DeepSec 2012 Own the Network Own the Data Paul Coggin - PowerPoint PPT Presentation

DeepSec 2012 Own the Network – Own the Data Paul Coggin Internetwork Consulting Solutions Architect paul.coggin@dynetics.com www.dynetics.com Information Engineering Solutions

UNCLASSIFIED UNCLASSIFIED Introduction Network ¡Security ¡Architect ¡– ¡18 ¡Years ¡experience ¡ • BS ¡Math, ¡MS ¡Computer ¡Informa@on ¡Systems, ¡Graduate ¡Studies ¡in ¡IA ¡& ¡Security ¡ • Cer@fica@ons: ¡Cisco, ¡ISC^2, ¡EC-­‑Council ¡ • Cisco ¡and ¡EC-­‑Council ¡Instructor ¡ • U@li@es, ¡Telecommunica@ons ¡and ¡Service ¡Provider ¡Experience ¡ ¡ • ¡ ¡ ¡ ¡ ¡-­‑ ¡Transport: ¡Op@cal(DWDM, ¡SONET), ¡MPLS, ¡10G ¡Ethernet ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡ ¡Triple ¡Play ¡Services: ¡Voice, ¡IPTV ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡OSS ¡and ¡Network ¡Management ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡Access ¡Networks: ¡HFC ¡Cable, ¡DSL, ¡FTTX, ¡Wireless, ¡ATM, ¡Frame ¡Relay ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡Security: ¡Penetra@on ¡Tes@ng, ¡Network ¡Security ¡Architecture, ¡Vulnerability ¡Analysis ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡Rou@ng ¡and ¡Switching ¡ ¡ ¡ ¡ ¡ ¡ ¡ 2 V100230_Faint ¡ 0000-00-yymm UNCLASSIFIED Information Engineering Solutions

UNCLASSIFIED UNCLASSIFIED Next Generation Network Architecture DHCP AAA ICS / SCADA VoIP GW SIP Proxy Control/Applications/ Situational Awareness Servers Server Server Lawful Video Headend Assurance Policy Billing Provisioning Web Intercept IPTV/VOD Servers Server Servers Servers server NMS TCP\IP Wire Tap Network Management Application Services Internet to customer SCE BRAS/ISG premise automation Policy & Control Plane Internet P Core Triple Play and Smart Carrier Class Telco Networks P Grid Service 10 Gig, Highly Redundant MPLS/IP Thousands Of Devices Demand for Bandwidth driving Edge Optical Network Growth; Telcos, … L3VPN-PE L3VPN-PE Metro Access/ Aggregation Si i L3VPN-PE S DWDM Cellular Mobile IP Si Si Si Si Backhaul Si Si U-PE/ Si Si GE Ring PE-AGG SONET/SDH Ring Insertion Point DSL or Fiber Hub & Spoke Smart Grid Edge Data Service Voice Service Branch Office Cell Tower Video Service CE Water / Sewer Telecommuter Enterprise Residential Treatment Plant Residential SOHO Energy Distribution 3 V100230_Faint 0000-00-yymm UNCLASSIFIED Information Engineering Solutions

UNCLASSIFIED UNCLASSIFIED Transport Networks The equipment in each layer of the transport network has it’s own network element IP ¡MPLS ¡based ¡network ¡services ¡over ¡DWDM ¡ • management system with trust relationships and interdependencies. IP ¡Services ¡over ¡SONET ¡ • - Routing protocols Legacy ¡TDM ¡Services ¡over ¡SONET ¡ • - Inband\Out of band management - Provisioning Cell ¡Tower ¡T1 ¡Backhaul ¡to ¡Support ¡3G ¡and ¡4G ¡ • - Control\Management\Data planes to secure ¡ ¡ Router Router IP+Optical Management Plane 4 V100230_Faint 0000-00-yymm UNCLASSIFIED Information Engineering Solutions

UNCLASSIFIED UNCLASSIFIED Cyber Attack Model OSI Model TCP/IP Model 7 Application Malware, OS and Application level; 6 Presentation Remote and Privilege Escalation Application exploits, Bots, Phishing 5 Session Transport Transport 4 Session Hijacking and Spoofing (Intercept, Modify, Bypass Network Security), DoS Network 3 Internet Data Link 2 MITM (Intercept, Modify), Network Interface DoS, RF (Jam, Replay) 1 Physical RF, Fiber, Copper 5 V100230_Faint 0000-00-yymm UNCLASSIFIED Information Engineering Solutions

