Книга: Безопасность информационных систем. Учебное пособие

4.4. Анализ способов нарушений информационной безопасности удаленная атака

4.4. Анализ способов нарушений информационной безопасности удаленная атака

Основой любого анализа безопасности компьютерных систем является знание присущих им основных угроз.

Атаки, направленные на компьютерные сети, называются удаленными атаками.

Основной особенностью любой сетевой операционной системы является то, что ее компоненты распределены в пространстве, и связь между ними физически осуществляется при помощи сетевых соединений (коаксиальный кабель, витая пара, оптоволокно и т. д.) и программно при помощи механизма сообщений. При этом все управляющие сообщения и данные, пересылаемые одной компонентой сетевой операционной системы другой компоненте, передаются по сетевым соединениям в виде пакетов обмена. Эта особенность является основной причиной появления нового класса угроз – класса удаленных атак. Основная причина нарушения безопасности сетевой операционной системы – недостаточная идентификация и аутентификация ее удаленных компонент.

Удаленные атаки классифицируются по следующим признакам: 1. По характеру воздействия: активное, пассивное. Под активным воздействием на сетевую систему понимается воздействие, оказывающее непосредственное влияние на работу сети (изменение конфигурации сети, нарушение работы сети и т. д.) и нарушающее политику безопасности, принятую в системе. Практически все типы удаленных атак являются активными воздействиями. Основная особенность удаленного активного воздействия заключается в принципиальной возможности его обнаружения.

Пассивным воздействием на сетевую систему называется воздействие, которое не оказывает непосредственного влияния на работу сети, но может нарушать ее политику безопасности. Отсутствие непосредственного влияния на работу сети приводит к тому, что пассивное удаленное воздействие практически невозможно обнаружить. Единственным примером пассивного типового удаленного воздействия служит прослушивание канала в сети.

2. По цели воздействия: перехват информации, искажение информации.

Основная цель практически любой атаки – получить несанкционированный доступ к информации. Существуют две возможности доступа к информации – перехват и искажение. Возможность перехвата информации означает получение к ней доступа, но невозможность ее модификации. Примером перехвата информации это прослушивание канала в сети. В этом случае имеется несанкционированный доступ к информации без возможности ее искажения.

Возможность к искажению информации означает полный контроль над информационным потоком. Информацию можно не только прочитать, как в случае перехвата, но и иметь возможность ее модификации. Примером удаленной атаки, позволяющей модифицировать информацию, может служить ложный сервер.

3. По условию начала осуществления воздействия:

• атака по запросу от атакуемого объекта. Атакующая программа, запущенная на сетевом компьютере, ждет посылки от потенциальной цели атаки определенного типа запроса, который и будет условием начала осуществления атаки;

• атака по наступлению определенного события на атакуемом объекте. Атакующая программа ведет наблюдение за состоянием операционной системы удаленного компьютера и при возникновении определенного события в системе начинает осуществление воздействия. Инициатором осуществления начала атаки выступает сам атакуемый объект.

• безусловная атака. Начало осуществления атаки безусловно по отношению к цели атаки. Атака осуществляется немедленно после запуска атакующей программы. Она является инициатором начала осуществления атаки.

4. По расположению субъекта атаки относительно атакуемого объекта: внутрисегментное, межсегментное.

Рассмотрим ряд определений: Субъект атаки (или источник атаки) – это атакующая программа, осуществляющая воздействие.

Хост (host) – сетевой компьютер. Маршрутизатор (router) – устройство, обеспечивающее маршрутизацию пакетов обмена в глобальной сети.

Подсеть (subnetwork) (в терминологии Internet) – совокупность хостов, являющихся частью глобальной сети, для которых маршрутизатором выделен одинаковый номер подсети. Подсеть – логическое объединение хостов маршрутизатором. Хосты внутри одной подсети могут взаимодействовать между собой непосредственно, минуя маршрутизатор.

