Die Version 1.2.0 des Tools Nzyme wurde veröffentlicht, das zur Überwachung des Drahtlosnetzwerks dient, um bösartige Aktivitäten, das Einrichten von gefälschten Zugriffspunkten, unautorisierte Verbindungen und typische Angriffe zu erkennen. Der Quellcode des Projekts ist in Java geschrieben und wird unter der SSPL (Server Side Public License) lizenziert, die auf AGPLv3 basiert, aber aufgrund diskriminierender Anforderungen hinsichtlich der Nutzung des Produkts in Cloud-Diensten nicht offen ist.
Der Datenverkehr wird durch das Umschalten des drahtlosen Adapters in den Überwachungsmodus für Transitnetzwerkpakete erfasst. Es ist möglich, die abgefangenen Netzwerkpakete in das System Graylog zu übertragen, um sie langfristig zu speichern, falls die Daten zur Analyse von Vorfällen und bösartigen Aktivitäten benötigt werden. Beispielsweise ermöglicht das Programm die Erkennung unautorisierter Zugriffspunkte, und im Fall einer erkannten Kompromittierung des Drahtlosnetzwerks zeigt es an, wer das Ziel des Angriffs wurde und welche Benutzer betroffen waren.
Das System kann mehrere Arten von Warnungen generieren und unterstützt verschiedene Methoden zur Erkennung anomaler Aktivitäten, einschließlich der Überprüfung von Netzwerkkomponenten anhand von Fingerprint-Identifikatoren und der Erstellung von Fallen. Es wird die Generierung von Warnungen bei Verletzungen der Netzwerkstruktur (z. B. dem Auftreten eines zuvor unbekannten BSSID), Änderungen sicherheitsbezogener Netzwerkparameter (z. B. Änderungen der Verschlüsselungsmodi), der Identifizierung typischer Geräte für Angriffe (z. B. WiFi Pineapple), der Protokollierung von Anfragen an die Falle oder der Feststellung anomaler Verhaltensänderungen (z. B. beim Auftreten einzelner Frames mit untypisch schwachem Signal oder Verletzung der Schwellenwerte für den Paketempfang) unterstützt.
Neben der Analyse von schädlichen Aktivitäten kann das System auch für die allgemeine Überwachung von drahtlosen Netzwerken sowie zur physischen Lokalisierung der Quelle festgestellter Anomalien eingesetzt werden, indem Tracker verwendet werden, die es ermöglichen, ein schädliches drahtloses Gerät anhand seiner spezifischen Attribute und der Änderung des Signalpegels schrittweise zu identifizieren. Die Steuerung erfolgt über eine Webschnittstelle.
In der neuen Version:
- Unterstützung für die Generierung und den Versand von E-Mail-Berichten über entdeckte Anomalien, erfasste Netzwerke und den allgemeinen Zustand wurde hinzugefügt.
- Unterstützung für Warnungen bei Entdeckung von Angriffen zur Blockierung der Funktion von Überwachungskameras, die auf massiven Deauthentifizierungs-Paketversand basieren, wurde hinzugefügt.
- Unterstützung für Warnungen bei der Entdeckung zuvor unbekannter SSID-Identifikatoren wurde hinzugefügt.
- Unterstützung für Warnungen bei Fehlfunktionen des Überwachungssystems, z. B. beim Trennen des drahtlosen Adapters von dem Computer, auf dem Nzyme ausgeführt wird, wurde hinzugefügt.
- Die Kompatibilität mit WPA3-basierten Netzwerken wurde verbessert.
- Es wurde die Funktion zur Festlegung von Callback-Handlern hinzugefügt, um auf Warnungen zu reagieren (beispielsweise kann dies verwendet werden, um Informationen über Anomalien in eine Logdatei zu schreiben).
- Eine Ressourceninventarliste wurde hinzugefügt, die die Parameter der bereitgestellten Netzwerke anzeigt, die überwacht werden.
- Eine Seite mit dem Profil des Angreifers wurde hinzugefügt, die Informationen über Systeme und Zugangspunkte bereitstellt, mit denen der Angreifer interagiert hat, sowie Statistiken über das Signalniveau und die gesendeten Frames.
Quelle: opennet.ru
