Анализ сетевых атак

ОГЛАВЛЕНИЕ

ВВЕДЕНИЕ……………………………………………………………………………..4

1 Информационная безопасность и основные виды угроз...………………...………5

2              Методы и средства защиты от сетевых атак…………………………..……….....11

Вывод…………………………………………………………………………………..16

Библиографический список…………………………………………………………..17

ВВЕДЕНИЕ

Сетевые атаки столь же разнообразны, как и системы, против которых они направлены. Некоторые атаки отличаются большой сложностью. Другие может осуществить обычный пользователь, даже не предполагающий, какие последствия может иметь его деятельность. Сеть Интернет создавалась для связи между государственными учреждениями и университетами в помощь учебному процессу и научным исследованиям. Создатели этой сети не подозревали, насколько широко она распространится, в результате в спецификациях ранних версий Интернет-протокола (IP) отсутствовали требования безопасности. Изначально средства защиты для протокола IP не разрабатывались - все его реализации стали дополняться разнообразными сетевыми процедурами, услугами и продуктами, снижающими риски, присущие этому протоколу.

1.      Анализ компьютерных атак

Атакующим информационным оружием сегодня можно назвать:

1.                  компьютерные вирусы, способные размножаться, внедряться в программы, передаваться по линиям связи, сетям передачи данных, выводить из строя системы управления и т. п.;

2.                  логические бомбы — запрограммированные устройства, которые внедряют в информационно-управляющие центры военной или гражданской инфраструктуры, чтобы по сигналу или в установленное время привести их в действие;

3.                  средства подавления информационного обмена в телекоммуникационных сетях, фальсификация информации в каналах государственного и военного управления;

4.                  средства нейтрализации тестовых программ;

5.                  ошибки различного рода, сознательно вводимые лазутчиками в программное обеспечение объекта.

Наряду с распространением вирусов, всеми специалистами отмечается резкий рост числа внешних атак. Сумма ущерба от компьютерных преступлений неумолимо повышается и было бы не совсем корректно говорить о том, что чаще компьютерные преступления совершаются «виртуальными» мошенниками. Сегодня угроза взлома компьютерных сетей исходит от трех категории лиц (хакеров, кракеров и компьютерных пиратов), каждой из которых присущи свои методы.

Хакеры, в отличие от других компьютерных пиратов, иногда заранее, как бы бравируя, оповещают владельцев компьютеров о намерениях проникнуть в их системы. О своих успехах они сообщают на сайтах Internet. При этом хакеры, руководствующиеся соревновательными побуждениями, как правило, не наносят ущерба компьютерам, в которые им удалось проникнуть.

Кракеры (cracker) — электронные «взломщики», которые специализируются на взломе программ в корыстных личных целях. Для этого они применяют готовые программы взлома, распространяемые по сети Internet.

Наиболее серьезную угрозу информационной безопасности представляет третий тип: пираты. Компьютерные пираты — это высококлассные специалисты фирм и компаний, занимающиеся хищением информации по заказам конкурирующих фирм и даже иностранных спецслужб. Кроме того, ими практикуется изъятие денежных средств с чужих банковских счетов.

Некоторые «специалисты» организуют преступные группы, поскольку рентабельность такого криминального бизнеса очень велика. А это приводит к тому, что ущерб от «виртуальной» преступности в скором времени повысится на порядок (если не больше), чем ущерб от традиционных видов преступного бизнеса. И пока нет эффективных способов нейтрализации этой угрозы.

По выводам представителей компании Symantec, занимающейся вопросами компьютерной безопасности, пользователи, проводящие в Internet пару часов в день, имеют все шансы подвергнуться атаке хакеров. В течение месяца компания проводила исследования, в которых приняло участие 167 человек, на компьютерах которых были установлены защитные экраны firewall, а специальная программа отслеживала все попытки проникновения в компьютер. Уже при установке firewall выяснилось, что часть компьютеров заражена «троянцами», которых можно использовать для удаленной сетевой атаки или получения конфиденциальной информации с компьютера пользователя. Все участники исследования являлись либо домашними пользователями, либо маленькими компаниями, использующими как dial-up, так и высокоскоростные соединения. На эти компьютеры только за один месяц было совершено 1703 попытки хакерских атак, а внимание хакеров привлекли 159 из 167 участников (95%). В среднем, хакеры предпринимали 56 попыток атак в день, а наиболее излюбленным методом проникновения в чужие компьютеры оказался «троянец» Backdoor.SubSeven. В 68% случаях хакеры пытались установить на чужие компьютеры именно эту программу.

