Віддалена мережева атака — інформаційний руйнівний вплив на розподілену обчислювальну систему, що здійснюється програмно по каналах зв'язку.
Введення Для організації комунікацій в гетерогенному мережевому середовищі застосовуються набір протоколів TCP/IP, забезпечуючи сумісність між комп'ютерами різних типів. Даний набір протоколів завоював популярність завдяки сумісності та надання доступу до ресурсів глобальної мережі Інтернет і став стандартом для міжмережевої взаємодії. Однак повсюдне поширення стека протоколів TCP/IP оголило і його слабкі сторони. Через це є особливо вразливими до віддалених атак розподілені системи, оскільки їх компоненти зазвичай використовують відкриті канали передачі даних, і зловмисник може не лише проводити пасивне прослуховування переданої інформації, але і модифікувати передаваний трафік.
Складність виявлення проведення віддаленої атаки і відносна простота її проведення (за надлишкової функціональності сучасних систем) виводить цей вид зловмисних дій на перше місце за ступенем небезпеки і перешкоджає своєчасному реагуванню на здійснену загрозу, в результаті чого у порушника збільшуються шанси успішної реалізації атаки.
Класифікація атак
За характером впливу Пасивний вплив на розподілену обчислювальну систему (РОС) являє собою деякий вплив, який прямо не впливає на роботу системи, але в той же час здатний порушити її політику безпеки. Відсутність прямого впливу на роботу РОС призводить до того, що пасивний віддалений вплив (ПВВ) важко виявити. Можливим прикладом типового ПВВ служить прослуховування каналу зв'язку в мережі.
Активний вплив на РОС — вплив, що здійснює пряме втручання в роботу системи (порушення працездатності, зміна конфігурації РОС і т. д.), яке порушує політику безпеки, прийняту в ній. Активними впливами є майже всі типи віддалених атак. Пов'язано це з тим, що в самій природі шкідливого впливу завжди є активна складова. Явна відмінність активного впливу від пасивного — принципова можливість його виявлення, так як в результаті його здійснення у системі відбуваються деякі зміни. При пасивних же діях, не залишається жодних слідів (через те, що коли атакувальник прогляне чуже повідомлення в системі, не зміниться власне нічого).
По цілі впливу
порушення функціонування системи (доступу до системи) порушення цілісності інформаційних ресурсів (ІР) порушення конфіденційності ІР
Ця ознака, за якою проводиться класифікація, по суті є прямою проєкцією трьох базових різновидів загроз — відмови в обслуговуванні, розкриття і порушення цілісності.
Головна мета, яку переслідують практично при будь-якій атаці — отримання несанкціонованого доступу до інформації. Існують два принципових варіанти отримання інформації: спотворення і перехоплення. Варіант перехоплення інформації означає отримання доступу без можливості її зміни. Перехоплення інформації призводить до порушення її конфіденційності. Прослуховування каналу в мережі — приклад перехоплення інформації. В цьому випадку є нелегітимний доступ до інформації без можливих варіантів її підміни. Очевидно, що порушення конфіденційності інформації відноситься до пасивних впливів.
Можливість підміни інформації слід розуміти або як повний контроль над потоком інформації між об'єктами системи, або можливість передачі різних повідомлень від чужого імені. Отже, зрозуміло, що підміна інформації призводить до порушення її цілісності. Таке інформаційний руйнівний вплив є характерним прикладом активного впливу. Прикладом віддаленої атаки, призначеної для порушення цілісності інформації, є віддалена атака «Помилковий об'єкт РОС».
За наявності зворотного зв'язку з атакованим об'єктом
зі зворотнім зв'язком без зворотного зв'язку (односпрямована атака)
Атакуючий посилає деякі запити на атакується об'єкт, на які очікує отримати відповідь. Отже між атакуючим і тим кого атакують з'являється зворотний зв'язок, що дозволяє першому адекватно реагувати на всілякі зміни на атакується об'єкті. В цьому суть віддаленої атаки, яка здійснюється при наявності зворотного зв'язку з атакуючим об'єктом. Подібні атаки найбільш характерні для РВС.
