Paweł Goleń, blog

Jednym z moich pomysłów jest przygotowanie sobie tamagotchi w postaci zawirusowanej maszyny z Windows. Z kilku powodów:

• po uruchomieniu malware dam mu chwilę, a później postaram się znaleźć zmiany w systemie, które wprowadził (taka zabawa),
• mam nadzieję, że trafię na jakieś malware służące do ataków na banki, od dawna chcę je własnoręcznie przeanalizować,

Oczywiście pomysł nie jest mój, temat honeypottów jest stary, a ja z pomysłem zrobienia takowego noszę się już co najmniej od 2002 roku...

Irytuje mnie, gdy logi mojego obszczymurka są pełne tego typu wpisów: (...) May 16 06:14:43 puffy sshd[16266]: Invalid user tester from 207.210.75.197 May 16 06:14:43 puffy sshd[30954]: inputuserauthrequest: invalid user tester May 16 06:14:43 puffy sshd[30954]: Received disconnect from 207.210.75.197: 11: Bye Bye (...) Wiem, że można sobie z tym radzić na różne sposoby, przenieść SSH na inny port, blokować uciążliwe IP, na Linuksie miałem kiedyś zrobione port-knocking...

Dzisiaj postanowiłem nieco utrudnić życie automatom, których aktywność może się nasilić choćby z uwagi na słynną już dziurę w OpenSSL i zestaw złych kluczy. Znów poszedłem po najmniejszej linii oporu i wykorzystałem to, co pf ma samo w sobie, czyli max-src-conn-rate (patrz pf.conf). Ciekawe jak sobie poradzą z limitem jednego połączenia na 30 sekund...

Pewnie już słyszeliście o problemach z PRNG w OpenSSL, które są specyficzne dla Debiana (i dystrybucji na nim opartych). Ciekawe jest jednak jak do tego doszło...

• More proof that crypto should be left to the experts,
• Vendors Are Bad For Security,

EDIT: Praktyczne wykorzystanie w odniesieniu do kluczy SSH.

Mark Russinovich często na swoim blogu publikuje wpisy z serii “Case of...”. Charakteryzują się one zawsze wysokim poziomem technicznym i z każdego z nich można się czegoś nauczyć. Dziś pojawił się “gościnny post” The Case of the FrontPage Error. Jego autor otrzymał podpisany egzemplarz książki Windows Internals. Dlaczego zjada mnie zazdrość??? Cóż, tego typu dochodzenia robiłem już nie raz, jeszcze na długo przed pojawieniem się Process Monitor, używając do tego Registry Monitor i File Monitor, a czasem nawet wbudowanej w system inspekcji dostępu do obiektów. Nigdy nie wpadłem jednak na pomysł, by wysyłać opisy moich poczynań do Marka, bo wydawały mi się trywialne, w porównaniu z jego “śledztwami”... Czasami mam chyba problem z uświadomieniem sobie, że to co dla mnie jest oczywiste, dla innych jest magią...

Dziś krótki przykład, który pokazuje dlaczego zmiana identyfikatora sesji po uwierzytelnieniu jest dobrą praktyką.

Na moich komputerach od dłuższego czasu nie ma antywirusa (rezydenta). Po prostu w moim przypadku taki antywirus jest nieco szkodliwy. Poza tym bez antywirusa można całkiem nieźle żyć.

Tak tak, w końcu, po małym opóźnieniu, Service Pack 3 dla Windows XP został publicznie udostępniony. Tym razem instalacja przebiegła bez żadnych problemów. Nowości praktycznie nie ma, czego się zresztą można było spodziewać.

EDIT: Obecnie wszystkie moje trzy komputery posiadają zainstalowanego SP3 dla XP. Nie mam żadnych problemów. Nie mam problemów nawet z TrueCrypt, zarówno w konfiguracji z TCGina, jak i w konfiguracji z szyfrowaniem dysku. Zresztą się ich nie spodziewałem :)

Właściwie odkąd pamiętam wyłączenie AutoRun/Autoplay było jednym z zaleceń hardeningu dla systemu Windows. Wszystko przez plik autorun.inf i to, co można w nim zawrzeć.

...to niebo pełne byłoby “redaktorów” gazet, portali i tym podobnych tworów...

Jesteśmy chyba specjalistami od długich weekendów. Co więcej w naszej świadomości pojawił się niewytłumaczalny jak dla mnie imperatyw wiążący długi weekend z wyjazdem z miasta. Na przykład w góry, nad morze, na jeziora... Efekt jest taki, że w Tatrach obecnie jest prawdopodobnie około 250 000 turystów, brak miejsc noclegowych, korki na drogach. Podobnie w innych atrakcyjnych rejonach. Ja wolę w te długie weekendy zostać na miejscu. Miasto tak fajnie pustoszeje... Jego okolice też są stosunkowo puste, bo większość “aktywnych fizycznie” wyjechała stać w korkach.