Tindrem una xerrada, la propera encara no està lligada, però ho
tindrem aviat.
I animo els que veniu habitualment, que si no heu passat per aquestes
tertúlies podrieu,
fer l'esforç d'intentar divulgar, comunicar el que us sembli
als vostres companys, a la nostra comunitat.
No tenim encara fixada la del més que ve, però bé, sí, ho fixarem.
És un plaer presentar el Dani Guasch, que va ser estudiat meu al 91.
Va començar els estudis aquí, va acabar la seva enginyeria aquí,
va fer el doctorat, és doctor en enginyeria electrònica,
i des del 2002 es fa el departament de telemàtica
i està dintre del grup, és el DAX, però com no me'n sé gaire bé les
sigles aquestes,
em permeto llegir-lo, el grup de recerca és el desenvolupament,
no, disseny, hi ha avaluació de xarxes, DAX i serveis de banda.
I a més, és director des de la seva fundació 2005 de la càtera que tenim
d'Accessibilitat.
Vol dir que quan jo portava dos anys aquí fent classe d'informàtica,
el vaig tenir d'estudiant, i sempre havia cregut que li havia posat
matrícula de l'assignatura
és d'aquests estudiants que et marquen quan comences a fer de professor...
que et marquen i diuen, això és un bon estudiant, anem a l'any per
aquest matrícula,
i després d'anys, ja quan ja era professor i tal,
em va dir un dia: És que no em vas posar matrícula, em vas posar excel·lent,
com pot ser això? Abans erem més rigurosos, matrícula seria això,
perquè ara posem matrícula, ja a partir de vuit i mig ja posem
matrícula.
Ell se la mereixia i, bueno, em disculpo oficialment,
no li vaig posar matrícula, no sé per què, però jo tenia entès que li havia
posat matrícula.
Bueno, un estudiant excel·lent i la seva trajectòria en el camp de la
recerca,
com en el camp de l'Accessibilitat i és excel·lent,
referent. I, bueno, avui el teniu aquí,
i deixo la sessió amb ell, perquè ens parli del pot de mel.
Moltes gràcies, quan acabem podeu fer les preguntes.
Moltes gràcies, lluny, no ho sé, però vint anys més de vint
anys després torno a ser aquí.
Ja, ja, ja, ja...
Moltes gràcies, Manel, benvinguts a...
Avui aquesta xerrada tranquil·la, no?
Això hem vist la del Pont de Mel.
De fet, jo m'en puc atribuir tot el Mèrit jo, ja que també hi ha,
m' acompanya,
en Jordi Enric Martínez, que realment m'està ajudant.
Ah, i tenim mesures on podíem fer.
I no veurem aquesta segona, ja, on passa la presentació.
Però al final, això és una tasca que haurem de fer entre molts.
El que veurem avui s'emmarca dins d 'una o dues assignatures,
que jo faig, que és la Seguretat i Distribució de xarxes,
i sembla que m'ha preocupat un punt important,
demostrar el que expliquem a la teoria.
Tinc exemples pràctics de la teoria.
La teoria no és una cosa hetèria, que està molt bé a classe,
i després no serveix per res, sinó intentar-ho demostrar.
I això, a més a més, ho puc lligar amb una de les meves aficions de tota
la vida,
la part de xarxes, la part de seguretat, de com accedir a un
servidor.
A més a més, si puc explicar el que aplico a la docència,
a més a més, m'ho passo bé, a partir d'aquí, doncs, tot, va evolucionant.
I el nom, que us pot sobtar, el pot de mel,
és perquè és la traducció de l'anglès que és honeypot,
que és, justament, una eina que es fa servir per detectar.
I el que presentaré avui, que és la teoria,
com a exemple, justament, de ciberseguretat, és el resultat d'un fet
real,
i això va passar aquí a l'escola, dintre del marc d'aquesta
assignatura,
tenim un equip, un honeypot, un pot de mel,
que el tenim connectat sempre, sempre està funcionant i que va rebent
atacs.
I una de les anècdotes d'aquests atacs,
és el que veurem avui.
I, de fet, el presentació d'ara forma part d'uns apunts
que utilitzem per l'assignatura,
i el que posat aquí a la pantalla és real,
és a dir, tot va començar un dijous, quan estàvem al bar,
abans d'anar a classe i estàvem tranquil·lament
i vam rebre un missatge, un tuit.
Ara, xarxa X, on ens deia que hi havia hagut uns atacs,
a tot arreu, bancs, ajuntaments, universitats,
i el Jordi em deia, jo sentia, una d 'aquestes IPs em sembla que és
teva,
i clar, en aquell moment em va ficar a riure,
i d'aquí va sorgir el que explicarem.
De veritat que aquesta experiència i d'altres dintre d'aquesta assignatura
és el que hem fet amb Links,
és la versió catedràtica del Crims del Carles Porta
i en aquest cas és el cas del Pot de mel.
Per començar, començaria, per ser sistemàtics i entendre
què és el que va passar, començaríem per la víctima.
Estàvem al bar, veiem justament aquest missatge a la xarxa X,
i clar, sembla que l'equip que tenim en el servei STIC,
aquest equip, el 147.83.158.8,
ens diuen que ens han atacat, que ens han entrat,
que ens han agafat dades, que han pres els controls,
que han fet les mil i una,
i clar, ja me'n començo a partir de riure.
De fet, algú que era a la línia de missatges
ja diu que sembla que potser un d 'aquests equips
que diuen que hi han entrat potser no és veritat i és un bon equip.
Clar, el primer que hem de veure és què és un bon equip.
I de fet, justament, un bon equip és un equip que està pensat
per a que tothom accedeixi ficticiament,
i a partir d'aquí, doncs, poder anar captant mesures.
Nosaltres, en aquest cas, aquest equip,
el tenim en una versió que es diu T -POT,
és un projecte que està a HitHub, que és la Dodge Telecom,
està molt bé, està realment molt bé,
i es permet anar monitoritzant i saber qui intenta atacar la UPC.
De fet, i són un dels problemes que hem tingut sempre
amb aquest T-POT, amb aquest honeypot,
és que rebem tants atacs que salten alarmes tot arreu
que dos porters envien els serveis d 'avisos
que teniu una màquina que és vulnerable, que no sé què,
i que sí, tranquils, està controlat.
Per què està el controlat?
Doncs, per a qui ve una banda, aquest pot de mel,
de fet, no és un pot de mel.
Són com a 24 pot de mel.
Hi ha un conjunt de pot de mel que estan identificats
i dintre d'aquests pot de mel,
el que tenim realment és potsde mel especialitzats
per diferents tipus d'atac.
