Comment intercepter une intrusion sur notre pc debian ?

[quote=“avision”]Parce que si il y en a un qui s’intéresse a mon cas je suis cuit!
[/quote]

Trop fort ce fil, mieux que le fil blagues.
:laughing: :laughing:
“Un véritable humain s’interesse à moi” mdr!!!

En fait, plus ca va et plus les gens commencent à parler de toi sur irc, de ce que j’en vois. Donc tu devrais te faire petit pour les années qui suivent :wink:

Les hackers ont beaucoup de cas à traiter mais la je crois que t’es dans la liste rouge, tu viens de grimper de quelques places d’un coup.

J’ai trouvé plus parano que moi !!

C’est vrai que sortie de son contexte ma phrase est poilante :laughing:

mdr la liste rouge… mais zon pas mon ip, na!

Bah c’est vrai que j’ai viré au psycotage ces derniers jours, mais avant j’était dans l’inconscience! J’ai bien passé 1/2h dans mes logs l’autre jour… c’était la 1er fois que j’allais voir la dedans :laughing:

En tout cas le cas de fanb a montré que des h4cK3z pouvaient s’interresser a un pauvre admin amateur, sauf que moi le rootkit, je suis pas pret de le voir :confused:

[quote=“MattOTop”]Celui qui pense ne jamais se faire avoir est une cible plus facile que les autres.
Es tu sûr qu’un plombier n’est pas venu poser une camera pour filmer ton clavier ?
Ou qu’un type n’est pas branché sur ton electricité en bas de chez toi pour capter ce qui s’affiche sur ton ecran ?
Ton voisin d’en face, il est soudoyable pour mettre une camera avec un bon zoom pour regarder ce que tu tapes ?
C’est aussi de l’ingenierie sociale, ça…[/quote]

Je suis parano mais pas a ce point :smiley:

Bah ya quand meme quelques trucs de base sur le net je pense, j’avais trouvé tout ce qu’il faut pour casser les clefs WEP sur le net…

Pour ‘l’infiltration’ sur IRC je ne suis pas pret a m’y consacrer autant quand meme, en plus la ca passerais a niveau ou je ne pourais plus me protéger de toutes facon. Je veu juste testé les outils les plus répandu.

Je sais pas “eux”, mais moi si, ainsi que tous les sites que tu visites, et ton FAI, la police, mmmh. A priori, ce sont les seuls gens qui pourraient la leur filer. Ca fait pas trop de monde à tuer pour rester secret.

Restes dans l’inconscience. Tous les jours une meteorite peut nous percuter. Est ce que tu suis pour autant toutes les trajectoires ?
S’interresser à ce qui se passe dans tes protections, ç’est important. Se focaliser dessus, c’est un metier.

[quote=“avision”]En tout cas le cas de fanb a montré que des h4cK3z pouvaient s’interresser a un pauvre admin amateur, sauf que moi le rootkit, je suis pas pret de le voir :/[/quote]Déjà, tu installes chkrootkit, et tu fais tes mises à jour de sécurité (dont les serveurs soit dit entre nous, ont été indisponibles pour cause d’intrusion plusieurs heures la semaine dernière) et tu sera bien à l’abri (mettons à 99%).
Ensuite, pour qu’une attaque ait une chance de reussir, il faut la plupart du temps que tu utilises des fonctionnalités root ou tu tapes ton mdp de root sur la machine compromise.
Si tu as pris la bonne habitude d’utiliser sudo ou sux, déjà, ça t’enlève 99% de la nocivité de ce qui peut arriver jusqu’a toi.
Ensuite, les attaques restantes (DOS principalement) necessitent souvent de la ressource. Elles ne t’arriveront donc que si tu vaux des tunes vraiment (une attaque DOS peut necessiter de griller/abandonner un paquet de machines qu’un vilain à mis des années à pirater et qui servent dans l’attaque).

Petite remarque. Un hacker est quelqu’un qui “hacke” le code, c’est à dire qui le lit, le comprend, et le réecrit pour son usage. Comme le peer to peer, ce n’est pas le hacking qui est immoral, c’est son usage. Il faut arrèter de mélanger ceux qui retouchent leur noyau et ceux qui préparent des exploit: le terme hacker est noble, à mon sens.
Ca te rassure ?

