34

2. ВЫЯВЛЕНИЕ СЕТЕВЫХ АТАК ПУТЕМ АНАЛИЗА ТРАФИКА

2.1. Этапы сетевой атаки

Стандартные сетевые атаки производятся в три этапа: сбор информации, выявление уязвимых мест атакуемой системы и реализация выбранной атаки.

Этап сбора информации заключается в изучении сетевой топологии атакуемой сети, определении типа и версии операционной системы атакуемого узла, выявлении доступных сетевых и иных сервисов, функционирующих на атакуемом узле.

Этап выявления уязвимых мест атакуемой системы осуществляется после или параллельно с этапом сбора информации. Его суть заключается в выяснении версий используемого на атакуемом узле сетевого ПО, выявлении его конфигурации и в анализе наличия уязвимостей в указанном ПО и его настройках.

И, наконец, этап реализации атаки — это либо отправка определенных последовательностей сетевых пакетов на определенные сетевые службы, приводящая к неработоспособности узла, либо выполнение каких-либо запросов к сетевым службам удаленного узла, результатом которых будет получение доступа к защищаемой информации.

В целом первые два этапа не могут быть классифицированы как преступление. Как указывается в [1], компьютерными сетевыми преступлениями являются предусмотренные уголовным законодательством общественно опасные деяния, совершенные на основе удаленного доступа к объекту посягательства с использованием глобальных компьютерных сетей в качестве основного средства достижения цели. Таким образом, компьютерным преступлением является лишь третий этап — реализация атаки.

Вместе с тем выполнение третьего этапа практически невозможно без проведения двух первых этапов атаки. Следовательно, защите должны подлежать и информация о сетевой топологии, и перечень доступных сервисов, и версии программного обеспечения, и т. п.

2.2. Исследование сетевой топологии

Задача изучения сетевой топологии заключается в выявлении сетевых узлов, присутствующих в заданном диапазоне адресов. При этом распространенные сетевые сканеры, такие как nmap, netcat, InterNetView, решают данную задачу чаще всего путем ICMP-сканирования.

Как известно, протокол ICMP используется для определения доступности сетевых узлов. Стандартной программой, применяющей протокол ICMP, является утилита ping. Функционирование утилиты ping сводится к отправке на тестируемый узел запроса и получению ответа. Отправляемый запрос на-

35

зывается ICMP-запросом (тип пакета ECHO_REQUEST), а получаемый ответ — ICMP-ответом (тип пакета ECHO_REPLY).

Рис. 2.1. Исходящий ICMP-запрос

Рис. 2.2. Входящий ICMP-ответ

36

Так, если на компьютере под управлением, например, ОС Windows 2000 с IP-адресом 192.168.200.1 производится выполнение команды ping 192.168.200.2 с целью тестирования доступности узла с IP-адресом 192.168.200.1, то в сети можно наблюдать четыре последовательно передаваемые пары сообщений: исходящий ICMP-запрос (тип ICMP-пакета — 0х08, Echo, рис. 2.1) и входящий ICMP-ответ (тип ICMP-пакета — 0х00, Echo-Reply, рис. 2.2).

Аналогичные пакеты имеют место при сканировании, которое производится, например, сканером InterNetView (рис. 2.3). Единственным отличием является то, что вместо четырех последовательных пар пакетов в трафике присутствует только одна пара: ICMP-запрос и ICMP-ответ.

Рис. 2.3. Окно сканера InterNetView

В общем случае единичный входящий ICMP-запрос не является атакой — это лишь стандартное средство проверки доступности узла. Последовательное выполнение ICMP-запросов с перебором адресов из определенного диапазона уже можно рассматривать как атаку. Вместе с тем, если защищаемая сеть является «клиентской сетью», т. е. не содержит серверов, предоставляющих сетевые услуги, то входящие в эту сеть ICMP-запросы также должны рассматриваться как атака.

Для усложнения процесса выявления атаки перебор адресов может вестись не последовательно, а в псевдослучайном порядке.

Как известно, при выполнении стандартного ICMP-запроса в ОС Windows 2000 происходит обмен стандартной текстовой строкой длиной 32 байта. Обычно данная строка представляет собой 26 букв английского алфавита, дополненных шестью дополнительными символами. Вместе с тем объем передаваемых данных может быть существенно увеличен (до 65 535 байт) с целью передачи не стандартной последовательности, а некоторой специально подготовленной команды или текста. В этом случае проявлением атаки могут быть исходящие ICMP-ответы, в которых может быть передана защищаемая информация.

37

Кроме того, по получаемому ICMP-ответу, а именно по коду ICMPпакета, злоумышленник может определить тип операционной системы тестируемого узла с целью конкретизации дальнейшей атаки.

Таким образом, в случае ICMP-пакетов атакой будем считать входящие ICMP-запросы и исходящие ICMP-ответы.

Рис. 2.4. Запрос установки TCP-соединения

ВЫПОЛНИТЬ!

1.Определите настройки протокола TCP/IP вашего компьютера, например, командой ipconfig из командной строки.

2.Установите и запустите средство анализа сетевого трафика. Осуществите захват сетевого трафика.

3.Выполните команду ping *.*.*.* для обнаружения в сети соседнего компьютера.

4.Осуществите просмотр трафика. В полученных сетевых пакетах убедитесь в наличии полей «источник», «приемник», «тип протокола».

5.Найдите пакет, источником которого является Ваш компьютер, тип протокола — ICMP, описание — Echo. Откройте подробное описание данного пакета. Найдите тип пакета и отправляемые данные. Сколько и каких символов отправляется на искомый компьютер?

38

6.Найдите ответный пакет (приемник — ваш компьютер, тип протокола — ICMP, описание — Echo Reply). Откройте подробное описание данного пакета. Сколько и каких символов отправляется в ответ?

7.Сколько раз осуществляется обмен ICMP-пакетами? Как представлены в IP-пакетах IP-адреса приемника и источника?

Вторым широко распространенным способом выявления сетевой топологии является TCP-сканирование, которое заключается в последовательной попытке установления сетевого соединения по определенному порту с перебором IP-адресов.

При установке TCP-соединения, как было указано ранее, первым пакетом, отправляемым на тестируемый узел, является пакет с установленным флагом SYN (рис. 2.4). В зависимости от того, присутствует ли в сети компьютер с указанным адресом, на котором включена тестируемая служба, возможны три ситуации. В том случае, если компьютер присутствует и на нем функционирует запрашиваемый порт, ответом будет пакет с установленными флагами ACK и SYN, указывающими на то, что по данному порту может быть установлено соединение (рис. 2.5). Анализируя данный ответ, атакующий не только может установить факт присутствия в сети узла, но и определить наличие на нем определенной сетевой службы.

Рис. 2.5. Ответ о возможности установки TCP-соединения

В том случае, если компьютер присутствует, но запрашиваемый порт на нем не открыт, в ответ отправляется TCP-пакет с установленными флагами ACK и RST, указывающими на то, что по запрашиваемому порту соединение