Мережева безпека – огляд уразливостей та загроз
Бізнес, сервіси користувача все більше переходять на хмарні технології, коли програми працюють на віддалених серверах, там же зберігають комерційні, персональні дані. І тут виникає серйозне питання – як організувати мережеву безпеку. Перший крок у цьому – дізнатися, які загрози, які типи хакерських атак поширені, чим вони загрожують власнику хмари або іншого ресурсу в інтернеті. Розглянемо їх у цій статті.
Що таке мережева безпека
Почнемо з основ. Під мережевою безпекою варто розуміти систему заходів, спрямованих на запобігання крадіжці відомостей з особистого облікового запису або бази даних організації (у тому числі державних органів, силових відомств тощо). Сюди входять питання забезпечення працездатності IT-інфраструктури. Щоб спростити завдання, процес забезпечення мережевої безпеки розділили на ряд «підрозділів», що мають специфічні риси. Система захисту включає контроль наступних критеріїв:
- Доступність – інформація цінна, коли до неї є доступ «на запит», у будь-який час доби, без вихідних та свят. Фактор став критичним після її масового перенесення на віддалені сервери, які можуть розташовуватись у будь-якій точці світу. Резервні копії і ті часто зберігають в «хмарах», нехай і розміщених на «іншому» хості.
- Цілісність - віддалені сервери працюють цілодобово, і вони безперервно підключені до Інтернету. Це обов'язкова вимога для доступності інформації з боку користувача. Але одночасно такий підхід створює загрози підключення до хоста сторонніх, які можуть видалити файли, внести в них критичні зміни.
- Конфіденційність - критерій пов'язаний з попереднім, тільки проявляється інакше. Хакери можуть скопіювати базу даних, наприклад довідник контрагентів з контактами, звіти фінансової діяльності. Що вони робитимуть із відомостями невідомо. Може, продадуть конкурентам або опублікують у вільному доступі. Кожен пункт із перелічених потребує певних заходів щодо захисту. Частина взаємопов'язана, наприклад, антивіруси призначені для комплексного блокування загроз. Рішення залежить від призначення віддаленого ресурсу. Одна справа захистити інтернет-магазин чи корпоративну CRM і зовсім інше, коли йдеться про ігровий сервер. Вони мають різні вразливості та вимоги до продуктивності системи, системи авторизації. У будь-якому випадку при розгортанні віддаленого сервісу необхідно відразу подбати про захист інформації. Крім «комерційної таємниці», під загрозою часто опиняються номери та секретні коди банківських карток, логіни та паролі доступу в акаунти, бази, які підходять для розсилки Email, SMS реклами тощо. Кіберзлочинці використовують уразливості і для шантажу, щоб отримати «викуп» від власників зламаних систем.
Які існують загрози мережевої безпеки
Класифікація загроз мережевої безпеки можлива за різними критеріями. Одну з них ми вже розглянули (доступність, цілісність та конфіденційність). За розташуванням джерела вони бувають внутрішніми, наприклад, комп'ютерний вірус, або зовнішніми – DDoS-атака, сніфери для «прослуховування» трафіку тощо. Нерідко проблема комбінована: спочатку зловмисники атакують сервер зовні і після злому роблять «ін'єкцію» шкідливим ПЗ. Компоненти, на які переважно націлені погрози:
- Інфраструктура віддаленого ресурсу – мова про працездатність виділеного сервера, від фізичної можливості підключення до нього контролю за ресурсами на кшталт потужності процесора, обсягу оперативної пам'яті. Адже навіть зниження продуктивності негативно позначатиметься на рентабельності ресурсу. Програмне забезпечення – софт «ламають», щоб той перестав запускатися, підміняють на фіктивний, призначений для крадіжки цінних відомостей на кшталт пароля, секретного коду на банківській карті. Мета одна: завдати матеріальних збитків у вигляді відсутності прибутку або «прямого» крадіжки грошей з рахунків.
- Інфраструктура віддаленого ресурсу – мова про працездатність виділеного сервера, від фізичної можливості підключення до нього контролю за ресурсами на кшталт потужності процесора, обсягу оперативної пам'яті. Адже навіть зниження продуктивності негативно позначатиметься на рентабельності ресурсу.
