De uitgave van de Nzyme-toolkit 1.2.0 is gepresenteerd, bedoeld voor het monitoren van de ether van draadloze netwerken om kwaadaardige activiteiten, het implementeren van nep toegangspunten, ongeautoriseerde verbindingen en veelvoorkomende aanvallen te identificeren. De code van het project is geschreven in Java en wordt verspreid onder de SSPL (Server Side Public License), die is gebaseerd op de AGPLv3 maar niet open source is vanwege discriminerende eisen met betrekking tot het gebruik van het product in cloudservices.
Het verkeer wordt vastgelegd door de draadloze adapter in de monitoringsmodus te zetten voor transitnetwerkframes. Het is mogelijk om de onderschepte netwerkframes naar het Graylog-systeem te sturen voor langdurige opslag voor het geval de gegevens nodig zijn voor het onderzoeken van incidenten en kwaadaardige activiteiten. Bijvoorbeeld, het programma stelt je in staat om onbevoegde toegangspunten te identificeren en, in geval van een poging tot compromittering van het draadloze netwerk, zal het tonen wie het doelwit van de aanval was en welke gebruikers zijn gecompromitteerd.
Het systeem kan verschillende soorten waarschuwingen genereren en ondersteunt verschillende methoden voor het identificeren van anomale activiteit, waaronder het controleren van netwerkelementen op fingerprint-identifier en het creëren van valstrikken. Waarschuwingen worden gegenereerd bij het schenden van de netwerkinfrastructuur (bijvoorbeeld het verschijnen van een eerder onbekende BSSID), verandering van netwerkinstellingsparameters die met beveiliging te maken hebben (bijvoorbeeld wijziging van versleutelingsmodi), detectie van typischem apparaten voor het uitvoeren van aanvallen (bijvoorbeeld WiFi Pineapple), vastlegging van toegang tot de valstrik of het bepalen van anomale gedragswijzigingen (bijvoorbeeld bij het verschijnen van afzonderlijke frames met een ongebruikelijk zwak signaal of bij schending van drempelwaarden voor de intensiteit van het pakketontvangst).
Naast het analyseren van kwaadaardige activiteiten kan het systeem ook worden gebruikt voor algemene monitoring van draadloze netwerken en voor de fysieke detectie van de bron van de vastgestelde anomalieën door het gebruik van trackers, waarmee een kwaadaardig draadloos apparaat kan worden geïdentificeerd op basis van specifieke attributen en veranderingen in het signaalniveau. Beheer vindt plaats via een webinterface.
In de nieuwe versie:
- Ondersteuning voor het genereren en verzenden van e-mailrapporten over ontdekte anomalieën, vastgelegd in netwerken en de algehele toestand, is toegevoegd.
- Ondersteuning voor waarschuwingen bij het detecteren van pogingen tot aanvallen voor het blokkeren van bewakingscamera's, gebaseerd op massale verzending van deauthenticatiepakketten, is toegevoegd.
- Ondersteuning voor waarschuwingen bij het detecteren van eerder ongekende SSID-identificatoren is toegevoegd.
- Ondersteuning voor waarschuwingen over storingen in het monitoringsysteem, bijvoorbeeld wanneer de draadloze adapter wordt losgekoppeld van de computer waarop Nzyme draait, is toegevoegd.
- De compatibiliteit met netwerken op basis van WPA3 is verbeterd.
- De mogelijkheid om callback-handlers op te geven voor het reageren op waarschuwingen (bijvoorbeeld om informatie over anomalieën naar een logbestand te schrijven) is toegevoegd.
- Een inventarislijst van middelen is toegevoegd, waarin de parameters van de uitgerolde netwerken worden weergegeven die worden gemonitord.
- Een pagina met het profiel van de aanvaller is toegevoegd, die informatie biedt over systemen en toegangspunten waarmee de aanvaller interageerde, evenals statistieken over het signaalniveau en verzonden frames.
Bron: opennet.ru
