Színre léptek az etikus hekkerek

Figyelő és kíváncsi tekinteteket felváltó mély megdöbbenés, majd hangos kacagás. Így jellemezhető az a pillanat, amikor az ember egy etikus hekker rendezvényen követi az eseményeket, és az előadó éppen egy addig biztonságosnak vélt védelmi eszközön, megoldáson úgy hatol át, mint kés a vajon. Ráadásul mindezt már-már szemtelenül egyszerű, mindenki számára elérhető, sőt sokszor teljesen ingyenes eszközökkel teszi. Nem csoda, hogy ilyenkor a közönség soraiban ülők mosolya nem mindig természetes, hiszen aki egy kicsit is belegondol a biztonsági szakemberek által bemutatott trükkökbe, hamar ráébred, hogy minden, amit hall, nagyon is komolyan veendő.

A NetAcademia először tavaly határozott úgy, hogy egy olyan konferenciát szervez, amely az etikus hekkerkedést próbálja bemutatni. Mivel a múlt évi rendezvény jól sikerült, így nem igazán meglepő, hogy az idei eseményt is nagy érdeklődés övezte. A kérdés csak az volt, hogy vajon sikerül-e a szervezőknek tartaniuk a színvonalat.

Megbízhatatlan alapbeállítások
Reggel kilenc órára a Cinema City Aréna egyik moziterme teljesen megtelt a biztonság iránt érdeklődőkkel. A köszöntő és a bevezetők után mindjárt egy neves, külföldi előadó lépett színre. Tim Pierson, az EC-Council szakembere a fehérkalapos hekkerekről, a hekkerkedés jó célú alkalmazásáról beszélt. Elmondta, hogy a sérülékenységvizsgáló eszközök alapvetően nem képesek a proaktív működésre, így más módszerekkel is fel kell készülni a rendszerek gyenge pontjainak kiszűrésére, amiből nem hiányozhat az emberi tényező kezelése sem. A szakember felhívta a figyelmet az informatikai eszközökben, szoftverekben alkalmazott gyári alapbeállítások által jelentett kockázatokra. Ezt követően egy gyakorlati bemutató révén szemléltette, hogy egy VMware alapú virtuális környezetben milyen egyszerű jelszót megszerezni. Tim Pierson a demója során többek között az ISCI protokollal végzett, titkosítatlan adatátvitelt használta ki a bizalmas információk megszerzéséhez.

IDS után egy kis matek
A programot Deim Ágoston (Linux Support Center) folytatta, aki az IDS (Intrusion Detection System) rendszerekről tartott előadást. Ismertette az IDS-ek működésének alapjait, majd három alapvető támadási formáról beszélt. Szó volt a szolgáltatásmegtagadási (DoS), az IP fragmentálásra valamint a kódolásra épülő IDS-megkerülési technikákról. Végkövetkeztetésként pedig elhangzott, hogy IDS-t akkor érdemes üzemeltetni, ha arra elég erőforrás áll rendelkezésre, különben hamis biztonságérzet alakulhat ki. A behatolásdeteklálók támadása után egy kis matekozás következett, hiszen Mizsányi Attila (NetAcademia) az RSA működésének matematikai alapjait ismertette. Egyebek mellett kiderült az is, hogy a matematikusok szemszögéből nincs semmi akadálya, hogy a Föld minden lakosa (többek között a végtelen sok prímszámnak köszönhetően) RSA-t használjon a biztonságos kommunikációhoz.

Alig, hogy a közönség felocsúdott a képletek sokaságából, máris egy újabb hekkerkedés vette kezdetét, ráadásul ezúttal a fehér- és a feketekalapos támadók szemszögéből is szemügyre lehetett venni e területet. Gajdov Gábor és Imre Zsolt, a KFKI rendszermérnökei ugyanis mindkét oldal szemléletmódját igyekeztek bemutatni. A demójuk során a Drupal webes alkalmazás valamint az Internet Explorer sebezhetőségeit használták ki, és néhány segédprogram (Nmap, Metasploit, stb.) bevetése révén végül megkaparintottak egy SAP jelszót. Az előadásból arra derült fény, hogy sokszor a feketekalapos hekkerek jóval mélyebben keresgélik a sebezhető pontokat, jobban használják ki a biztonsági réseket, illetve az exploitokban rejlő lehetőségeket, és jobban is programoznak, mint az etikusan tevékenykedő hekkerek.