- Файли (дані) – користувачеві/власнику критичний сам собою доступ до інформації. І хакери користуються цим, коли псують схему підключення до баз даних, шифрують їх або банально видаляють без шансу на відновлення (заповнення випадковими символами тощо). Крадіжку БД взагалі можна не помітити, поки та не «спливе» в інтернеті. Важливо враховувати, що загрози безпеки мережі виникають як навмисно, так і випадково. Перший варіант зазвичай означає цілеспрямовану атаку хакерів. Другий припускає, що конкретний сервер «зачепило» лише тому, що на ньому не було захисту. Таке відбувається, якщо в мережі з'являється вірус, націлений на пошук хостів, які можна заселити і використовувати для подальшого розсилання самого себе. Або для спам-розсилки заборонених товарів/послуг.Не можна скидати з рахунків загрози природного та техногенного характеру. Від них захищає ЦОД – там передбачені резервні лінії електроживлення, підключення до інтернету, охолодження та фізична охорона. Але від того ж землетрусу такі заходи не врятують. У цій статті ми такі погрози докладно не розглядатимемо, т.к. все одно повноцінного захисту від них не існує (допоможуть локальні резервні копії).
Що таке вразливість мережі
Ключова причина, чому стають реальними зломи віддалених серверів, це наявність на них певних уразливостей. Якби їх не було, будь-які атаки не давали б успіху. Механізми захисту передбачають пошук та усунення «дір» інформаційних систем. Наприклад, сервіс Telnet передбачає передачу імені користувача та пароля у відкритому вигляді, без шифрування. Це явний недолік, що дозволяє перехопити відомості під час прослуховування мережного трафіку. Прийнято ділити вразливості на три категорії:
- Відома проблема, є рішення для виправлення (пакет оновлення та ін.).
- Відома проблема, але рішення поки що не розроблено (їх закривають стороннім софтом).
- Проблема невідома, поки що є факти «проникнення». Останній варіант зазвичай називають "уразливістю нульового дня". Незалежно від категорії вони з'являються через недоробку програмного продукту: операційної системи, софту користувача, драйверів. Помилки зустрічаються навіть у міжмережевих екранах та антивірусах. Типовий список можна взяти з бази CVE (Common Vulnerabilities and Exposures) або NVD (National Vulnerabilities Database). Там фахівці акумулюють відомості про певні проблеми.
Вразливості у мережевих протоколах
Існує 14 активно застосовуваних протоколів обміну даними у мережі.Кожен із них має власне призначення та особливості. Наприклад, організація дротової мережі Ethernet або бездротової мережі WLAN. Певний набір використовують для потокового мовлення та передачі даних через інтернет (відкриття сайтів, завантаження файлів тощо). Коротко розглянемо вразливість популярних мережевих протоколів:
- ARP – дозволяє ідентифікувати MAC-адресу. В одноранговій мережі немає можливості перевірити, звідки саме надійшов пакет, чим і користуються зловмисники. Вони пов'язують свій MAC з IP жертви та отримують його трафік.
- DNS – призначений для перетворення цифрової IP-адреси на зрозумілий людині домен. Через «отруєння» кеша зловмисники підмінюють відомості про віддалений хост і користувач перенаправляється на шкідливий сайт.
- FTP – протокол передачі файлів. У ньому відсутнє шифрування та контроль з'єднання, а логін із паролем передаються відкритим текстом. Перехопити дані можна практично будь-яким мережним аналізатором.
- HTTP/S – використовується для безпечної передачі даних між користувачем та сайтом. У протоколі є "дірка", що дозволяє за допомогою атаки Drown зламати шифрування і вже потім вкрасти кредитні картки, паролі та ін.