Cada cop que algú intenta accedir, tot el que passa,
aquí realment hi ha altres mesures,
i deixa accedir, deixa accedir,
potser es fa pregar una vegada o dues,
però a la tercera de cop i volta hi accedeixes,
i a partir d'aquí agafes aquestes mesures.
Molt bé, aquest honeypot
està basat en una distribució dèbriac,
vam agafar una distribució que fos el més segura possible
d'acord? I, clar,
cada propietat que es farà amb resistència,
això provoca que tinguem moltes dades,
es van acumulant moltes dades, i per exemple,
en el moment que va succeir l'atac que comentem avui,
penseu que n'hi ha al voltant de 40 GB
de dades d'atacs en aquests moments.
Per limitar el volum de dades, el que hem fet és limitar el temps.
Hem ficat tres mesos, no arribava a més,
de fet, la màquina que tenim aquí és molt antiga
i el que s'ha d'intentar és poder-la manejar.
Realment, si nosaltres agafem,
qualsevol de vosaltres, ara, si vol ,
agafa el mòbil intenta accedir, podrà accedir.
Nosaltres, el primer que vam fer és
la prova. Escolta, ens diuen que ens ha entrat
diuen que ens han atacat per FTP. Pot ser? Vam agafar,
vam fer una prova des de
un dels equips del departament.
Vam intentar fer un accés i si vam entrar a l'FTP, com al RU,
a la primera, en aquest cas,
sense contrasenya, ficant la que volguéssim, podeu anotar,
i fins i tot monitoritzant el tràfic que hi havia,
doncs vam veure que funcionava.
A banda del que podem veure,
que l'equip estava actiu, que funcionava correctament,
que l'FTP, el servei FTP,
vam voler, també, verificar que el 'honeypot
estava fent captures. Per fer-ho,
la manera més fàcil és fer un atac.
Per tant, en una altra de les màquines que tenim al departament,
una distribució de línies que es diu Dani
el que vam fer va ser llançar un atac a mida,
que és un sistema que permet intentar accedir a un sistema,
fer un atac de diccionari, és a dir,
tenir un llistat d'usuari, un llistat de contrasenyes,
i començar a anar perquè l'usuari i totes les contrasenyes,
clac, clac, clac, intenta accedir.
Els usuaris i contrasenyes que teníem aquí,
molt poquets, no calen gaire per fer la prova,
doncs realment ho estan capant.
Aquesta és una imatge d'una de les pissarres
que té justament aquest sistema honeypot
on tenim restriccions temporals,
per exemple, de quan succeeixen els atacs
i de quines IPs ens fa l'atac.
i en aquest cas, quins usuaris i contrasenyes estan utilitzant,
quines són les forces que estan accedint,
quins són els proveïdors...
El honeypot ens dona moltíssima informació
que després cal saber-la analitzar.
Molt bé, fins aquí hem anat una mica
introduint el context de què és l'honeypot
sobre el que estem parlant.
Anem ara a entrar una mica més.
Per entendre de què parlem avui,
he parlat que ens va atacar l'FTP,
és un protocol de transmissió de fitxers.
És un dels primers que es van fer integrar,
és un històric, aquest protocol.
Va servir un desús i té una característica important,
és que ja fa molts anys
que hi ha hagut un desús,
sobretot perquè és insegur que tot el que es transmet
està en text legítim, no està acceptat.
Però en qualsevol cas es fa servir,
una de les funcions que es fa servir molt
en aquests moments és per petits dispositius
que no tenen gaire de capacitat de còmput,
petits sensors i tot sempre a l 'entorn de l'IOT,
de l'Internet of Things.
Són dispositius amb molt poca capacitat,
amb molt poca memòria i molt poc processador,
però fan servir protocols que no els calgui gaire
Un altre punt a tenir present és
per què algú pot voler entrar a un servidor
de FTP en aquests moments.
Hauríem de dir que hi ha quatre punts.
Una banda, voler agafar les dades.
Hi ha hagut atacs universitats, hospitals,
ajuntaments que ja ho hem vist.
Han agafat les dades. Això és una opció.
Un altre problema típic és que se l 'agafin
i que sigui el seu repositori de fitxers,
el seu número personal.
Una altra opció és que el que vulguin fer
sigui aprofitar-lo com a plataforma
per atacar altres.
És a dir, convertir aquest dispositiu en un zombi.
O, simplement,
fer que el servei no funcioni,
fer una denegació del servei
o una combinació d'algunes d'aquestes possibilitats.
A partir d'aquí, què implica cadascun?
Si el que volen justament és saturar,
enviaran molt de trans...
molt de trànsit,
el que provocarà és que el sistema no respongui.
En aquest cas poden enviar
un conjunt de paquets D'internet
que s'aturin, per exemple, el disc, la RAM,
la CPU, els equips de xarxa,
però no prenguin el control de l 'equip.
Un altre cas és que prenguin part del control de l'equip,
en aquest cas que prenguin part del servei
i, en aquest cas, que prenguin el control dels serveis,
però no el servei de l'equip
i, cada vegada més,
és que puguin accedir, no només els serveis,
sinó que prenguin el control de la màquina,
que, llavors, controlen aquests serveis
i altres serveis que també hi puguin haver a la màquina.
En el nostre cas,
dintre d'aquest honeypot en concret,
tenim un punt a favor,
que està passant una miqueta i és tranquil.
I és que està basat en una tecnologia de dockers,
de contenidors. Què vol dir això?
Vull dir que cadascun d'aquells
petits pots de mel,
igual que els pots de mel que atreuen les mosques,
els pots de mel que atreuen els hackers,
cadascun d'aquests està
dintre d'un contenidor. I un contenidor,
com heu vist, és un programari que permet que
tota una aplicació es quedi concentrada
en un punt, de manera
que és autònom, no pots moure'l d'un sistema a un altre,
perquè tots els executables, totes les dades que et fan falta
estàn allà dintre. I, en el nostre cas,
amb uns cas interessant, és que, com a govern,
el podem reiniciar i fer que es quedi com estava.
De fet, això ho fem cada mitja nit,
per si de cas, totes les dades que hi ha,
de cap a cap, c que tots els dockers
es reseteixen i es tornen a la posició inicial.
Molt bé. I anar acabant
aquest context, el que ens hauria de passar,
que encara no hi hem entrat, el que
crec que és important és quin volum
d'atacs estem rebent.
