2.3. Приклади сканерів

Сканери безумовно сприяють підвищенню рівня мережної безпеки. Їх з повним правом можна назвати санітарами комп'ютерних мереж. При цьому не так вже і важливо, у чиїх руках знаходяться сканери: хакерів чи зломщиків. Якщо ці засоби аналізу захищеності мереж використовуються системним адміністратором, то позитивний ефект від їхнього застосування не викликає сумнівів. Випадок, коли зломщик застосовує сканер для подолання захисних механізмів комп'ютерної мережі, рано чи пізно буде виявлений, проаналізований, а в захисні механізми мережі внесені необхідні виправлення, щоб виключити повторний злом.

Нерозумно думати, що сканери наосліп нишпорять по мережі, відшукуючи можливу мішень для злому. Усі сканери створюються в розрахунку на вже знайдені діри в захисті хост-машин конкретного типу. Їм залишається тільки знайти хост-машину цього типу, і перевірити, чи дійсно вона сконфігурована таким чином, що відома діра усе ще не "залатана". Для ілюстрації того, як можна використовувати сканер, розглянемо наступний приклад.

Наприкінці 1995 р. американська корпорація Silicon Graphics Incorporated (SGI) почала масове виробництво могутніх комп'ютерів серії WebForce. Для них малося спеціальне програмне забезпечення, призначене для створення Web-сторінок, насичених мультимедійними додатками. Ці комп'ютери працювали під керуванням операційної системи IRIX (різновид UNIX).

Незабаром у Internet з'явилась інформація про те, що деякі версії IRIX мають дефект, що дозволяє віддаленому користувачу реєструватися в ній під ім'ям 1р, при цьому пароля вводити не потрібно. У результаті комп'ютерний зломщик, що безперешкодно ввійшов у IRIX під ім'ям 1р, мав достатні привілеї, щоб скопіювати файл password, що містить зашифровані імена і паролі користувачів, з комп'ютера серії WebForce на свій комп'ютер. Далі зломщик міг у спокійній обстановці спробувати дешифрувати скопійований їм файл, щоб одержати повний список імен і паролів користувачів комп'ютера SGI.

Отже, діра в захисті комп'ютерів серії WebForce була виявлена. Залишалося тільки відшукати ці комп'ютери в Internet. Оскільки їхні системні адміністратори краще розбиралися в комп'ютерній графіці і майже нічого не розуміли в питаннях мережної безпеки, те деякі каталоги на дисках довірених їхнім турботам комп'ютерів були доступні для загального огляду через Internet. В одному з цих каталогів містився стандартний файл password з дистрибутива операційної системи IRIX. Більшість перерахованих у ньому реєстраційних імен користувачів були характерні для будь-якої іншої операційної системи сімейства UNIX. Однак малися серед них і імена, що були унікальними саме для IRIX. Таким чином, користаючись будь-якою пошуковою машиною мережі Internet, можна було задати як шукану інформацію ці імена й одержати готовий список комп'ютерів серії WebForce.

Проте, даний метод виявився не дуже надійним, оскільки через кілька місяців системні адміністратори комп'ютерів серії WebForce спохватилися і забрали файл password із загальнодоступних каталогів. Крім того, не усі версії операційної системи IRIX мали розглянутий дефект. З цієї причини зломщики вирішили вдатися до допомоги сканера. Був написаний сканер, що випадковим образом чи на основі якихось додаткових відомостей вибирав деякі мережні адреси. Результати звертання по цих адресах фіксувалися в спеціальному текстовому файлі. Його потім можна було перевірити на наявність у ньому рядків типу:

Trying 199.200.0.1

Connecting to 199.200.0.1

Escape character is "]"

IRIX 4.1

Welcome to Graphics Town!

Login:

Деякі зломщики автоматизували цей процес, змусивши сканер реєструватися в якості 1р на віддаленому комп'ютері. Якщо реєстрація проходила успішно, то інформація про цей факт заносилася у файл разом із зазначенням адреси знайденого комп'ютера.

Серед сканерів найбільшу популярність одержав SATAN (Security Admi nistrator's Tool for Analyzing Networks). Цей сканер поширюється через Internet (його можна знайти, наприклад, за адресою http://www.fish.com), починаючи з квітня 1995 р.

Жодний засіб аналізу мережної безпеки не викликало стільки спорів, скільки довелося на частку сканера SATAN. Газети і журнали відреагували на його появу великими статтями, у яких зображували SATAN ледве не сатанинським винаходом. У телевізійних випусках новин звучали грізні попередження про небезпеку, що для всіх користувачів мереж представляв цей сканер.

І дійсно, SATAN був досить незвичайним для свого часу програмним пакетом. Призначений для використання на робочих станціях, що працюють під керуванням операційної системи UNIX, він має дружній користувальницький інтерфейс. У ньому маються готові формуляри, у які користувачу залишається тільки внести мінімальні відомості про аналізований мережний об'єкт, а також таблиці, що автоматично заповнюються в міру накопичування інформації. При перебуванні якої-небудь вади в мережному захисті користувачу пропонується скористатися контекстно-залежною довідкою, щоб краще зрозуміти суть виявленої вади.

SATAN призначений винятково для роботи в середовищі UNIX. Для його установки і запуску необхідні права адміністратора. Основна задача SATAN, як це випливає з його назви, полягає в тому, щоб відшукувати вади в захисних механізмах комп'ютерної мережі, у якій використовується протокол TCP/IP. Варто особливо підкреслити, що мова йде про уже відомі вади. Це означає, що SATAN не робить нічого такого, що не під силу зробити досвідченому комп'ютерному зломщику, що вручну намагається перебороти мережний захист.

