New Year: SNMP default community quantity dynamics

In summer 2016 I provided brief analysis of IPv4-addresses with SNMP default community (DDoS attacks type SNMP Amplification sources) by countries (Russian article). The year is new but security holes are old.



New Year SNMP report by shodan, was compared with June one and shows such dynamics in integral TOP-10:

	2016	2017	Fixed, %
Brazil	1430670	1041122	27,23
USA	326735	240677	26,34
India	307155	210282	31,54
Korea	170979	173178	-1,29
China	121235	92019	24,10
Thailand	120263	61077	49,21
Colombia	104903	59178	43,59
Italy	87020	78970	9,25
Turkey	80880	50824	37,16
Iran	79506	57866	27,22

Новый год: динамика латания дыр SNMP по странам

В прошлом году летом я приводил краткий анализ количества устройств с настройками SNMP по умолчанию (источников SNMP Amplification) по странам. Ради интереса решил из того же shodan сделать новогодний отчет и посмотреть динамику. Год новый, но дыры старые.



Новогодний отчет по SNMP на shodan, по сравнению с июньским, показал такую динамику в интегральном TOP-10:

	2016	2017	Fixed, %
Brazil	1430670	1041122	27,23
USA	326735	240677	26,34
India	307155	210282	31,54
Korea	170979	173178	-1,29
China	121235	92019	24,10
Thailand	120263	61077	49,21
Colombia	104903	59178	43,59
Italy	87020	78970	9,25
Turkey	80880	50824	37,16
Iran	79506	57866	27,22

Страны с положительным процентом устранения уменьшили количество устройств с настройками SNMP по умолчанию, с отрицательным - увеличили.

В целом устройств с default SNMP community стало меньше. Если сделать подобный срез по всему миру, то увидим уменьшение количества уязвимых устройств:

TOTAL

3748045

2821398

24,72

Дифференциальный же TOP-10 на базе интегрального по проценту закрытых настроек SNMP по умолчанию выглядит следующим образом:


И в табличном виде:

	Country	Fixed, %
1	Thailand	49,21
2	Colombia	43,59
3	Turkey	37,16
4	India	31,54
5	Brazil	27,23
6	Iran	27,22
7	USA	26,34
8	China	24,10
9	Italy	9,25
10	Korea	-1,29

Итого, из отчета видно, что в IPv4-пространстве мира стало в среднем на 24,7% меньше единиц с SNMP default community, которые дают всем возможность использовать их как источник DDoS-атак.

Возможные причины:

• Инженеры изменили настройки SNMP по умолчанию
• Инженеры отключили SNMP как неиспользуемый сервис
• Хостеры/провайдеры заблокировали источники паразитного трафика
• Обновленное ПО по умолчанию отключает SNMP
• Shodan перестал видеть часть уязвимых серверов
• Ваш вариант

Будем надеяться, что новый год поможет нам закрыть хотя бы старые дыры.
Как закрыть дырявый SNMP - написано здесь.

Защита от DDoS подручными средствами. Часть 3. SNMP Amplification

По согласованию с редакцией журнала публикую свою статью "Защита от DDoS подручными средствами. Часть 3. SNMP Amplification" из номера 164-165 (июль-август 2016) выпуска журнала "Системный администратор".

Чтобы сделать свой вклад в защиту всемирного киберпространства от DDoS, совсем не обязательно покупать дорогостоящее оборудование или сервис. Любой администратор сервера, доступного из Интернет, может поучаствовать в столь благородном деле без дополнительных материальных вложений, используя только знания и немного времени.

Рассмотрим DDoS-атаки типа "усиление"(amplification) с использованием сервиса SNMP.

EXTRABACON SNMP-exploit for Cisco firewalls - diagnostics, workaround and fix

There are lot of discussions about Shadow Brokers' published exploits NSA for a last time. But the situation became interesting when Cisco alerted to the information posted with exploits confirmation.

Cisco blog contains article about Shadow Brokers' exploits. It provides some clarity in the context of danger: to fear ot not to fear, who must be afraid of this, what is the topic of the fair and how to fear.
Additional thank to Maxim Zimovets (Cisco lvl80 engineer) for emergency analysis and vendor-side conclusion.

SNMP-эксплоит EXTRABACON для Cisco - диагностика, заплатки и лечение

Наверное, в последнее время о продаваемых эксплоитах им. АНБ не говорил только ленивый. Но когда циска подтвердила, что таки да, 2 из них реально рабочие - стало совсем интересно. Конечно, об этом было и в новостях сесуритулаба, и на других ресурсах.

В цискином блоге есть статья о Shadow Broker'ских эксплоитах, вносящая ясность о том, стоит ли бояться, кому стоит бояться, чего бояться и как бояться. Похоже, моя заметка будет наполовину содрана с нее, но да простят меня мои читатели (все 5 или аж 6) за отсутствие количества авторских изюминок до стадии кекса. 

Ну и, конечно, отдельное спасибо инженеру Максиму Зимовцу из Cisco за оперативный анализ, в каких случаях и кому надо бояться.

SNMP в мире ШПД как источник DDoS: найти и обезвредить

Ради интереса решил посмотреть, что расскажет шодан об устройствах мира, на которых стоят значения SNMP community по умолчанию (public, private etc).

Построил отчет, благо несложно и бесплатно.

Что радует - России в Top 10 нет. В ней на момент формирования отчета шодан насчитал 55 тысяч SNMP по умолчанию, что на 14.5 тысяч меньше, чем у Ирана, который на 10 месте.

Из 3.75 млн дырявых устройств 1.43 млн держит Бразилия - больше, чем остальной Top 10 вместе взятый.