Защита от хакеров корпоративных сетей
Шрифт:
Многие существующие сетевые протоколы имеют аналоги, которые полагаются на стойкие алгоритмы шифрования и всеобъемлющие механизмы, такие как IPSec, предоставляют это для всех протоколов. К сожалению, IPSec не используется широко в Интернете вне частных корпораций.
Secure Shell (SSH)
Secure Shell является криптографически стойкой заменой rlogin, rsh и rcp команд стандартного Telnet. Она состоит из клиента и сервера, которые используют криптографию с открытым ключом для обеспечения шифрования сессии. Secure Shell также предоставляет возможность ретрансляции произвольных портов через шифрованные соединения, являющиеся очень удобными для ретрансляции X11 Windows и других соединений.
SSH получила широкое признание как безопасный механизм для интерактивного доступа к удаленным системам. SSH зародилась и первоначально разрабатывалась финским разработчиком Тату Ялоненом (Tatu Ylonen). Оригинальная версия SSH стала коммерческой, и, несмотря на то что первоначальная версия до
Оригинальная версия SSH, написанная Тату Ялоненом, доступна на ftp://ftp.cs.hut.fi/pub/ssh/. Новая коммерческая SSH может быть приобретена у компании SSH Communications Security (www.ssh.com), которая предоставляет коммерческие версии бесплатно для общепризнанных университетов.
Полностью бесплатная версия SSH-совместимого программного обеспечения, OpenSSH, разработанного проектом операционной системы OpenBSD (как показано на рис. 10.8), может быть получена на www.openssh.com.
Рис. 10.8. Проект OpenSSH
Между прочим, команда OpenBSD/OpenSSH делает много хорошей работы за маленькие деньги или вообще бесплатно. Рисунок 10.8 наносится на футболки продажи, которые приносят некоторый доход, помогающий покрыть расходы на проект. Футболки, постеры и компакт-диски, которые они продают, можно найти на www.openbsd.org/orders.html.
Secure Sockets Layers (SSL)
SSL предоставляет сервисы аутентификации и шифрования. С точки зрения прослушивания сетевого трафика, SSL уязвим к атакам «человек посередине» (man-in-the-middle attack). Нарушитель может установить прозрачную программу-посредник между вами и Web-сервером. Эта программа-посредник может быть настроена дешифровывать SSL-соединения, перехватывать и обратно зашифровывать их. Когда это случается, пользователь будет предупрежден диалоговым окном, показанным на рис. 10.9. Проблема заключается в том, что большинство пользователей игнорируют эти предупреждения и все равно продолжают сеанс.
Рис. 10.9. Предупреждение о некорректном сертификате SSL
PGP и S/MIME
PGP и S/MIME являются стандартами для шифрования сообщений электронной почты. Если корректно использовать данные стандарты, существует вероятность сделать невозможным интерпретирование перехваченных сообщений электронной почты анализаторами e-mail трафика, таких как dsniff и Carnivore.
В Соединенных Штатах Америки ФБР разработало Троянского коня Magic Lantern, который регистрирует нажатия клавиш с надеждой перехватить пароли пользователей. Когда ФБР получает пароль, оно может расшифровывать сообщения электронной почты. В Соединенном Королевстве Великобритании пользователи обязаны законом предоставлять свои ключи шифрования по запросу для обеспечения правопорядка.
Коммутация
Сетевые коммутаторы усложняют процесс прослушивания вашей сети нарушителем; однако ненамного. Коммутаторы иногда рекомендуются как решения для проблемы прослушивания сетевого трафика; однако их настоящее назначение заключается в улучшении производительности сети, а не в предоставлении обеспечения информационной безопасности. Как объясняется в пункте «Усовершенствованные методы прослушивания сетевого трафика», любой нарушитель с помощью соответствующих инструментов все равно может прослушивать коммутируемый хост, если они находятся на одном и том же коммутаторе или сегменте.
Применение методов обнаружения
Но что, если вы по каким-либо причинам не можете использовать шифрование в вашей сети? Что делать в такой ситуации? В данном случае вы должны полагаться на обнаружение любой сетевой интерфейсной платы (NIC), которая может функционировать в режиме, инициированном анализатором сетевого трафика.
Локальное обнаружение
Многие операционные системы предоставляют механизм для выявления сетевых интерфейсов, работающих в «безразличном» режиме (promiscuous mode). Данный механизм обычно представлен в виде флага состояния, который ассоциирован с каждым сетевым интерфейсом и содержится в ядре. Он может быть просмотрен использованием команды ifconfig в UNIX-системах.