Компьютерные вирусы теперь способны делать то же, что и настоящие вирусы: переходить с одного объекта на другой, изменять способы атаки и мутировать, чтобы проскользнуть мимо выставленных против них защитных кордонов.

Поэтому необходимо знать, что случится, если новый не идентифицированный вирус попадает в вашу сеть, насколько быстро поможет антивирусное решение, скоро ли эта помощь достигнет всех клиентских настольных систем и как не допустить распространения такой заразы.

До широкого распространения Internet-вирусов было относительно немного, и они передавались преимущественно на дискетах. Вирусы достаточно просто было выявить и составить их список после того, как они проявили себя и нанесли вред. Если такой список содержал распознаваемые строки байт (сигнатуры) из программного кода, составляющего вирус, то любой файл (или загрузочный сектор) можно было достаточно быстро просмотреть на предмет наличия такой строки. В случае ее обнаружения файл с большой степенью вероятности содержал вирус.

Взлом парольной защиты операционных систем.

Проблему безопасности компьютерных сетей не назовешь надуманной. Практика показывает: чем масштабнее сеть и чем ценнее информация, доверяемая подключенным к ней компьютерам, тем больше находится желающих нарушить их нормальное функционирование ради материальной выгоды или просто из праздного любопытства.

В самой крупной компьютерной сети в мире (Internet) атаки на компьютерные системы возникают подобно волнам цунами, сметая все защитные барьеры и оставляя после себя парализованные компьютеры и опустошенные винчестеры. Эти атаки не знают государственных границ. Идет постоянная виртуальная война, в ходе которой организованности системных администраторов противостоит изобретательность компьютерных взломщиков. Наиболее опасным при этом является взлом парольной защиты операционных систем, которые содержат системный файл с паролями пользователей сети.

Иногда злоумышленнику удается путем различных ухищрений получить в свое распоряжение файл с именами пользователей и их зашифрованными паролями. И тогда ему на помощь приходят специализированные программы, так называемые парольные взломщики.

Типовые способы удаленных атак на информацию в сети

Злоумышленники могут предпринимать удаленные атаки на компьютерные сети. Строятся такие атаки на основе знаний о протоколах, используемых в сети Internet. В результате успех атаки не зависит от того, какую именно программно-аппаратную платформу использует пользователь. Хотя, с другой стороны, это внушает и известный оптимизм. Кроме того, существуют еще и внутренние атаки на информацию в компьютерных сетях.

За счет того, что все атаки построены на основе некоторого конечного числа базовых принципов работы сети Internet, становится возможным выделить типовые удаленные атаки и предложить некоторые типовые комплексы мер противодействия им.

Наиболее типовыми удаленными атаками на информацию в сети из-за несовершенства Internet-протоколов являются:

1.                  анализ сетевого трафика сети;

2.                  внедрение ложного объекта сети;

3.                  внедрение ложного маршрута.

Распределенные атаки на отказ от обслуживания

Атаки на отказ от обслуживания, нацеленные на конкретные Web-узлы, вызывают переполнение последних за счет преднамеренного направления на них Internet-трафика большого объема. Такие атаки, предусматривающие запуск программ, иногда называемых зомби, ранее были скрыты на сотнях подключенных к Internet компьютерах, которые принадлежали обычно ничего не подозревающим организациям.

Распределенные атаки на отказ от обслуживания — DDoS (Distributed Denial of Service) — сравнительно новая разновидность компьютерных преступлений. Но распространяется она с пугающей скоростью.

