È stato rilasciato l'aggiornamento del toolkit Nzyme 1.2.0, progettato per monitorare le reti wireless al fine di rilevare attività dannose, il dispiegamento di hotspot fasulli, connessioni non autorizzate e la realizzazione di attacchi tipici. Il codice del progetto è scritto in linguaggio Java e viene distribuito con licenza SSPL (Server Side Public License), che si basa su AGPLv3, ma non è open source a causa di requisiti discriminatori riguardanti l'uso del prodotto nei servizi cloud.
La cattura del traffico avviene attraverso la commutazione dell'adattatore wireless in modalità monitor per i frame di rete in transito. È possibile inviare i frame di rete intercettati al sistema Graylog per una conservazione prolungata, nel caso in cui i dati siano necessari per l'analisi di incidenti e attività dannose. Ad esempio, il programma consente di identificare la comparsa di punti di accesso non autorizzati, e nel caso venga rilevato un tentativo di compromissione della rete wireless, mostrerà chi è stato preso di mira e quali utenti sono stati compromessi.
Il sistema è in grado di generare diversi tipi di avvisi e supporta vari metodi per rilevare attività anomale, inclusa la verifica dei componenti della rete tramite identificatori fingerprint e la creazione di trappole. È supportata la generazione di avvisi in caso di violazione della struttura della rete (ad esempio, l'apparizione di un BSSID precedentemente sconosciuto), modifica dei parametri di sicurezza della rete (ad esempio, cambiamenti nei metodi di crittografia), rilevamento della presenza di dispositivi noti per condurre attacchi (ad esempio, WiFi Pineapple), registrazione di accessi alle trappole o rilevamento di comportamenti anomali (ad esempio, quando si presentano singoli pacchetti con un livello di segnale insolito o violazione dei valori soglia per l'intensità del flusso di pacchetti).
Oltre ad analizzare l'attività malevola, il sistema può essere utilizzato per il monitoraggio generale delle reti wireless, nonché per la localizzazione fisica delle fonti delle anomalie rilevate tramite l'uso di tracker, che consentono di identificare progressivamente un dispositivo wireless malevolo in base agli attributi specifici e alle variazioni del livello del segnale. La gestione avviene tramite un'interfaccia web.
Nella nuova versione:
- Aggiunta la supporto per la generazione e l'invio di report via email sulle anomalie rilevate, sulle reti registrate e sullo stato generale.
- Aggiunta la supporto per avvisi riguardanti tentativi di attacco per bloccare il funzionamento delle telecamere di sorveglianza, basati sull'invio massiccio di pacchetti di disautenticazione.
- Aggiunta la supporto per avvisi relativi all'individuazione di SSID inediti.
- Aggiunta la supporto per avvisi sui malfunzionamenti del sistema di monitoraggio, ad esempio quando l'adattatore wireless viene scollegato dal computer su cui è in esecuzione Nzyme.
- Migliorata la compatibilità con le reti basate su WPA3.
- È stata aggiunta la possibilità di impostare callback per rispondere agli avvisi (ad esempio, può essere utilizzata per registrare informazioni sulle anomalie in un file di log).
- È stata aggiunta una lista di inventario delle risorse che mostra le configurazioni delle reti distribuite monitorate.
- È stata presentata una pagina con il profilo dell'attaccante, fornendo informazioni sui sistemi e sui punti di accesso con cui l'attaccante ha interagito, oltre a statistiche sul livello del segnale e sui pacchetti inviati.
Fonte: opennet.ru
