Учебное пособие Ставрополь сф мггу им. М. А. Шолохова 2009
 Скачать 5.26 Mb.
|
|
ЧАСТЬ 5. ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ В ГЛОБАЛЬНЫХ СЕТЯХ 15. ТИПОВЫЕ УДАЛЕННЫЕ АТАКИ В ГЛОБАЛЬНЫХ КОМПЬЮТЕРНЫХ СЕТЯХ 15.1 Понятие типовой удаленной атаки Рассмотрим ряд определений. Распределенная вычислительная система (РВС) - совокупность структурно и пространственно распределенных информационных систем, рабочих станций и вычислительных узлов обьединенных каналами связи в единую сеть для решения информационно-вычислительных задач. Типовая удаленная атака (УА) - это удаленное информационное разрушающее воздействие, осуществляемое по каналам связи и характерное для любой распределенной вычислительной системы. Субъект атаки (или источник атаки) - это атакующая программа или оператор, непосредственно осуществляющие воздействие. Хост (host) - сетевой компьютер (рабочая станция). Маршрутизатор (router) - устройство, обеспечивающее маршрутизацию пакетов обмена в глобальной сети. Подсеть (subnetwork) - совокупность хостов, являющихся частью глобальной сети, для которых маршрутизатором выделен одинаковый номер подсети. Подсеть - логическое объединение хостов маршрутизатором. Хосты внутри одной подсети могут взаимодействовать между собой непосредственно, минуя маршрутизатор. Сегмент сети - физическое объединение хостов. Например, сегмент сети образуют совокупность хостов, подключенных к серверу по схеме «общая шина». При такой схеме подключения каждый хост имеет возможность подвергать анализу любой пакет в своем сегменте. Удаленные атаки становятся возможными благодаря уязвимостям в существующих протоколах обмена данными и системах зашиты сетей, а также в ОС и ПО хостов. Основные причины уязвимости хостов сети: 1. открытость системы, свободный доступ к информации по организации сетевого взаимодействия, протоколам и механизмам защиты; 2. наличие ошибок в программном обеспечении, операционных системах и утилитах, которые открыто публикуются в сети; 3. разнородность используемых версий программного обеспечения и операционных систем; 4. сложность организации защиты межсетевого взаимодействия; 5. ошибки конфигурирования систем и средств защиты; 6. неправильное или ошибочное администрирование систем; 194 7. несвоевременное отслеживание и выполнение рекомендаций специалистов по защите и анализу случаев вторжения для ликвидации лазеек и ошибок в программном обеспечении; 8. «экономия» на средствах и системах обеспечения безопасности или игнорирование их; 9. умолчание о случаях нарушения безопасности своего хоста или сети. Примеры уязвимостей некоторых распространенных служб Internet: - Простой протокол передачи электронной почты (Simple Mail Transfer Protocol - SMTP) позволяет осуществлять почтовую транспортную службу Internet. Одна из проблем безопасности, связанная с этим протоколом, заключается в том, что пользователь не может проверить адрес отправителя в заголовке сообщения электронной почты. В результате хакер может послать во внутреннюю сеть большое количество почтовых сообщений, что приведет к перегрузке и блокированию работы почтового сервера. Программы электронной почты использует для работы IP-адрес отправителя. Перехватывая сообщения email, хакер может употребить эту информацию для нападений, например для спуфинга (подмены адресов). - Служба сетевых имен (Domain Name System - DNS) представляет собой распределенную базу данных, которая преобразует имена пользователей и хост-компьютеров в IP-адреса, указываемые в заголовках пакетов, и наоборот. DNS также хранит информацию о структуре сети компании, например количестве компьютеров с IP- адресами в каждом домене. Одной из проблем DNS является то, что эту базу данных очень трудно «скрыть» от неавторизированных пользователей. В результате DNS часто используется хакерами как источник информации об именах доверенных хост-компьютеров. - Служба эмуляции удаленного терминала (TELNET) употребляется для подключения к удаленным системам, присоединенным к сети; применяет базовые возможности по эмуляции терминала. При использовании этого сервиса Internet пользователи должны регистрироваться на сервере TELNET, вводя свои имя и пароль. После аутентификации пользователя его рабочая станция функционирует в режиме терминала, подключенного к внешнему хост-компьютеру. Подключившись к серверу TELNET, хакер может сконфигурировать его программу таким