- POP3 – інструмент отримання електронної пошти з віддаленого сервера на локальну машину. Тут «дірки» дозволяють атакувати систему способом FireWire та отримувати прямий доступ до пам'яті. Є відомі проблеми й інші протоколи: IMAP, RDP, SIP, SMB, SMTP, SNMP, SSH, VNC, Telnet. Більшість із них вдається «закрити» за допомогою брандмауера та/або антивірусу. Але це ефективно за умови, що захист налаштовують під час розгортання віддаленого сервера. Багато заходів, вжитих «потім», не гарантують інформаційну безпеку.Так, існують віруси, здатні перешкоджати встановленню антивірусів (наприклад, Trojan Multi Gen Autorun).
Уразливості в апаратній частині мереж
Переважна частина мережного обладнання працює під управлінням власного програмного забезпечення (прошивки). У ньому також зустрічаються помилки, що призводять до вразливостей. Один з типових прикладів: у маршрутизаторах Mikrotik з RouterOS є проблема, що дозволяє будь-кому, хто володіє обліковим записом адміністратора, підвищити свої привілеї до Super Admin. Такі «трабли» зустрічаються і з мережевими, мікрокодом процесорів і т.д.
Уразливості у програмному забезпеченні
Маса вразливостей міститься в операційних системах та користувальницькому софті. Їх «лікують» за допомогою патчів (оновлень). Тут критичним є використання піратських програм, які зазвичай не оновлюються та потенційно небезпечні. З моменту випуску Microsoft закрила понад 100 «дір» у Windows 2019/2022. І це йдеться про серверні операційки, які спочатку розробляються з урахуванням підвищеної безпеки.
Людський фактор як уразливість
Чимало проблем завдає банальна людська безладність. Користувачі ігнорують або недостатньо уважно ставляться до рекомендацій спеціалістів. І потім використовують занадто прості паролі для входу в облікові записи, забувають відразу встановити/налаштувати брандмауер, антивірус або інше захисне програмне забезпечення. Людину легко спіймати на цікавості, коли пропонують натиснути на посилання, де буде «таємна інформація», мега-скиду і т.д.
Основні види атак
Під мережевою атакою мають на увазі дії зловмисника, націлені на отримання доступу до віддаленого хоста або локальної машини.При його отриманні можливі різні сценарії, загальне у всіх видів впливів одне - хакери використовують вразливості в апаратній або програмній частині комп'ютера. Здебільшого атаки ділять на пасивні та активні. Окремою категорією йде так звана соціальна інженерія, спрямовану користувачів.
1.Пасивні атаки
Пасивні атаки вважаються небезпечнішими, т.к. вони передбачають прямого на мережу чи його компоненти. Зловмисники залишаються «невидимими» з моменту підключення до виявлення факту витоку/псування інформації. Побутовий приклад: прослуховування телефону.
Підслуховування (Sniffing)
Сніфери, програми для перехоплення пакетів без переривання сеансу зв'язку, орієнтовані на пошук незашифрованих даних. Наприклад, у відкритому вигляді передають пакети протоколу FTP, Telnet, SMTP, POP3. Завдання: отримати логіни, паролі, контактні дані, інші особисті, комерційно цінні відомості.
Аналіз трафіку (Traffic Analysis)
Найдосконаліший спосіб перехоплення, т.к. передбачає можливість отримання інформації навіть із зашифрованих пакетів. Ефективність відносно низька, але за наявності хоча б шматка свідомо відкритого тексту є шанс підібрати ключ і отримати доступ до всіх відомостей, що передаються по мережі.
2.Активні атаки
Під активними атаками мають на увазі пряму дію на IT-інфраструктуру. Нерідко вони націлені обмеження працездатності, перенаправлення користувача на шкідливий ресурс. Такі атаки залишають сліди, їх можна виявити за лог-файлами.
ARP-отруєння (ARP Poisoning)
Метод ARP-отруєння або ARP-спуфінгу передбачає прив'язку до MAC-адреси мережевої карти замість істинної IP-адреси підмінного, підконтрольного зловмиснику.При успіху він зможе читати, перенаправляти чи навіть модифікувати повідомлення. Засновано атаки на тому, що в ARP-протоколі відсутнє поняття автентифікації. Метод працює усередині конкретної мережі.