"cas de fanb a montré que des h4cK3z pouvaient s’interresser a un pauvre admin amateur"
Tu viens de te faire un enemi là, fran.b amateur et pauvre, il va pas te louper :wink:

Tu peux aussi partir de l’hypothese que tu vas te faire pirater donc penser en amont à une solution
-> de reinstallation et
-> de sauvegarde

Après, ca dépend de ton domaine.
Si c’est une machine perso, c’est pas très grave. Ok ca fout les boules mais dis-toi bien que ces pirates (“hacker” est un abus de langage c vrai) vont rester des heures ou des jours sur un binaire de quelques dixaines de kilo pour trouver LA faille. Je suis resté 1 mois, 8h par jour pour pirater un binaire de 8ko. J’y suis arrivé ben j’etais bien content.
J’en connais qui s’en sont pas remis de s’etre fait pirater, limite crise de nerfs. Ils travaillaient dans la sécu et avaient l’impression d’etre intouchables… erreur… Il faut rester humble dans ce domaine.
Alors pour la sécu sur une machine perso franchement, je trouve que c’est un peu une perte de temps. Si la reinstalle te prend 2 ou 3h ben moi je perdrai pas des jours pour comprendre comment blinder le système. (je parle de blinder, pas de la sécurité minimale) Par contre je suis pas trop pour les paiement en ligne mais ca c’est chacun voit midi à sa porte. Si ton assurance couvre les dégats pas de problème. C’est le cas en France si je me souviens bien

Par contre dans une société c’est autre chose, il y a le secret industriel et les autorités seront interessées et t’aideront, “logiquement”.

Moi aussi je me suis fait pirater une machine il y a 4/5 ans. Pour ceux qui connaissent, c’est trin00.
01net.com/article/97079.html
edit: lol j’avais pas vu l’image sur 01net, à droite de l’organigramme: internaute dépité. trop fort
J’etais sur une machine IRIX et d’un coup j’ai vu un processus cavaller (rpc.statd) et bouffer une bonne partie de la cpu. On a été dans les premiers à se faire pirater. En gros, on était utilisé pour flooder ebay :slightly_smiling: J’aurai préféré microsoft…

Il y a certaines choses interessantes chez microsoft.com, en voila une:
microsoft.com/technet/archiv … x?mfr=true

Ca résume bien.

Je sais pas “eux”, mais moi si, ainsi que tous les sites que tu visites, et ton FAI, la police, mmmh. A priori, ce sont les seuls gens qui pourraient la leur filer. Ca fait pas trop de monde à tuer pour rester secret.[/quote]

Non tu n’as pas mon ip, je ne suis pas assez fous pour surfer avec la meme ip, j’utilise un boucer pour IRC qui est chez quelqu’un de confiance et contrairement aux mec de mon mail, pour la sécu je peu lui faire confiance.

J’ai augmenté ma réput de parano je crois :confused: mais qu’est-ce que vous voulez c’est de famille, mon pere me l’a transmise, et on a tout les 2 de bonnes raison de l’etre (ma copine me prend parfois pour un fou)

Restes dans l’inconscience. Tous les jours une meteorite peut nous percuter. Est ce que tu suis pour autant toutes les trajectoires ?
S’interresser à ce qui se passe dans tes protections, ç’est important. Se focaliser dessus, c’est un metier.[/quote]

La météorite je ne vois pas ce que je peu faire pour éviter ca…
Je ne compte pas me focalisé la dessus, mais évité les plus grosses ficellse, genre les outils présent sur le net. Et surtout ne pas attirer, j’ai demandé a fanb ce qu’il run sur son serveur pour avoir attiré l’atention, en mp puisque il ne m’a pas répondu ici.