Атаки без зворотного зв'язку характерні тим, що їм не потрібно реагувати на зміни на атакується об'єкті. Такі атаки зазвичай здійснюються за допомогою передачі на атакується об'єкт одиночних запитів. Відповіді на ці запити атакуючому не потрібні. Подібну УА можна назвати також односпрямованої УА. Прикладом односпрямованих атак є типова УА «DoS-атака».
За умовою початку здійснення впливу Віддалений вплив, також як і будь-яке інший, може почати здійснюватися тільки при певних умовах. В РВС існують три види таких умовних атак:
атака за запитом від атакується об'єкта атака за настання очікуваної події на атакується об'єкті безумовна атака
Вплив з боку атакуючого розпочнеться за умови, що потенційна мета атаки передасть запит певного типу. Таку атаку можна назвати атакою за запитом від атакується об'єкта. Даний тип УА найбільш характерний для РВС. Прикладом подібних запитів в мережі Інтернет може служити DNS- і ARP-запити, а в Novell NetWare — SAP-запит.
Атака за настання очікуваної події на атакується об'єкті. Атакуючий безперервно спостерігає за станом ОС віддаленої мети атаки і починає вплив при виникненні певної події в цій системі. Атакується об'єкт сам є ініціатором початку атаки. Прикладом такої події може бути переривання сеансу роботи користувача із сервером без видачі команди LOGOUT в Novell NetWare.
Безумовна атака здійснюється негайно і безвідносно до стану операційної системи і атакується об'єкта. Отже, атакуючий є ініціатором початку атаки в даному випадку.
При порушенні нормальної працездатності системи переслідуються інші цілі і отримання атакуючим незаконного доступу до даних не передбачається. Його метою є виведення з ладу ОС на атакується об'єкті та неможливість доступу для інших об'єктів системи до ресурсів цього об'єкта. Прикладом атаки такого виду може служити УА «DoS-атака».
По розташуванню суб'єкта атаки щодо атакованого об'єкта
міжсегментне внутрішньосегментне
Деякі визначення:
Джерело атаки (суб'єкт атаки) — програма (можливо оператор), ведуча атаку і здійснює безпосередній вплив.
Хост (host) — комп'ютер, що є елементом мережі.
Маршрутизатор (router) — пристрій, який забезпечує маршрутизацію пакетів у мережі.
Підмережею (subnetwork) називається група хостів, що є частиною глобальної мережі, відрізняються тим, що маршрутизатором для них виділено однаковий номер підмережі. Так само можна сказати, що підмережа є логічне поєднання хостів допомогою маршрутизатора. Хости всередині однієї підмережі можуть безпосередньо взаємодіяти між собою, не задіявши при цьому маршрутизатор.
Сегмент мережі — об'єднання хостів на фізичному рівні.
З точки зору віддаленої атаки вкрай важливим є взаємне розташування суб'єкта і об'єкта атаки, тобто вони знаходяться в різних або однакових сегментах. Під час внутрисегментной атаки, суб'єкт і об'єкт атаки розташовуються в одному сегменті. У разі межсегментной атаки суб'єкт і об'єкт атаки знаходяться в різних мережних сегментах. Цей класифікаційний ознака дає можливість судити про так звану «віддаленості» атаки.
Далі буде показано, що практично внутрисегментную атаку здійснити набагато простіше, ніж межсегментную. Відзначимо так само, що межсегментная віддалена атака представляє куди більшу небезпеку, ніж внутрисегментная. Це пов'язано з тим, що у разі межсегментной атаки об'єкт її і безпосередньо атакуючий можуть знаходитися на відстані багатьох тисяч кілометрів один від одного, що може істотно перешкодити заходам щодо відбиття атаки.
За рівнем еталонної моделі ISO/OSI, на якому здійснюється вплив
фізичний канальний мережевий транспортний сеансовий представлення прикладний
Міжнародною організацією по стандартизації (ISO) був прийнятий стандарт ISO 7498, який описує взаємозв'язок відкритих систем (OSI), до яких належать також і РВС. Кожен мережевий протокол обміну, також як і кожну мережеву програму, вдається так чи інакше спроектувати на еталонну 7-рівневу модель OSI. Така багаторівнева проєкція дає можливість описати в термінах моделі OSI використовуються в мережевому протоколі або програмі функції. УА — мережева програма, і логічно розглядати її з точки зору проєкції на еталонну модель ISO/OSI .