Mindent látó tűzfalak
Az Ethical Hacking második felében Illés Márton, a BalaBit IT biztonsági szakértője a tűzfalakat vette górcső alá. Azt ecsetelte, hogy e határvédelmi eszközök esetében milyen problémákkal kell szembe nézni a titkosított adatforgalom következtében. Felvázolta, hogy miként lehet a biztonsági megoldásokat felkészíteni a kódolt hálózati forgalom ellenőrzésére, miközben kiderült, hogy a "MITM (man-in-the-middle) alapú technológia" jó célokat is szolgálhat.

Rejtélyes nyomozás
Barta Csaba, a PricewaterhouseCoopers IT biztonsági tanácsadója egy szövevényes és rejtélyes területre kalauzolta el a konferencia résztvevőit, amely nem más, mint a Computer forensic analízis. Ennek egyik legfontosabb célja, hogy a számítógépeken lezajlott tevékenységek és azok időrendje feltárható legyen. Olyan bizonyítékokat kell szolgáltatnia, amelyek sértetlenek, és megfelelő módon alátámasztják a tényeket. A szakember beszélt az online és az offline pillanatkép-készítési lehetőségekről, majd működés közben bemutatta a saját fejlesztésű rootkitjét, amelynek érdekessége, hogy többek között a (fejlesztéskor még béta verzióban lévő) Windows 7 operációs rendszeren is működőképes. A rootkit feladata az volt, hogy folyamatokat rejtsen el a kíváncsiskodó szemek elől.

Humán tűzfal
A számos, biztonsági eszközöket és szoftvereket próbára tevő előadás után Novák Zsolt, a Regulation Consulting informatikai biztonságirányítási auditora az emberi tényező kezelésének fontosságáról beszélt. A prezentációjában végigvezette a konferencia résztvevőit egy humán tűzfal (lásd. keretes írás) kialakításának lépésein, és ezáltal felvázolta azokat a legfontosabb teendőket, amelyekkel a munkavállalókat rá lehet bírni a biztonsági követelményeknek megfelelő munkavégzésre. Hiszen hiába van körülbástyázva egy vállalat IT-rendszere a legkorszerűbb biztonsági eszközökkel, ha közben a felhasználók kifecsegik a bizalmas információkat.

Hekkelés néhány sorból
Az Ethical Hacking záróelőadását Borsi Katalin és Zsíros Péter tartotta meg, akik azt szemléltették, hogy egy nagyon egyszerű (szöveget bekérő és kiírató) program is milyen komoly lehetőségeket tartogathat a hekkerek számára. Zsíros Péter a kis alkalmazást erőteljes debugolásnak vetette alá, majd a közönséget egy memóriatúrára vitte, amelyen lépésenként bemutatott egy támadást. Végül a pár soros programban rejlő biztonsági rés valamint a Metasploit által kínált lehetőségek kihasználásával elindított egy Számológépet, és felvett egy adminisztrátori jogosultságokkal rendelkező felhasználót. Az is kiderült, hogy a kiaknázott sebezhetőség néhány karakteres kódkiegészítéssel orvosolható volt.

A cikkünk elején azt a kérdést tettük fel, hogy vajon sikerül-e megtartani az Ethical Hacking színvonalát. Nos, a rendezvény végére nyilvánvalóvá vált, hogy igen, hiszen a szervezők valamint az előadók idén is kitettek magukért, és a gyakorlatias jellegéből sem vesztett az esemény. Bízunk benne, hogy mindez jövőre is így marad.