[quote=“MattOTop”][quote=“avision”]En tout cas le cas de fanb a montré que des h4cK3z pouvaient s’interresser a un pauvre admin amateur, sauf que moi le rootkit, je suis pas pret de le voir :/[/quote]Déjà, tu installes chkrootkit, et tu fais tes mises à jour de sécurité (dont les serveurs soit dit entre nous, ont été indisponibles pour cause d’intrusion plusieurs heures la semaine dernière) et tu sera bien à l’abri (mettons à 99%).
Ensuite, pour qu’une attaque ait une chance de reussir, il faut la plupart du temps que tu utilises des fonctionnalités root ou tu tapes ton mdp de root sur la machine compromise.
Si tu as pris la bonne habitude d’utiliser sudo ou sux, déjà, ça t’enlève 99% de la nocivité de ce qui peut arriver jusqu’a toi.
Ensuite, les attaques restantes (DOS principalement) necessitent souvent de la ressource. Elles ne t’arriveront donc que si tu vaux des tunes vraiment (une attaque DOS peut necessiter de griller/abandonner un paquet de machines qu’un vilain à mis des années à pirater et qui servent dans l’attaque).

Petite remarque. Un hacker est quelqu’un qui “hacke” le code, c’est à dire qui le lit, le comprend, et le réecrit pour son usage. Comme le peer to peer, ce n’est pas le hacking qui est immoral, c’est son usage. Il faut arrèter de mélanger ceux qui retouchent leur noyau et ceux qui préparent des exploit: le terme hacker est noble, à mon sens.
Ca te rassure ?[/quote]

Je vais suivre tes conseils, merci.
Je ne mélange pas pour le hacking, mais bon c’est le terme commun. D’ailleurs meme l’activité illégale d’entré dans un system pour montré qu’il est faible je trouve ca noble, tant qu’il n’y a pas de destruction. Ou meme quand il y a destruction si c’est pour une cause, c’est peut etre blamable, mais ca reste noble.

EDIT: je ne m’hestime pas etre un objectif noble.

[quote=“BorisTheButcher”]"cas de fanb a montré que des h4cK3z pouvaient s’interresser a un pauvre admin amateur"
Tu viens de te faire un enemi là, fran.b amateur et pauvre, il va pas te louper :wink:

Tu peux aussi partir de l’hypothese que tu vas te faire pirater donc penser en amont à une solution
-> de reinstallation et
-> de sauvegarde

Après, ca dépend de ton domaine.
Si c’est une machine perso, c’est pas très grave. Ok ca fout les boules mais dis-toi bien que ces pirates (“hacker” est un abus de langage c vrai) vont rester des heures ou des jours sur un binaire de quelques dixaines de kilo pour trouver LA faille. Je suis resté 1 mois, 8h par jour pour pirater un binaire de 8ko. J’y suis arrivé ben j’etais bien content.
J’en connais qui s’en sont pas remis de s’etre fait pirater, limite crise de nerfs. Ils travaillaient dans la sécu et avaient l’impression d’etre intouchables… erreur… Il faut rester humble dans ce domaine.
Alors pour la sécu sur une machine perso franchement, je trouve que c’est un peu une perte de temps. Si la reinstalle te prend 2 ou 3h ben moi je perdrai pas des jours pour comprendre comment blinder le système. (je parle de blinder, pas de la sécurité minimale) Par contre je suis pas trop pour les paiement en ligne mais ca c’est chacun voit midi à sa porte. Si ton assurance couvre les dégats pas de problème. C’est le cas en France si je me souviens bien

Par contre dans une société c’est autre chose, il y a le secret industriel et les autorités seront interessées et t’aideront, “logiquement”.

Moi aussi je me suis fait pirater une machine il y a 4/5 ans. Pour ceux qui connaissent, c’est trin00.
01net.com/article/97079.html
J’etais sur une machine IRIX et d’un coup j’ai vu un processus cavaller (rpc.statd) et bouffer une bonne partie de la cpu. On a été dans les premiers à se faire pirater. En gros, on était utilisé pour flooder ebay :slightly_smiling: J’aurai préféré microsoft…

Il y a certaines choses interessantes chez microsoft.com, en voila une:
microsoft.com/technet/archiv … x?mfr=true

Ca résume bien.[/quote]

Je ne savais pas que fanb était un pro, ca explique des choses, je vois que tu en est un aussi, je pensais que ont était majoritairement amateur sur ce site, apparament je me trompais…

Justement je l’ai expliqué au dessus, je ne me fait pas l’illusion de pouvoir devenir un as de la sécurité, mais appliquer quelques principes de base que je négligeais antérieurment, et surtout avoir la possibilité de détecté une intrusion c’est ca qui m’interesse.

