ThaiCERT: Thai Computer Emergency Response Team ศูนย์ประสานงานการรักษาความปลอดภัยคอมพิวเตอร์ ประเทศไทย

ชื่อเรื่อง : Basic Intrusion Detection FAQ [3] - Products & Honeypots and Deception Systems
เรียบเรียงโดย : ร.อ. วิวัต เรืองมี
เรียบเรียงเมื่อ : 17 สิงหาคม 2544

4. Products

Q: ท่านสามารถค้นหา freeware/shareware IDS ได้จากที่ไหน ?
A: ท่านสามารถดูได้ที่ web site ของ COAST Intrusion Detection System Resources http://www.cs.purdue.edu/coast/ids

Q: Commercial IDS ในขณะนี้มีอะไรบ้าง ?
A: Commercial IDS ซึ่งมีอยู่ในขณะนี้ได้แก่

• Black ICE จาก Network ICE
  http://www.networkice.com
• RealSecure จาก Internet Security Systems (ISS) , lnc
  http://www.iss.net
• NetRanger จาก WheelGroup/Cisco
  http://www.whelgroup.com
• eTrust Intrusion Detection จาก Computer Associates
  http://www.cai.com
• NetProwler จาก Axent
  http://www.axent.com
• Centrax จาก Cybersafe
  http://www.cybersafe.com
• NFR จาก Network Flight Recorder
  http://www.nfr.net
• Dragon จาก Security Wizards
  http://www.network-defenes.com

Q: ระบบ "network grep " คืออะไร ?
A: "network grep " เป็นระบบที่จะหา pattern ของข้อมูลในเครือข่าย โดยการใช้ "regular expression" parser ตัวอย่างเช่น pattern คือ "/cgi-bin/phf" ซึ่งจะบ่งบอกถึงความพยายามในการเข้าใช้จุดอ่อนของ cgi script ที่เรียกว่า "phf" หลังจากที่มีการสร้างระบบนี้ขึ้นมาแล้ว ท่านสามารถที่จะวิเคราะห์การโจมตีที่รู้จักกันดีหรือระบุ string และทำการเก็บข้อมูลของ pattern นั้น ๆ

ในระบบที่ใช้ UNIX , "Regexp" หรือ "Regular Expression" เป็นภาษาที่ใช้ในการหา pattern ซึ่งในสมัยก่อนเราใช้ Regexp ในการค้นหา text file แต่เราสามารถใช้ Regexp ในการค้นหา binary date ได้อีกด้วย

"libpcap" หรือ "library for packet capture" คือ library ที่ใช้ในการ "sniff" packet ในระบบ UNIX soure code ของทั้ง Regexp และ libpcap นั้นเป็น free module ซึ่ง IDS ส่วนใหญ่ทำการป้อน output ที่ได้จาก libpcap เข้าสู่ Regexp parser ซึ่ง expression จะได้มาจากไฟล์ในดิสก์ หรือในระบบง่าย ๆ อาจไม่ต้องใช้ Regular expression ด้วยซ้ำ แต่โดยการเปรียบเทียบ packet กับ byte pattern ซึ่งรู้จักกันดี

IDS ประเภทนี้มีข้อดีอย่างหนึ่งคือ ง่ายในการ update แม้ว่าระบบนี้จะมี "signature" จำนวนมหาศาล แต่บางครั้งก็จะตรวจจับการบุกรุกที่รุนแรงได้เพียงน้อยครั้ง ตัวอย่างเช่น ข้อมูลของ Back Orifice ซึ่งมี default password จะเริ่มต้นด้วย "CE63D1B216E713CF" แม้ว่าประมาณ 80 % ของการโจมตีของ Back Orifice จะใช้ default password แต่ยังมีอีก 20 % ซึ่งใช้ password ที่ต่างออกไป และไม่มีการถูกตรวจจับโดย IDS  รวมทั้งจะเกิด false alarm บ่อยครั้งใน IDS ประเภทนี้ ตัวอย่างเช่น ข้อมูลของ Back Orifice 64 - bit pattern ซึ่งจะไม่ค่อยปรากฏใน traffic อื่น ๆ ซึ่งลักษณะดังนี้จะทำให้ alarm ทำงาน ถึงแม้ว่าจะไม่มี Back Orifice จริง ๆ ก็ตามแต่  ตัวอย่างของ IDS ประเภทนี้คือ Dragon , Snort และ Argus