образом, чтобы она записывала имена и пароли пользователей. - Всемирная паутина (World Wide Web - WWW) - это система, основанная на сетевых приложениях, которые позволяют пользователям просматривать содержимое различных серверов в 195 Internet или интрасетях. Полезным свойством WWW является использование гипертекстовых документов, что дает пользователям возможность легко переходить от одного узла к другому. Это же свойство является и наиболее слабым местом системы WWW, поскольку ссылки на Web-узлы, хранящиеся в гипертекстовых документах, содержат информацию о том, как осуществляется доступ к соответствующим узлам. Используя эту информацию, хакеры могут разрушить Web-узел или получить доступ к хранящейся в нем конфиденциальной информации. - К уязвимым службам и протоколам Internet относятся также протокол копирования UUCP, протокол маршрутизации RIP, графическая оконная система X Windows и др. 15.2 Классификация удаленных атак 1. По характеру воздействия: 1.1. Пассивное воздействие. Пассивным воздействие не оказывает непосредственного влияния на работу системы, но может нарушать ее политику безопасности. Именно отсутствие непосредственного влияния на работу распределенной ВС приводит к тому, что пассивное удаленное воздействие практически невозможно обнаружить. Примером пассивного типового удаленного воздействия в РВС служит прослушивание канала связи в сети. В отличие от активного, при пассивном воздействии не остается никаких следов (от того, что атакующий просмотрит чужое сообщение в системе, в тот же момент ничего не изменится). 1.2. активное воздействие. Активное воздействие, оказывает непосредственное влияние на работу системы (изменение конфигурации РВС, нарушение работоспособности и т. д.) и нарушает принятую в ней политику безопасности. Практически все типы удаленных атак являются активными воздействиями. Это связано с тем, что в самой природе разрушающего воздействия содержится активное начало. Очевидной особенностью активного воздействия по сравнению с пассивным является принципиальная возможность его обнаружения (естественно, с большей или меньшей степенью сложности), так как в результате его осуществления в системе происходят определенные изменения. 2. По цели воздействия: 2.1. нарушение конфиденциальности информации либо ресурсов системы – перехват информации. Возможность перехвата информации означает получение к ней доступа, но невозможность ее модификации. Следовательно, перехват информации ведет к нарушению ее конфиденциальности. Примером перехвата 196 информации может служить прослушивание канала в сети. В этом случае имеется несанкционированный доступ к информации без возможности ее искажения. Очевидно также, что нарушение конфиденциальности информации является пассивным воздействием. 2.2. нарушение целостности информации – искажение информации. Возможность искажения информации означает либо полный контроль над информационным потоком между объектами системы, либо возможность передачи сообщений от имени другого объекта. Таким образом, очевидно, что искажение информации ведет к нарушению ее целостности. Данное информационное разрушающее воздействие представляет собой яркий пример активного воздействия. Примером удаленной атаки, цель которой нарушение целостности информации, может служить типовая удаленная атака (УА) «Ложный объект РВС». 2.3. нарушение работоспособности (доступности) системы. В этом случае не предполагается получение атакующим несанкционированного доступа к информации. Его основная цель - добиться, чтобы операционная система на атакуемом объекте вышла из строя и для всех остальных объектов системы доступ к ресурсам атакованного объекта был бы невозможен. Примером удаленной атаки, целью которой является нарушение работоспособности системы, может служить типовая УА «Отказ в обслуживании». 3. По условию начала осуществления воздействия: 3.1. Атака по запросу от атакуемого объекта. В этом случае атакующий ожидает передачи от потенциальной цели атаки запроса определенного типа, который и будет условием начала осуществления воздействия. Примером подобных запросов в сети Internet могут служить - DNS- и ARP-запросы. Важно отметить, что данный тип удаленных атак наиболее характерен для распределенных ВС. 3.2. Атака по наступлению ожидаемого события на атакуемом объекте. В этом случае атакующий осуществляет постоянное наблюдение за состоянием операционной системы удаленной цели атаки и при возникновении определенного события в этой системе начинает воздействие. Как и в предыдущем случае, инициатором осуществления начала атаки выступает сам атакуемый объект. Примером такого события может быть прерывание сеанса работы пользователя с сервером в ОС Novell NetWare без выдачи команды LOGOUT. 