Si ca n’est pas indiscret pourquoi tu cherchais une faille dans ce bin?

Quelqu’un d’assez expérimenté m’avait certifié que je ne trouverai pas un moyen de contourner le système de protection des disques dur C: des windows d’un parc d’une centaine de machines.
Il m’a nargué en me montrant un utilitaire fait par le créateur de cette protection qui permettait de la bypasser.
Le soir meme, j’ai pris le driver et je l’ai desassemblé pdt 1 mois avec un pote. C’est con, sa protection est partie en sucette en changeant 2 octets lol. (2 mois pour 2 octets,pas top le ratio) Franchement je n’ai aucune idée du code C qui était derriere, c’etait que de l’assembleur. Bonjour les yeux le soir.
Le truc que je me rend compte c’est que quand on est jeune, on a peur de rien, on est tres patient, on est tres confiant et determiné.

Donc j’ai eu un accès en écriture aux disques dur. Le graal quoi. J’ai changé une trentaine d’octets sur un des disques.
Le reste j’en parlerai pas (par respect pour ces gens) mais je me suis bien bien bien amusé, c’est cette partie la plus tordante en fait, la réaction qu’ils ont eut et les mesures (inutiles voire agravantes) qu’ils ont pris.
J’ai été un peu sadique sur ce coup c’est vrai, mais la morale c’est qu’ils ont engagé un vrai administrateur sécu, pas un stagiaire sous-payé et sans formation. Un jour ou l’autre leur protection aurait sauté grace à un curieux comme moi et les degats auraient pu etre considérables.

He bien félicitations, je comprend ce sentiment, c’est totalement jouissif :slightly_smiling:

Avec un peu de temps et de patience on fait ce que l’on veut en info surtout au niveau securité.

Tu prend n’importe quel outil tu le desassemble et avec un peu de connaissance sur l’assembleur tu en fait ce que tu veux :slightly_smiling:

En ce qui concerne l’intrusion pour montrer les failles sans destructions, c’est pas vraiment tres sympa dans un sens car on ne sait jamais sur qui on tombe meme si le pirate est sympa il a acces a certaines données qui peuvent etre confidentiel et ca c’est inacceptable.

Pour les outils, ben tu commence déjà par nmap, un desassembleur, et un bon editeur pour programmer tes propres outils c’est le mieux :slightly_smiling: une bonne connaissance des rfc est aussi nécessaires :slightly_smiling:

J’ai constaté la meme chose en info, le temps et la perséverance fait tout. Le probleme est que on ne les a pas toujours…
En 1998 ou 1999 j’ai installé redhat sur ma machine, j’en ai déja chier des ronds de chapeau pour l’installer, ensuite configuré gnome (je crois que c’était gnome) et apres impossible de faire marché ma carte son, ne pouvant pas écouté de la musique en tentant de paramettrer etc, et apres tant d’effort, bah ca m’a gonflé, je suis revenu a windows, et j’ai laissé la partition trainée dans dans un coin de mon HD.

heu je n’ai pas l’intention de me mettre au hackinge…

Humm c’est vrai que je n’ai peut etre pas suffisament réfléchi a l’ethique du hacking pour me prononcer la dessus, mais un gentil il n’iarra pas fouiller dans tes donné normalement… mais il y aurra tjrs le doute :confused:

Un informaticien est un professionnel travaillant nécessairement sur des données confidentielles. On doit donner à un informaticien la même confiance qu’à son comptable, son postier, son téléphoniste, ou son banquier. Ni plus ni moins.
Et si la confiance se perd avec une de ces personnes, on en change avant que ça devienne un problême.
Pas le choix, il faut faire confiance.

