Защита от хакеров корпоративных сетей

авторов Коллектив

Выдача отчетов является одной из характеристик присутствующих на рынке сканирующих программ, которая трудно и медленно поддается стандартизации. Вне зависимости от того, использует сканер для выдачи отчетов собственные средства или он использует функциональные возможности встроенного генератора отчетов Crystal Report, но в большинстве случаев пользователь может настраивать выходной отчет.

На рисунке 17.1 показан интерфейс распространенного коммерческого сканера ISS Internet Scanner, а на рис. 17.2 показан интерфейс другого сканера – Retina by eEye. Как читатель может заметить, интерфейсы отличаются незначительно, но при этом они оба интуитивно понятны и легки в использовании. Читатель не найдет большой разницы в удобстве и простоте использования каждого из коммерческих сканеров, но как он сможет увидеть позже в этой главе, он должен быть в курсе ограничений сканеров и понимать причины их появления.

Рис. 17.1. Интерфейс ISS Internet Scanner

Рис. 17.2.

Интерфейс Retina

Ниже приводится краткая характеристика каждого коммерческого продукта. Обратившись по уже приведенным ссылкам из секции «Автоматизированные инструментальные средства: обзор программ», можно прочитать обзоры по определенным программам. Тем не менее перечислены некоторые из наиболее распространенных программ и приведена краткая аннотация на каждую из них, основанная на опыте работы авторов книги с ними. Сканер CyberCop Scanner

В течение некоторого времени сканер CyberCop Scanner был популярен. Он начал свою историю под именем Ball ista Scanner компании Secure Networks, которая несколько лет назад была куплена Network Associates (NAI). NAI улучшила сканер и дополнила его возможности до уровня, достаточного для того, чтобы вновь сделать его популярным. Одними из самых больших недостатков сканера являются высокий процент ложных срабатываний и разнообразные проблемы с производительностью. Это хорошее инструментальное средство, которое можно приобрести, если у пользователя имеются достаточные знания и время для «прополки» (анализа) больших отчетов с целью поиска действительных проблем, на которые нужно обратить внимание.

Сканер Internet Scanner компании Internet Security Systems (ISS)

Считается, что сканер Internet Scanner является лидером на рынке инструментальных средств сканирования. Компания ISS была одной из первых, кто выпустил в продажу сканер уязвимости. Как читатель узнает дальше, точность (или скорее отсутствие точности), кажется, является бедствием для всех коммерческих инструментальных средств, включая Internet Scanner. Принимая во внимание, что этот сканер был одной из первых программ, поступивших в продажу, можно сказать, что у разработчиков было достаточно времени для его улучшения и совершенствования. Подобно CyberCop, общей жалобой пользователей сканера Internet Scanner является необходимость в прочесывании больших сообщений и удалении бесполезной информации, сохраняя действительно необходимые и полезные данные.

BV–Control for Internet Security компании BindView

Следующим в списке коммерческих сканеров является BV–Control for Internet Security, прежнее название HackerShield. Автор пережил трудное время, наблюдая за ошибками этого сканера, но он предвзятый пользователь, потому что ранее был членом исследовательской группы по вопросам безопасности RAZOR Security Research Team компании BindView. Как уже говорилось, самой большой ошибкой этой программы являются ее отчеты. На экране отчет выглядит замечательно, но при распечатке различные типы ошибок форматирования делают листинг почти нечитабельным. В настоящее время компания BindView, вероятно, вкладывает значительные средства в исследования уязвимостей, поэтому точность сканера может оказаться немного лучше.

Сканер eEye Retina

Сканер eEye Retina является одним из новейших инструментальных средств сканирования на рынке программ подобного типа. Его хвастливые возможности типа общая атака (Common Attack) и хакерские методы (Hacking Methods) поиска и идентификации новых, ранее не описанных уязвимостей позволяют утверждать, что Retina – солидный продукт, у которого есть возможности для улучшения в таких направлениях, как производительность и выдача отчетов. В целом автору нравится данный продукт и работа специалистов eEye, вносящих большой вклад в развитие информационной безопасности.

