Haka ofrece una forma sencilla de escribir reglas de seguridad para filtrar, modificar, crear e inyectar paquetes. Según expertos de auditoría de seguridad informática, cuando se detecta un flujo con algo malicioso, pueden informar los usuarios o pueden dejar el flujo. Los usuarios pueden definir escenarios más complejos para mitigar el impacto de un ataque. Por ejemplo, se puede alterar peticiones http y obligar a los navegadores obsoletos para actualizar o falsificar paquetes específicos para engañar herramientas de análisis de tráfico.

La siguiente regla es una regla de filtrado de paquetes básico que bloquea todas las conexiones de una dirección de red.

local ipv4 = require(“protocol/ipv4”)

local tcp = require(“protocol/tcp_connection”)

local net = ipv4.network(“192.168.101.0/24”)

haka.rule{

   hook = tcp.events.new_connection,

   eval = function (flow, pkt)

       haka.log(“tcp connection %s:%i -> %s:%i”,

           flow.srcip, flow.srcport,

           flow.dstip, flow.dstport)

       if net:contains(flow.dstip) then

           haka.alert{

               severity = “low”,

               description = “connection refused”,

               start_time = pkt.ip.raw.timestamp

           }

           flow:drop()

     end

   end

}

Las primeras líneas del código cargan los disectores de protocolo, Ipv4 y TCP explica profesor de hacking, Mike Stevens. La primera línea se encarga de paquetes IPv4. Después usamos un disector de TCP de estado que mantiene una tabla de conexión y gestiona flujos de TCP. Las siguientes líneas, definen la dirección de red que debe ser bloqueada.

La regla de seguridad se define a través de palabras clave haka.rule. Según expertos de servicios de auditoría informática las reglas de haka son muy útiles. Una regla de seguridad está hecha de un gancho y una función de evaluación eval. El gancho es un evento que activará la evaluación de la regla de seguridad. 

En este ejemplo, la regla de seguridad se evaluará en cada intento de establecimiento de conexión TCP. Los parámetros pasados a la función de evaluación dependen del evento explica el experto de servicios de seguridad informática. En el caso del evento new_connection, eval toma dos parámetros: flow y pkt. Lo primero de ellos tiene detalles sobre la conexión y el segundo es una tabla que contiene todos los campos del paquete TCP.

Según recomendación del profesor, en el núcleo de la regla de seguridad debemos registrar en haka.log primero alguna información acerca de la conexión actual. Luego, comprobamos si la dirección de origen pertenece a la gama de direcciones IP’s no autorizadas. Si la prueba tiene éxito, elevamos una alerta (haka.alert) y liberamos la conexión. Menciona asimismo, Roberto Talles,  que se tenga en cuenta que se informa sólo algunos detalles de la alerta. Se puede añadir más información, como el origen y el servicio de destino.

Utilizamos hakapcap herramienta para probar nuestra filter.lua regla en un archivo de pcap trace filter.pcap:

$ hakapcap filter.lua filter.pcap

De aquí en adelante, en los resultados sale algo de información sobre disectores cargados y reglas registrados. El resultado muestra que Haka logró bloquear conexiones dirigidas a dirección 192.168.101.62:

En el ejemplo anterior, hemos definido una sola regla para bloquear las conexiones. Uno puede escribir un conjunto de reglas de firewall usando la palabra clave haka.group . En este caso, la configuración, se puede elegir un comportamiento por defecto (por ejemplo, bloquear todas las conexiones) si ninguno de la regla de seguridad autoriza explícitamente el tráfico.

Fuente: noticiasseguridad.com

Visítanos en Underc0de

Haka es un lenguaje de seguridad orientado a código abierto que permite especificar y aplicar las políticas de seguridad Informática en el tráfico capturado en vivo. HAKA se basa en Lua y es un lenguaje sencillo, ligero y rápido. El alcance de Haka es doble explican consultores de empresa de seguridad informática y hacking ético. En primer lugar, permite la especificación de las normas de seguridad para filtrar flujos no deseados y reportar actividades maliciosas. 

Haka proporciona un API simple para la manipulación del tráfico corriente. Uno puede descartar paquetes o crear otros nuevos e inyectarlos. Haka también apoya la modificación de paquetes en la marcha. Esta es una de las principales características de Haka desde todas las tareas complejas tales como el cambio de tamaño de paquetes, ajuste correctamente de los números de secuencia. Esto se hace en vivo sin la necesidad de un proxy y se realiza todo de forma transparente para el usuario.

