Les Fourmis Du Web

Le bilan

Nouveau venu dans les ransomware efficace: notpeyta

Nous allons regarder comment fonctionne peyta et essayer de tirer les enseignement du type de propagation et sécuriser nos réseau en conséquence…

Article Microsoft qui détail l’attaque :

https://blogs.technet.microsoft.com/mmpc/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/

Lorsque notpeyta réussi a infecter un poste, il tente de récupérer les mot de passe de la machine pour se propager sur les autre postes avec psexec via les partages administratif ouvert sur les autres postes.

On va voir dans ce post différente solutions pour bloquer cela.

Désactiver les partages administratifs

Une méthode pour bloquer ce type de propagation est avant toute chose de supprimer les partages administratif ouvert sur les postes.
Un paquet de mon dépôt fait cela : https://wapt.lesfourmisduweb.org/tous-les-packages?recherche=smp-disabling-administrative

Mettre en place le pvlan

Une autre méthode est de mettre en place le pvlan sur les switch votre réseau. En effet, en règle général les postes n’ont aucune raison de se voir entre eux. Plus d’information : https://fr.wikipedia.org/wiki/VLAN_priv%C3%A9

Activer LAPS

Une  recommandation  également est d’activer laps sur votre réseau.
En effet nous utilisons malheureusement régulièrement pour des raison de facilitée les même mot de passe administrateur locaux sur tous les postes …  Si ce mot de passe est compromis c’est toute la sécurités de réseau qui est compromise. Laps permet donc de gérer automatiquement le mot de passe du compte « Administrateur » local de toutes les machines de votre domaine. Le mot de passe est changée régulièrement et deviens unique a chaque machine. Il est ensuite stockée dans un attribut spécifique sécurisée dans l’active directory.

• Mettre en place laps sur un active directory microsoft windows server
• Mettre en place laps avec un samba4

Règles parfeu

Globalement, sur un client windows, il n’y a aucune raison pour qu’un port soit en écoute.sur celle-ci… C’est le meilleur moyen de limiter un attaque latérale. D’ailleurs, la prochaine version de wapt va se séparer de son port d’écoute 8088 pour basculer sur du websocket !

J’ai donc fait un paquet wapt qui bloque les différents port de windows ouvert par défaut sans réelle raison pour moi …

Paquet wapt –> smp-add-rules-block-firewall

Petite présentation rapide du produit même si plusieurs blog en parlent déjà.

Guacamole permet de proposer à vos utilisateurs une interface centralisée (web) pour des connections RDP, VNC, ssh.  Dans notre cas c’est surtout le remplacement d’une connexion RDP (trop vulnérable aux attaques) qui nous intéresse. Il peut être pratique par exemple pour proposer une alternative aux connections VPN.

Le but est de fournir à l’utilisateur une connexion RDP à un serveur TSE au travers d’une interface web.  Vous n’êtes donc plus dépendants d’un OS, l’utilisateur peut être sous, Windows, Linux ou Mac (potentiellement tablette et smartphone également). La connexion RDP sera affichée à travers le navigateur web en HTML5.

Guacamole peut être couplée a un LDAP/ActiveDirectory pour l’authentification. Il est également recommandé d’activer l’authentification double facteur pour plus de sécurité (SMS par exemple). Mettre en place un fail2ban pour bannir une IP en cas de trop nombreuses tentatives de connections échouées est recommandé.

Guacamole permet également de partager un écran. Vous pouvez partager votre écran guacamole en partageant un lien, puis définir si les utilisateurs connectés via ce lien pourront contrôler la machine ou non. Cela peut être très pratique pour faire des démos de produit par exemple.

Je propose guacamole pour  une alternative au VPN mais il peut également être une excellente solution dans une école pour proposer un accès à des applications Linux sur des postes windows et inversement !

Petite vidéo:

Bonjour à tous …

Petite mise à jour, et conseils de sécurité pour vos réseaux. Je suis conscient que tout n’est pas applicable.

Préconisations pour les attaques frontales internet:

• Vérifiez vos règles de parfeu sur votre fwall
• Toute application disponible sur internet doit être dans une DMZ, cela permet de limiter les dégâts si celui-ci se fait hacker. Le hacker pourra donc plus difficilement faire un rebond vers l’intérieur.
• Mise en place de fail2ban sur les services disponibles depuis l’extérieur.
• Mise en place de l’https pour éviter que les mots de passe ne transitent en clair sur les réseaux (facile avec let’s encrypt ) puis forcer le passage par l’https.