Doncs, amb el fònic, perquè feu una idea,
en aquests moments, en aquest període, estem parlant
d'un període de dos dies i mig, havíem rebut al voltant
de 6.900.000
atacs, 6.900.000 atacs, perquè
feu una miqueta una idea. I dintre d 'aquests,
dintre d'aquests, aproximadament,
uns dieu mil, eren els que
pertenien concretament a un atac,
que és el que sortia al nostre índex. Aproximadament, aquests
10.000 eren sobre el protocol
FTP. I hi havia involucrades
al voltant d'unes 800 i pico adreces IP.
Molt bé.
Fins aquí, tot és molt teòric.
Fins aquí, he introduït
el context
sobre el que ara explicaré. Unes coses.
Anem ara, anem a l'evolució. Anem ara
a explicar en què ens hem trobat.
Doncs, com jo us dic, estàvem allà tranquil·lament.
Veiem que ens han entrat.
Anem a demostrar si és veritat o si és mentida.
No ho sabem. Però, en qualsevol cas,
comencem a mirar.
La manera que hem preparat és, anirem muntant
la imatge de les investigacions,
les cerces que vam estar fent, per a poder esclarir
què havia passat.
El primer que vam mirar era la continuïtat.
En algun moment, la màquina ha caigut. No, no, no.
La màquina ha estat funcionant. Perfecte.
Tenim dos mesos i mig de manera que,
com que està funcionant, el primer punt que podem dir és
que tenim una línia temporal de dos mesos i mig.
Això ho tenim. Tenim una línia temporal.
El segon, que ens podem fixar,
és que el tuit surt el 29 de maig.
Per tant, sobretot el 29 de maig, l 'atac és anterior.
Doncs, a partir d'aquí, el que ja tenim és
un punt de referència. El 29 de maig,
és quan apareix el tuit.
Molt bé. Anem a continuar a aprofundir una miqueta més.
Anem a estudiar què tenim aquí.
En aquest cas, comencem a agafar les dades,
del T-POT O , i identifiquem
diferents perfils de tràfic.
De fet, veiem tres perfils, tres grans perfils de tràfic.
Un perfil són aquests pics tan grans, que són
atacs puntuals. Són atacs grans.
Són aquells atacs grans que es veuen.
Aquests atacs són puntuals,
tenen una durada molt curta però d'alta intensitat.
Hi ha un segon perfil que tenim,
i és un conjunt d'atacs
que són menors però són continus. Semblen
planificats, són periódics.
Aquest atacs més sistemàtic, més periódic,
té aquesta poca intensitat,
però s'allarga en el temps. És un altre perfil
que tenim aquí. I després hi ha un tercer perfil
que sembla quasi com una continua,
amb uns 40 i pico atacs al dia,
i d'algunes IPs,
continu, com que sempre hi és,
no en farem cas.
Clar, tot això d'aquí,
és aquest aspecte,
aquests atacs.
El honeypot en concret que hem utilitzat
es diu Dionaea, que de fet,
és el nom tècnic d'una planta
d'aquestes carnívores que es va menjant les mosques,
és el nom d'aquesta planta.
Hi havia 158.000 atacs,
d'aquests 158.000 hi havia aquests 10.000
que eren els que ens podien afectar, que eren les de FTP,
i d'aquests uns 6.500
són els que ens interessen que són aquests
dos perfils de dalt. Per tant,
a la línia, a la fotografia, què hem fet,
ja podem dir que hem fet dos perfils,
tenim un perfil d'atacs sistemàtics
i un perfil d'atacs puntuals.
Molt bé.
Ara ens fixem,
intentant identificar el nom,
cadascun d'aquests atacs,
el que volem saber és quin volum
d'aquest atac que ens han fet,
tant amb aquests 6 puntuals
grans com aquests 18
més sistemàtics.
Així doncs, com que també tenim les dates,
ja podem marcar en aquesta línia temporal
cadascun dels diferents atacs que ens han fet
més sistemàtics, però fiquem-ho una vegada,
perquè sabem que abarca tot el perill.
A partir d'aquí,
els perfils que tenim d'atacs,
sabem quan ens han atacat,
de vegades el volum, de vegades tornem
al pot de mel i ens torna més informació.
Dintre d'aquí,
ens agafem i a la línia temporal,
anem explicant en cada atac
quin és el volum d'atacs que ens han fet.
Cal anar una mica amb compte
perquè cada honeypot
pot tractar cada atac de forma diferent,
ja que es basa en diferents mètriques
i de vegades un atac pot ser obrir una sessió,
un atac pot ser enviar un paquet o molts paquets
i un atac pot ser molts de cop i simultanitat,
cal una mica de cura
en funció de la mètrica que va servir
el honeypot d'aquell estat.
Però ara que ja sabem quan ens han atacat,
comencem a identificar-nos.
La manera mínima que tenim per identificar un atac
és a partir de l'origen.
En aquest cas, el que es coneix com una adreça d'internet,
l'adreça IP.
Si fem això, ja sabem
quan ha passat cada atac, ja sabem a més a més
quina intensitat ha tingut i a més a més
quina és la IP que ens ha atacat.
En el cas anterior, en el cas del sistemàtic,
hi ha moltes.
Hi ha moltes, moltes, moltes dades
sensibles.
Vam agafar unes quantes.
A partir d'aquí, veiem que hem polit una miqueta
i a partir d'aquí
veiem que cada IP pertany
a un cert proveïdor d'accés a internet.
Aquí hem dit pertany a Movistar
pertany a Jazztel, pertany a Orange...
pertany a Vodafone.., és igual.
Per tant, és bo que identifiquem
a qui pertany.
De fet, en cadascun d'ells,
anem identificant, a través d 'informació personal
de qui és el proveïdor
d'accés a internet que té aquella IP.
I veiem clar que és molt clar.
Aquest ve d'Itàlia, aquest ve de Rússia,
aquest està per Àsia, aquest és a Bolívia,
aquest és a Turquia, aquest és a Rússia.
D'aquí, si el proveïdor
d'accés a internet és rus, vol dir que
la IP està a Rússia? Depèn...
Si l'IP és de Movistar, vol dir que està a Espanya?
No ho podem firmar clarament.
I el que és particular d'aquest atac sistemàtic
és que totes les IPs, n'hi ha un fotimer,
totes pertanyen a aquest proveïdor d 'accés,
que és Akamai.
Curiós. Un punt ja és un punt curiós.
Si passem...
Molt bé, a partir d'aquí volem dir
que el proveïdor d'internet amb l'IP
a quin país l'ha cedit, a quin país l'ha donat.
Anem a veure la informació
i afegim aquesta informació.
I afegim aquesta informació aquí.
I ja ho comenceu a veure...
Anem cap enrere des de l'edat,
des del dia 0.
