparte de revisores de integridad de ficheros y de registros -logs- que ya estaban disponibles) |
|---|
| Heimy | de manera que empaqueté tiger-2.2.4 en agosto de 2001 y lo envié a la cola de entrada de Debian |
|---|
| Heimy | Aparte de arreglar fallos, añadí algunas comprobaciones (específicas a Debian) |
|---|
| Heimy | Desde entonces se está volviendo popular (en Debian). Me ha llegado una serie de informes de fallos, y he sacado más de 17 versiones parcheadas hasta diciembre |
|---|
| Heimy | Entonces pensé que quizá fuera bueno integrar el trabajo de Tara en el tiger de Debian |
|---|
| Heimy | y lo hice |
|---|
| Heimy | Y entonces, Bryan Gartner (de HP) envió un mensaje al equipo de TAMU, a ARSC y a mí preguntando si podríamos fusionarlo todo (él mismo había trabajado algo sobre Tiger) |
|---|
| Heimy | De manera que tras algo de integración y pruebas, publiqué 2.2.4p2-1 que era el paquete de Debian que proporcionaba (la mayoría de) los cambios de TARA así como los de Bryan |
|---|
| Heimy | Eso fue en abril de este año |
|---|
| Heimy | Como era obvio que había varias personas interesadas y que podríamos trabajar en una base de código común, intenté crear un sitio donde Tiger pudiera evolucionar |
|---|
| Heimy | Escogí savannah: http://savannah.nongnu.org/projects/tiger/ |
|---|
| Heimy | Y, tras un poco de integración, publiqué (en junio) la versión 3.0 |
|---|
| Heimy | que integraba todos los fork y proporcionaba una base común de código fuente con la que empezar a trabajar |
|---|
| Arador | asique, la slistas de correo (las de desarrollo y iusuario) no estan muy activas pero algunos usuarios han reportados intentos de usar Toger en HP-UX, Solaris y Compaq Tru64 |
|---|
| Arador | y practicamente solo he hecho arreglos de bugs para 3.2 (sacada el dia eantes de mi cumpleaños) |
|---|
| Arador | s/3.2/3.1 |
|---|
| Arador | donde queremos que llegue tiger? |
|---|
| Arador | Quiero que tiger sea capaz de comprobar todas las cosas que Bastille intenta rreglar (desde que Bastille no puede auditar el sitema local) |
|---|
| Arador | Y quiero actulizar todas las firmas (y sistemas) que estan desactualizaros (recientemente actualize (HP-UX y todavia no he heco Solaris) |
|---|
| Arador | no he comentado sobre las firmas de todas maneras |
|---|
| Arador | Las firmas son Hashes MD5 almacenados en Tiger que se toman fuera-de-la-caja del sistema oeprayivo (instalado o parcheado) |
|---|
| Arador | Tiger intentara comprobar si hay un troyano en el sistemma basado en esta firma. Esto noes exactamente comprobacion de integridad de archivo (lo que tripwire, aide, integrit, y al hacen) pero similar |
|---|
| jfs | s/y al/y otros parecidos/ |
|---|
| jfs | :) |
|---|
| Arador | Una vez que esto este hecho quiero arreglar algunos fallos de diseño de Tiger (la dependencia de cron/mail)q uqe se pueden explotar para atacar cuando se ejecuta en modo host-IDS |
|---|
| Arador | (proveyendo un demonio y una manera modular de enviar alertas IDS, que deberia poder usar mail/snmp/syslog...) |
|---|
| Arador | Podeis ver algunas de las tareas pendientes en http://savannah.nongnu.org/pm/?group=tiger |
|---|
| Arador | Asique si teneis ganas de ayudar animaros! |
|---|
| Arador | Por supuesto, hay una lista de usuarios tiger-users y una lista de desarrollo tiger-developers |
|---|
| Arador | http://savannah.nongnu.org/mail/?group=tiger |
|---|
| Arador | Si estas usando Tiger, o crees que puedes ayudar a mejorarlo, por favos subscribete a ellas. Hay muy poco trafico (por el momento) y son la mejor manera de preguntar cosas de Tiger )desde que ambos equipos RSC, HP y yo estamos subscritos) |