Сегмент сети – физическое объединение хостов. Например, сегмент сети образуют совокупность хостов, подключенных к серверу по схеме общая шина. При такой схеме подключения каждый хост имеет возможность подвергать анализу любой пакет в своем сегменте.

Важно как по отношению друг к другу располагаются субъект и объект атаки, т. е. в одном или в разных сегментах они находятся. В случае внутрисегментной атаки субъект и объект атаки находятся в одном сегменте. На практике межсегментную атаку осуществить труднее, чем внутрисегментную.

5. По уровню эталонной модели ISO OSI, на котором осуществляется воздействие: физический, канальный, сетевой, транспортный, сеансовый, представительный, прикладной.

Международная Организация по Стандартизации (ISO) приняла стандарт ISO 7498, описывающий взаимодействие открытых систем (OSI). Сетевые операционные системы являются открытыми системами. Любой сетевой протокол обмена, также как и любую сетевую программу можно спроецировать на эталонную семиуровневую модель OSI. Такая многоуровневая проекция позволит описать в терминах модели OSI функции, заложенные в сетевой протокол или сетевую программу. Удаленная атака также является сетевой программой.

Анализ сетевого трафика

Особенностью сетевой операционной системы является то, что ее компоненты распределены в пространстве, и связь между ними физически осуществляется при помощи сетевых соединений и программно – при помощи механизма сообщений. Все управляющие сообщения и данные, пересылаемые одной компонентой сетевой операционной системы другой компоненте, передаются по сетевым соединениям в виде пакетов обмена. Эта особенность привела к появлению специфичного только для сетей ЭВМ типового удаленного воздействия, заключающегося в прослушивание канала в сети или сетевой анализ. Анализ сетевого трафика позволяет:

1. Изучить логику работы сетевой операционной системы. Это достигается путем перехвата и анализа пакетов обмена на канальном уровне. Знание логики работы сетевой операционной системы позволяет на практике моделировать и осуществлять удаленные атаки.

2. Перехватить поток данных, которыми обмениваются компоненты сетевой операционной системы. Удаленная атака данного типа заключается в получение на удаленном компьютере несанкционированного доступа к информации, которой обмениваются две сетевые ЭВМ. При анализе сетевого трафика отсутствует возможность его модификации. Анализ возможен только внутри одного сегмента сети. Примером перехваченной при помощи данной типовой атаки информации могут служить имя и пароль пользователя, пересылаемые в незашифрованном открытом виде по сети.

По характеру воздействия анализ сетевого трафика является пассивным воздействием. Осуществление данной атаки ведет к перехвату информации внутри одного сегмента сети на канальном уровне OSI. При этом начало осуществления атаки безусловно по отношению к цели атаки.

Навязывание хосту ложного маршрута

Современные глобальные сети представляют собой совокупность сегментов сети, связанных между собой через сетевые узлы. При этом маршрутом называется последовательность узлов сети, по которой данные пересылаются от источника к приемнику, а маршрутизацией называется выбор маршрута. Узел, обеспечивающий маршрутизацию, называется маршрутизатором. Каждый маршрутизатор имеет специальную таблицу, называемую таблицей маршрутизации, в которой для каждого адресата указывается оптимальный маршрут. Таблицы маршрутизации существуют не только у маршрутизаторов, но и у любых хостов в глобальной сети. Для обеспечения эффективной и оптимальной маршрутизации в сетях ЭВМ существуют специальные управляющие протоколы, позволяющие маршрутизаторам обмениваться информацией друг с другом (RIP (Routing Internet Protocol), OSPF (Open Shortest Path First)), уведомлять хосты о новом маршруте (ICMP (Internet Control Message Protocol)), удаленно управлять маршрутизаторами (SNMP (Simple Network Management Protocol)). Все названные протоколы позволяют изменять маршрутизацию в сети, т. е. являются протоколами управления сетью.

Основная цель атаки, связанной с навязыванием хосту ложного маршрута, – изменить исходную доверенную маршрутизацию хоста, так, чтобы новый маршрут проходил через хост или сеть злоумышленника.

