Ponad dwa tygodnie temu rozpoczął się projekt dotyczący badania dostępnych rozwiązań firewall. Chciałbym zaprezentować wyniki części przeprowadzonych badań. Zapraszam także do współpracy w tym projekcie każdego zainteresowanego tematem badań. Proszę pisać na adres: labs (at) hack (pl).
W przeciągu dwóch tygodni nadzorowałem projekt FBP realizowany z ramienia portalu HACKPL. Dotychczas testowaliśmy dwa popularne rozwiązania: Norton Internet Security 2005 (2006) oraz Kerio Personal Firewall 4. Testowaliśmy także kilka innych, mniejszych rozwiązań. W niedługiej przyszłości będziemy testowali kolejne rozwiązania.
Wyniki badań są zadawalające. Działania z wykorzystaniem ukrytego pulpitu oraz Direct Data Exchange okazały się, niestety, skuteczne. Żadne z rozwiązań nie poradziło sobie z zadaniem wykrycia i poinformowania (“allow/deny”) użytkownika o możliwym zagrożeniu. Wykorzystanie SVCHOST do wysyłania zapytań DNS, niestety, też nie zostało wykryte. Kolejne, aczkolwiek nieostatnie, “niestety” dotyczy aplikacji, które poprzez restart i ponowne uruchomienie zmieniają swój PID – oba firewalle nie poradziły sobie z testami. Szczęśliwie dotychczasowo ataki z użyciem wstrzyknięcia DLL nie dały pozytywnych rezultatów. Chain-execution (cmd->explorer->iexplore oraz wiele innych ciekawych!) w wielu przypadkach przeszło niezauważone przez firewall. Dotychczasowe badania były prowadzone na firewallach z domyślnymi ustawieniami, a także z ustawieniami kładącymi nacisk na informacje “allow/deny” . W trakcie badań implementujemy kolejne rozwiązania, które umożliwiają badania nad rozwiązaniami firewall, wiele z innowacyjnych pomysłów przynosi oczekiwany efekt. Oba firewalle (w trakcie dotychczasowych badań) radzą sobie z większością prób code injection oraz próbami użycia różnych protokołów.
W trakcie projektu trwają badania dotyczące tajnych kanałów komunikacji. Jesteśmy otwarci na nowych ludzi, którzy chcieliby wesprzeć projekt. Zainteresowanych prosimy o kontakt na podany wcześniej adres. Projekt ma wyznaczone dwa cele: pierwszy z nich – badanie poziomu bezpieczeństwa obecnych rozwiązań; drugi – badanie nowych metod analizy rozwiązań firewall oraz badanie możliwości zastosowania wyników pracy w robaku nowej generacji (międzynarodowy projekt, o którym powiem później).
Wszystkie pytanie proszę kierować na adres:
labs(at)hack(dot)pl