3.3. Безусловная атака. В этом случае начало осуществления атаки безусловно по отношению к цели атаки, то есть атака осуществляется немедленно и безотносительно к состоянию системы и атакуемого объекта. Следовательно, в этом случае атакующий является инициатором начала осуществления атаки. 197 4. По наличию обратной связи с атакуемым объектом: 4.1. C обратной связью. Удаленная атака, осуществляемая при наличии обратной связи с атакуемым объектом, характеризуется тем, что на некоторые запросы, переданные на атакуемый объект, атакующему требуется получить ответ, а, следовательно, между атакующим и целью атаки существует обратная связь, которая позволяет атакующему адекватно реагировать на все изменения, происходящие на атакуемом объекте. Подобные удаленные атаки наиболее характерны для распределенных ВС. 4.2. Без обратной связи (однонаправленная атака). В отличие от атак с обратной связью удаленным атакам без обратной связи не требуется реагировать на какие-либо изменения, происходящие на атакуемом объекте. Атаки данного вида обычно осуществляются передачей на атакуемый объект одиночных запросов, ответы на которые атакующему не нужны. Подобную УА можно называть однонаправленной удаленной атакой. Примером однонаправленных атак является типовая УА «Отказ в обслуживании». 5. По расположению субъекта атаки относительно атакуемого объекта: 5.1. Внутрисегментное. В случае внутрисегментной атаки, как следует из названия, субъект и объект атаки находятся в одном сегменте. В дальнейшем будет показано, что на практике межсегментную атаку осуществить значительно труднее, чем внутрисегментную. Важно отметить, что межсегментная удаленная атака представляет гораздо большую опасность, чем внутрисегментная. Это связано с тем, что в случае межсегментной атаки объект её и непосредственно атакующий могут находиться на расстоянии многих тысяч километров друг от друга, что может существенно воспрепятствовать мерам по отражению атаки. 5.2. Межсегментное. При межсегментной атаке субъект и объект атаки находятся в разных сегментах. 6. По уровню эталонной модели ISO/OSI, на котором осуществляется воздействие: 6.1. физический, 6.2. канальный, 6.3. сетевой, 6.4. транспортный, 6.5. сеансовый, 6.6. представительный, 6.7. прикладной. 198 15.3 Типовые удаленные атаки и механизмы их реализации 15.3.1 Анализ сетевого трафика Как уже отмечалось, основной особенностью распределенной ВС (РВС) является то, что ее объекты распределены в пространстве и связь между ними физически осуществляется по сетевым соединениям и программно – т.е. сообщения и данные, пересылаемые между объектами РВС, передаются по сетевым соединениям в виде пакетов. Эта особенность привела к появлению специфичного для РВС типового удаленного воздействия, заключающегося в прослушивании канала связи. Назовем данное типовое удаленное воздействие анализом сетевого трафика (или, сокращенно, сетевым анализом). Анализ сетевого трафика позволяет: 1. изучить логику работы РВС, то есть получить взаимно однозначное соответствие событий, происходящих в системе, и команд, пересылаемых друг другу ее объектами, в момент появления этих событий. Это достигается путем перехвата и анализа пакетов обмена на канальном уровне. Знание логики работы РВС позволяет на практике моделировать и осуществлять типовые удаленные атаки, рассмотренные в следующих пунктах на примере конкретных РВС. 2. перехватить поток данных, которыми обмениваются объекты РВС. Таким образом, удаленная атака данного типа заключается в получении на удаленном объекте несанкционированного доступа к информации, которой обмениваются два сетевых абонента. Отметим, что при этом отсутствует возможность модификации трафика и сам анализ возможен только внутри одного сегмента сети. Примером перехваченной при помощи данной типовой удаленной атаки информации могут служить имя и пароль пользователя, пересылаемые в незашифрованном виде по сети. По характеру воздействия анализ сетевого трафика является пассивным воздействием (класс 1.1). Осуществление данной атаки без обратной связи (класс 4.2) ведет к нарушению конфиденциальности информации (класс 2.1) внутри одного сегмента сети (класс 5.1) на канальном уровне OSI (класс 6.2). При этом начало осуществления атаки безусловно по отношению к цели атаки (класс 3.3). 