Реализация данной типовой атаки состоит в несанкционированном использовании протоколов управления сетью для изменения исходной маршрутизации. Для изменения маршрутизации атакующему требуется послать по сети определенные указанными протоколами управления сетью специальные служебные сообщения от имени сетевых управляющих устройств (например, маршрутизаторов).

В результате успешного изменения маршрута атакующий хост получит полный контроль над потоком информации, которой обмениваются два доверенных хоста и атака перейдет во вторую стадию, связанную с приемом, анализом и передачей пакетов, получаемых от обманутых хостов. Данная стадия атаки полностью совпадает со второй стадией типовой атаки ложный сервер.

Навязывание хосту ложного маршрута – активное воздействие, совершаемое с целью перехвата и искажения информации безусловно, по отношению к цели атаки. Данная удаленная атака осуществляется внутри одного сегмента и на сетевом уровне модели OSI.

Подмена доверенного хоста

Проблема заключается в однозначной идентификации получаемых станцией пакетов обмена. В сетевых операционных системах эта проблема решается следующим образом: в процессе создания виртуального канала хосты обмениваются определенной информацией, уникально идентифицирующей данный канал. Такой обмен обычно называется «рукопожатием» (handshake). Однако не всегда для связи двух удаленных компонент в сети создается виртуальный канал. Часто, например, от маршрутизаторов используется посылка одиночных пакетов, не требующих подтверждения.

Для адресации пакетов в компьютерных сетях используется сетевой адрес, который уникален для каждой станции (на канальном уровне модели OSI – это аппаратный адрес сетевого адаптера, на сетевом уровне – адрес определяется в зависимости от используемого протокола сетевого уровня (например, IP-адрес)). Сетевой адрес может использоваться для идентификации пакетов обмена. Сетевой адрес подделывается, и поэтому использовать его в качестве единственного средства идентификации является неправильным.

Если в сетевой операционной системе используются слабые средства идентификации ее удаленных компонент, тогда возможна типовая удаленная атака, которая заключается в передачи по сети сообщений от имени любого хоста. Существуют две разновидности данной типовой удаленной атаки:

• атака при установленном виртуальном канале;

• атака без установленного виртуального канала.

В случае установленного виртуального соединения атака будет заключаться в присвоении прав доверенного хоста, легально подключившегося к серверу, что позволит злоумышленнику вести сеанс работы с сервером от имени доверенного хоста. Реализация данного типа атак состоит в посылке пакетов обмена с атакующей станции на сервер от имени доверенной станции и при этом посланные пакеты будут восприняты сервером как корректные. Для осуществления атаки данного типа необходимо преодолеть систему идентификации пакетов, которая может использовать контрольную сумму, вычисляемую с помощью открытого ключа, динамически выработанного при установлении канала, случайные многобитные счетчики пакетов и сетевые адреса станций. Однако в операционной системе Novell NetWare 3.12 для идентификации пакетов обмена используются два 8-битных счетчика – номер канала и номер пакета; в протоколе TCP для идентификации используются два 32-битных счетчика. Для служебных сообщений используется посылка одиночных пакетов, не требующих подтверждения, т. е. не требуется обязательного создания виртуального соединения.

Атака без установленного виртуального соединения заключается в посылке служебных сообщений от имени сетевых управляющих устройств, например, от имени маршрутизаторов. Для идентификации пакетов возможно использование статических ключей, определенных заранее, что неудобно и требует сложной системы управления ключами. Однако в противном случае идентификация таких пакетов без установленного виртуального канала будет возможна по сетевому адресу отправителя, который легко подделать. Посылка ложных управляющих сообщений может привести к серьезным нарушениям работы сети, например, к изменению ее конфигурации.

Подмена доверенного хоста является активным воздействием, совершаемым с целью перехвата и искажения информации при наступлении на атакуемом объекте определенного события. Такая удаленная атака является внутрисегментной и межсегментной и осуществляется на сетевом, транспортном и сеансовом уровнях модели OSI.

