Metricas , configuración y gastos
CTF: LUCHA CONTRA EL CYBERCRIMEN
Metricas deTrafico:
En la Imagen_1 se
aprecia las solicitudes por segundo que tuvo http://ctf-lcc.info desde el 26 de Febrero hasta el 2 de
Marzo de 2014.
Imagen_1
Se puede ver en la Imagen_1 que el sitio tuvo un alto número de visitas los dos días
posteriores al lanzamiento del juego.
Esto lo corrobora la Imagen_2 donde se pueden ver 4 graficas:
- El número de visitas
que tuvo http://ctf-lcc.info haciendo diferencia
por el color entre las que fuerón realizadas por bots (amarillo) y humanos
(verde).
- Los hits por segundo se diferencian también por color.
- La evolución del ancho de banda acumulado en el tiempo.
- El Throughput (bits por segundo).
Imagen_2
En la Imagen_3 se puede ver las aplicaciones
desde las cuales fue accedida http://ctf-lcc.info.
Estas fueron detectadas a través de los
campos User-Agent y Refer en las solicitudes HTTP.
Imagen_3
Se aprecia en la Imagen_3 que la
mayor parte de las visitas (68.5%) fueron realizadas por Bots (Crawlers, escáneres
de vulnerabilidades, herramientas de explotación) que por Humanos (31.5%).
En la Imagen_4 se ven los países
desde donde se accedió al sitio http://ctf-lcc.info.
Destaca US? como el país desde donde existió la mayor parte de las visitas, supongo
que esto asociado al Googlebot.
Imagen_4
Metricas de Seguridad:
La Imagen_5 nos presenta un
resumen con la seguridad de la aplicación resumida en cuatro columnas:
La primera con los tipos amenazas detectadas por el WAF (Firewall de
aplicaciones), la segunda es el número de incidentes reportados por amenaza
(por cada amenaza detectada se genera envía un correo de notificación), la tercera define
las acciones a realizar para cada amenaza detectada (Bloqueo IP, Bloqueo de la
solicitud, log) y la última columna muestra en detalle cada incidente generado.
Imagen_5
Análisis:
- Quedaron 20 IPs en listas negra. A pesar de esto
llegaron alrededor de 120 notificaciones donde la acción fue bloqueo de
IP.
- No se realizó ningún tipo de restricción por
país (GeoIP).
- Se
efectuó la siguiente configuración para el bloqueo de Bots (Imagen_6)
Imagen_6
Como podemos observar en la Imagen_7, a raiz
de esta configuración se bloquearón solicitudes de muchos tipos de escaners y
herramientas de explotación tales como Nikto, HTTrack, Acunetix y SQLmap.
Imagen_7
En la
Imagen_8 podemos observar como la identificación de bots se basa en la
información que hay en el campo User-Agent de las solicitudes HTTP. ¿Qué pasa
si modifico el User-Agent de sqlmap por el User-Agent de Chrome?
Imagen_8
Se
configuro de tal forma que solicitara
Captcha para bots sospechosos, se disparo tres veces esta firma.
Se
detecto un intento de explotar Remote File Inclusion.
La Imagen_9 es una muestra de
intento de explotación de Remote File Inclusion.
Imagen_9
Se
reportarón 114 eventos relacionados con las firmas para detectar ataques de SQL
injection (vulnerabilidad de la aplicación web).
Me
llamo la atención que habia una firma para detectar /ViewCat.php?CatID=’ pero no existia firma para
/ViewCat.php?CatID=’’’. Esto se aprecia
en la Imagen_10
Imagen_10
Se detectaron 7 intentos de explotar Cross Site Scripting.
La Imagen_11 es una muestra de Cross Site Scripting:
Imagen_11
Finalmente, tenía activo la protección contra backdoors; pero
no se registraron eventos.
Configuración DNS:
Bueno en esta configuración se encontraba la clave para
realizar el Bypass del WAF a nivel de red. En la Imagen_12 se aprecia la configuración DNS del sitio http://ctf-lcc.info.
Imagen_12
La IP original del sitio era 67.207.156.194, la cual se podía ver en el famoso y olvidada página
de prueba http://ctf-lcc.info/info.php (por eso la pista de phpinfo() en Twitter).
Para poder realizar el Bypass de este servicio Cloud-WAF que
se basa en una redirección DNS, lo único que debías hacer era, agregar la línea
subrayada en azul (Imagen_13) en el archivo host*, de esta forma cuando se
ingresa a http://ctf-lcc.info estarás
accediendo directamente al servidor y no a la nube del servicio WAF.
Este es un error de configuración que se puede solucionar
con una política de Firewall, en la que se permita solamente el acceso a la aplicación desde las IPs del
servicio Cloud-WAF.
*El archivo host en
Windows generalmente se encuentra en C:\Windows\System32\drivers\etc\hosts
y en Linux /etc/hosts.
Imagen_13
GASTOS $$$$ ASOCIADOS AL DESARROLLO DEL CTF
Se adquirió un servicio en una nube pública con un modelo
IAAS (Infraestructura como servicio). El proyecto se montó sobre una imagen de
Ubuntu server 12.04.
El servidor estuvo activo desde el martes 25 de Febrero
hasta el 2 de Marzo.
Los costos asociados a este servicio se ven en la Imagen_14.
Imagen_14
La otra inversión fue la compra del dominio ctf-lcc.info que
tuvo un costo $1 Dólar.
El servicio de WAF fue un trial de 7 días.
En total fueron aproximadamente 6 dólares, alrededor $12000
en pesos Colombianos.
Bueno y para que nos recuerden quedamos en https://web.archive.org
.