Міжмережеве проникнення (Intrusion)
Варіант міжмережевого проникнення використовують для атак ззовні. Традиційна мета хакерів – отримати доступ до хоста. Потім можна виконати довільний код, хоч поставити кейлоггер, хоч завантажити бази даних або логіни/паролі з налаштувань браузера. Причини злому різні, від уразливості в операційній системі або додатку до слабкого пароля, «кривої» прошивки в маршрутизаторі, застосування незахищених протоколів.
3.Методи соціальної інженерії
Найрізноманітніший інструментарій у тих, хто використовує соціальну інженерію. Список включає фішинг, цільовий фішинг, голосовий фішинг, змішинг, «китобійний» фішинг, клон-фішинг, приманки, пугалки. Усього налічують щонайменше 15 популярних методів атак. Націлені вони на обман користувача, щоб той зайшов на шкідливий сайт, завантажив файл, клацнув за посиланням тощо. Результат завжди один – машина буде інфікована та зламана.
Висновок
Мережева безпека - настільки ж важливий критерій при розгортанні віддаленого сервера, як і установка софту користувача. Без захисту будь-який комп'ютер рано чи пізно атакується хакерами. Найчастіше це відбувається автоматизовано за допомогою додатків. Ті спрощують «перебір» можливих уразливостей. Таким же софт користуються IT-фахівці при аудиті інфраструктури. Потенційних загроз у мережі сотні, від «дірявих» протоколів до недопрацьованих програм та маршрутизаторів. Вихід із одного – регулярно перевіряти систему і закривати виявлені недоліки.Наприклад, завжди ставити рекомендовані патчі, користуватися брандмауерами, антивірусами і т.д.
Тема 24: Загрози, уразливості та атаки у мережах
Далі будуть часто зустрічатися такі терміни, як погрози, уразливості та атаки. Тому необхідно дати визначення цим поняттям.
Загроза - це потенційно можлива подія, явище або процес, який за допомогою впливу на компоненти інформаційної системи може призвести до завдання шкоди.
Вразливість – це будь-яка характеристика чи властивість інформаційної системи, використання якої порушником може призвести до реалізації загрози.
Атака – це будь-яка дія порушника, що призводить до реалізації загрози шляхом використання вразливостей інформаційної системи.
Класифікація вразливостей
З визначень видно, що, роблячи атаку, порушник використовує вразливості інформаційної системи. Інакше кажучи, якщо немає вразливості, то неможлива й атака, що її використовує. Тому одним із найважливіших механізмів захисту є процес пошуку та усунення вразливостей інформаційної системи. Розглянемо різні варіанти класифікації уразливостей. Така класифікація потрібна, наприклад, для створення бази даних уразливостей, яка може поповнюватися в міру виявлення нових вразливостей.
Джерела виникнення вразливостей
Частина вразливостей закладається ще етапі проектування. Як приклад можна навести сервіс TELNET, в якому ім'я користувача та пароль передаються по мережі у відкритому вигляді. Це очевидний недолік, закладений на етапі проектування. Деякі вразливості такого роду важко назвати недоліками, скоріше це особливості проектування. Наприклад, особливість мереж Ethernet – загальне середовище. передачі.
Інша частина уразливостей виникає на етапі реалізації (програмування).До таких уразливостей відносяться, наприклад, помилки програмування стека TCP/IP, що призводять до відмови в обслуговуванні. Сюди слід зарахувати і помилки під час написання додатків, які призводять до переповнення буфера.
І, нарешті, уразливості може бути наслідком помилок, допущених у процесі експлуатації інформаційної системи. Сюди відносяться неправильне конфігурування операційних систем, протоколів та служб, нестійкі паролі користувачів та ін.
Класифікація вразливостей за рівнем в інфраструктурі АС
Наступний варіант класифікації – за рівнем інформаційної структури організації. Це найнаочніший варіант класифікації, тобто. до. він показує, що саме вразливе.
До рівня мережі відносяться вразливості мережевих протоколів - стека TCP/IP, протоколів NetBEUI, IPX/SPX.