[quote=“MattOTop”]Un informaticien est un professionnel travaillant nécessairement sur des données confidentielles. On doit donner à un informaticien la même confiance qu’à son comptable, son postier, son téléphoniste, ou son banquier. Ni plus ni moins.
Et si la confiance se perd avec une de ces personnes, on en change avant que ça devienne un problême.
Pas le choix, il faut faire confiance.[/quote]
Parce que tu fais confiance à ton banquier toi ?
:smiley:

Heureusement que je suis redevenu particulier, donc oui, je fait confiance à mon banquier pour changer mes conditions de convention abusivement et unilateralement, mais pour le reste non, bien sûr que je ne peux pas lui faire confiance.
Mais dés que je vais avoir besoin de refaire du credit professionnel, je vais avoir besoin de discuter avec quelqu’un en qui j’ai confiance.
Je commencerais donc par faire un max de credit avec un mec qui fait semblant de croire à mes projets, et ensuite, je lui ferais remarquer que s’il ne continue pas à s’y interresser, il perdra de l’argent parceque la boite ne pourra pas rembourser.
C’est comme ça que tapie a fait. Quand tu tiens ton banquier par les noix parceque tu lui dois de l’argent, tu peux avoir confiance en lui.
La confiance, ça se travaille. :wink:

Bon, 3 pages de "blabla"
Je crois qu’on peut commencer non? :slightly_smiling:

Perso actuellement je n’ai qu’un portable sur un réseau probablement sécurisé donc la sécu c’est pas ma priorité en ce moment.
Mais vu que ca m’interesse et qu’un jour ou l’autre je reprendrai le net chez moi, j’aurai la meme problèmatique que usinagaz.

C’est un travail titanesque dc faut organiser…
Je commencerai bien par la sécurité locale, aussi appelé integrité,… ou je ne sais quel terme.

J’ai ca d’installé:

AIDE: Système de controle d’integrité. Verifie que les fichiers sensibles sont toujours identiques.Un peu le bordel pour une machine sur laquelle on fait souvent des upgrades. Actuellement je l’ai desactivé pour cette raison (je fais des upgrade chaque jour…) AMA c’est l’etape fondamentale. Les serveur debian officiels ont detectés il y a qq années une attaque grace a ce logiciel.

sxid : Verifie les fichiers qui ont changés de droits. Suid, Sgid. Simple, non intrusif.

bastille: Hardening, ensemble d’etapes pour renforcer la sécurité. Pas trop intrusif mais enleve certaines fonctionnalités (ex l’user peut plus ejecter de cdrom…han!). On peut les remettre si on juge que c’est utile.

logcheck: Système de verification de log qui envoie des mails. J’en suis très content mais il faut se cogner des expressions regulieres. J’ai pas encore fait donc je me recoit une dixaine de mails par jour.

rkhunter: Verifie la présence de rootkits installés et envoie des mails. Je crois que ce programme doit etre lancé d’un autre PC ou en bootant sur un livecd sinon il peut etre trompé.

debsecan: debsecan analyzes the list of installed packages on the current host and reports vulnerabilities found on the system.

Je viens de redecouvrir ca:
sourceforge.net/projects/debianhardened
En fait le projet a l’air abandonné mais ca peut etre interessant de s’en inspirer.

Que vaut snort ?

[quote=“BorisTheButcher”]Bon, 3 pages de "blabla"
Je crois qu’on peut commencer non? :slightly_smiling:[/quote]Si je prends le temps, je basculerais la partie du fil qui semble interressante dans trucs et astuces, peut être. Ou pause café, ça dépend comment ça tourne :laughing:

J’ai ca d’installé:

AIDE: Système de controle d’integrité. Verifie que les fichiers sensibles sont toujours identiques.Un peu le bordel pour une machine sur laquelle on fait souvent des upgrades. Actuellement je l’ai desactivé pour cette raison (je fais des upgrade chaque jour…) AMA c’est l’etape fondamentale. Les serveur debian officiels ont detectés il y a qq années une attaque grace a ce logiciel. [/quote]Ouais, je ne le savais même pas, mais je n’ai pas aimé AIDE, et je l’ai abandonné aussi, je ne sais plus pourquoi.
Par contre, si tu veux sécuriser à la base, il y a un paquet qui signe tous les fichiers installés et les suit, qui s’installe juste aprés l’install (que tu auras faite bien sur offline, minimale, pour eviter les attaques à ce moment là, le temps de la sécuriser. Je ne me souviens plus du nom du paquet… mais tu dois pouvoir le retrouver dans le “Manuel de sécurisation de debian”, ici en version html (attention, ça fait un paquet de pages, même en recto verso avec 4 pages par feuille. Mais ça se lit sans problême: debian.org/doc/manuals/secur … ex.fr.html [quote=“BorisTheButcher”]sxid : Verifie les fichiers qui ont changés de droits. Suid, Sgid. Simple, non intrusif.[/quote]Connaissais pas. Il y a un paquet de paquets de systême de signature, md5 ou autres.[quote=“BorisTheButcher”]bastille: Hardening, ensemble d’etapes pour renforcer la sécurité. Pas trop intrusif mais enleve certaines fonctionnalités (ex l’user peut plus ejecter de cdrom…han!). On peut les remettre si on juge que c’est utile. [/quote]Oui. On peut aussi crypter ses partitions avec une clé sur stick usb.
Dans le noyau, il y a aussi des patchs comme grsec ou autres PaX et dérivés. On peut aussi installer la pile de sécurité de la NSA, SELinux nsa.gov/selinux/
.Mais ce n’est peut être plus vraiment ce que tu appelles de la sécurité “locale”.

