È stata presentata la versione 1.2.0 dello strumento Nzyme, progettato per monitorare l'aria delle reti wireless al fine di rilevare attività dannose, il dispiegamento di punti di accesso spoofed, connessioni non autorizzate e l'esecuzione di attacchi standard. Il codice del progetto è scritto in Java e distribuito sotto la licenza SSPL (Server Side Public License), che è basata su AGPLv3, ma non è aperta a causa della presenza di requisiti discriminatori sull'uso del prodotto nei servizi cloud.
Il monitoraggio del traffico avviene attraverso la conversione dell'adattatore wireless in modalità monitor per le frame di rete in transito. È possibile inviare le frame di rete intercettate al sistema Graylog per un'archiviazione a lungo termine nel caso in cui i dati siano necessari per l'analisi di incidenti e azioni dannose. Ad esempio, il software consente di individuare l'emergere di punti di accesso non autorizzati e, in caso di tentativo di compromissione della rete wireless, mostrerà chi è stato l'obiettivo dell'attacco e quali utenti sono stati compromessi.
Il sistema può generare diversi tipi di avvisi e supporta vari metodi per identificare attività anomale, tra cui la verifica dei componenti della rete attraverso identificatori fingerprint e la creazione di trappole. È supportata la generazione di avvisi in caso di violazione della struttura della rete (ad esempio, l'emergere di un BSSID precedentemente sconosciuto), modifiche ai parametri di sicurezza della rete (ad esempio, cambiamenti nei metodi di crittografia), rilevamento della presenza di dispositivi standard per condurre attacchi (ad esempio, WiFi Pineapple), registrazione delle interazioni con le trappole o identificazione di cambiamenti anomali nel comportamento (ad esempio, quando appaiono frame con un livello di segnale insolitamente debole o violazione dei valori soglia di intensità del flusso dei pacchetti).
Oltre all'analisi delle attività dannose, il sistema può essere utilizzato per il monitoraggio generale delle reti wireless e per la rilevazione fisica della fonte delle anomalie rilevate attraverso l'uso di tracker, che consentono di identificare progressivamente un dispositivo wireless dannoso sulla base di attributi specifici e cambiamenti nel livello del segnale. La gestione avviene tramite un'interfaccia web.
Nella nuova versione:
- Aggiunta la possibilità di generare e inviare via email rapporti sulle anomalie rilevate, registrate nelle reti e sullo stato generale.
- Aggiunta supporto per avvisi relativi al rilevamento di tentativi di attacco per bloccare il funzionamento delle telecamere di sorveglianza, basato su invii massicci di pacchetti di disautenticazione.
- Aggiunto supporto per avvisi sul rilevamento di identificatori SSID mai visti prima.
- Aggiunto supporto per avvisi riguardanti malfunzionamenti nel sistema di monitoraggio, ad esempio, quando l'adattatore wireless viene scollegato dal computer su cui è in esecuzione Nzyme.
- Migliorata la compatibilità con le reti basate su WPA3.
- Aggiunta la possibilità di definire callback per rispondere agli avvisi (ad esempio, si può utilizzare per registrare informazioni sulle anomalie in un file di log).
- Aggiunto un elenco di inventario delle risorse, che mostra i parametri delle reti distribuite monitorate.
- Aggiunta una pagina con il profilo dell'attaccante, che fornisce informazioni sui sistemi e sui punti di accesso con cui l'attaccante ha interagito, oltre a statistiche sul livello del segnale e sui pacchetti inviati.
Fonte: opennet.ru