Tenim uns italians, uns russos,
un xinessos, uns alemanys, uns turcs,
suposadament uns americans,
uns de Taïwan i uns altres russos.
Podeu afirmar alguna cosa?
Encara no, encara no ho tenim clar.
Anem una miqueta més.
A partir d'aquí fem el pas següent
i el que diem és...
Una cosa és qui és l'IP,
què és el país en què està
i quin és el proveïdor d'internet.
Però quina empresa hi ha al darrere?
Una bona pregunta.
Que l'IP sigui de Movistar,
no vol dir que el Movistar m'hagi atacat.
A partir d'aquí agafem el honeypot
i utilitzarem una eina
que és molt interessant
i que es basa en analitzar les petjades
que es diu Spiderfoot.
Spiderfoot el que fa és, a partir d 'una dada, com pot ser l'adreça IP,
consulta un conjunt de totes les bases
que coneix de intel·ligències
i bases de reports en atacs,
on es reporten ips malicioses
i el que es coneix com bases de reports
open source d'internet
i hi ha intel·ligències
que estan estrictes d'internet
i el que fa és començar a cercar per totes les bases de dades
i al grup aquestes dades
que les mostra en un gràfic.
No només les comença a relacionar entre elles,
les comença a relacionar i les mostra gràficament.
A partir d'aquí pots començar
a mostrar cadascun dels nodes
de les bases de dades, quina és la informació que hi ha
i d'aquí, quan hi hagi un conjunt significatiu de coincidències,
pots arribar a saber quina empresa hi ha al cap.
Tot això ho fem i llavors
el que ens trobem és amb alguna que altra sorpresa.
En un cas, el proveïdor d'accés d 'internet
era la mateixa empresa
que és el mateix empresa
qui té l'adreça IP.
Hi ha altres casos, com el cas de Rússia,
que no se sap.
Hi ha altres que, per exemple,
l'empresa està a Bolívia
i resulta en canvi que la màquina de l'atac està a Xina.
En un altre cas, no.
En el cas de la mateixa empresa,
tant el proveïdor igual que en el cas d'Itàlia
coincideixen, el proveïdor i l 'empresa al darrere,
en el cas dels turcs.
Estan relacionades?
En el cas dels Estats Units,
el que veiem és que l'empresa és diferent del proveïdor
i en el cas de Taiwan,
és el proveïdor del Pacífic,
i és allà, malgrat que hi ha el proveïdor del Pacífic
o que hi ha un proveïdor rus en aquest atac,
no hi ha cap empresa associada.
No hi és, no hi ha cap empresa.
Ara bé, curiosament, quan fem això,
ens trobem que, igual que hi havia una xarxa,
un proveïdor en comú,
hi ha també
el Centre Cryptogràfic Nacional.
Aquests són els d'aquí.
Teòricament, diguem-ne,
aquest CNC el que fa és anar vigilant
les policies locals.
Van vigilant, van veient què passa, van intentant identificar
que hi ha algun problema i, clar, per això,
han d'anar fent també petits oblicis.
I és una primera sorpresa, no?
De manera que totes aquestes IPs
de diferents països pertanyen
al mateix proveïdor o a aquesta xarxa.
I alhora, doncs,
a aquesta empresa que justament està a Espanya.
És una d'aquelles...
Sorpresa. Però bé.
Tenim la certesa de què passa exactament?
Anem un pas enllà.
Anem a utilitzar una altra vegada
l'Spyderful per intentar obtenir
si hi ha alguna referència de la perillositat
de cadascuna d'aquestes adreces.
Això que vol tenir, de fet, ens donen uns indicadors
i, específicament, entre molt alt,
un alt o mig a baix.
Fem una altra vegada tota aquesta informació
per totes les adreces IP
les comencem a ficar
una altra vegada dins de la nostra fotografia.
Curiosament, en el cas del centre nacional
criptogràfic,
ja està reportat com de baix.
O, per exemple, en el cas d'aquesta IP russa,
està marcada, disparada cap amunt,
igual que l'italiana o igual que la taiwanesa,
com la russa.
La russa una mica més
Però anem aprofundir una mica més.
A veure si podem anar corroborant
Per anar corroborant aquesta perillositat
que ens diuen les bases de dades
que hi ha per internet,
anem a una mica també en cada cas
l'accés que han fet com a servei.
Quins usuaris i quines contrasenyes
han utilitzat. Bàsicament, hi ha dos patrons.
Un és un accés anònim,
usuaris anònims sense contrasenya.
Això vol dir que és un atac de cortesia
- Hola, molt bones, sóc aquí, que hi ha algú?, i ja està.
I l'altra és quan hi ha el petrovius
usuaris i contrasenyes, que és vull entrar.
Vaig a provar.
I a més a més, en aquest cas també ens fa entendre
per què, amb un honeypot
que, fiquis pràcticament el que fiquis, entraràs.
Per què han fet tants atacs? Per què?
Perquè són combinacions de diccionaris.
A més, ells llencen per un diccionari a les braves
i miren quins són els resultats.
Pràcticament el 90% de les combinacions
usuaris i contrasenyes que han provat
haurà dit que sí.
A partir d'aquí ens adonem que
només els el CNC han estat
correctes, educats, que eren
amb accessos anònims, i en canvi
tot la resta de l'URSS sí que estava utilitzant
entrar per força bruta. En força bruta no ho vam veure,
perquè és un diccionari, no són dues de les combinacions possibles, però
sí que amb el volum d'atacs
ja es veu que haurà de provar diferents
combinacions amb usuaris i contrasenyes.
Molt bé.
Però, a partir d'aquí,
anem un punt més a encara,
perquè anem a fer una fotografia del que ha passat,
anem a fer un puntet més.
Anem a veure si la màquina està activa o no en aquests moments.
I això com feia uns 10-15 dies
després, perquè per arribar aquí...
Exacte.
La màquina, la IP, l'IP atacant.
Per fer-ho, vam recórrer
una altra eina, que és l'NMAP.
És una altra eina clàssica a xarxes.
I amb aquesta informació, llavors,
tornem a completar la fotografia que teníem.
I ara veurem com, per exemple,
els italians, encara estan actius, els russos també,
els xinesos, ja no.
O, per exemple, els taiwanesos.
Hi havia una màquina que dos d'ells ens estava atacant
i que tampoc estava aquí.
I en un cas com aquest, n'hi havia d 'altres.
N'hi havia que estaven aquí i n'hi havia d'altres.
A partir d'aquí, a concretar,
encara una miqueta més.
Quin sistema operatiu té aquella màquina?