Угроза отказа в обслуживании возникает всякий раз, когда в результате некоторых действий блокируется доступ к некоторому ресурсу вычислительной системы

DoS-атака (от англ. Denial of Service, отказ в обслуживании) — атака на компьютерную систему с целью довести её до отказа, то есть, до такого состояния, что легитимные (правомерные) пользователи системы не могут получить доступ к предоставляемым системой ресурсам (серверам, сервисам), либо этот доступ затруднён. Отказ «вражеской» системы может быть как самоцелью (например, сделать недоступным популярный сайт), так и одним из шагов к захвату контроля над системой (если во внештатной ситуации ПО выдаёт какую-либо критическую информацию — например, версию, часть программного кода и т. д.).

Если атака выполняется одновременно с большого числа компьютеров, говорят о DDoS-атаке (от англ. Distributed Denial of Service, распределённая атака типа «отказ в обслуживании»). В некоторых случаях к фактической DDoS-атаке приводит легитимное действие, например, размещение на популярном интернет-ресурсе ссылки на сайт, размещённый на не очень производительном сервере (слэшдот-эффект). Большой наплыв пользователей приводит к превышению допустимой нагрузки на сервер и, следовательно, отказу в обслуживании части из них.

Существуют различные причины, по которым может возникнуть DoS-условие:

        Ошибка в программном коде, приводящая к обращению к неиспользуемому фрагменту адресного пространства, выполнению недопустимой инструкции или другой необрабатываемой исключительной ситуации, когда происходит аварийное завершение программы-сервера — серверной программы. Классическим примером является обращение по нулевому (англ. null) адресу.

        Недостаточная проверка данных пользователя, приводящая к бесконечному либо длительному циклу или повышенному длительному потреблению процессорных ресурсов (вплоть до исчерпания процессорных ресурсов) либо выделению большого объёма оперативной памяти (вплоть до исчерпания доступной памяти).

        Флуд (англ. flood — «наводнение», «переполнение») — атака, связанная с большим количеством обычно бессмысленных или сформированных в неправильном формате запросов к компьютерной системе или сетевому оборудованию, имеющая своей целью или приведшая к отказу в работе системы из-за исчерпания системных ресурсов — процессора, памяти или каналов связи.

        Атака второго рода — атака, которая стремится вызвать ложное срабатывание системы защиты и таким образом привести к недоступности ресурса.

Если атака (обычно флуд) производится одновременно с большого количества IP-адресов — с нескольких рассредоточенных в сети компьютеров — то в этом случае она называется распределённой атакой на отказ в обслуживании (DDoS).

2.        Средства защиты от сетевых атак

К программно-аппаратным средствам обеспечения информационной безопасности средств связи в вычислительных сетях относятся:

      программно-аппаратные шифраторы сетевого трафика;

      методика Firewall, реализуемая на базе программно-аппаратных средств;

      защищенные сетевые криптопротоколы;

      программные средства обнаружения атак (IDS - Intrusion Detection Systems)

      программные средства анализа защищенности;

      защищенные сетевые ОС.

      многоуровневая фильтрация сетевого трафика

Фильтрация обычно происходит на четырех уровнях OSI:

      Канальном (Ethernet).

      Сетевом (IP).

      Транспортном (TCP, UDP).

      Прикладном (FTP, TELNET, HTTP, SMTP и т. д.).

Фильтрация сетевого трафика является основной функцией систем Firewall и позволяет администратору безопасности сети централизованно осуществлять необходимую сетевую политику в выделенном сегменте IP-сети, то есть, настроив соответствующим образом Firewall, можно разрешить или запретить пользователям как доступ из внешней сети к соответствующим службам хостов или к хостам, находящимся в защищаемом сегменте, так и доступ пользователей из внутренней сети к соответствующим ресурсам внешней сети. Можно провести аналогию с администратором локальной ОС, который для осуществления политики безопасности в системе назначает необходимым образом соответствующие отношения между субъектами (пользователями) и объектами системы (файлами, например), что позволяет разграничить доступ субъектов системы к ее объектам в соответствии с заданными администратором правами доступа. Те же рассуждения применимы к Firewall-фильтрации: в качестве субъектов взаимодействия будут выступать IP-адреса хостов пользователей, а в качестве объектов, доступ к которым необходимо разграничить, - IP-адреса хостов, используемые транспортные протоколы и службы предоставления удаленного доступа.