15.3.2 Подмена доверенного объекта или субъекта системы Одной из проблем безопасности РВС является недостаточная идентификация и аутентификация ее удаленных друг от друга объектов. Основная трудность заключается в осуществлении однозначной 199 идентификации сообщений, передаваемых между субъектами и объектами взаимодействия. Обычно в РВС эта проблема решается следующим образом: в процессе создания виртуального канала объекты РВС обмениваются определенной информацией, уникально идентифицирующей данный канал. Такой обмен обычно называется «рукопожатием» (handshake). Однако, необходимо отметить, что не всегда для связи двух удаленных объектов в РВС создается виртуальный канал. Практика показывает, что зачастую, особенно для служебных сообщений (например, от маршрутизаторов) используется передача одиночных сообщений, не требующих подтверждения. Для адресации сообщений в РВС используется сетевой адрес, который уникален для каждого объекта системы (на канальном уровне модели OSI - это аппаратный адрес сетевого адаптера, на сетевом уровне - адрес определяется в зависимости от используемого протокола сетевого уровня (например, IP-адрес). Сетевой адрес также может использоваться для идентификации объектов РВС. Однако сетевой адрес достаточно просто подделывается и поэтому использовать его в качестве единственного средства идентификации объектов недопустимо. В том случае, когда РВС использует нестойкие алгоритмы идентификации удаленных объектов, то оказывается возможной типовая удаленная атака, заключающаяся в передаче по каналам связи сообщений от имени произвольного объекта или субъекта РВС. При этом существуют две разновидности типовой удаленной атаки путем подмены доверенного объекта или субъекта РВС: - Атака при установленном виртуальном канале. В случае установленного виртуального соединения атака будет заключаться в присвоении прав доверенного субъекта взаимодействия, легально подключившегося к объекту системы, что позволит атакующему вести сеанс работы с объектом распределенной системы от имени доверенного субъекта. Реализация удаленных атак данного типа обычно состоит в передаче пакетов обмена с атакующего объекта на цель атаки от имени доверенного субъекта взаимодействия (при этом переданные сообщения будут восприняты системой как корректные). Для осуществления атаки данного типа необходимо преодолеть систему идентификации и аутентификации сообщений, которая, в принципе, может использовать контрольную сумму, вычисляемую с помощью открытого ключа, динамически выработанного при установлении канала, случайные многобитные счетчики пакетов и сетевые адреса станций. Однако на практике, например, в протоколе TCP для идентификации используются два 32-битных счетчика. - атака без установленного виртуального канала. Для служебных сообщений в РВС часто используется передача одиночных сообщений, не требующих подтверждения, то есть не требуется 200 создание виртуального соединения. Атака без установленного виртуального соединения заключается в передаче служебных сообщений от имени сетевых управляющих устройств, например, от имени маршрутизаторов. Очевидно, что в этом случае для идентификации пакетов возможно лишь использование статических ключей, определенных заранее, что довольно неудобно и требует сложной системы управления ключами. Однако, при отказе от такой системы идентификация пакетов без установленного виртуального канала будет возможна лишь по сетевому адресу отправителя, который легко подделать. Например, типовая удаленная атака, использующая навязывание ложного маршрута, путем посылки ложных управляющих сообщений основана на описанной идее. Подмена доверенного объекта РВС является активным воздействием (класс 1.2), совершаемым с целью нарушения конфиденциальности (класс 2.1) и целостности (класс 2.2) информации, по наступлению на атакуемом объекте определенного события (класс 3.2). Данная удаленная атака может являться как внутрисегментной (класс 5.1), так и межсегментной (класс 5.2), как с обратной связью (класс 4.1), так и без обратной связи (класс 4.2) с атакуемым объектом и осуществляется на сетевом (класс 6.3) и транспортном (класс 6.4) уровнях модели OSI. |