Llavors, m'agradava fer un apunt una estona aquí.
Aquesta informació.
A partir d'aquí,
però amb aquesta informació has al perfil de tràfic.
A la seqüència que ens envien, com la construeixen,
a partir de veure com ens comuniquem.
Llavors, jo m'he quedat no amb el detall
de quina versió de Linux o quina versió de Windows,
sinó que m'he quedat només amb 100 Linux o 100 Windows.
I a partir d'aquí, completem una mica més.
De manera que, bàsicament,
la majoria de màquines que ens han atacat
eren Linux.
Només en el cas d'aquesta russa
i després en el cas de la turca i l'americana
enaquests tres casos hem vist que eren màquines Windows.
Però bé, anem una miqueta més.
Ja que ens hi posem,
hem d'anar, sobretot,
si ens hi fixem,
que hi havia algun cas
en què hi havia un proveïdor d'accés a internet
que és una empresa que ho té.
I això, de vegades, ens fa sospitar.
Algú del propi proveïdor d'accés a internet
també t'ha atacat
potser d'una màquina de xarxa.
Potser és algú que té un proveïdor de xarxa
i buscant, igual que estan fent
A partir d'aquí,
el que vam fer va ser utilitzar el proveïdor d'accés
no per mirar si la màquina estava operativa,
sinó per mirar quins serveis tenien oberts.
I a partir d'aquí,
potser hi ha alguna màquina,
homologa a la nostra, que són també honeypots
o bé és una màquina puntual
que no té pràcticament cap més servei
Amb aquesta informació
anem completant una mica més
i veiem que amb els del CNC
aquesta situació es dona
en altres, com els turcs,
pensant en el CNC
i una mica d'aquest turcs
o els americans.
Veiem que realment el que estan fent
també és, d'una banda, accedir sondejant
no gaire a la canya perquè ens ataquen
o sondeja amb diccionaris, però alhora
ells també tenen aquestes màquines
també són honeypots.
Molt bé, fins d'aquí tenim
hi ha una imatge força concreta
de tots els passos que hem anat fent
i de com hem anat agafant aquesta informació
i a partir d'aquí anem a treure conclusions
sobretot perquè també el cap
ha sigut sobretot el que se'ns ha trucat
i ens va demanar explicacions sobre què està passant aquí
i ja que ens hi posem, ens hi posem com toca
i l'hi enviem.
I de fet crec que després és igual a la feina de la Generalitat
per explicar el que ha passat.
Ens intentem, si comencem a treure
conclusions, a partir d'aquí no ja amb aquesta foto general
sinó que anant, cas per cas.
Començarem pel mateix.
Al començament hi ha un tuit
i d'aquest tuit hi ha un centre que ens diu que han fet unes coses
i uns autors. Dintre els autors
deien que era un grup de hackers russos
que de fet ells denuncien que són en
i que van a favor de donar pel sac a tothom
i que estigui en el bloc occidental
però una altra vegada
amb uns quants interrogants.
Ara bé, amb tota la informació
que hem vist fins ara, que hem anat recopilant
el que sí que ens poden ficar és una clara situació.
Hi ha una situació en què veiem
que té perfil d'atac, doncs
m'han atacat, això ho tinc clar.
Totes les indicis que tinc m'apunten
a dir que aquest sí que m'ha atacat.
I vol que hi ha un altre perfil
que és clarament un sondeig. Simplement han mirat que hi ha
i no han fet mal, no han fet res més.
I entre aquests dos hi ha un full intermig
que hi ha uns dubtes. Si et quedes amb el dubte
no pots afirmar que és un atac.
Un atac lleuger o un sondeig estrella?
Heu d'anar allà una miqueta amb el dubte.
Però, a partir d'aquí, comencem a parlar.
Primer,
és el primer, partint de la data 0
és el primer access
que aquí hem vist i no ho tenim.
En aquest cas, no ho tenim.
No puc explicar que això són hipòtesis,
perquè aquí són hipòtesis.
A partir del que he vist,
han vist el que fèiem al Twitter
i de cop es diuen, anem a veure què hi ha.
Bàsicament perquè l'atac és molt petit,
és molt baix, és molt petit,
i sembla, i a més a més,
tenir en compte que és una empresa de ltelecomunicació,
sembla que simplement a enviat a veure què hi ha.
Però ho marquem com a equip, amb dubte.
El següent que hi ha és el diferent.
En aquest cas, els russos aquests,
no hi ha cap empresa al darrere,
realment estan reportats com a molt perillosos,
no hem estat capaços d'identificar -los,
veiem que a més a més és un Windows,
curiosament, amb el que possiblement
ni tan sols sigui la màquina del hacker,
sinó que ha entrat a la màquina d 'algú altre d'aquesta màquina,
que possiblement hagi atacat,
no conec cap hacker que faci servir Windows.
És una pista més,
però segurament,
però sí que pel moment en què passa,
per la intensitat, per la reputació que tenen,
pel fet que no hi hagi ningú darrere,
tot una miqueta ens apunta que
aquests senyors són realment els que ens van atacar..
Jo diria que...
Té tots els números que siguin aquests.
Ara, la resta,
hi havia els alemanys,
en aquest cas,
no els alemanys,
hi havia aquests des de la Xina
els de Megalink,
que...
Et quedes amb el dubte.
Tens el dubte.
Un següent, sisplau.
Amb aquests,
passa exactament al mateix.
Tens el dubte.
Tens el dubte,
tenint en compte aquests,
jo estic a favor de què eren un sondeig,
una mica agressiu, diguem-ho així,
i que només...
Han fet algunes coses que no són gaire elegants,
que no són gaire educades.
I a l'altra banda, els turcs,
una mica la mateixa línia que els alemanys,
una mica més el mateix, no ho tinc clar.
Passem al següent.
Els americans, el mateix.
Passa exactament el mateix.
I ho intentem amb els últims.
En aquest dels últims, aquí sí que tornem a trobar un atac.
I de fet,
en aquest atac,
hi ha un equip des de Rússia i dos des de Taiwan.
El volum d'atacs des del de Rússia
és més baix que des dels de Taiwan.
I algunes de les màquines de Taiwan després ja no hi és.
Aquí sí que, jo crec que aquí ens van atacar,
però es va molt enrere en el temps,
ja som molt enrere en el temps,
i probablement no es va publicar allò aquí.
Però aquí sí que...
A més, la refutació de les màquines
era també d'una altra.
I finalment, els compis d'aquí.
En aquest cas,
en aquest cas, doncs,
per tots els indicis ens aporten a que eren sondeig.
És periòdic, segurament.