Следующий пример показывает интерфейс в операционной системе Linux, не находящийся в «безразличном» режиме:
eth0 Link encap: Ethernet HWaddr 00:60:08:C5:93:6B
inet addr: 10.0.0.21 Bcast: 10.0.0.255 Mask: 255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets: 1492448 errors: 2779 dropped: 0 overruns: 2779
frame: 2779
TX packets: 1282868 errors: 0 dropped: 0 overruns: 0
carrier: 0
collisions: 10575 txqueuelen: 100
Interrupt: 10 Base address: 0x300Необходимо отметить, что атрибуты
eth0 Link encap: Ethernet HWaddr 00:60:08:C5:93:6B
inet addr: 10.0.0.21 Bcast: 10.0.0.255 Mask: 255.255.255.0
UP BROADCAST RUNNING PROMISC MULTICAST MTU: 1500 Metric:1
RX packets: 1492330 errors: 2779 dropped: 0 overruns: 2779
frame: 2779
TX packets: 1282769 errors: 0 dropped:0 overruns:0 carrier:0
collisions: 10575 txqueuelen: 100
Interrupt: 10 Base address: 0x300Важно отметить, что если нарушитель скомпрометировал защиту хоста, на котором вы выполняете данную команду, он или она может с легкостью повлиять на результат выполнения этой команды. Важной частью инструментария нарушителя является замещение команды ifconfig таким образом, что она не сообщает об интерфейсах в «безразличном» режиме.
Сетевое обнаружение
Существует несколько методов, различных по их степени точности обнаружения хоста, подслушивающего весь сетевой трафик. Не существует метода, гарантирующего стопроцентное обнаружение присутствия анализаторов сетевого трафика.
Поиски DNSБольшинство программ, написанных для прослушивания сети, выполняют обратные поиски DNS во время вывода выходных данных, состоящих из исходного и конечного хостов, вовлеченных в сетевое соединение. В процессе выполнения данного поиска генерируется дополнительный сетевой трафик; в основном DNS-запросы для поиска сетевого адреса. Существует возможность наблюдать при помощи сети на наличие хостов, выполняющих большое количество поисков адресов; однако это может являться простым совпадением и не приведет к обнаружению хоста, осуществляющего прослушивание сетевого трафика.
Более простым способом, предоставляющим стопроцентную точность, является создание ложного сетевого соединения с адреса, который не находится в локальной сети. Затем мы сможем при помощи сети наблюдать на наличие DNS-запросов, пытающихся разрешить ложный адрес и тем самым, выдавая хост, осуществляющих прослушивание сетевого трафика.
ЗадержкиВторой метод для обнаружения хоста, прослушивающего сеть, заключается в отслеживании изменения задержек отклика хоста на сетевой трафик (например, ping). Несмотря на то что данный метод склонен к числу сбойных ситуаций (таких как, например, когда задержка хоста вызвана нормальной операцией), он может помочь в определении, прослушивает ли хост сетевой трафик или нет. В данном методе также можно первоначально зондировать и брать пробы времени отклика. Далее генерируется большое количество сетевого трафика, специально созданного для того, чтобы заинтересовать хост, который прослушивает сетевой трафик на наличие информации аутентификации. В заключение снова берутся пробы задержки хоста для определения, изменились ли они существенно.
Ошибки драйвераИногда ошибка драйвера операционной системы может помочь нам определить хосты, работающие в «безразличном» режиме. Аргентинская компания исследований безопасности CORE-SDI обнаружила ошибку в обыкновенном Linux Ethernet-драйвере. Они обнаружили, что когда хост работает в «безразличном» режиме, операционная система не может осуществить проверку Ethernet-адреса, для того чтобы убедиться, что пакет был направлен на один из его интерфейсов. Вместо этого данная проверка была произведена на уровне IP, и пакет был принят, так как если бы он был направлен на один из интерфейсов хоста. Обычно пакеты, не соответствующие Ethernet-адресу хоста, отбрасываются на аппаратном уровне; однако в «безразличном» режиме этого не происходит. Мы можем определить, находится ли хост в «безразличном» режиме, посылая ICMP ping-пакет хосту с правильным IP-адресом хоста, но неправильным Ethernet-адресом. Если хост ответил на этот ping-запрос, то он определенно работает в «безразличном» режиме.
AntiSniffAntiSniff является инструментом, написанным бостонской группой хакеров, известных как LOpht. Они объединили несколько методов, описанных выше, в инструмент, который эффективно выявляет хост, работающий в «безразличном» режиме (promiscuous mode). Пятнадцатидневная пробная версия данного инструмента (для Windows-систем) может быть получена на их Web-сайте, расположенном на at www.securitysoftwaretech.com/antisniff.
UNIX-версия доступна для бесплатного некоммерческого использования. Ознакомьтесь с лицензией для определения ограничений на использование этой версии.
Необходимо помнить, что AntiSniff находит некоторые анализаторы сетевого трафика, а не все. Некоторые анализаторы являются полностью «невидимыми», в то время как другие были пропатчены для противодействия AntiSniff\'у.
Сетевые мониторы Сетевые мониторы, доступные на Windows NT-системах, имеют способность наблюдать, кто активно запускает NetMon в вашей сети. Они также сохраняют историю, кто имеет NetMon, установленный в системе. Они выявляют другие копии Network Monitor, таким образом, если нарушитель использует другой анализатор сетевого трафика, вы должны обнаружить его, используя один из методов, описанных выше. Большинство систем обнаружения вторжений сетевого уровня также выявляют эти экземпляры NetMon.