1.5 Классификация атак, направленных на нарушение доступности информации и ресурсов в информационно-телекоммуникационных системах

В работе [177] предлагается классификация атак, направленных на нарушение доступности информации и ресурсов в ИТКС, основанная на характеристиках средств для подготовки и проведения таких атак. В соответствии с этим были определены восемь классификационных признаков: цель атаки (рис. 1.3), метод атаки (рис. 1.4), характерность атаки (рис. 1.5), подлинность адреса источника трафика (рис. 1.6), степень автоматизации атаки (рис. 1.7), состав атакующих машин (рис. 1.8), динамика атаки (рис. 1.9), последствия атаки (рис. 1.10).

Рис. 1.3. Классификации атак по цели

На приложение

Атака ведется на определенное приложение, вследствие чего возможна потеря контроля над ним. После успешной атаки все остальные службы будут работать стабильно, что обуславливает затруднения в обнаружении таких атак. Если атака все же будет обнаружена, то организовать защиту удастся, разделив весь входящий трафик на легальный и вредоносный и блокировав последний.

На хост

Целью атак такого типа является полный отказ работы атакуемого хоста. Часто такое нападение сопровождается большим потреблением трафика, что приводит к обнаружению атаки. Но даже после этого отразить ее в одиночку у жертвы не получится, так как объем трафика слишком велик.

На ресурсы

Злоумышленник атакует важные ресурсы ИТКС, такие как ресурсы маршрутизатора или DNS-сервер. Вредоносный трафик может поступать из различных источников и иметь различный конечный адрес, но он обязательно «соединится» на атакуемом ресурсе. Последствия таких нападений могут быть предотвращены или минимизированы путем построение отказоустойчивой топологии сети.

На сетевые ресурсы

Сетевые атаки используют в качестве своей цели пропускную способность сети ИТКС. Поток пакетов, поступающих при таком нападении, имеет лавинообразный характер, что является ключевой особенностью для обнаружения атак. Предотвращение и минимизация последствий производится с помощью многократного резервирования ресурсов или перенаправления трафика в «черные дыры».

На глобальную инфраструктуру

Целью данной атаки является некоторая распределенная служба, которая имеет значение для глобальной сети Интернет. Примерами могут являться атаки на сервера доменных имен и большие магистральные маршрутизаторы. Атакам такого типа можно противостоять только путем слаженных действий провайдеров, спецслужб и правоохранительных органов.

Рис. 1.4. Классификации атак по методу проведения

Семантический метод

Семантический способ атаки целенаправленно использует ошибки некоторых протоколов и приложений, используемых атакуемой ИТКС для того, чтобы исчерпать критическое для системы количество ресурсов. Например, атака SYN-флуд, как уже отмечалось выше, заключается в создании большого количества незавершенных соединений с сервером, заполняющих всю очередь на подключение и делающих атакованных сервер недоступным.

Метод «грубой силы»

Метод реализуется путем инициирования огромного количества вполне законных действий: большое количество сетевых пакетов исчерпает ресурсы атакуемой машины. Существует тонкая грань между семантическим способом и методом «грубой силы». Атакуемую ИТКС можно обезопасить от семантических атак путем устранения уязвимостей в проколах передачи данных, но она уязвима перед атаками по методу «грубой силы».

Рис. 1.5. Классификации атак по характерности

Характерные

Характерными атаками являются те, которые используют уязвимости различных протоколов и приложений, кроме того, имеют разборчивое идентифицируемое содержимое своих IP-пакетов. Примером такой атаки является SYN-флуд.

Фильтруемые

Фильтруемыми нападениями называются те, организовать защиту от которых можно путем фильтрования определенных пакетов, то разделения всего потока трафика на легальный и вредоносный. Примером такой атаки является UDP-флуд.

Не фильтруемые

Не фильтруемые атаки используют различные пакеты, которые являются частью протоколов и приложений, то есть отличить такие пакеты от тех же запросов, посылаемых обычными клиентами, будет невозможно. Примером является HTTP-флуд.

Нехарактерные

Атаки данного типа используют набор случайных пакетов, содержимое которых также генерируется случайным образом, то есть найти какую-либо закономерность и дать функциональное описание будет практически невозможно.

Рис. 1.6. Классификации атак по подлинности адреса источника трафика

С поддельным адресом источника

Очень распространенный тип атаки, так как помогает атакующему избежать ответственности за свои действия.

С трассируемым адресом источника

Злоумышленник использует IP-адрес другой реально существующей машины.

С не трассируемым адресом источника

В качестве адреса источника указываются либо несуществующие, либо зарезервированные IP-адреса.