Рівень операційної системи охоплює вразливості Windows, UNIX, Novell тощо. буд., тобто. конкретної ОС.
На рівні баз даних перебувають уразливості конкретних СУБД-Oracle, MSSQL, Sybase. Цей рівень розглядається окремо, тому що бази даних зазвичай є невід'ємною частиною будь-якої компанії.
До рівня додатків відносяться вразливості програмного забезпечення WEB, SMTP серверів і т.д. п.
Класифікація вразливостей за рівнем ризику
Цей варіант класифікації досить умовний, проте, якщо дотримуватися погляду компанії Internet Security Systems, можна виділити три рівні ризику:
Високий рівень ризику
Уразливості, що дозволяють атакуючому отримати безпосередній доступ до вузла з правами суперкористувача, або в обхід міжмережевих екранів, або інших засобів захисту.
Середній рівень ризику
Уразливості, що дозволяють атакуючому отримати інформацію, яка з високим ступенем ймовірності дозволить отримати доступ до сайту.
Низький рівень ризику
Вразливості, що дозволяють зловмиснику здійснювати збирання критичної інформації про систему.
Інформацію про відомі виявлені вразливості можна знайти на сайтах, таких як:
www.iss.net - Компанія Internet Security Systems (ISS); www.cert.org - координаційний центр CERT;
www . sans . org - інститут системного адміністрування, мережевих технологій та захисту;
www . ciac . org - група реагування на інциденти у сфері комп'ютерної безпеки;
www . securityfocus . com - інформація про виявлені вразливості з докладними поясненнями та групою новин.
Приклади уразливостей (база даних компанії ISS ) Назва: nt - getadmin - present
Опис: проблема однієї з функцій ядра ОС Windows NT, що дозволяє зловмиснику отримати привілеї адміністратора
Рівень: ОС
Ступінь ризику: висока
Джерело виникнення: помилки реалізації
Назва : ip-fragment-reassembly-dos
Опис: посилка великого числа однакових фрагментів IP-датаграми призводить до недоступності вузла на час атаки
Рівень: мережа
Ступінь ризику: середня
Джерело виникнення: помилки реалізації
Common Vulnerabilities and Exposures (CVE) – це список стандартних назв для загальновідомих уразливостей. Основне призначення CVE - це узгодження різних баз даних уразливостей та інструментів, які використовують такі бази даних. Наприклад, та сама вразливість може мати різні назви в базі даних Internet Scanner і CyberCop Scanner. Поява CVE – це результат спільних зусиль відомих світових лідерів у галузі інформаційної безпеки: інститутів, виробників програмного забезпечення тощо. Підтримку CVE здійснює MITRE Corporation (www.mitre.org).
Процес отримання індексу CVE (CVE entry) починається з виявлення вразливості.Потім вразливості надається статус кандидата CVE і відповідний номер (CVE candidate number).
CVE кандидат
З кандидатом CVE асоціюються номер, короткий опис та посилання Номер, також званий ім'ям, складається з року та унікального індексу, наприклад, CAN-1999-0067.
CVE entry
Після набуття статусу CVE entry вразливості надаються номер, короткий опис і посилання, наприклад, CVE -1999-0067.
Приклади
CVE-1999-0005
Arbitrary command execution via IMAP buffer overflow в authenticate command.
Reference: CERT:CA-98.09.imapd Reference: SUN:00177. Reference: BID: 130 Reference: XF:imap-authenticate-bo
CVE-2000-0482
Check Point Firewall-1 дозволяє remote attackers викликати денний сервіс за допомогою великої кількості malformed fragmented IP пакетів.
Reference: BUGTRAQ:20000605 FW-1 IP Fragmentation Vulnerability
Reference: BID: 1312
Reference: XF:fw1-packet-fragment-dos
Детальніше дізнатися про CVE та отримати список CVE entry можна за адресою: http://cve.mitre.org/cve .
Класифікація атак
Також як і вразливості, атаки можна класифікувати за різними ознаками.
Класифікація атак за цілями
Виробляючи атаку, зловмисник переслідує певні цілі.