UNCLASSIFIED UNCLASSIFIED IP Transport Cyber Attack Vectors Transport Network Infrastructure Cyber Attack Tree ¡ Network Infrastructure Network ¡and ¡System ¡Architecture ¡ Attack Vectors -­‑ Centralized, ¡Distributed, ¡Redundant ¡ -­‑ Physical ¡and ¡Logical ¡ ¡ MITM SNMP Community Telnet\SSH UNIX NetMgt Server ARP Poisoning HP OpenView Server String Dictionary Attack Dictionary Attack Network Mgt Application Sniffing Enumerate Oracle Running NIS v1 Transport ¡Network ¡ ¡ with Spoofing to Router\Switches\ TNS Listener to Download Router\ NetMgt Server Identify Default SID’s Switch Configuration Ypcat -d <domain> -­‑ RF, ¡Fiber, ¡Copper ¡ Capture SNMP Community <server IP> passwd Strings and Unencrypted Attempt to Login Using Build New Router Build New Router Login\Passwords, Protocol Default Login\Password Configuration File to Grab shadow file hashes Configuration File to Further Enumerate Passwords Further Enumerate enable further privilege Oracle SID’s to enable further privilege Oracle SID’s to escation escation Identify User Accts. Identify Default Network ¡Protocols ¡ Reconfigure DBA System Level Crack Passwords Configure Perform Dictionary Router or Switch Inject New Routes Accts\Passwords Device for Attack Or Bogus Protocol Upload New Further -­‑ Rou@ng, ¡Switching, ¡Redundancy ¡ Packets Configuration File Privilege Using Comprimised Escalation SNMP RW String -­‑ Apps, ¡Client/Server ¡ Access Server Own Network Own Network Login to Oracle DB Directly Infrastructure with Discovered DBA Infrastructure Own Network Privilege Account Own Network Infrastructure Infrastructure Client\Server ¡Architecture ¡ Discover Backup Execute OS CMDs from Run Oracle SQL CMDs Run Oracle SQL HW Configs Execute OS CMDs CMDs Oracle PL/SQL ¡ Exploit ACL Trust Execute OS CMDs Find NetMgt Relationship Attack Network from DB Find NetMgt Passwords, Add New passwords and Attack SNMP\Telnet\SSH SNMP info, OS password Privileged OS SNMP config files HW, ¡SW, ¡Apps, ¡RDBMS ¡ files Account -­‑ Open ¡Source ¡ Crack Passwords -­‑ Commercial ¡ Use New Privileged Crack Passwords OS account to Escalate Privileged Access to Network Own Network Infrastructure Trust ¡RelaHonships ¡ Own Network -­‑ Network ¡Management ¡and ¡Network ¡Devices ¡ Infrastructure -­‑ Billing, ¡Middleware, ¡Provisioning ¡ Attack Vectors - Deny, Disrupt, Delay, Intercept, Exploit Man in the Middle Attacks (MITM) Common ¡HW/SW ¡configura@on ¡se`ngs ¡ Network Protocols IP Spoofing Apps / RDBMS / NetMgt Traffic Analysis ¡ 6 V100230_Faint 0000-00-yymm UNCLASSIFIED Information Engineering Solutions

UNCLASSIFIED UNCLASSIFIED What Can You Do With a Router or Switch? • Inject ¡route ¡prefixes ¡to ¡hide ¡source ¡of ¡aback ¡or ¡enable ¡a ¡more ¡ complex ¡MITM ¡aback ¡by ¡cracing ¡rou@ng ¡protocol ¡packets ¡ • Configure ¡Route ¡Maps ¡to ¡forward ¡traffic ¡based ¡on ¡ACL ¡criteria ¡ • Lawful ¡Intercept ¡– ¡Forward ¡a ¡copy ¡of ¡interes@ng ¡traffic ¡using ¡ CISCO-­‑TAP-­‑MIB, ¡CISCO-­‑TAP2-­‑MIB, ¡CISCO-­‑IP-­‑TAP-­‑MIB ¡ • Span ¡ports ¡(port ¡mirroring) ¡to ¡enhance ¡packet ¡capturing ¡ capability ¡ • Review ¡rou@ng ¡tables ¡to ¡iden@fy ¡key ¡targets ¡ • DoS ¡or ¡MITM ¡by ¡cracing ¡HSRP, ¡rou@ng ¡protocol, ¡or ¡spanning-­‑ tree ¡packets ¡ • Configure ¡a ¡router ¡to ¡be ¡a ¡DHCP ¡server ¡to ¡create ¡a ¡MITM ¡aback ¡ vector ¡ ¡ 7 ¡ V100230_Faint 0000-00-yymm UNCLASSIFIED Information Engineering Solutions

UNCLASSIFIED UNCLASSIFIED Example Cyber Attack Exploiting Trust Relationship Scans against common ports • Installed web-based shell prompt to outside corporate networks execute commands were used to narrow down targets of interest without log trail First Subnet – Search • Enumerated internal engines Directory IP “whois” network and services Traversal information on 2000 hosts Exploit Social networking Ping • After discovering NIS, & Career Sweeps ypcat command sites executed • Dumped a list of all Network usernames and Information password hashes on Port the system Services (NIS) Scanning Operating Identified two target subnets and • https management System Version discovered product use with known interface for firewalls Detection was accessible from vulnerabilities * public Internet Second • Brute force password * Employee’s resume on cracking could Subnet - the LinkedIn social compromise system Firewall (did not perform) networking site references training in specific product technologies 8 V100230_Faint 0000-00-yymm UNCLASSIFIED Information Engineering Solutions