Со случайного адреса

Адрес атакующей машины выбирается случайным образом, что позволяет достаточно быстро обнаруживать такие атаки.

С адреса из подсети

Данный метод реализуется путем подмена адреса источника вредоносного трафика на адрес, выбранный из пространства, выделенного для конкретной машины. Такую атаку обнаружить уже сложнее, чем атаку со случайных адресов.

С адреса из пути следования трафика

Адрес источника атаки подменяется на адрес машины или подсети, которая лежит на пути от нападающего к жертве.

С фиксированного адреса

Злоумышленник, желающий переложить ответственность за атаку, может подменить IP-адреса на фиксированные чужие адреса.

С настоящим адресом источника

На месте адреса источника вредоносного трафика будет содержаться действительный сетевой адрес злоумышленника.

Рис. 1.7. Классификации атак по степени автоматизации

Вручную

Злоумышленник вручную сканирует удаленные машины в поисках уязвимостей. При помощи них запускает вредоносный код, а затем начинает атаку. Лишь самые первые атаки принадлежат к данной категории. Сейчас все атаки проходят в автоматическом или полуавтоматическом режиме.

Полуавтоматические

В полуавтоматической атаке атакующий ботнет (англ. Botnet, атакующая сеть) состоит из управляющей машины («мастера») и агентов («демонов»). Поиск уязвимостей и заражение происходит полностью в автоматическом режиме. В фазе атаки злоумышленник обращается через мастера к агентам и отправляет вредоносный трафик жертве.

Прямая связь

Во время атаки при помощи прямой связи агенту и управляющему необходимо знать точные данные друг о друге. Обычно это достигается путем фиксирования IP-адреса управляющего в коде, исполняемом при атаке, который позже загружается на машину агента. Каждый агент затем сообщает о готовности управляющему. Очевидный недостаток такого подхода для нападающего в том, что раскрытие одной машины нападающего может раскрыть весь ботнет.

Непрямая связь

При атаках с непрямой связью злоумышленники используют легальные каналы связи для того, чтобы синхронизировать управляющего с агентами. Например, для этого часто используются IRC-клиенты (англ. Internet Relay Chat, интернет-чат). Использование функций IRC-чата обеспечивает управление агентами, сохраняя анонимность атакующего. Кроме того, в этом случае сетевые пакеты управления ботнетом тяжело отличить от легальных. Раскрытие одного канала, по которому управляется атака не приведет к раскрытию остальных. IRC-сервер может быть расположен в любой точке мира, что помешает проведению расследований по фактам совершенных атак.

Автоматические

При автоматической атаке нет необходимости в синхронизации управляющего и агентов, что обуславливает и потребность в каких-либо прямых каналах связи между ними. Время начала атаки, тип атаки, продолжительность и жертва запрограммированы в коде атаки. Нападающий почти не имеет никакой связи с атакой, так как отдает лишь команду для ее начала.

Выборочное сканирование

Во время выборочного сканирования каждая зараженная машина выбирает случайное IP-адресное пространство для дальнейшего сканирования. Данный тип сканирования потенциально может использовать большой объем трафика и является достаточно ресурсоемким. Поэтому после заражение большого количества машин, из-за потребляемых ресурсов, такое сканирование может быть быстро обнаружено.

Списочное сканирование

Если во время списочного сканирования был обнаружен уязвимый компьютер, то его IP-адрес заносится в специальный список. Данный тип сканирования обеспечивает большую скорость проведения и, избавляет от избыточного сканирования. Если злоумышленник составил список уязвимых машин, то он может заразить их в течение 30 секунд. Недостатком данного типа сканирования является то, что атакующий должен собрать всю необходимую техническую информацию заранее. Сама информация собирается при помощи незаметных средств, либо через медленное сканирование в течение нескольких месяцев. Другим недостатком является то, что часть списка уязвимых машин должна быть передана на зараженные компьютеры. Если список слишком большой, то это может потребовать большое количество ресурсов и привести к обнаружению атаки. Если же он слишком мал, то будет заражаться небольшое количество машин.

Указательное сканирование

Данный тип сканирования использует стандартные пути распространения заражения, например, – сетевых червей. Он не требует значительного объема ресурсов для реализации своих процессов, таким образом, уменьшая вероятность обнаружения. Недостатком является то, что скорость распространения зависит от производительности машины жертвы и от его поведения, то есть не контролируется злоумышленником.