• порушення нормального функціонування об'єкта атаки (відмова в обслуговуванні)
• отримання контролю за об'єктом атаки
• отримання конфіденційної та критичної інформації
• модифікація та фальсифікація даних
Класифікація атак з мотивації дій
Цей перелік є класичним і відноситься не тільки до IP-мереж, але й до інших сфер діяльності:
Місцезнаходження порушника
Наступний можливий варіант класифікації атак - за місцезнаходженням атакуючого:
• в одному сегменті з об'єктом атаки; • в різних сегментах з об'єктом атаки.
Від взаємного розташування атакуючого та жертви залежить механізм реалізації атаки. Як правило, здійснити міжсегментну атаку буває складніше.
Механізми реалізації атак
Найбільш важливий для розуміння суті того, що відбувається - це варіант класифікації атак за механізмами їх реалізації:
Приклад: перехоплення трафіку мережного сегмента
Приклад: сканування портів (служб) об'єкта атаки, спроби підбору пароля
• марне витрачання обчислювального ресурсу
Приклад: вичерпання ресурсів вузла, що атакується, або групи вузлів, що призводить до зниження продуктивності (переповнення черги запитів на з'єднання і т.п.)
• Порушення навігації (створення хибних об'єктів та маршрутів)
Приклад: Зміна маршруту мережних пакетів, таким чином, щоб вони проходили через хости та маршрутизатори порушника, зміна таблиць відповідності умовних Internet -імен та IP -адрес (атаки на DNS ) тощо.
• Виведення з ладу
Приклад: посипання пакетів певного типу на атакований вузол, що призводить до відмови вузла або служби, що працює на ньому ( WinNuke та ін)
• Запуск програм на об'єкті атаки
Приклад: виконання ворожої програми в оперативній пам'яті об'єкта атаки (троянські коні, передача управління ворожій програмі шляхом переповнення буфера, виконання шкідливого мобільного коду Java або ActiveX та ін)
Статистика з уразливостей та атак за 2000 рік
За даними компанії Internet Security Systems за 2000 рік, найчастіше під час проведення атак використовувалися такі вразливості:
1. Уразливості, що призводять до відмови в обслуговуванні (Denial of Service)
2. Уразливості системної політики (користувацькі бюджети, паролі) •
3. Уразливості Microsoft Internet Information Server
5. Вразливості Web-додатків
6. Уразливості електронної пошти
7. Уразливості мережевих файлових систем
8. Уразливості протоколу RPC
10. Уразливості, пов'язані з переповненням буфера в Linux-додатках
Приклади атак
Як було сказано вище, найбільш повний варіант класифікації атак – за механізмами їх реалізації. Далі наведено приклади використання деяких перерахованих механізмів.
Прослуховування трафіку
Опис; Перехоплення та аналіз трафіку мережного сегмента, заснований на можливості переведення мережевого адаптера в неселективний режим роботи.
Ціль: Отримання конфіденційної та критичної інформації
механізм реалізації; Пасивне прослуховування
Вразливості, що використовуються; Заснована на загальному середовищі передачі технологія (Ethernet)
- Нестача проектування. Передача конфіденційної інформації у відкритому вигляді
Рівень інформаційної інфраструктури: Мережа. Ступінь ризику;Висока
Термін "сніфер" («нюхач») вперше був використаний компанією Network Associates в назві відомого продукту "Sniffer(г) Network Analyzer". У самому загальному сенсі слово "сніфер" позначає пристрій, підключений до комп'ютерної мережі і записує весь її трафік подібно до телефонних "жучок", що записує телефонні розмови.Однак найчастіше "сніфером" називають програму, запущену на підключеному до мережі вузлі і переглядає весь трафік мережевого сегмента. Робота "сніфера" використовує основний принцип технології Ethernet - загальне середовище передачі. Це означає, що будь-який пристрій, підключений до мережного сегмента, може чути та приймати всі повідомлення, у тому числі призначені не йому. Мережні адаптери Ethernet можуть працювати у двох режимах: селективному (non-promiscuous) та неселективному (promiscuous). У першому випадку приймаються лише повідомлення, призначені даному вузлу. Фільтрування здійснюється на основі МАС-адреси кадру. У другому випадку фільтрація не здійснюється і вузол приймає всі кадри, що передаються сегментом 1.