3. Honeypots and Deception Systems

Q: honeypot คืออะไร ?
A: honeypot คือระบบซึ่งออกแบบมาเพื่อให้ดูเหมือนว่าเป็นสิ่งที่ผู้บุกรุกสามารถที่จะ hack ได้ เช่น

• การติดตั้งเครื่องในเครือข่ายโดยมีจุดประสงค์เพียงแค่ log ความพยายามที่เราเข้าสู่ระบบ
• การติดตั้งระบบปฏิบัติการรุ่นเก่าๆ บนเครื่อง ตัวอย่างเช่น การติดตั้ง WinNT4 ซึ่งใช้ IIS4 นั้นจะถูก hacked ได้โดยการใช้เทคนิคต่าง ๆ แล้วใช้ IDS ในการ log การเจาะเข้าสู่ระบบ และทำการติดตามการเคลื่อนไหวของ hacker หลังจากที่ระบบถูก compromised แล้ว
• การติดตั้ง software ซึ่งออกแบบมาเพื่อจุดประสงค์นี้โดยเฉพาะ ซึ่งประโยชน์คือทำให้ดูเหมือนว่าผู้บุกรุกสามารถเจาะเข้าสู่ระบบได้ทั้งที่ผู้บุกรุกยังไม่ได้เข้าระบบเลย
• ทุกระบบสามารถทำให้เป็น honeypot ได้ ตัวอย่างเช่น WinNT ให้ทำการเปลี่ยน account ของ admin จาก administrater เป็นอย่างอื่น แล้วสร้าง dummy account "administrater" ซึ่งไม่มีรหัสผ่านใด ๆ เนื่องจาก WinNT จะทำการบันทึกพฤติกรรมของผู้ใช้ ดังนั้น honeypot ก็จะติดตาม ความพยายามของ user ที่จะใช้ administrater access

Q: ข้อดีของ honeypot มีอะไรบ้าง ?
A: NIDS โดยทั่วไปจะมีปัญหาในการแยกแยะ traffic ว่า traffic ไหนที่เป็นการ hack หรือไม่เป็นการ hack แต่ honeypot จะค่อนข้างสะดวกกว่าเนื่องจากว่า traffic ที่มาสู่ honeypot เป็น traffic ที่น่าสงสัยทั้งสิ้น

Q: ข้อด้อยของ honeypot มีอะไรบ้าง ?
A:

• ถ้าระบบไม่ได้ถูก hacked จริงๆ honeypot อาจจะถูกใช้ในการ compromise เครือข่ายได้
• บางคนเชื่อว่า เนื่องจากการใช้ honeypot เป็นการชักชวน hacker ดังทำการเจาะระบบ ดังนั้นการดำเนินทางกฎหมายกับ hacker จึงอาจทำได้ไม่เต็มที่ แต่อันนี้เป็นความเข้าใจที่ผิด เนื่องจาก honeypot ไม่ได้โฆษณาตัวเองให้ hacker เข้ามาเจาะแต่ hacker จะพบ honeypot ได้ โดยการใช้ search program บนเครือข่ายเท่านั้น
• การใช้ honeypot เป็นการเพิ่มความซับซ้อน ซึ่งในด้านความปลอดภัยแล้ว ความซับซ้อนนั้นไม่ใช่สิ่งดีเลย
• การดูแล honeypot ก็จะต้องกระทำเหมือนกับอุปกรณ์อื่น ๆ บนเครือข่ายหรือบริการบนเครือข่าย