En segundo lugar, Haka permite la especificación de protocolos y estado subyacente de todo. Haka es compatible con ambos tipos de protocolos: protocolos basados en binario (por ejemplo, DNS) y protocolos basados en texto (por ejemplo, http). La especificación cubre los protocolos basados en paquetes, tales como IP, así como los protocolos basados en secuencias como http.

 Según consultores de empresas de seguridad informática y hacking ético, HAKA se encaja en un marco modular. Incluye varios módulos de captura de paquetes (pcap, nfqueue) que permiten a los usuarios finales a aplicar su política de seguridad informática en el tráfico capturado vivo. El marco proporciona el registro (syslog) y alerta de módulos (Syslog, Elasticsearch). 

Por último, el marco tiene módulos auxiliares, tales como un motor de búsqueda de patrones y un módulo de desensamblador de instrucciones. Estos módulos permiten escribir las reglas de seguridad informática de grano fino para detectar malware ofuscado. Haka fue diseñado de manera modular, permitiendo a los usuarios a ampliarlo con módulos adicionales.

Haka proporciona una colección de cuatro herramientas importantes para consultores de empresa de seguridad informática y hacking ético:

haka: Es el programa principal de la colección. Está diseñado para ser utilizado como un daemon para controlar los paquetes en el fondo. Los paquetes son disecados y filtrados de acuerdo con el archivo de políticas de seguridad especificadas. Haka toma como entrada un archivo de configuración. Este archivo script se carga disectores de protocolo típicamente incorporados o definidos por el usuario y define un conjunto de reglas de seguridad.

hakactl: Esta herramienta permite controlar daemon. Uno puede obtener estadísticas en tiempo real en los paquetes capturados, inspeccionar los registros o simplemente apagar/reiniciar el daemon.

hakapcap: Esta herramienta permite reproducir un archivo de política en una captura de paquetes utilizando el módulo pcap. Por ejemplo, esto es útil para realizar análisis forense y hacking ético de la red.

hakabana: Esta herramienta permite la visualización y monitoreo de tráfico de red en tiempo real utilizando Kibana y Elasticsearch según expertos de empresa de seguridad informática. Hakabana consiste en un conjunto de reglas de seguridad que lleva información sobre el tráfico que pasa a través de Haka en un servidor de elastisserach y muestra a través de una consola Kibana. Un panel adicional también está disponible para visualizar alertas de Haka.

Fuente: noticiasseguridad.com

Visítanos en Underc0de

Torflow son un conjunto de scripts creados en python para estudiar la red tor, analizar su tráfico y medir la fiabilidad de los diferentes nodos de conexión, que ahora también podemos disfrutar de manera interactiva y ver en toda su magnitud gracias a un nuevo servicio web, que nos ofrece espectaculares mapas y una maravillosa visión del tráfico de la red.

Más allá de la belleza de la escena, con sus constelaciones de servidores y áreas de conexión, llama la atención que la mayoría de servicios de red estén concentrados en Europa Central y la escasez de los mismos en Asia, Australia o América Latina.

Dada la popularidad de Tor como la principal red de anonimato a nivel mundial, sería de esperar algo más de diversidad.

Además de observar las tendencias de tráfico actuales, TorFlow nos permite analizar los niveles de tráfico históricos –cuenta en la parte inferior con una barra de desplazamiento para el timeline– y filtrar los datos por países, tipos de servicios (ocultos o de tipo general), nodos o conexiones.

Más información en la web del proyecto y si estáis interesados en saber mas sobre la estadísticas del Proyecto Tor, este es el sitio donde buscar.

Fuente: lamiradadelreplicante.com

Vísitanos en Underc0de

Si estáis especialmente preocupados por mantener vuestra privacidad seguramente ya sabéis que los responsables del proyecto TOR llevan tiempo trabajando en un nuevo sistema de mensajería. Pues ya no tenéis que esperar más, porque ya se lanzó la versión beta de esta aplicación de mensajería privada.

Se llama TOR Messenger, es multiplataforma, y promete permitirnos cifrar nuestras conversaciones utilizando el protocolo Off-the-Record (OTR). Con ella podremos hablar con tranquilidad con nuestros amigos y contactos utilizando tanto los servidores de IRC como los de aplicaciones como Twitter, Google Talk, Facebook Chat, Jabber o Yahoo.

Una vez accedemos a estas redes la aplicación importará nuestros contactos para que podamos hablar con ellos, aunque no podremos hacerlo si la otra persona no utiliza otro cliente con el protocolo OTR. Esta es una configuración que puede eliminarse, pero desde TOR no lo recomiendan si queremos mantener nuestros mensajes seguros.

Ambos ficheros deberán tener permisos de escritura.