Ще однією відмінною рисою SATAN є його підвищена вимогливість до системних ресурсів, особливо до продуктивності центрального процесора й обсягу оперативної пам'яті. Тому тим користувачам, що хочуть скористатися сканером SATAN, але мають комп'ютери з обмеженими ресурсами, можна порадити їх збільшити. Якщо це за якимись причинами не реалізовано, варто спробувати відмовитись від виконання зайвих процесів і працювати з SATAN за допомогою командного рядка.

Сканер Strobe (Super Optimized TCP Port Surveyor) досліджує порти TCP/IP обраного комп'ютера і протоколює всі отримані зведення. Основне достоїнство Strobe — швидкість сканування. Якщо комп'ютер, на якому запущений Strobe, підключений до Internet через модем, що працює зі швидкістю 28800 біт/з, то на повне сканування сервера йому знадобиться усього близько 30 с. Однак отримана інформація буде досить убогою — лише загальні діагностичні відомості про мережні служби сервера. Крім того, у хост-машині, яка підверглася скануванню за допомогою Strobe, цей факт не залишиться не поміченим (швидше за все, він буде зафіксований у файлі /var/adm/messages). Сканер Strobe можна скачати з Internet за адресою http://www.thedarkside.demon.co.uk/download/security/strobe.tgz.

Jackal (доступний у Internet за адресою http://www.giga.or.at/pub/hacker/ unix) — це сканер-"примара". Він аналізує мережні домени, проникаючи крізь брандмауерів і не залишаючи при цьому ніяких слідів свого проникнення.

Сканер NSS (Network Security Scanner) чудовий насамперед тим, що написано мовою Perl і, отже, може бути легко перенесений на будь-яку платформу, для якої мається інтерпретатор цієї мови. Іншим достоїнством NSS є швидкість його роботи. Бажаючі познайомитися з NSS ближче також можуть звернутися в Internet за адресою http://www.giga.or.at/pub/hacker/unix.

Більш вузька спеціалізація характерна для IdentTCPscan (призначений для визначення реєстраційного імені користувача, що працює з даним портом TCP/IP), FSPScan (здійснює пошук серверів, що підтримують мережний протокол FSP), XSCAN (аналізує Х-сервери з метою перебування вад у їхнє конфігурації) і CONNECT (шукає сервери, що працюють із протоколом TFTP). Усі ці сканери можна знайти там же, де і Jackal з NSS.

Історично склалося, що переважна більшість сканерів було створено для операційної системи UNIX. Тому досить важко відшукати призначені для інших платформ сканери, що по своїй моці, зручності використання і багатству можливостей могли б зрівнятися з SATAN. Крім того, багато з відмінних від UNIX платформ, що підтримують протокол TCP/IP, реалізують його в неповному обсязі. Користувачам Windows 9.x, що неодмінно хочуть скоріше спробувати свої сили в пошуку вад мережного захисту, можна порадити застосувати сканер, що входить у згадуваний вище програмний пакет Network Toolbox.

В таблиці 1 наведений перелік деяких програм-сканерів з указанням типів сканування, що вони дозволяють і посиланнями на джерела інформації по них.

Таблица 1

Утілита	Сканування						Ресурс
	TCP		UDP		Приховане
Unix
Strobe	X						ftp://ftp.FreeBSD.org/pub/FreeBSD/ports/ distfiles/strobe-1.06.tgz
Tcp_scan	X						http://wwdsilx.wwdsi.com/saint/
Udp_scan			X				http://wwdsilx.wwdsi.com/saint/
Nmap	X		X		X		http://www.inscure.org/nmap
Netcat	X		X				http://www.10pht.com/users/10pht/nc110.tgz
Windows
Netcat	X	X				http://www.10ph.com/users/10pht/nc11nt.zip
NetScanTools Pro 2000	X	X				http://www.nwpsw.com
SuperScan	X					http://members.home.com/rkeir/software.html
NTOScanner	X					http://www.ntobjectives.com
WinScan	X					http://www.prosolve.com
IpEye	X					http://ntsecurity.nu
WUPS		X				http://ntsecurity.nu
Fscan	X	X				http://www.foundstone.com

Як правило, до сканування TCP- та UDP-портів зломщик звертається за тим, щоб встановити, яки з них знаходяться в стані очикування запитів. Тому виявити факт сканування — означає встановити, в якому місці і ким буде зроблена спроба взлому. Основні методи виявлення фактів сканування полягають або у використанні спеціальних програм, призначених для виявлення вторгнення на рівні мережі (наприклад, NFR), або у використання механізмів захисту на рівні окремого вузла. Для попередження сканування наврядчи можна щось зробити, але можна спробувати зменьшити ризик, пов'язаний з цим. Для цього необхідно заблокувати усі сервіси, в роботі яких немає потреби. В кожній ОС це робиться у свій спосіб, тому необхідно ретельно вивчити керівництво по ОС.

Слід зазначити, що в засобах захисту мереж від злому постійно виявляються нові вади. Відповідно перетерплюють зміни і сканери. Внесення в них виправлень — справа не особлива трудомістка: досить дописати вихідний код сканера з обліком недавно знайдених проломів у мережних захисних механізмах, і нова, більш зроблена, версія сканера готова! От чому сканери продовжують залишатися одним із самих головних засобів захисту мереж. Системним адміністраторам необхідно мати у своєму розпорядженні якнайбільше таких засобів — гарних і різних.