Detectando o tráfego malicioso em redes VoIP

VoIP (Voz sobre IP) aproveita-se da infra-estrutura IP existente em uma rede e muitas vulnerabilidades que afetam comunicações IP tradicionais também afetam comunicações VoIP. Portanto, cavalos de Tróia, ataques DDoS e exfiltração não autorizada de informações confidenciais são uma preocupação dentro das redes habilitados para VoIP. Vamos focar em um desses ataques, o SIP-flood.

O protocolo SIP (Session Initiation Protocol) tornou-se o padrão de fato para a sinalização de camada de aplicação dentro de redes VoIP. Definido pela RFC 3261, as solicitações SIP são compostas dos seguintes itens: REGISTER, INVITE, ACK, CANCEL, BYE e OPTIONS. A parte da requisição SIP que interessa aqui é o INVITE.

A parte do SIP que mais se assemelha a solicitação HTTP-GET é o SIP INVITE, que é a porção do SIP que configura uma sessão entre dois agentes (usuários) e dentro desta configuração reside uma vulnerabilidade de negação de serviço (DoS). O SIP INVITE como o HTTP também utiliza um handshake de três vias por TCP para estabelecer conexões lógicas com hosts remotos, SIP utiliza um método de handshaking semelhante, que consiste em INVITE e mensagens do tipo 200 OK. Quando detectado um número desproporcional de handshakings incompletos, pode ser um sinal revelador de que um ataque SIP-Flood está em andamento.

Então, como detectar esse tipo de tráfego malicioso? Vamos verificar uma solução que faz uso do conhecido Wireshark.

Em primeiro lugar, garanta que o Wireshark está instalado em um dispositivo que pode receber chamadas SIP de dentro da mesma rede do servidor SIP. Abra o Wireshark e selecione a interface que manipula as comunicações VoIP. Isso geralmente é feito em eth0 (placa de Ethernet). Em seguida, inicie a captura de pacotes e uma enxurrada de tráfego de rede deve começar a cruzar o monitor.

Neste ponto, você pode começar a inundar um dos dispositivos SIP, rodando uma ferramenta de inundação de sua escolha. A versão gratuita conhecida como inviteflood  pode ser encontrado na maioria das distros de BackTrack Kali Linux. Suponha que o endereço SIP para um dos dispositivos de final é enduser@192.168.1.10 e a inundação deste endereço com INVITE é de cerca de 200 pedidos por segundo. O Wireshark deve começar a capturar vários pacotes de REGISTER, INVITE, e OK. Em seguida, insira o seguinte filtro no Wireshark:

sip.Method=="INVITE" || sip.Status-Line=="SIP/2.0 200 OK" || sip.Method=="ACK"

Este filtro irá permitir que o usuário final veja todos os INVITE, OK e ACK, e o ataque de sip-flood foi configurado corretamente, o usuário final não deve ver pacotes ACK. Por que isso?

Em um ataque de inundação INVITE tradicional, o invasor envia uma solicitação INVITE para um endereço SIP específico e, quando o dispositivo final SIP, eventualmente, responde com uma mensagem 200 OK, o atacante nunca responde com a terceira parte do three-way handshake - a mensagem de ACK. No entanto, o dispositivo final vitimado não sabe que o pacote ACK esperado nunca vai chegar, por isso aloca previamente os recursos necessários, enquanto mais pacotes INVITE começam a entrar em sua fila. Quando o limite de buffer do dispositivo estoura, o dispositivo final pode falhar ou, em alguns casos, ter um reset de fábrica.

Caso detectado que há muita disparidade na relação INVITE/OK/ACK, os administradores de segurança podem ser alertados para que algumas medidas possam ser implementadas. Por exemplo, bloqueio de endereços IP ou domínios que estão gerando um elevado número de mensagens OK não confirmadas.

Episódio V: A Sony contra-ataca

A Sony Pictures Entertainment está contra-atacando.

O estúdio por trás da franquia "Homem-Aranha" e "A Rede Social" tem tomado medidas tecnológicas defensivas para interromper os downloads de informações sensíveis, que foram expostas quando um ataque de hackers provocou o vazamento de dados de seus sistemas no final de novembro.

A empresa está usando centenas de computadores na Ásia para executar o que é conhecido como um ataque de negação de serviço distribuído (DDOS) em locais onde seus dados furtados estão disponíveis.

A Sony está usando o Amazon Web Services (AWS), serviço de computação em nuvem, a partir de data centers em Tóquio e Cingapura, para realizar o contra-ataque, uma das fontes disse. A tática já foi comumente empregadas por empresas de mídia para combater a pirataria de filmes na Internet e música.

Em uma das violações de segurança cibernética mais devastadoras da história recente, um grupo de hackers que se autodenomina Guardiões da Paz afirmou ter roubado pouco menos de 100 terabytes de informação Sony Pictures, incluindo dados financeiros, orçamentos, folha de pagamento, e-mails internos e filmes que vazaram para sites de compartilhamento de arquivos públicos, como pastebin.

A violação causou estragos dentro dos círculos internos de Hollywood, com violação da correspondência privada entre produtores e executivos poderosos, expondo políticas internas e queixas mesquinhas. Além disso, também apareceram planilhas de ofertas financeiras que a Sony teve com terceiros, que poderiam prejudicar a sua posição com os seus parceiros. Esses detalhes também expõem o quanto esses terceiros pagam para a Sony por direitos a certos programas de TV e filmes.

Esses arquivos não foram verificados pela Sony Pictures, que também se recusou a comentar o assunto.

"A atividade está sendo noticiada não está acontecendo atualmente na AWS (Amazon Web Service)", disse a Amazon em um comunicado enviado por email ao site Re/code na quinta-feira (11/12). Amazon se recusou a fazer mais comentários e se negou a dizer se a atividade começou antes de quinta-feira.

"AWS utiliza uma série de técnicas de detecção e mitigação automatizados para prevenir o uso indevido de nossos serviços", segundo a declaração da Amazon. "Nos casos em que o uso indevido não é detectado e parado pelas medidas automatizadas, tomamos ação manual assim que tomamos conhecimento de qualquer uso indevido."

Com o quinto vazamento de dados, disponibilizado no início desta semana, os indivíduos que tentaram acessar o arquivo de torrent encontraram seeds falsas que minaram os recursos de seu software, disseram as fontes.

Coréia do Norte ou seus simpatizantes, estão sendo investigados como suspeitos do ataque, e enquanto o Estado recluso negou qualquer envolvimento, ele elogiou os autores para o seu "ato justo."

A técnica da Sony é semelhante a um empregado nos primeiros dias de compartilhamento de arquivos, feito por uma empresa de anti-pirataria chamado MediaDefender. A empresa povoou as redes de compartilhamento com arquivos falsos marcados com os nomes de filmes populares como "Homem-Aranha", para motivar os usuários a passar horas baixando um arquivo vazio.

O objetivo era frustrar os usuários e fazê-las voltar-se para filme sites legítimos. Foi uma correção temporária que funcionou até que os sites de compartilhamento de arquivos ficaram mais sofisticado e passou a fornecer informações que permitia os usuários a identificassem facilmente estes chamados "arquivos paródia".

May The Source be with You.