|---|
| Arador | Permitidme hacer algunas aclaraciones entonces |
|---|
| Arador | Lo podria titular Pros y contras de usar Tiger |
|---|
| Arador | Pros: |
|---|
| Arador | El diseño modular permite a cualquiera añadir sus modulos (es fbastante facil) y modificar Tiger a sus necesidades |
|---|
| Arador | El diseño multiplataforma permite a Tiger ser usado como una sola herramienta para HID en un abiente heterogeneo |
|---|
| Arador | Esto no significa que es a prueba de balas de plata, y querreis añadir pas cosas a tu slucion HID) (mas de esto mas tarde) |
|---|
| Arador | El echo de que sea GPL (y por lo tanto libre) permite mirar al codigo y aprender como se pueden implementar comprobaciones de seguridad |
|---|
| Arador | Puedes vender un servicio IT basado en Tiger (eso es lo que hace ARSC) |
|---|
| Arador | Y eso esta bien! |
|---|
| Arador | (mientras contribuyas con tus parches al la base de codigo comun) |
|---|
| Arador | Ahora, contras: |
|---|
| Arador | - El hecho de que se ejecuta en espacio de usuario lo hace supsceptible a ataques |
|---|
| Arador | (Depende de cron para ejecutarse como HID, depende de mail para reportar, los archivos que son usados para determinar la linebase, etc...) |
|---|
| Arador | - Tiger todavia no ofrece una solucion completa HID, no ha sido mantenido por un tiempo y hay muchas cosas enn el area de HID que todavia no hace (chequeos de integridad, analisis de logs...) |
|---|
| Arador | - Tambien, porqe es una herramienta en espacio de usuario se la puede "mentir" si el servidor eta comprometido (pensad en los rootkits) |
|---|
| Arador | Sin emabrgo, olvide un Pro: |
|---|
| Arador | Como no es dependiente del sistema, hay algunas comprobaciones de seguridad que pueden hacerse desconectaod (a traves de un sistema de archivos a traves de la red) en un host que no es el que esta siendo auditado |
|---|
| Arador | Tiger podria mejorarse en muchas areas (y y la gente necesita ayudar en eso) |
|---|
| Arador | Por ejemplo, buena integracion con otros HIDs open source (como tripwire, integrit, aide y samhain) estaria bien |
|---|
| Arador | Asi como estaria bien la integracion con sistemas de analisis de logs (logcheck, log-analuss y snorter) |
|---|
| Arador | En cualquier caso, ñsi esers muy paranoico, podrias estar interesado en soluciones HID basadas en el kernel (y que por lo tanto no son multi plataforma) |
|---|
| Arador | Como LIDS o Snare (para linux) |
|---|
| jfs | or systrace (for BSD and now linux also) |
|---|
| Arador | o systrace (para BSD y ahora tambien para linux) |
|---|
| Arador | Ahora, con esto termina de lo que queria hablar en esta presentacion |
|---|
| Arador | las preguntas se pueden hacer ahora :) |
|---|
| BaSS | nas heimy :) |
|---|
| MJesus | para los traductores |
|---|
| BaSS | Heimy tu traduces? |
|---|
| MJesus | clap clap clap clap clap clap clap clap clap clap |
|---|
| MJesus | clap clap clap clap clap clap clap clap clap clap |
|---|
| MJesus | clap clap clap clap clap clap clap clap clap clap |
|---|
| MJesus | clap clap clap clap clap clap clap clap clap clap |
|---|
| MJesus | clap clap clap clap clap clap clap clap clap clap |
|---|
| raul | clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap |
|---|
| raul | clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap |
|---|
| raul | clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap |
|---|
| raul | clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap |
|---|
| raul | clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap clap |
|---|
|