Ложный сервер или использование недостатков алгоритма удаленного поиска

В компьютерной сети часто оказывается, что удаленные компоненты сетевой операционной системы изначально не имеют достаточно информации, необходимой для адресации пакетов обмена. Обычно такой информацией являются аппаратные (адрес сетевого адаптера) и логические адреса (IP-адрес) сетевых компьютеров. Для получения подобной информации в сетевых операционных системах используются различные алгоритмы удаленного поиска, заключа ющиеся в передаче по сети специального вида запросов, и в ожидании ответов на полученный запрос с искомой информацией. Руководствуясь полученными из ответа сведениями об искомом хосте, запросивший хост начинает адресацию к нему, т. е., после получения ответа на запрос он обладает всеми необходимыми данными для адресации. Примером подобных запросов, на которых базируются алгоритмы удаленного поиска, является SAP – запрос в операционной системе Novell NetWare, ARP и DNS – запрос в сети Internet.

При использовании сетевой операционной системы механизмов удаленного поиска существует возможность на атакующей станции перехватить посланный хостом запрос и послать на него ложный ответ. В ответе указывают данные, использование которых приведет к адресации на атакующий хост – ложный сервер. Весь поток обмена информацией между хостом и настоящим сервером будет проходить через ложный сервер.

Ложный сервер – активное воздействие, совершаемое с целью перехвата и искажения информации, являющееся атакой по запросу от атакуемого объекта. Такая удаленная атака является внутрисегментной и межсегментной и осуществляется на канальном, сетевом, транспортном, сеансовом и представительном уровнях модели OSI.

Одной из атак, которую может осуществлять ложный сервер, является перехват передаваемой между сервером и хостом информации. Факт перехвата информации возможен из-за того что при выполнении некоторых операций над файлами (чтение, копирование и т. д.) содержимое этих файлов передается по сети, а значит, поступает на ложный сервер. Простейший способ реализации перехвата – это сохранение в файле всех получаемых ложным сервером пакетов обмена. Данный способ перехвата информации оказывается недостаточно информативным. Это происходит вследствие того, что в пакетах обмена кроме полей данных существуют служебные поля, не представляющие интереса. Следовательно, для того, чтобы получить непосредственно передаваемый файл, необходимо проводить на ложном сервере динамический семантический анализ потока информации для его селекции.

Модификация информации

Одной из особенностей любой системы воздействия, построенной по принципу ложного сервера, является то, что она способна модифицировать перехваченную информацию.

Рассмотрим два вида модификации информации:

1) модификация передаваемых данных;

2) модификация передаваемого кода.

Модификация передаваемых данных. В результате селекции потока перехваченной информации и его анализа система может распознавать тип передаваемых файлов (исполняемый или текстовый). При обнаружении текстового файла или файла данных появляется возможность модифицировать данные, проходящие через ложный сервер. Особую угрозу эта функция представляет для сетей обработки конфиденциальной информации.

Модификация передаваемого кода. Ложный сервер, проводя семантический анализ проходящей через него информации, может выделять из потока данных исполняемый код. Чтобы определить, что передается код или данные по сети необходимо использовать определенные особенности, свойственные реализации сетевого обмена в конкретной сетевой операционной системе или некоторые особенности, присущие конкретным типам исполняемых файлов локальной операционной системе.

Выделяют два различных по цели вида модификации кода:

1) внедрение вредоносных программ;

2) изменение логики работы исполняемого файла. При внедрении вредоносных программ исполняемый файл модифицируется по вирусной технологии. К исполняемому файлу дописывается тело вредоносной программы и изменяется точка входа так, чтобы она указывала на внедренный код вредоносной программы. Файл поражен вирусом или вредоносной программой в момент передачи его по сети. Такое возможно лишь при использовании системы воздействия, построенной по принципу ложный сервер.