Proxy-схема с дополнительной идентификацией и аутентификацией пользователей на Firewall-хосте

Proxy-схема позволяет, во-первых, при доступе к защищенному Firewall сегменту сети осуществить на нем дополнительную идентификацию и аутентификацию удаленного пользователя и, во-вторых, является основой для создания приватных сетей с виртуальными IP-адресами. Смысл proxy-схемы заключается в создании соединения с конечным адресатом через промежуточный proxy-сервер (в переводе с англ. "proxy" - полномочный) на хосте Firewall.

Создание приватных сетей с "виртуальными" IP-адресами

Если администратор безопасности сети считает целесообразным скрыть истинную топологию своей внутренней IP-сети, то ему можно порекомендовать использовать системы Firewall для создания виртуальных сетей с применением технологии NAT (Network Address Translation). Для адресации во внешнюю сеть через Firewall необходимо либо использовать на хосте Firewall описанные выше proxy-серверы, либо применять только специальные системы маршрутизации (через которые и возможна внешняя адресация). Это происходит из-за того, что используемый во внутренней приватной сети "виртуальный" IP-адрес, очевидно, непригоден для внешней адресации, то есть адресации к абонентам, находящимся за ее пределами. Поэтому proxy-сервер должен осуществлять связь с абонентами из внешней сети со своего настоящего IP-адреса. Кстати, эта схема удобна в том случае, если вам для создания IP-сети выделили недостаточное количество IP-адресов: в стандарте IPv4 это случается сплошь и рядом, поэтому для полноценной IP-сети с использованием proxy-схемы достаточно одного выделенного IP-адреса для proxy-сервера.

Итак, любое устройство, реализующее хотя бы одну из этих функций Firewall-методики, и является Firewall-устройством. Например, ничто не мешает вам использовать в качестве Firewall-хоста компьютер с обычной ОС FreeBSD или Linux, у которой соответствующим образом нужно скомпилировать ядро ОС. Firewall такого типа будет обеспечивать только многоуровневую фильтрацию IP-трафика. Другое дело - предлагаемые на рынке мощные Firewall-комплексы, созданные на базе ЭВМ или мини-ЭВМ, обычно реализуют все функции Firewall-методики и являются полнофункциональными системами Firewall. Но Firewall не является гарантией абсолютной защиты от удаленных атак в Internet. Эта система - не столько средство обеспечения безопасности, сколько возможность централизованно осуществлять сетевую политику разграничения удаленного доступа к ресурсам вашей сети. Да, в том случае, если, например, к данному хосту запрещен удаленный TELNET-доступ, Firewall однозначно предотвратит возможность такого доступа. Однако большинство удаленных атак имеют совершенно другие цели (бессмысленно пытаться получить определенный вид доступа, если он запрещен системой Firewall). Действительно, зададим себе вопрос, а какие из рассмотренных удаленные атак может предотвратить Firewall? Анализ сетевого трафика? Очевидно, нет! Ложный ARP-сервер? И да, и нет (для защиты вовсе не обязательно использовать Firewall). Ложный DNS-сервер? Нет, к сожалению, Firewall вам тут не помощник. Навязывание ложного маршрута при помощи протокола IСМР? Да, эту атаку путем фильтрации ICMP-сообщений Firewall легко отразит (хотя достаточно будет фильтрующего маршрутизатора, например Cisco). Подмена одного из субъектов TCP-соединения? Ответ отрицательный - Firewall тут абсолютно ни при чем. Нарушение работоспособности хоста путем создания направленного шторма ложных запросов или переполнения очереди запросов? В этом случае применение Firewall только ухудшит дело. Взломщику достаточно атаковать только один Firewall, а не несколько хостов (это легко объясняется тем, что связь внутренних хостов с внешним миром возможна лишь через Firewall), чтобы вывести из строя (отрезать от внешнего мира) все хосты внутри защищенного Firewall-системой сегмента.

Меры противодействия DoS-атакам можно разделить на пассивные и активные, а также на превентивные и реакционные.

Ниже приведён краткий перечень основных методов.

        Предотвращение. Профилактика причин, побуждающих тех или иных лиц организовывать и предпринять DoS-атаки. (Очень часто кибератаки вообще являются следствиями личных обид, политических, религиозных и иных разногласий, провоцирующего поведения жертвы и т. п.)

