Se ha presentado la versión 1.2.0 de la herramienta Nzyme, destinada a monitorear las redes inalámbricas para detectar actividades maliciosas, desplegar puntos de acceso falsos, conexiones no autorizadas y llevar a cabo ataques comunes. El código del proyecto está escrito en Java y se distribuye bajo la licencia SSPL (Server Side Public License), que se basa en la AGPLv3, pero no es de código abierto debido a las exigencias discriminatorias sobre el uso del producto en servicios en la nube.
La captura de tráfico se realiza mediante la conmutación del adaptador inalámbrico a modo de monitoreo para el análisis de tramas de red en tránsito. Es posible enviar las tramas de red interceptadas al sistema Graylog para su almacenamiento a largo plazo en caso de que los datos sean necesarios para el análisis de incidentes y actividades maliciosas. Por ejemplo, el programa permite identificar la aparición de puntos de acceso no autorizados, y en caso de detectar un intento de compromiso de la red inalámbrica, mostrará quién fue el objetivo del ataque y qué usuarios fueron comprometidos.
El sistema puede generar varios tipos de alertas y también soporta diferentes métodos para identificar actividades anómalas, incluyendo la verificación de componentes de la red a través de identificadores fingerprint y la creación de trampas. Se admite la generación de alertas al violar la estructura de la red (por ejemplo, la aparición de un BSSID previamente desconocido), el cambio de parámetros relacionados con la seguridad de la red (por ejemplo, el cambio de modos de cifrado), la detección de la presencia de dispositivos típicos que llevan a cabo ataques (por ejemplo, WiFi Pineapple), la captura de accesos a la trampa o la determinación de cambios anómalos en el comportamiento (por ejemplo, al aparecer tramas individuales con un nivel de señal inusualmente bajo o violaciones de umbrales de intensidad de recepción de paquetes).
Además del análisis de actividades maliciosas, el sistema puede emplearse para la supervisión general de redes inalámbricas, así como para la detección física de la fuente de anomalías identificadas mediante el uso de rastreadores, que permiten identificar progresivamente un dispositivo inalámbrico malicioso en función de atributos específicos y cambios en el nivel de señal. La gestión se realiza a través de una interfaz web.
En la nueva versión:
- Se ha añadido soporte para la generación y envío de informes sobre anomalías detectadas, grabadas en redes y sobre el estado general.
- Se ha añadido soporte para alertas sobre la detección de intentos de ataque para bloquear el funcionamiento de las cámaras de vigilancia, basadas en el envío masivo de paquetes de desautenticación.
- Se ha añadido soporte para alertas sobre la detección de identificadores SSID previamente no encontrados.
- Se ha añadido soporte para alertas sobre fallos en el sistema de monitoreo, por ejemplo, al desconectar el adaptador inalámbrico del ordenador en el que se ejecuta Nzyme.
- Mejorada la compatibilidad con redes basadas en WPA3.
- Se ha añadido la capacidad de definir controladores de retorno para reaccionar ante las alertas (por ejemplo, se puede usar para registrar información sobre anomalías en un archivo de registro).
- Se ha añadido una lista de inventario de recursos, que muestra los parámetros de las redes desplegadas que se están monitoreando.
- Se ha añadido una página con el perfil del atacante, que proporciona información sobre los sistemas y puntos de acceso con los que ha interactuado el atacante, así como estadísticas sobre el nivel de señal y los paquetes enviados.
Fuente: opennet.ru
