THU THẬP VÀ PHÂN TÍCH THÔNG TIN AN NINH MẠNG THỰC HÀNH LAB 2 TRIỂN KHAI, CÀI đặt HỆ THỐNG HONEYPOT

BAN CƠ YẾU CHÍNH PHỦ HỌC VIỆN KỸ THUẬT MẬT MÃ KHOA: AN TOÀN THÔNG TIN ??? THU THẬP VÀ PHÂN TÍCH THÔNG TIN AN NINH MẠNG THỰC HÀNH LAB 2 TRIỂN KHAI, CÀI ĐẶT HỆ THỐNG HONEYPOT ……….... CHƯƠ

BAN CƠ YẾU CHÍNH PHỦ HỌC VIỆN KỸ THUẬT MẬT MÃ KHOA: AN TOÀN THÔNG TIN

🙟🙟🙟

THU THẬP VÀ PHÂN TÍCH THÔNG TIN AN NINH MẠNG

THỰC HÀNH LAB 2 TRIỂN KHAI, CÀI ĐẶT HỆ THỐNG HONEYPOT

………

Giảng viên hướng dẫn: Nguyễn Thị Hồng Hà

Sinh viên thực hiện: Nguyễn Nhân Hoàng

Lớp: L06.2

Khóa: K14

Tháng 6 năm 2021

CHƯƠNG 1: MỞ ĐẦU 3

CHƯƠNG 1: MỞ ĐẦU

1.1 Tổng quan

Honeypot là một hệ thống tài nguyên thông tin được xây dựng với mục đích giả dạng, đánh lừa những kẻ sử dụng và xâm nhập không hợp pháp, thu hút sự chú ý, ngăn không cho chúng tiếp xúc với hệ thống thật Honeypot có thể giả dạng bất cứ loại máy chủ tài nguyên nào như Mail Server, Domain Name Server, Web Server Honeypot sẽ trực tiếp tương tác với tin tặc và tìm cách khai thác thông tin về tin tặc như hình thức tấn công, công cụ tấn công hay cách thức tiến hành tấn công

Honeypot gồm hai loại chính:

+ Tương tác thấp: Mô phỏng giả các dịch vụ, ứng dụng, và hệ điều hành Mức độ rủi

ro thấp, dễ triển khai và bảo dưỡng nhưng bị giới hạn về dịch vụ

+ Tương tác cao: Là các dịch vụ, ứng dụng và hệ điều hành thực Mức độ thông tin thu thập được cao Nhưng rủi ro cao và tốn thời gian để vận hành và bảo dưỡng

1.2 Mục đích

Trong thực tế Web Server có thể là hệ thống thật hoặc giả mạo Khi các hacker tấn công vào hệ thống, Honeywall sẽ thu thập được tất cả các gói tin đến Web Server khi kết hợp với công cụ Sebek được cài đặt trên server Người quản trị có thể giám sát thời gian thực với những dữ liệu thu thập đó Từ đó có thể phân tích, đánh giá các thông tin cần thiết để đưa ra các phương án phòng chống, nâng cấp hợp lý

CHƯƠNG 2: TIẾN HÀNH TRIỂN KHAI

2.1 Mô hình

Các máy ảo và công cụ hỗ trợ

- Phần mềm Vmware 8

- Máy ảo honeywall cài từ tập tin iso

- Máy ảo win 7 dùng làm máy Manager cài chrome: địa chỉ 172.16.1.10

- Máy ảo win 7 Server cài sebek, cài XAMPP và DVWA để tiến hành thử nghiệm tấncông web : địa chỉ 10.0.0.20

- Máy ảo win 7 Hacker cài Nmap :địa chỉ 10.0.0.100

Máy ảo honeywall có 3 card mạng theo thứ tự sau:

- Card mạng thứ nhất Eth0: Chế độ NAT kết nối Internet

- Card mạng thứ hai Eth1: Chế độ Host-Only kết nối với Honeypot

- Card mạng thứ ba Eth2: Chế độ Vmnet 2 kết nối máy quản lý

2.2 Quá trình cài đặt

Giao diện trong quá trình cài đặt

-Đăng nhập vào hệ thống sử dụng tài khoản: user: roo và password: honey

-Tiếp theo chuyển sang tài khoản root cũng với password: honey

Truy cập vào tệp cấu hình của Honeywall: vi /etc/honeywall.conf

-sử dụng lệnh :set nu để hiện thị số dòng

sử dụng phím i để thực hiện chỉnh sửa

Tìm đến dòng số 44 và định nghĩa dải mạng quản lý: 172.16.1.0/24

Dòng số 76 cấu hình Honeywall khi khởi động: yes

Dòng số 85 định nghĩa IP của máy chủ Honeypot (Web Server): 10.0.0.20

Dòng số 139 để cho phép nhận thông tin từ Sebek: yes

Dòng số 143 cho phép truy cập quản lý thông qua trình duyệt web : yes

Dòng 152, 156 định nghĩa Ip và cổng của Honeypot (Web Server): 10.0.0.20 , port 1101

Dòng 175 giao diện quản lý: eth2

dòng 179 địa chỉ IP của giao diện quản lý:172.16.1.2

dòng 187 gateway của mạng quản lý:172.16.1.1

Sử dụng lệnh: [:x] để lưu và thoát khỏi trình soạn thảo vi

Sử dụng lệnh sau để khởi động lại cấu hình của

Honeywall: usr/local/bin/hwctl -s -p /etc/honeywall.conf

sau khi cài xong honeywall truy cập vào máy manager để vào trang quản trị địa chỉ 172.16.1.2

nếu bị lỗi k truy cập được thì khởi động lại máy manager và honeywall

user pass lúc vào là roo - honey , khi vào hệ thống yêu cầu đổi lại pass

truy cập manager thành công , có thể tạo thêm các tài khoản quản trị khác

xong quá trình cấu hình honey wall

Cài đặt Sebek

Cài đặt phần mềm Sebek: Setup.exe

Xem địa chỉ MAC eth1 của Honeywall : ifconfig eth1

Chạy chương trình: Configuration Wizard.exe để cấu hình Sebek, nhập đúng địa chỉ MAC của eth1 vào

Hoàn tất quá trình cài đặt , chuyển sang thực hiện các kịch bản

QUÁ TRÌNH TẤN CÔNG

KỊCH BẢN 1: SỬ DỤNG NMAP ĐỂ DÒ QUÉT CỔNG MỞ TRÊN

WEBSERVER

sử dụng máy hacker dùng nmap để dò quét các cổng trên web server

-truy cập thử vào trang manager

đã thu được rất nhiều các request trong vòng 24h

có rất nhiều các gói tin được gửi tới từ địa chỉ 10.0.0.100

Ví du như cổng 80 đang mở chạy trên Apache2.4.10(win32 bit) với phiên bản PHP 5.4.31

KỊCH BẢN 2: TẤN CÔNG SQL INJECTION VÀO DỊCH VỤ WEB TRÊN

WEBSERVER (DVWA)

thay đổi địa chỉ ip của máy hacker và thực hiện sql injection

thay đổi thành 10.0.0.125

truy cập vào 10.0.0.125/DVWA-master được cài sẵn từ trước

user và pass của DVWA là admin - password

set mức xuống LOW

Hiển thị nội dung các cột của bảng User trong CSDL

%' and 1=0 union select null,

concat(first_name,0x0a,last_name,0x0a,user,0x0a,password) from users #

chuyển qua manager honeywall để kiểm tra

thu được gói tin từ địa chỉ 10.0.0.125 vừa thay đổi

thử xem 1 gói tin dc gửi tới cổng 80 có thể thấy được thông tin về nhật ký được ghi lại

Liên quan tới cuộc tấn công sql injection

CHƯƠNG 3: KẾT LUẬN

Bài thực hành này nhằm giúp hiểu rõ về:

- Cấu trúc hệ thống Honeypot

- Cấu hình Honeywall

- Theo dõi, giám sát dữ liệu thu thập từ Honeywall

- Sử dụng các công cụ phổ biến để thực hiện tấn công: rò quét…