Другие программы Другими коммерческими продуктами сканирования уязвимости, которые, по крайней мере, заслуживают упоминания, являются QualysGuard компании Qualys, Netrecon компании Symantec, Hailstorm компании ClicktoSecure и сканер Cisco Secure Scanner компании Cisco Systems.

...

Приоткрывая завесу

Сканеры уязвимости – оружие для взломщиков и хакеров-новичков?

Практически всем известно, что достаточно просто заполучить копию оценочной или продаваемой версии почти любого коммерческого инструментального средства. К этому надо добавить и то, что в изобилии имеющиеся в Интернете программы генерации ключей или программы-взломщики для многих коммерческих инструментальных средств способствуют доступности коммерческих сканеров уязвимости для хакеров-новичков и зловредных хакеров.

К счастью, большинство коммерческих сканеров создают в сети большие помехи и, как правило, оставляют многочисленные следы присутствия в системных файлах регистрации. Некоторые из них, подобно сканеру CyberCop Scanner, попытаются послать сообщение на консоль, заявляя приблизительно следующее: «You are being scanned by CyberCop (Вас сканирует CyberCop)».

Любой зловредный хакер, у которого есть компьютер, знает, что для попытки ворваться в сеть лучше всего использовать коммерческий инструментарий сканирования. Но если действовать в лоб, то почти наверняка он будет обнаружен. Перейдя по ссылке www.nmrc.org/lab/scanners.txt, читатель может найти описания некоторых из проблем коммерческих сканеров уязвимости и их коварного использования хакерами-новичками как оружия, направленного против безопасности сети.

Исследование свободно распространяемых инструментальных средств

Каждому нравится приобретать что-либо бесплатно. Однако общим правилом всегда остается следующее: «Покупатель всегда получает то, за что он платит». Но автор может доказать, что в случае сканеров уязвимости это общее правило на самом деле является исключением. Хотя следует пояснить, что во избежание недоразумений следует понимать ограничения и надежды, связанные со свободно распространяемым программным обеспечением и программным обеспечением с открытыми текстами.

Свободно распространяемые инструментальные средства – это не программы, которые создаются большой группой наемных разработчиков за зарплату. Это пакеты, которые пишутся способными людьми в свободное время. Поддержка таких программ – явление очень редкое, а работа с большинством из них – не очень простое занятие и редко сводится к щелчку на иконке. Сказанное означает, что свободно распространяемое программное обеспечение

с открытыми исходными текстами заняло свою нишу. Большинство из программ этого типа работает в соответствии с заявленными возможностями.

В этой секции рассматриваются некоторые популярные инструментальные средства (Nessus, SAINT, SARA, ShadowScan, Nmap, whisker и VLAD): их предназначение и эффективность. Конечно, знания читателя об этих инструментах могут сильно отличаться от знаний авторов, но они попытаются рассказать как о достоинствах, так и о недостатках подобных сканеров. Конечно, опыт работы пользователя с каждым из названных инструментальных средств может отличаться от опыта работы авторов с ними, но тем не менее авторы попытались рассмотреть все сопутствующие им проблемы, как хорошие, так и плохие.

Nessus

Первым рассматривается инструментальное средство Nessus. Вероятно, Nessus является самым популярным и эффективным общедоступным сканером. Nessus – сканер уязвимости, во многом схожий с коммерческими сканерами, рассмотренными в предыдущей секции. На самом деле для свободно распространяемого инструментального средства сканирования он слишком хорош, а в некоторых случаях он даже лучше, чем большинство из коммерческих продуктов.

Сканер Nessus состоит из клиентской и серверной частей. Серверная часть сканера Nessus выполняется в среде UNIX, а клиентские части доступны для двух различных операционных платформ: UNIX и Win32. На рисунке 17.3 показана клиентская часть Nessus в момент сканирования. Сканер Nessus является одним из тех свободно распространяемых инструментальных средств, которые поддерживаются специально созданной для этой цели группой людей. Поэтому точность выполняемых им проверок конкурирует с аналогичными характеристиками коммерческих продуктов этого класса, а может быть, и превышает их. Как правило, читатель предпочитает использовать не один, а несколько сканеров для получения наиболее точных и полных результатов. И независимо от того, какой коммерческий инструментарий читатель выбрал, его вторым сканером должен быть Nessus. Сканер Nessus можно найти по адресу www.nessus.org.

