9. Типовые признаки компьютерных атак. Основные варианты реализации.

Любой метод атаки характеризуется некоторой совокупностью признаков. К типовым признакам атак можно отнести следующие:

1)Повтор определенных событий, действий. Например, обращение к портам (сканирование), подбор пароля, повтор запросов на установление со-единения, приводящее к переполнению очереди или буфера;

2)Непредвиденные параметры в сетевых пакетах

• непредвиденные атрибуты адреса (например, немаршрутизируемые или зарезервированные IP-адреса, значение в поле порта источника или назначения равно нулю, запрос нестандартных серверов);

• непредвиденные параметры флагов сетевых пакетов (например, при установленном флаге ACK номер подтверждения равен нулю; в пакете два взаимоисключающих флага SYN+FIN; наличие только флага FIN; использование сочетания флагов SYN+RST и RST+FIN);

• непредвиденные атрибуты времени или даты;

3) Несоответствующие параметры сетевого трафика

• параметры входящего трафика (например, входящие извне в локальную сеть пакеты, имеющие адрес источника, соответствующий диапазону адресов внутренней сети);

• параметры исходящего трафика (например, исходящие из локальной сети пакеты, имеющие адрес источника, соответствующий диапазону адресов внешней сети);

• несоответствующие текущей ситуации команды (неправильные запросы или ответы);

• аномалии сетевого трафика (например, изменение коэффициента за-грузки, размера пакета, среднего количества фрагментированных пакетов);

4) Несоответствующие атрибуты функционирования системы

• аномальные системные характеристики (усиленная загрузка CPU, интенсивное обращение к ОЗУ или дисковой памяти, файлам);

• несоответствие характеристик работы пользователей их профилям (отклонение от время пиковых и минимальных нагрузок, от длительности типичного сеанса работы, от обычного времени входа и выхода из системы).

Основные варианты реализации компьютерных атак

Реализация атак может быть осуществлено при непосредственном или сетевом входе в систему. Поэтому выделяют два основных варианта реализации атак:

1) системный – при котором предполагается, что нарушитель уже имеет учетную запись в атакуемой системе с некоторыми (обычно невысокими) привилегиями или существует возможность входа в систему под анонимным пользователем. При этом атака реализуется посредством входа нарушителя в систему под этой учетной записью и получения дополнительных административных полномочий. В результате проведения атаки осуществляется несанкционированный доступ к информации на объекте (хосте). В частности такой вариант атак возможно осуществить с помощью программы GetAdmin.

2) сетевой – при котором подразумевается, что нарушитель пытается дистанционно проникнуть в систему через сеть. Такое проникновение возможно при нахождении компьютера нарушителя в одном сегменте сети, в разных сегментах, при удаленном доступе к атакуемому объекту (например, с использованием коммутируемых или выделенных модемных соединений). В результате таких атак, у нарушителя может появиться возможность удаленного управления компьютером через сеть, доступа к информационным ресурсам атакованного объекта, изменение его режима функционирования, в том числе и отказ в обслуживании. В качестве программ, которые позволяют реализовать сетевой вариант атак, могут быть использованы программы NetBus или BackOrifice.

Для реализации атак могут использоваться определенные команды (последовательности команд) в интерфейсе командной строки, сценарии, программы, или автономные агенты, установленные на одном или распределенные по нескольким узлам (компьютерам) сети.

Основные средства реализации компьютерных атак

Средства и механизмы реализации атак могут быть классифицированы следующим образом:

- средства получения определенной информации из канала информационного обмена или других источников (например, IRC, FIDO и т. п). Например анализаторы протоколов (sniffers) - программы, которые "прослушивают"сетевой трафик. При помощи этих программ можно автоматически искать такую информацию, как идентификаторы и пароли пользователей, информацию о кредитных картах и т. д. Анализатором протоколов можно назвать Microsoft Network Monitor, NetXRay компании Network Associates или LanExplorer. Сетевые сканеры (network scanners). Программы, которые анализируют топологию сети и обнаруживают сервисы, доступные для атаки Примером такой программы можно назвать систему nmap. Сканеры уязвимостей - программы, осуществляющие поиск уязвимостей на узлах сети и которые могут быть использованы для реализации атак Примеры: система SATAN или ShadowSecurityScanner. Взломщики паролей (password crackers). Программы, которые подбирают пароли пользователей Примером взломщика паролей может служить LOphtCrack для Windows или Crack для Unix.

- механизм использования уязвимостей путем ввода определенных команд (команд пользователя) в интерфейсе командной строки (Command Line Interface, CLI) или процесса (например, GUI). В качестве примера можно назвать ввод команд ОС через соединение Telnet или FTP.

- сценарии (скрипты), программы или последовательности команд, описанные в сценарии, вызываемые нарушителем для использования уязвимости. Иными словами, сценарий или программа – это оболочка для одной или нескольких команд пользователей. Например, к таковым относятся программы Crack или LOphtCrack для подбора паролей или "троянский конь" NetBus. Для программ или сценариев объект атаки нарушитель определяет "вручную".

- автономный агент аналог предыдущего "оружия", но в отличие от него, цель атаки выбирается по определенному алгоритму независимо от пользователя. Примером автономного агента является "червь Морриса" (Morris worm) или компьютерный вирус (например, макровирус).

- комплект утилит (toolkit) — пакет программ, сценариев или автономных агентов, используемых для осуществления атаки. Например, rootkit.

- распределенные средства (distributed tools) — программы, сценарии или

автономные агенты, распределенные по нескольким узлам сети. Атака осуществляется в определенное время сразу из нескольких точек сети. Это наиболее сложный (как для осуществления атак, так и для защиты от него) тип средств реализации атаки. Характерные примеры: TFN2K, Stacheldraht.

Не сложно заметить, что каждая из категорий средств, за исключением информационного обмена, может содержать в себе другие категории средств.

Например, комплект утилит всегда включает в себя несколько программ или сценариев.