Està programat cada quatre dies, crec que més o menys ara.
Acabaran, tac-tac-tac-tac, no fan mal,
enten o hola bones, hi ha algú, sí,?
envien un correu, i hi ha una màquina
amb un servei vulnerable.
Perfecte.
I aquest és una miqueta el resum.
Això ho he ficat ja en un mapa
des d'on ens han atacat.
A partir d'aquí també hi ha alguna reflexió
dintre d'aquest pot de mel,
i ara, quines mosques ens han vingut,
i d'algunes.
Alguns atacs, què és un atac?
Per una banda, pràcticament, en cada atac
s'ha fet amb un servei concret.
És a dir, no va en atacs indiscriminats, sinó que,
el que podem veure,
cada IP s'utilitza per atacar a un port
i una vegada.
No es utilitza menys en nosaltres.
Per l'altre, aquestes IPs
que ens han atacat surten a les bases de dades
de mala reputació.
En aquestes IPs no tenen
per què coincidir geogràficament
ni amb l'atacant ni amb la víctima.
És a dir, estic en un lloc A
i, a través d'un lloc B, ataco un lloc C.
És el que tenim també.
I després,
la probabilitat que aquestes màquines,
un cop en atacar, que es mantinguin actives,
va baixant en el temps,
fins que, a cada cert temps,
segurament es reporta
que s'estan fent servir maliciosament,
es reinstal·la, reinicia i llavors ja deixen
de... o simplement se'ls canvia la IP.
D'altra banda, també,
hi ha alguns comentaris sobre els atacants.
Impossible discriminar l'entitat de l'usuari.
Tu no saps qui està fent servir aquella màquina.
Tu el que pots dir que hi ha una màquina
dins de la xarxa d'un cert proveïdor d'internet
que pot estar en una empresa,
però tu no saps qui.
És el que l'està fent servir.
I també, un altre punt,
que també a vegades és difícil poder saber
quan és un sondeig més o menys amistós o agressiu
i quan és mala llet.
I llavors, acabant,
una gràfica que vam preparar
fa un parell de dies,
de un honeypot quants atacs porta.
De fet, aquí, a la UPC,
el que tenim són un tallafocs principal,
i el tallafocs principal
és el que se l'encarrega d'aturar
la major part dels atacs.
I nosaltres, d'aquí a l'escola, també tenim el nostre
tallafocs. Doncs, una cosa que hem fet
és que el nostre honeypot que hem ensenyat
està col·locat fora del tallafocs de la UPC.
Prèvi.
Això ho vam fer fa uns 3 anys, una cosa així,
i me'n recordo que vam suar perquè ens ho deixessin ficar,
perquè deia que era una cosa inusual,
absolutament insegura, i deia: Sí, és que vull que sigui insegura.
Està fet expressament per a que siguin insegures.
Llavors, tenint en compte que hi ha
el tallafocs de la UPC i que hi ha el tallafocs de l'escola
teníem aquest honeypot,
i vam ficar dos honeypots, que són dues màquines virtuals,
en aquest cas, un...
un que està a la xarxa UPC però
que és fora del tallafocs de l 'escola, i l'altre que està
dintre del tallafoc. Per arribar aquí hem de passar dos tallafocs,
per arribar aquí hem de passar un tallafocs,
i per aquest, que és el que hem ensenyat fins ara,
no hi havia cap tallafocs.
I aquí hi ha les gràfiques, més que gràfiques
les estadístiques d'atacs.
Això és un dia. Això són valors reals,
que són dels dos dilluns.
De manera que l'escola que està fora
va rebre uns 110.000 talls,
en un dia. Això és normal.
El que tenim ja
dintre de l'UPC, aquest que està
entre els dos tallafocs,
d'aquests 110.000 va passar
a uns 3.000.
Ara, com és que
encara que ha rebut atacs?
Doncs perquè la major part els ha frenat
aquest tallafocs, que és la seva feina, però òbviament,
aquí hi ha molts usuaris connectats,
hi ha una xarxa wifi, que tenim aquí a l'escola,
no la tenim aquí a l'escola.
La xarxa wifi, que tenim a l'escola,
depèn de l'UPC. Per tant,
estaria en aquesta zona d'aquí,
igual que aquí, i per tant,
rep un volum important d'atacs, només per la xarxa wifi,
si no amb qualsevol usuari que pugui passar.
Ara que estigui connectat al treball,
amb el seu ordinador, que ell tingui algun virus
o que tingui alguna història d' atacs.
I finalment, hi ha aquests
1.300 - 1.400 talls,
que, fixeu-vos, la meitat.
És clar,
en aquest cas d'aquí,
en el cas el honeypot que està dintre de l'escola
és el que està més protegit. Ara,
tampoc és zero, tampoc és zero.
Estem parlant de 110.000, uns 3.000 i uns 1.000.
Els ordres de magnitud sí que són importants.
I llavors justifiquen la necessitat
de poder tenir un bon tallafocs. Ara bé,
un tallafocs, en aquest cas, per el que ve o va
cap a internet,
ara bé, allò que passi dintre la teva xarxa, allò t'ho menges.
I ho veus,
i ho veus en aquest cas.
Passa exactament el mateix aquí,
de manera que sempre és important que cada escola
i el que la UPC que cada unitat tingui els seus tallafocs
per intentar anar evitant o minimitzant
els possibles atacs que hi ha aquí.
En el nostre cas, tenint en compte que et van atacar uns russos,
doncs jo crec que
més val un pot de mel... que mil barrils de vodka!
Fins aquí era el que és la
presentació principal
i hem preparat una petita cosa,
però ja, més de cara al debat,
si és les eines que hem estat pensant fins ara,
podem les ensenyar. Ens hem connectat des del
navegador d'aquest ordinador,
per poder-ho ensenyar. Si teniu algun dubte o una demo,
no algo gravat, algo ja fet, sinó en directe
per poder jugar una mica.
Fins aquí, la part més d'exposició
per acabar-nos. Moltes gràcies.
Ara és del
Honeypot justament un mapa
en directe.
Ara anem.
Això és el que veus al fora.
Sí.
Quan dius atacs,
et refereixes a un acces
concret o...
O sigui, com defineixes atacs? Un access
que no es doni utilitzat?
Mira, un dels atacs més grans que tenim en aquests moments
són atacs distribuïts a la normalitat de la DNS
Són peticions de DNS
o són peticions de DNS
Per exemple, una...
si tu detectes que t'estan fent un NMAP
o detectes que has d'intentar accedir a l'FTP
encara que sigui un usuari anònim,
això ja ho classifiques com a atac.
Sí, sí, sí.