Q: ท่านจะติดตั้ง honeypot ได้อย่างไร ?
A: การติดตั้ง honeypot นั้นทำได้ง่าย เนื่องจากท่านสามารถใช้อุปกรณ์ hardware และ software ที่มีอยู่แล้ว เป็น honeypot ได้ ในการติดตั้ง honeypot ซึ่งท่านต้องมีคือ

• เอกสารประกอบ
• นโยบายการดูรักษา
• วิธีการแจ้งเตือนจากระบบ
• แผนการปฏิบัติในกรณีที่เกิด alarm ขึ้น

Q: ประเภทของ honeypot มีอะไร ?
A:

• Port Monitor
  เป็นประเภทของ honeypot ที่ง่ายที่สุด โดยจะทำการเปิด port และตรวจจับ เมื่อมีการ scanned จาก hacker ตัวอย่างของ honeypot ประเภทนี้ คือ NukeNabber ซึ่งจะทำการแจ้งเตือนเมื่อมี port ถูก scanned !
• Deception system
  เป็นการพัฒนาการอีกขั้นหนึ่ง นอกเหนือจาก port monitor ซึ่งจะเป็นระบบซึ่งสามารถที่จะตอบโต้กับ hacker ได้ ตัวอย่างเช่น ไม่เพียงแต่ทำการ accept port 111 สำหรับ POP แต่จะทำการ drop ด้วย ซึ่งระบบดังกล่าวจะปฏิบัติเหมือนกับว่าตัวเองเป็น POP3 server
• Multiprotocal deception system
  Specter และ Fred Cohen's Deception Toolkit ประกอบด้วย protocol ซึ่งถูก hacked อยู่บ่อย ๆ
• Full system with NIDS
  นอกเหนือจาก full system ที่ได้กล่าวข้างบนแล้ว ท่านอาจจะใช้ IDS เมื่อช่วยเสริมในเรื่องเกี่ยวกับ internal logging

Q: ข้อดีและข้อเสียของการสร้างระบบที่จะให้ถูก hacked ได้
A: server ซึ่งจะถูก hacked บ่อย ๆ คือระบบซึ่งไม่ได้ update patch และรันเวอร์ชันเก่าของ Linux , Solaris 2.6 และ Microsoft IIS 4.0 ดังนั้นท่านควรจะสร้าง honeypot ซึ่งประกอบด้วยระบบดังกล่าวข้างต้น

ข้อดี

• ได้เรียนรู้การตอบสนองต่อเหตุการณ์
  ซึ่งจะเป็นการสอนให้ท่านได้ตรวจจับการเจาะระบบของ hacker และการแก้ไข
• ได้เรียนรู้เทคนิคการเจาะเข้าสู่ระบบ
  การได้เห็นการเจาะเข้าสู่ระบบของ hacker เป็นการสอนท่านเรื่องดังกล่าวไปในตัว
• เกิดการแจ้งเตือนล่วงหน้า
  การสร้างระบบที่จะถูก hacked ได้โดยง่าย จะเป็นการแจ้งเตือน ก่อนที่ระบบจริง ๆ จะถูกเจาะ โดยปกติ hacker พยายามที่จะใช้เทคนิคง่าย
  ก่อนที่จะเริ่มใช้เทคนิคที่ซับซ้อน ซึ่งเป็นในการเจาะเข้าสู่ระบบ ดังนั้นการสร้างระบบที่จะเจาะเข้าโดยง่าย จะช่วยในการทำให้ทราบเจตนาของผู้ใช้ว่าจะเป็นพยายามจะเข้าสู่ระบบหรือไม่
  
  ข้อเสีย
• สิ่งที่อันตรายที่สุดคือ ผู้บุกรุกอาจจะใช้ระบบเพื่อจะโจมตีคนอื่นต่อไป