Сканування портів
Опис; Підключення до вузла та перебір портів із відомого діапазону з метою виявлення працюючих на вузлі служб
Ціль; Отримання конфіденційної та критичної інформації механізм реалізації;Підозрювальна активність
Вразливості, що використовуються; Помилки обслуговування. Служби, які не використовуються, але встановлені та працюють.
Рівень інформаційної інфраструктури: Мережа. Ступінь ризику:Низька
Атака SynFlood
Опис; Здійснення великої кількості запитів на встановлення TCP-з'єднання. Ціль;Порушення нормального функціонування об'єкта атаки механізм реалізації;Некорисне витрачання обчислювального ресурсу
Вразливості, що використовуються: Особливості схеми встановлення з'єднання за протоколом TCP.
Рівень інформаційної інфраструктури: Мережа. Ступінь ризику;Висока
У разі отримання запиту на з'єднання система відповідає на SYN -пакет SYN / ACK -пакетом, що прийшов, переводить сесію в стан SYN _ RECEIVED і заносить її в чергу.Якщо протягом заданого часу від клієнта не прийде АСК, з'єднання
1 Більш детально мережеві аналізатори та способи їх виявлення розглядаються в курсі БТОЗ.
видаляється з черги, інакше з'єднання перетворюється на стан ESTABLISHED (встановлено).
Якщо черга вхідних з'єднань заповнена, а система отримує SYN-пакет. запрошує до встановлення з'єднання, він буде проігнорований.
Затоплення SYN-пакетами ґрунтується на переповненні черги сервера, після чого сервер перестає відповідати на запити користувачів. Після закінчення деякого часу (час тайм-ауту залежить від реалізації), система видаляє запити з черги. Проте ніщо не заважає зловмисникові надіслати нову порцію запитів. Зазвичай використовуються випадкові (фіктивні) зворотні IP-адреси для формування пакетів, що утруднює виявлення зловмисника.
Атака ARP - Spoofing
Опис: Додавання помилкових записів до таблиці, що використовується під час роботи протоколу ARP
Ціль: Порушення нормального функціонування об'єкта атаки
механізм реалізації; Порушення навігації
Вразливості, що використовуються; Нестача проектування протоколу ARP
Рівень інформаційної інфраструктури: Мережа
Ступінь ризику; Висока
Більшість ОС додають до таблиці новий запис на основі отриманої відповіді навіть без перевірки того, чи був надісланий запит (виняток, наприклад, Solaris ).
Таким чином, порушник може надіслати відповідь, в якій зазначено MAC - адресу неіснуючого або непрацюючого в даний момент вузла, що призведе до неможливості взаємодії вузла-«жертви» з будь-яким вузлом. Наприклад, на наступному малюнку вузол 223.1.2.1 не буде доступний з вузла об'єкта атаки після посилки порушником помилкового ARP-відповіді.
Атака IISDOS
Опис: Посилання некоректно побудованого HTTP-запиту призводить до перевитрати ресурсів атакованого WWW-з ep в epa
Ціль: Порушення нормального функціонування об'єкта атаки Механізм реалізації: Некорисне витрачання обчислювального ресурсу Вразливості, що використовуються: Помилка реалізації Microsoft Internet Information Server Рівень інформаційної інфраструктури: Програми Ступінь ризику: Середня
Висновки
Отже, для захисту від атак необхідно використовувати комплекс засобів безпеки, що реалізує основні захисні механізми та складається з наступних компонентів:
• Міжмережні екрани, що є першою лінією оборони та реалізують комплекс захисних механізмів, що називається захистом периметра.
• Засоби аналізу захищеності, що дозволяють оцінити ефективність роботи засобів захисту та виявити вразливість вузлів, протоколів, служб.
• Засоби виявлення атак, які здійснюють моніторинг у реальному режимі часу.
Далі розглядаються приклади коштів, які стосуються кожної зі згаданих категорій.