Перестановочное сканирование

Во время сканирования перестановкой все зараженные машины получают точку отправки (начала сканирования) и начинают при помощи индексов переставлять IP-адреса. До начала такой перестановки сканированию предшествует небольшое списочное сканирование, в течение которого формируется начальный список зараженных машин. Если в процессе перестановочного сканирования зараженная машина попадет на другую зараженную машину, то точка начала сканирования будет изменена. Если же такие совпадения переступят допустимый порог, то червь уйдет в спячку на некоторое время. Таким образом, нагрузка на канал связи будет минимизирована, что минимизирует вероятность обнаружения сканирования. Скорость перестановочного сканирования достаточно большая – примерно 100 сканирований в секунду.

Локальное сканирование

Локальное сканирование может быть добавлено к любому из ранее описанных методов для того, что поразить цели, находящиеся в той же подсети, что и зараженная машина. Данный способ может поставить под угрозу всю локальную сеть, используя лишь один зараженный компьютер.

Горизонтальное сканирование

Очень распространенный тип сканирования для сетевых червей. Происходит поиск уязвимостей атакуемой машины, после чего сканирование повторяется по тому же порту на всех машинах из списка.

Вертикальное сканирование

Распространенный тип сканирования для вторжения на атакуемую машину сразу нескольких червей. Проникновение производится по разным портам.

Скоординированное сканирование

Скоординированное сканирование – самый распространенный метод сканирования для локальной подсети. Производится исследование одних и тех же портов на нескольких компьютерах в пределах одной локальной сети. Позволяет эффективно обнаруживать уязвимости данной сети.

Скрытное сканирование

Любое из вышеуказанных сканирований (горизонтальное, вертикальное или скоординированное) может быть выполнено медленно в течение длительного периода времени для того, чтобы избежать обнаружения атаки.

Централизованное распространение

При данном виде распространения вредоносный код находится на центральном сервере (нескольких центральных серверах). На атакуемую машину код загружается из центрального источника. Данный механизм является не самым удобным, так как распространение из одного источника влечет за собой сильную нагрузку на сеть, что может повлечь за собой быстрое обнаружение атаки. Кроме того, удаление центрального сервера (перекрытие доступа) остановит дальнейшее заражение.

Цепное распространение

Цепной вид распространения является более стойким, чем центральный. Зараженные машины используются как источники распространения, то есть следующая зараженный компьютер становится источником для следующей стадии заражения.

Автономное распространение

Данный вид заражения позволяет избежать избыточных действий при совершении атаки. Машина жертвы заражается еще перед её началом. Многочисленные почтовые и сетевые черви используют именно данный тип распространения. Кроме того, этот механизм потребляет наименьшее количество ресурсов.

Рис. 1.8. Классификации атак по составу атакующих машин

Изменяющийся состав атакующих машин

Во время данной атаки злоумышленник делит все свои машины на группы. Каждая группа выполняет свои команды в определенный промежуток времени. Любая машина может быть включена не только в одну группу.

Постоянный состав атакующих машин

Во время такой атаки все машины выполняют один и тот же набор команд. Кроме того, начинают и заканчивают атаку они тоже одновременно.

Рис. 1.9. Классификации атак по динамике

Постоянная скорость

Большинство известных атак используют именно этот метод атак. Злоумышленник посылает поток пакетов с постоянной скоростью, как правило, с большей, чем может принять и обработать атакуемый компонент ИТКС.

Переменная скорость

При помощи переменной скорость передачи пакетов злоумышленник избегает преждевременного обнаружения атаки.

Возрастающая скорость

При данном методе нападения скорости передачи пакетов постепенно увеличивается, что приводит к медленному исчерпанию ресурсов жертвы. Кроме того, такую атаку трудно обнаружить.

Колеблющаяся скорость

Скорость передачи пакетов изменяется в соответствие с состоянием атакованного компонента ИТКС, либо зависит от времени, что позволяет снизить шанс обнаружения такой атаки.

Рис. 1.10. Классификации атак по последствиям

Критические последствия

Целью разрушительных атак с критическими последствиями является полный отказ в работе атакуемой ИТКС или ее компонента. Большинство атак на сегодняшний день принадлежит именной к этой категории.

С возможностью самовосстановления

В случае успешного нападения ИТКС сама в состоянии восстановиться без какой-либо сторонней помощи.

С возможностью восстановления при помощи персонала

Для восстановления такой системы потребуется вмешательство технического персонала, обслуживающего ИТКС.

Без восстановления

Повреждения, которые наносит атака невозможно восстановить даже при помощи стороннего вмешательства. Такие атаки почти не встречаются на практике.

Негативные последствия

Целью таких атак является нарушение стабильной работы ИТКС и нанесение экономического ущерба, при этом они не приводят к полному разрушению системы и могут остаться незамеченными.