[quote=“BorisTheButcher”]logcheck: Système de verification de log qui envoie des mails. J’en suis très content mais il faut se cogner des expressions regulieres. J’ai pas encore fait donc je me recoit une dixaine de mails par jour. [/quote]Tu mets le logcheck en rangement automatique pour y faire réfèrence quand tu sens quelquechose, et tu mets logwatch en premier niveau de détection.[quote=“BorisTheButcher”]rkhunter: Verifie la présence de rootkits installés et envoie des mails. Je crois que ce programme doit etre lancé d’un autre PC ou en bootant sur un livecd sinon il peut etre trompé.[/quote]Sur les chasseur de rootkit, AMA, plus y en a mieux c’est (quoi qu’à part rkhunter et chkrootkit), mais aprés avoir consulté le BTS et vérifiè qu’on installe pas une faille en croyant en boucher.[quote=“BorisTheButcher”]debsecan: debsecan analyzes the list of installed packages on the current host and reports vulnerabilities found on the system. [/quote]Sincèrement quand j’installe, j’ai pas le temps de tout lire tout le temps. C’est trop verbeux quand on est pressé.
Je préfère apt-listbugs, qui te donnes les numeros de BTS et une brève description quand tu installes un paquet. aprés, il reste à lire les bugs qui t’interessent sur:
bugs.debian.org/

[quote=“BorisTheButcher”]Je viens de redecouvrir ca:
sourceforge.net/projects/debianhardened
En fait le projet a l’air abandonné mais ca peut etre interessant de s’en inspirer.[/quote]je vais regarder. Mais je n’ai jamais appliqué toutes ces règles là. Je crois que je ne suis pas assez parano pour être bon en sécurité.

Je l’utilise, mais je n’ai pas de point de comparaison (il est sur ma gateway). L’avantage est qu’il est fait pour détecter se qui entre/sort vers internet, mais aussi ce qui s’échange a l’intérieur du reseau local. Je viens juste d’activer la protection a l’interieur du reseau local, je verai bien ce que ca donne. Pour moi c’est important puisque mon serveur n’est pas en DMZ.

[quote=“BorisTheButcher”]Bon, 3 pages de "blabla"
Je crois qu’on peut commencer non?[/quote]

Bah le prob était close, mais c’est vrai que on devrais peut etre avoir un topic sécu. Pas mal tes outils!

Un petit article sur les ids (intrusion detecting system) dbprog.developpez.com/securite/ids/

[quote=“MattOTop”][quote]Connaissez vous des logiciels spécialisés pour :

  • traduire une IP en nom d’hôte ou de domaine
  • localiser géographiquement une IP en temps réel (ya pas une bibliothèque mondiale de l’IP ?? en temps réel )
  • tracer la route vers une IP
    [/quote]1 - la commande 'host’
    2 - ne sait pas, il y a un service web “geoip” dont je n’ai plus l’url, pour regarder ponctuellement.
    3 - la commande ‘traceroute’[/quote]
    t bien en fait, non, geoip est une base de données LIBRE de localisation des adresses ip, et même il y a un projet sur sourceforge, et j’ai vu des exemples pour utiliser les apis.

sourceforge.net/projects/geoip/
quelqu’un me fait un site pour localiser une ip sur une carte ?