Короткий опис деяких мережевих атак
Фрагментація даних При передачі пакету даних протоколу IP мережі може здійснюватися поділ цього пакету на декілька фрагментів. Згодом, при досягненні адресата, пакет відновлюється з цих фрагментів. Зловмисник може ініціювати надсилання великої кількості фрагментів, що призводить до переповнення програмних буферів на приймальній стороні і, в ряді випадків, до аварійного завершення системи.
Атака Ping flooding Дана атака вимагає від зловмисника доступу до швидким каналах в Інтернет.
Програма ping посилає ICMP-пакет типу ECHO REQUEST, виставляючи в ньому час і його ідентифікатор. Ядро машини-одержувача відповідає на подібний запит пакетом ICMP ECHO REPLY. Отримавши його, ping видає швидкість проходження пакета.
При стандартному режимі роботи пакети висилаються через деякі проміжки часу, що практично не навантажуючи мережу. Але в «агресивному» режимі потік ICMP echo request/reply-пакетів може викликати перевантаження невеликий лінії, позбавивши її здатності передавати корисну інформацію.
Нестандартні протоколи, інкапсульовані в IP Пакет IP містить поле, що визначає протокол інкапсульованого пакети (TCP, UDP, ICMP). Зловмисники можуть використовувати нестандартне значення даного поля для передачі даних, які не фіксуватимуться стандартними засобами контролю інформаційних потоків.
Атака smurf Атака smurf полягає у передачі в мережу широкомовних ICMP запитів від імені комп'ютера-жертви. В результаті комп'ютери, що прийняли такі широкомовні пакети, відповідають комп'ютера-жертви, що призводить до істотного зниження пропускної здатності каналу зв'язку і, в ряді випадків, до повної ізоляції атакується мережі. Атака smurf виключно ефективна і широко поширена.
Протидія: для розпізнавання даної атаки необхідно аналізувати завантаження каналу і визначати причини зниження пропускної здатності.
Атака DNS spoofing Результатом цієї атаки є внесення нав'язуваного відповідності між IP-адресою і доменним іменем в кеш DNS сервера. У результаті успішного проведення такої атаки всі користувачі DNS сервера отримають неправдиву інформацію про доменні імена і IP-адреси. Дана атака характеризується великою кількістю DNS пакетів з одним і тим же доменним ім'ям. Це пов'язано з необхідністю підбору деяких параметрів DNS обміну.
Протидія: для виявлення такої атаки необхідно аналізувати вміст DNS трафіку або використовувати DNSSEC.
Атака IP spoofing Велика кількість атак у мережі Інтернет пов'язано з підміною вихідного IP-адреси. До таких атак відноситься і syslog spoofing, яка полягає в передачі на комп'ютер-жертву повідомлення від імені іншого комп'ютера внутрішньої мережі. Оскільки протокол syslog використовується для ведення системних журналів, шляхом передачі помилкових повідомлень на комп'ютер-жертву можна нав'язати інформацію або замести сліди несанкціонованого доступу.
Протидія: виявлення атак, пов'язаних з підміною IP-адрес, можливо при контролі отримання на одному з інтерфейсів пакета з вихідним адресою цього ж інтерфейсу або при контролі отримання на зовнішньому інтерфейсі пакетів з IP-адресами внутрішньої мережі.
Нав'язування пакетів Зловмисник відправляє в мережу пакети з помилковим зворотною адресою. За допомогою цієї атаки зловмисник може перемикати на свій комп'ютер з'єднання, встановлені між іншими комп'ютерами. При цьому права доступу зловмисника стають рівними прав користувача, чиє з'єднання з сервером було переключено на комп'ютер зловмисника.
Sniffing — прослуховування каналу Можливо тільки в сегменті локальної мережі.