És el que comptàvem, si l'FTP o un SCH,
si algú t'està intentant fer un SCH és que vol controlar la màquina.
I si a més a més veus el llistat d 'usuaris
que estan fent-se dir que és un diccionari,
bones intencions no té.
A cada FTP hi ha una opció d'accedir anònim.
En aquest cas pots dubtar amb altres notes.
Però per la contabilització, com per exemple
fem un atac diccionari i proven diferents,
i proven vuit cents, no?
En el punt d'aquests vuit cents, per tu és un atac independent
o per a vosaltres els vuit cents dius això és un atac diccionari?
Cada honeypot ho fa diferent.
Cal anar la lletra fina, la lletra petita, per veure com ho està
captant.
Però ja hem vist que en el cas del Dionaea
cada accés és una captura.
En canvi, basant l'atac és furtiu i la cosa canvia.
Per tant, hi ha moments que no t'ho puc garantir,
sinó que ens hem de seure, ens hem de llegir
cadascun dels mètriques que està fent servir
per entendre aquest valor en concret.
No és evident?
Pels que no som del gremi,
quan es parla d'intensitat d'un atac,
quant de temps es triga a valorar
l'intensitat d'aquell atac?
Fixa't que, tu pots dir, no?
Pots tenir en compte per dir
que el temps que t'ha estat atacant
o pot ser la quantitat d'accés
o d'intents que han fet.
Aquí parlo d'intens.
I a partir d'aquí
és com tu defineixes aquesta mètrica.
Fixa't que hi havia, per exemple, en les gràfiques
que he dedicat abans, els italians.
Hi havia un 127 atacs.
Jo ho he considerat un atac.
Els que menystingut, quan hi havia 3 o 4,
3 o 4 no tenia en compte,
ni que, si miraves aquí al constant,
que cada dia hi havia uns 40 o 45 cada dia,
en el volum de dos i mig
eren 3 mil i pico atacs.
Això vol dir que cada mitja hora, més o menys,
ho busquen i intenten mirar què hi ha.
Per tant, que no li facis cas.
En canvi, quan de cop i volta
veus 800 seguidors,
si són criteris,
si és criteri de l'anàlisi i que tu miris fins on
on fiques els llistons, on fiques els indes.
D'aquí podries explicar una mica
sobre les histèries fics.
Per exemple.
La primera cosa que estem veient
és justament això.
Diferents punts del món.
Suposadament, aquí,
hi ha un proveïdor d'accés a internet
que a algú li ha contactat un EP
i des d'aquí hi ha hagut un atac
igual que des de qualsevol altre punt.
Hi ha diferents atacs.
Hi ha un punt interessant, per exemple,
abans que passàvem preparant aquesta sessió,
hem agafat, si puc dir que, Jordi,
que hi ha això que és el resum,
això és el resum.
Aquest d'aquí és un dels pisarres
principals d'informació
i és anar jugant amb filtres.
Jugues amb filtres temporals,
jugues amb un conjunt de filtres per honeypot,
jugues amb filtres per Google, per IP,
per el proveïdor d'accés a internet,
per la vulnerabilitat que està intentant
explotar per entrar-te i a partir de totes
d'aquesta informació vas filtrat i vas identificat.
És una feina fina d'anar a internet.
I per exemple, hem anat una part abans,
la que hem agafat...
A veure, mira quina l'agrement ens està atacant.
I si pot ser que l'spiderfoot, Jordi, mirem...
Hem ficat aquí el nom.
La primera, no? La que ens estava atacant
fa mitja hora, la que estava jo a l 'alt de tot.
Llavors hem començat amb l'spiderfoot
amb l'spiderfoot ens ha dit, escolta, aquests qui són?
Ja tenia amb la PCP, amb el proveïdor,
però són bons, són dolents,
doncs ha començat a fer cerces
en bases de dades, ha començat a obtenir
un conjunt d'informació que hi ha una que ja és significativa.
Aquí ja ens dona el nivell de risc..
Hi ha l'spirelfoot, que és penya xunga,
compte amb aquestes dades.
I si veiem totes aquestes dades,
que d'aquest, el nostre gràfic,
aquí, qui comença a veure les resums,
comença a veure totes les resums que hi ha,
i si veiem ja la part gràfica,
que és com es va agrupar visualment,
totes aquestes dades, la que va començant
amb l'scambles, i al final
té un grafic que és així.
De manera que podem anar
ficant en cadascun les nodes
i anar veient informació.
Aquí veieu la relació entre les diferents nodes,
la procedència de cadascun d'aquests nodes.
Si no, normalment, quan havia mirat aquí,
crec que havia identificat, per exemple,
aquí ja pots veure quina empresa és aquí al darrere,
o quines són les adreces de correu
que alguna d'aquestes màquines té ficada com
com està autoritzada,
i fins i tot amb aquesta d'aquí,
hem anat després a bases de dades
És a dir, el que Spiderfoot fa automàticament
a moltes d'elles que nosaltres anem,
hi havia abans, per exemple,
doncs, en aquesta base de d'aquí,
que surti identificada com que és perillosa,
et surt, la seva procedència,
d'on són, doncs són els anglesos,
o la següent, que era el mateix,
et va dient, no?
Segons les seves mètriques, com les valoren i fins i tot,
en quines bases de dades de llistes negres
apareixen per poder-les filtrar.
Vaja, és divertit.
És a dir, per tu un atac és un intent
d'accedir al teu servei.
Però clar, potser que un s'equivoca d'IP
un intent d'accedir perfectament,
i que només en faríeu un.
Clar, que un intent d'accedir al teu ordinador
moltes vegades és quan...
Això que en la línia temporal que us he ficat
marcava unes dates concretes
que és quan d'una i tres veus que hi ha un.
Això ho considero important.
L'altre pot considerar un acte i arribar a un...
Els russos van publicar al Twitter,
suposadament després de l 'investigació,
van publicar a Gavina
aconseguir control total.
I això no ho van fer.
A la meva màquina no.
Ah, altres llocs de la UPC, potser sí.
S'hi heu llistat de moltes i bé
per demostrar que hi havia entrat..
Jo el que puc dir és que a la meva...
S'ho van creure? Sí.
O sigui el que van fer va ser un
van entrar a internet.
Però control total.
Si tu intentes, et dirà que tens el control total.
Perquè...
Això és molt divertit.
Si vas a una web que t'analitza una mica d'això,
és una web que...
Si vas a la web...
Fins a...
Això.
Si fiques...
Les tenia ja ficades
Aquesta pàgina...
Aquesta, aquesta.
