2.2. Атаки, направленные на нарушение конфиденциальности и целостности информации

К подобным атакам может быть отнесено множество атак имеющих различную классификацию по представленной выше схеме. Например, анализ сетевого трафика, «парольная» атака, удаленный запуск приложений и др.

Наиболее простыми, но от этого не менее эффективными являются атаки типа «Man in the Middle», на основе проведения arp-спуфинга и «парольная» атака, на основе подбора паролей по сети. Целью данных атак является получение пароля к какому-либо сервису на удаленном компьютере. В нашем случае рассматриваются стандартные встроенные сервисы ОС Windows XP (впрочем, они имеются и во многих других ОС) telnet и ftp.

Дадим краткую характеристику каждой из атак.

Атака типа «Man in the Middle», на основе проведения arp-спуфинга (известная также как ARP Redirect). При данной атаке злоумышленник перехватывает сетевой трафик между двумя или более хостами, и получает доступ ко всей передаваемой между ними информации. Цель такой атаки – кража или фальсифицирование передаваемой информации, или же получение доступа к ресурсам сети.

Рассмотрим как осуществляется данная атака. Протокол ARP (Address Resolution Protocol – протокол отображения адресов) реализует механизм отображения IP-адресов в MAC-адреса Ethernet. Сетевое оборудование общается между собой путем обмена Ethernet-фреймов (в Ethernet-сети), на канальном уровне. Для обеспечения возможности передачи этой информации необходимо, чтобы каждый сетевой интерфейс имел свой уникальный адрес в сети Ethernet [79]. Он называется MAC-адресом. При посылке IP-пакета, отправляющая машина должна знать MAC-адрес получателя. Чтобы его узнать, в локальную сеть посылается широковещательный ARP-запрос для определения соответствия между MAC-адресом и IP-адресом. Машина с соответствующим IP-адресом отвечает ARP-пакетом, содержащим запрошенный MAC-адрес. С этого момента, отправляющая машина знает MAC-адрес соответствующий IP-адресу назначения. Это соответствие сохраняется некоторое время в кэше (чтобы не выполнять запрос каждый раз при посылке IP-пакета). Рассматриваемая атака изменяет кэш атакуемого хоста. Злоумышленник шлет ARP-ответы атакуемому хосту с информацией о новом MAC-адресе, соответствующем, например, IP-адресу сервера. На самом деле, этот MAC-адрес соответствует интерфейсу машины злоумышленника. Следовательно, весь трафик к шлюзу будет теперь получать хост злоумышленника. Затем можно осуществлять перехват трафика. После этого, трафик будет направляться по настоящему адресу и таким образом перехват будет незамечен.

Атака arp-спуфинг используется в локальной сети, построенной на коммутаторах. Для ее реализации, злоумышленник может воспользоваться такими программами как Ettercap и Cain&Abel, причем в данных программах реализована обработка перехватываемого трафика и выделение интересующих частей, таких, как имя и пароль. Подобную атаку довольно сложно обнаружить, так как обычно злоумышленник находится внутри организации.

«Парольная» атака, на основе подбора паролей по сети. При данной атаке злоумышленник после установки соединения с сервисом на удаленном компьютере, осуществляет последовательный ввод имени и пароля, если такая пара имя «+» пароль существуют для данного сервиса (telnet, ftp или др.), то осуществляется доступ к данному сервису. После того как злоумышленник получил доступ к данному сервису, он может осуществлять ряд действий в рамках полномочий той учетной записи, под которой он осуществил проникновение.

На практике попытка подобрать имя и пароль для осуществления входа на сервис удаленного компьютера, перебирая различные варианты и вводя их с клавиатуры неэффективна. Скорость такого подбора пароля будет очень низкой. Более эффективным является подбор паролей при помощи специальных программ, например Brutus, Hydra и др. Данные программы являются многофункциональными и способны подбирать пароли к различным сервисам (в том числе к telnet и ftp), с различными параметрами для реализации подбора (различных вариантов осуществления подбора). Так же важным моментом является знание имени пользователя зарегистрированного на сервисе удаленного компьютера, в противном случае подбор паролей для всех возможных имен будет практически неосуществим.

Кроме рассмотренных атак, необходимо рассмотреть вариант, когда злоумышленнику не известен IP-адрес хоста с необходимой ему информацией. В этом случае злоумышленнику необходимо предварительно провести подготовку к реализации дальнейших атак, т.е. определить IP-адрес хоста и функционирующие на нем сервисы. Например, при обнаружении функционирующего сервиса на 21 порту, можно сделать вывод о том, что данный хост является файловым сервером. Для выполнения данной функции существуют множество различных программ, среди которых, Angry IP Scanner, NMAP и др.

Рассмотрев угрозы удаленного проникновения в ОС компьютера, перейдем к рассмотрению мер и средств защиты.