        Фильтрация и блэкхолинг. Блокирование трафика, исходящего от атакующих машин. Эффективность этих методов снижается по мере приближения к объекту атаки и повышается по мере приближения к атакующей машине.

        Устранение уязвимостей. Не работает против флуд-атак, для которых «уязвимостью» является конечность тех или иных системных ресурсов.

        Наращивание ресурсов. Абсолютной защиты естественно не дает, но является хорошим фоном для применения других видов защиты от DoS-атак.

        Рассредоточение. Построение распределённых и дублирование систем, которые не прекратят обслуживать пользователей, даже если некоторые их элементы станут недоступны из-за DoS-атаки.

        Уклонение. Увод непосредственной цели атаки (доменного имени или IP-адреса) подальше от других ресурсов, которые часто также подвергаются воздействию вместе с непосредственной целью атаки.

        Активные ответные меры. Воздействие на источники, организатора или центр управления атакой, как техногенными, так и организационно-правовыми средствами.

        Использование оборудования для отражения DoS-атак. Например DefensePro® (Radware), Периметр (МФИ Софт), Arbor Peakflow® и от других производителей.

        Приобретение сервиса по защите от DoS-атак. Актуально в случае превышения флудом пропускной способности сетевого канала.

К конкретным программам защиты от сетевых атак относятся:

AtGuard 3.22 Rus

Этот профессиональный и мощный фаервол способен остановить практически любую атаку как из локальной сети, так и из интернет. Программа ведёт эффективный контроль над любыми соединениями (в т.ч. и может блокировать прогрузку рекламы), ведёт контроль над работой портов и обращениями внешних IP. Программа способна блокировать отправку таких данных, как тип пользовательского агента, может он и подменять их. Есть возможность блокировать ActiveX компоненты загружаемых страниц, а также жаву скрипт или только блокировать "всплывающие" окна (полезно па порно-ресурсах). Может легко остановить пытающегося связаться со своим хозяином троянского коня. Имеет широчайшие возможности блокировки попытки "нюукнуть" Вас. Поскольку в ней есть возможность блокировать ВСЕ входящие и исходящие не разрешенные обращения к портам, а так же обращений запрещенных IP к Вам, программа способна останавливать практически все, из известных автору, типов высокотехнологичных атак.

Kaspersky DDoS Prevention

    Система KDP является программно-аппаратным комплексом, состоящим из нескольких компонентов: сенсоров, коллекторов и центров очистки трафика, которые могут быть установлены в любом месте Сети. Сенсор предназначен для сбора информации о запросах, адресуемых защищаемому ресурсу и последующей передачи ее коллектору. Коллектор является самым многофункциональным элементом KDP, который отвечает за анализ получаемой с сенсоров статистики и построении профиля легального пользовательского трафика. Благодаря применению уникальных технологий «Лаборатории Касперского», коллектор умеет выявлять аномалии, выходящие за рамки пользовательского профиля, и принимать решения о фильтрации опасного трафика путем перенаправления всех запросов, адресованных защищаемому ресурсу, на центр очистки, который фильтрует опасный трафик DDoS-атаки, оставляя только легальные обращения.

Вывод

Современные методы защиты от всех сетевых атак, не могут предоставить абсолютную защиту, но могут максимально минимизировать риск удачи мошенником или вредоносных программ.

Библиографический список

1.        Атака на Интернет. И.Д. Медведковский, П.В. Семьянов, Д.Г. Леонов. – 3-е изд., стер. – М.: ДМК, 2000

2.        Microsoft Windows 2000. Справочник администратора. Серия «IT Professional» (пер. с англ.). У.Р. Станек. – М.: Издательско-торговый дом «Русская Редакция», 2002.

3.        Networking Essentials. Э. Титтел, К. Хадсон, Дж.М. Стюарт. Пер. с англ. – СПб.: Издательство «Питер», 1999

4.        Информация о брешах в программных продуктах взята из базы данных сервера SecurityLab (www.securitylab.ru)

5.        Вычислительные сети. Теория и практика. http://network-journal.mpei.ac.ru/cgi-bin/main.pl?l=ru&n=3&pa=9&ar=1

18