Модификация исполняемого кода с целью изменения логики его работы требует предварительного исследования работы исполняемого файла и в случае его проведения может принести негативные результаты. Например, при запуске на сервере программы идентификации пользователей распределенной базы данных ложный сервер может так модифицировать код этой программы, что появится возможность беспарольного входа с наивысшими привилегиями в базу данных.

Подмена информации

Ложный сервер позволяет не только модифицировать, но подменять перехваченную им информацию. Если модификация информации приводит к ее частичному изменению, то подмена – к ее полному изменению. При этом дезинформация в зависимости от контролируемого события может быть воспринята либо как исполняемый код, либо как данные.

Допустим, что ложный сервер контролирует событие, которое заключается в подключении пользователя к серверу. В этом случае он ожидает, например, запуска соответствующей программы входа в систему. В случае, если эта программа находится на сервере, то при ее запуске исполняемый файл передается на рабочую станцию. Вместо того чтобы выполнить данное действие, ложный сервер передает на рабочую станцию код заранее написанной специальной программы – захватчика паролей. Эта программа выполняет визуально те же действия, что и настоящая программа входа в систему, например, спрашивается имя и пароль пользователя, после чего полученные сведения посылаются на ложный сервер, а пользователю выводится сообщение о ошибке. При этом пользователь, посчитав, что он неправильно ввел пароль (пароль обычно не отображается на экране), снова запустит программу подключения к системе и со второго раза войдет в нее. Результат такой атаки – имя и пароль пользователя, сохраненные на ложном сервере.

Сетевой шпион или удаленный контроль над станцией в сети

Сетевой шпион – это программная закладка или компьютерный вирус, функционирующий в сети ЭВМ, основная цель которого получение удаленного контроля над рабочей станцией в сети. Данный вид вредоносных программ добавляет еще один тип атак на сетевые операционные системы – удаленный съем информации и получение удаленного контроля над рабочей станцией в сети.

Основные этапы работы сетевого шпиона:

1) инсталляция в памяти;

2) ожидание запроса с удаленного атакующего компьютера, на котором запущена головная сервер-программа, и обмен с ней сообщениями о готовности;

3) передача перехваченной информации на головную сервер-программу или предоставление ей контроля над зараженным компьютером.

Основные функции сетевых шпионов:

1) перехват и передача вводимой с клавиатуры формации на головную сервер-программу;

2) перехват и передача экранной информации на головную сервер-программу;

3) перехват и передача на головную сервер-программу системной информации об ЭВМ (тип операционной системы, параметры ЭВМ, загруженные программы и т. д.);

4) получение контроля сервер-программой над зараженным удаленным компьютером (удаленный запуск программ, копирование данных, удаление данных и т. д.).

Сетевой шпион – активная атака по запросу, совершаемая с целью перехвата и искажения информации. Сетевой шпион это внутрисегментная и межсегментная удаленная атака, осуществляемая на сетевом уровне модели OSI.

Сетевой червь (WORM)

В сетях ЭВМ существует вид вирусов, называемый сетевыми червями (worm), распространяющийся в ней. Основная цель и задача сетевого червя – получение управления в операционной системе удаленного компьютера.

Основные этапы работы сетевого червя: 1. Поиск в сети цели атаки – удаленных ЭВМ.

2. Передача по сети своего кода на цель атаки.

3. Получение управления в операционной системе цели атаки.

4. Переход к п. 1. Основной проблемой для сетевого червя является получение управления на удаленном компьютере. Решение этой задачи на практике чрезвычайно затруднено, так как для ее решения необходимо либо знать имя и пароль пользователя для входа в компьютер, либо обладать информацией о люках или дырах в программном обеспечении, через которое осуществляется удаленный доступ, либо использовать ошибки администрирования служб предоставления удаленного доступа. Сетевой червь – активное воздействие, совершаемое с целью перехвата и искажения информации, начало которого безусловно по отношению к цели атаки. Сетевой червь – это внутрисегментная и межсегментная удаленная атака, осуществляемая на сетевом уровне модели OSI.

Оглавление книги