Aquesta és una web que t'analitza la teva màquina
i et diu els vulnerabilitats que té.
Això és un esforç que deu haver-hi.
I aquí veurem els vulnerabilitats.
Pots anar al meu cursor?
Jo amb això sóc posar els vulnerabilitats
que té aquesta màquina.
O sigui, realment el hacker és molt bo, no?
Si tu ara veus una màquina i veus tot això...
No passa res.
Com podeu veure,
té un lletrero que està dient...
Ataca'm.
Només haig de fer una acció de dir
aquesta màquina, quines vulnerabilitats té?
Tot això. Anem per malucar.
Deixem-ho anar.
Està pensat per això, perquè...
Rebre atacs i fer-te creure
que has pres el control.
Ara, evidentment, no.
No has pres el control.
I per si de cas, cada mitja nit...
Cada honeypot es reinicia.
Quan treu el tràfic...
Allò són 40 gigues que has dit abans.
És un promig de l'interfac de xarxa del servidor?
O filtres per algun port?
Són els logs de cada honeypot.
Per tant, cada honeypot,
com és un servei en concret,
no és una captura WhatsApp.
I de fet, per exemple,
fa... la setmana passada, vam tenir un atac
i d'aquí sí que ens van aconseguir
fer caure el servidor.
En aquest cas sí que ens van aconseguir
per poder veure què estava passant.
El que sí que vam haver de fer és un promig
des del router de l'escola
i amb una altra màquina, amb el ...
Calculem el tràfic.
Aquí sí, llavors, tu tens aquí un hònic
que t'assegui en el que està passant,
llavors ja vas amb el ...
i ja saps com pots analitzar el nivell de paquets.
A baix nivell, aquí et quedes a un alt nivell
per tenir una visió general.
Per fer caure la màquina al contenedor?
O tot el honeypot?
Van aconseguir que la màquina ens hi és
i típicament és el que més ens passaria.
Tu penses que hi ha un munt d'atacs
i que el que passarà és que l'SKB1 aguantarà.
L'SKB1 aguantarà.
Si hi ha molta xarxa, s'agafa l 'interfície transsegural.
L'interfície aguantarà.
Llavors on està el problema?
La RAM s'acaba i quan s'acaba
tira de disc.
Quan comença a utilitzar el disc
la CPU es relaxa perquè els temps d 'accés
són lentíssims
Llavors el sistema comença a entrar en un moment inestable
i es penja.
Simplement per això, perquè el disc
t'ha d'autoritzar el disc dur com si fos RAM.
Llavors el sistema es queda trinxat
i es queda inestable.
Tot s'acaba entrant a la sala de servidors
i reiniciant la màquina.
Però sí que ha quedat tocat.
El que fa pensar la màquina
és el distribuït de
Exacte, el DNS.
Els darrers atacs que estem veient més grans
són el DNS. I de fet estem pensant
agafar la màquina i canviar l'adreça IP
perquè ens l'està anul·lant.
Des que es va publicar aquest tuit
el volum d'atacs ha crescut.
Aquest d'aquí és un que hem ficat
ahir justament per poder avui
fer proves per si de cas.
I també està fora del tallafocs de la UPC.
I de fet probablement
en un futur d'aquí uns dies, la setmana que ve
el que hi ha a l'A8, el passarem a l'A.
Feu-ho amb permís.
Evidentment que sí.
Ja hem parlat amb l'
i hem comunicat que faríem el canvi.
I quan detecteu un atac d'aquests quadros
hauríeu de ser un altre.
Veurem que es captures del tràfic
per poder...
Per cert, hem d'intentar analitzar...
Nosaltres estem treballant amb IDEs automàtics,
amb intel·ligència artificial,
per les quals necessitem moltes traces
d'atacs reals per fer aprendre les màquines.
I notem que no hi ha
aquestes bases de dades.
És una riquesa que ja que ho esteu fent
guardeu-la.
No les cal guardar. És que no estem
fent un permís per guardar totes les dades,
sinó que hi ha solucions que ens creixen
amb el honeypot de la IP d'avui
Estem parlant que en aquests moments cada dia
tenim 100 gigues de dades.
De fet, el que estem limitant és
assessorar l'UPC. Per exemple,
la setmana passada,
amb aquest atac en relació amb els serveis distribuïts,
ens deien que és car
en el nostre router i que tenim
fins a 300.000 sessions obertes.
I això no s'ha saturat en el router.
Si jo miro els atacs,
algun d'atacs no em quadra
en les sessions obertes. Vau començar a investigar
i llavors te n'adones que, com que fas la tasca
amb el ..., mires el temps que
les sessions estan obertes i mires paquets i heu dit que les sessions
han anat 3 minuts amb un tràfic o dp.
I perdoneu, és que amb un dp
t'heu sent que heu aguantat 3 minuts en una sessió?
60 segons potser sí.
Tenim el màxim. Jo he entès que hi haurien dits
generós 60.
Al final ens vam recomanar que baixessin
i van baixar tant.
90.
El número de sessions de congestió
del router principal de la UPC ha passat a la meitat.
Per un comentari que els vam fer
nosaltres en vista dels atacs que ens fan aquí a l'Escola.
Ens quedem aquí.
Podríem fer una altra? Sí.
Ara, la màquina que tenim és antiga,
la volem renovar en aquest moment, està en procés de renovar-la
i mica a mica
anem fent camí.
I també ens ho passem bé.
Això ja és vici.
Més o menys?
Més o menys.
Les unes coses.
Per exemple,
el centre criptogràfic.
Allò està planificat.
Els atacs que estem trobant a l 'actualment de DNS
estem identificant unes hores
molt concretes que cada tarda t'estan massacrant.
Ho hem deixat programat.
Per què?
Perquè ja no hi entrem.
Això és anar a fer mal. No té cap sentit.
A no ser que juguis a l'altre lliga.
A la nostra no té cap sentit.
És anar a fer mal
als serveis d'altres xarxes-.
I el atac de DNS és que comença cap a les 6 de la tarda
i aquí a la tarda jo.
Cada dia.
Per això ja hem pensat
de canviar l'IP de la 8 a la 10.
Per evitar, perquè si aquestes hores s'han enfilat.
Ja posen unes hores que cada dia.
Sí, sí.
Com?
Algun dia.
No, perquè normalment
no tens només aquest atac.
Es sumen.
Hi ha moments en què es suma aquest més l'altre més l'altre.
Llavors hi ha un pic i ho és per obrir-te.
La màquina que tenim en aquests moments
té 16 GB de RAM.
I, de fet, té 8 anys.
Clar.
Pobreta fa el que pot.
Mica a mica.