- •Введение
- •1 Анализ основных типов мэ и способов их применения
- •1.1 Типы межсетевых экранов
- •1.1.1 Фильтры пакетов
- •1.1.2 Фильтры пакетов с контекстной проверкой
- •1.1.3 Сервер уровня соединения
- •1.1.4 Серверы прикладного уровня
- •1.2.1 Стандартные схемы защиты отдельной локальной сети
- •1.2.2 Применение в составе средств коллективной защиты
- •1.3 Персональные межсетевые экраны
- •1.2 Способы применения межсетевых экранов
- •1.Стандартные схемы защиты отдельной локальной сети.
- •1.4 Обобщенная концепция применения межсетевых экранов
- •1.5 Обзор персональных межсетевых экранов, доступных на рынке
- •2 Классификация уязвимостей сетевых экранов, создающих предпосылки их компрометации
- •2.1 Уязвимости сетевых протоколов
- •2.1.1 Снифферы пакетов
- •2.1.2 Уязвимость маршрутизации от источника
- •2.1.4 Атаки типа “отказ в обслуживании”
- •2.1.5 Атаки syn flood
- •2.1.6 Атака Smurf
- •2.1.7 Атака Tribe Flood Network
- •2.1.8 Атака WinFreeze.
- •2.1.9 Атака Loki.
- •2.1.10 Arp атаки
- •2.1.11 Фрагментация
- •2.2 Уязвимости операционных систем
- •2.2.1 Получение прав другого пользователя
- •2.2.2 Нелегальное подключение к системе
- •2.2.3 Человеческий фактор
- •2.2.4 Совместимость с другими операционными системами
- •2.2.5 Парольные атаки
- •2.2.6 Вирусы и приложения типа "троянский конь"
- •2.3 Уязвимости программной реализации сетевых экранов
- •2.3.1 Атаки через туннели в межсетевом экране
- •2.3.2 Атаки вследствие неправильной конфигурации межсетевого экрана
- •2.3.3 Атаки осуществляемые в обход межсетевого экрана
- •2.3.4 Атаки осуществляемые из доверенных узлов и сетей
- •2.3.5 Атаки путем подмены адреса источника
- •2.3.6 Атаки на сам межсетевой экран
- •2.3.7 Атаки на подсистему аутентификации межсетевого экрана
- •2.4 Выводы
- •3 Исследование архитектуры и функционирования мэ на примере предложенного по
- •3.1 Исследование механизмов взаимодействия средств сетевой безопасности с операционной системой
- •3.1.1 Подходы к организации фильтрования трафика в ос Windows
- •3.3 Выводы
- •4 Разработка алгоритмов для проверки уязвимостей средств сетевой безопасности
- •4.1 Обобщённый алгоритм воздействия на средства сетевой безопасности
- •4.3.2.1 Инвентаризация Windows nt/2000/xp
- •4.3.2.3 Инвентаризация unix
- •4.3.3 Проникновение в сеть и захват контроля над хостом
- •4.3.3.1 Взлом хоста с ос Windows
- •4.3.3.2 Взлом хоста с ос Unix
- •4.4 Разработка алгоритмов воздействия на средства сетевой защиты изнутри защищенной сети
- •4.4.1 «Инъекции» кода
- •4.4.2 Использование виртуальной машины
- •4.4.3 Использование уязвимостей ActiveX
- •4.5 Разработка алгоритмов, основанных на уязвимостях механизма взаимодействия средств сетевой безопасности с операционной системой
- •4.6 Разработка алгоритмов установления соединения с компьютером, защищенным межсетевым экраном, персональным сетевым экраном и несколькими сетевыми экранами
- •4.6.1 Http-тунелирование
- •4.6.2 Icmp-тунелирование
- •4.6.4 Pcap-тунелирование
- •4.7 Выводы
2.1.9 Атака Loki.
Loki применяет ICMP в качестве туннельного протокола для скрытого канала связи. Скрытый канал - это канал, использующий метод передачи данных или поле данных втайне или нестандартным образом. Другими словами, средством передачи является ICMP, но функционально Loki действует очень похоже на приложение клиент/сервер. Если на пораженном хосте установлен сервер Loki, он может отвечать на информацию, посылаемую ему клиентом Loki. Например, клиент Loki может послать серверу Loki запрос cat /etc/passwd, чтобы отобразить файл паролей. Потом пользователь клиента Loki сможет увидеть результаты на экране, сохранить их и попытаться взломать этот файл.
2.1.10 Arp атаки
Большинство операционных систем ARP-ответ заносят сразу же без проверки (посылала ли система запрос) в ARP таблицу (исключением является Solaris, который игнорирует ARP ответы, если не посылался ARP запрос). Если интерфейс получит данные о том, что какому-то IP соответствует MAC, который на самом деле не существует, то IP-датаграммы к данному хосту будут вкладываться в кадр с фальшивым MAC. Это приведет к тому, что ни один сетевой интерфейс в локальной сети не будет воспринимать этот пакет. Таким образом, все данные уйдут в "никуда". Для реализации подобной атаки необходимо периодически (интервал зависит от операционной системы) посылать ложные ARP ответы. В результате атакуемый хост не сможет установить соединение с хостом, IP адрес которого указан в ложном ARP ответе. Данная атака применима даже если уже установлено соединение между двумя хостами. После посылки даже одного ложного ARP ответа соединение будет разорвано по таймауту. Для того чтобы два хоста не смогли обмениваться пакетами друг с другом, необходимо направить ложные ARP ответы на один из хостов. Если же ставить целью полностью отключить хост от сети, то необходимо периодически посылать ложные ARP ответы от всех хостов в сети. Тогда на атакуемом хосте сложится впечатление, что поврежден кабель или вышла из строя сетевая карта.
2.1.11 Фрагментация
Фрагментация происходит тогда, когда датаграмма IP, проходя через сети, должна пересечь сеть, максимальная единица передачи данных (MTU — maximum transmission unit) которой меньше размера датаграммы. Например, MTU, или максимальный размер датаграммы IP, для Ethernet составляет 1500 байт. Если размер датаграммы больше 1500 байт, а она должна пройти через сеть Ethernet, маршрутизатор, направляя ее в сеть Ethernet, обязан фрагментировать ее. Кроме того, фрагментация происходит, когда хост посылает в сеть датаграмму, превышающую MTU.
Фрагменты поступают в пункт своего назначения, где принимающий хост повторно собирает их. Фрагменты могут быть разбиты еще мельче, если они пересекают сеть с MTU, меньшей, чем их размер. Хотя фрагментация является абсолютно нормальным явлением, существует возможность использования фрагментов для того, чтобы избежать выявления данных маршрутизаторами или системами обнаружения вторжения, фиксирующими фрагментацию недостаточно грамотно.
В разное время злоумышленники используют фрагментацию для маскировки и для продвижения своих попыток зондирования и вмешательства в работу систем. Некоторые системы обнаружения вторжения и устройства фильтрации пакетов не обеспечивают повторной сборки пакетов и поэтому не выявляют и не блокируют те действия, в которых признак (сигнатура) распределяется среди нескольких датаграмм. В нападениях на доступность или типа "отказ в обслуживании" высокофрагментированиый трафик применяется для истощения ресурсов системы.