Рис. 17.3. Выполнение сканирования сканером Nessus

Интегрированное сетевое инструментальное средство администраторов безопасности SAINT

Интегрированное сетевое инструментальное средство администраторов безопасности SAINT (Security Administrators Integrated Network Tool) является улучшенной версией одного из самых первых сканеров уязвимости SATAN (Security Administrators Tool for Analyzing Networks – инструментарий администратора безопасности для анализа сети). Сканер SATAN был выпущен в 1995 году и проверял всего лишь десять проблем, имеющих отношение к безопасности. Корпорация SAINT (бывшая World Wide Digital Security, Inc.) обновила и улучшила сканер SATAN, переименовала его в SAINT и выпустила как инструментарий, свободно используемый общественностью, вместе со множеством поддерживающих его коммерческих приложений. Подобно Nessus и большинству коммерческих продуктов, в сканере SAINT реализованы возможности по настройке или созданию своих собственных проверок безопасности сканируемых хостов. В свободно распространяемую версию средства выдачи отчетов не включены, хотя они могут быть проданы как программы, добавляемые для расширения возможностей сканера. Автор должен признать, что он лишь вкратце осветил SAINT, поскольку, по его мнению, он не предоставляет каких-либо существенных преимуществ по сравнению с возможностями тех средств, которые он обычно использует. Сканер SAINT можно найти по адресу www.saintcorporation.com.

Сканер SARA

Помощник администраторов безопасности для исследования сети SARA (Security Administrators Research Assistant) – является другим свободно распространяемым инструментальным средством, которое основано на оригинальном сканере SATAN. Сканер SARA очень похож на SAINT, за исключением того, что в его состав включены средства генерации отчетов в HTML и других форматах. Одним из общих недостатков обоих сканеров, как SAINT, так и SARA, является отсутствие в них индивидуального подхода к идентификации уязвимости. Оба сканера используют наиболее общий подход к сбору информации, перекладывая большую часть работы по анализу уязвимости на оператора. Однако потенциальным преимуществом сканера SARA является предоставление им интерфейса связи с другими инструментальными средствами обеспечения защиты, что позволяет пользователю применять сканер SARA совместно с инструментальными средствами из его комплекта инструментов. Сканер SARA может быть найден по адресу www.arc.com/sara/index.shtml.

Сканер ShadowScan

Сканер ShadowScan является инструментальным средством обнаружения и обработки уязвимости с графическим интерфейсом пользователя, который подозрительно похож на интерфейс сканера Internet Scanner компании Internet Security Systems. В соответствии со сведениями, представленными на сайте его производителя (www.rsh.kiev.ua/newse.htm), сканер ShadowScan в процессе своей работы использует базу данных проверок, в которой хранятся данные о 1130 различных проверках. Это значительно больше соответствующего показателя большинства коммерческих продуктов. Поскольку автор ненавидит стереотипы, то дизайн Web-страницы наталкивает его на мысль, что правильнее будет отнести это средство к поделкам хакера-новичка, а не к профессиональным программам в области безопасности. Автор относит ShadowScan к свободно распространяемым инструментальным средствам, хотя его последняя версия распространяется на условиях пятнадцатидневного испытательного срока и стоит 100$ (4999$ с исходными текстами программы). Автор протестировал сканер в своей исследовательской лаборатории. Действительно, сканер выполняет все, что было заявлено в его рекламе. Но тема Web-сайта, его расположение и отсутствие исходных текстов программы не дают автору покоя и до конца не ясно истинное предназначение сканера и его качество. Автор собирается как-нибудь протестировать сканер как можно тщательнее и попытаться выявить существование низменных целей его создания, но без доступных для аудита исходных текстов нельзя быть ни в чем уверенным на все сто процентов. Бизнес в области безопасности, в особенности касающийся продуктов сканирования в интересах обеспечения безопасности, имеет отношение к кредитам и выполнению взятых на себя обязательств. Можете назвать автора параноиком, но он не хочет использовать свою кредитную карточку для перевода финансовых средств организации с контактной информацией, которую нельзя проверить. К тому же все, что происходит в бывшем Советском Союзе, не входит в список безопасных инвестиций автора.