Préconisations pour la sécurité des postes utilisateurs:

• Vos logiciels doivent être à jour !! –> Avec WAPT 😉
• Vos postes windows doivent également être à jour ! (au moins les correctifs de sécurité ! )
• Vos serveurs linux doivent également être à jour.
• Les services (logiciels) installés sur vos serveurs doivent également être à jour.
• Vous devez mettre en place le SRP ! (stratégie de restriction logiciel)
  • Dans l’idéal un utilisateur ne doit pas pouvoir exécuter quelque chose dans un dossier où il a l’accès en écriture
• Désactiver les macros dans Microsoft Office et Libre Office ou les sécuriser.
• Désactiver l’exécution des js dans les lecteurs pdf (Adobe Reader)
• Bloquer avec le Firewall (Winfows ?) les ports de la machine laissés ouverts inutilement.

Préconisations sur le téléchargement d’éléments dangereux :

• Filtrer les pièces jointes dangereuses sur votre système d’email
• Mettre un système de proxy filtrant obligatoire.
  (impossibilité pour les utilisateurs de sortir directement sur internet)
• Dans l’idéal mettre en place un snort sur le fwall pour snifer et analyser les trams et bloquer les comportements étranges.

Préconisations pour limiter les dégâts dans le cas où un ransomware a réussi a débuter une attaque:

• Pour serveur de fichiers (samba) , limitation des dégâts pour ransomware:
  • Mettre en place un audit de suppression des fichiers, avec samba : vfs objects = full_audit
  • Mettre en place un fail2ban qui analyse les logs audit samba
  • Mettre en place un fichier detecte_ransomware.doc sur le serveur de fichiers.
  • Dans les deux cas: si un comportement étrange est détecté (extension étrange ou suppression du fichier de détection)  , le fail2ban peut enclencher une action pour stopper l’attaque !
  • Ne pas donner aux utilisateurs plus d’accès que nécessaire aux différentes ressources. (Faire le tri dans les droits d’accès des utilisateurs) pour limiter les dégâts.
  • Bien évidement avoir des sauvegardes fonctionnelles !

Préconisation pour les administrateurs réseaux:

• Ne jamais utiliser un compte membre du groupe « domain admins » ! Faire un groupe uniquement administrateurs des postes.
• Vos utilisateurs ne doivent bien évidemment pas être administrateurs de leur poste ni membres du groupe domain admins…

Sécurisation physique du poste de travail :

• Dans le bios: Bloquer le démarrage sur le disque dur directement.
• Bloquer l’accès bios par un mot de passe
• Bloquer l’accès matériel (accès a la carte mère), sinon il devient facile de faire un reset mot de passe du bios…

Sécuriser l’accès physique aux différents éléments actifs du réseau :

• On parle ici de bloquer physiquement l’accès avec une porte et une clé ou autre…  🙂

Sécurisation de l’accès au réseau:

• Mise en place de 802.1X pour bloquer l’accès au réseau aux postes (pc portable) non autorisé.
• Même chose pour le wifi !

Communication utilisateurs  :

• Il faut communiquer les risques aux utilisateurs !  Pour qu’ils soient méfiants !

Veille Techno :

• Tenez-vous au courant à travers les différents articles du net! La faille qu’utilise Wannacrypt a été rendue publique une semaine avant l’attaque de grande ampleur !
• Analyser les contenus bloqués par votre système d’email ou proxy. Mieux connaître son ennemi pour mieux se préparer aux attaques ! Votre système a bloqué une attaque, bloquera t-il les prochaines ?

Chose promise !

Voici mon tuto pour l’authentification wifi, freeradius/squid/squidguard

https://wiki.lesfourmisduweb.org/radius_wifi.html

Encore un petit article pour un petit souci que j’ai rencontrée.
dans mon établissement où nous avons montée un owncloud. Le owncloud est très pratique pour les enseignants et élèves à l’extérieur. Avec le client installé à l’extérieur sur le poste personnel des enseignants c’est parfait.
En revanche, en interne, c’est plus compliqué. J’ai d’abord pensé à faire un partage samba pour ensuite monter un lecteur réseau sur la session, mais au niveau des droits entre samba et owncloud c’est un peu plus compliqué.