 |
Sendmail и электронная почта 9 глава
|
|
|
|
Пример защиты от разрушающих Java-апплетов - программа Surfinshield фирмы Finjan Software Ltd. (http://www.fmjan.com). Эта программа работает как детектор и оповеститель о попытках загрузки из Internet деструктивных Java-апплетов: она автоматически "убивает" опасные апплеты и блокирует Java-атаку. Surfinshield работает внутри браузера Navigator для ОС Solaris, Windows 95 и Windows NT. Для ее установки требуется ПК Pentium с 32 Мбайт ОЗУ и 24 Мбайт свободного пространства на жестком диске.
Программа WebScanX компании Network Associates (McAfee) является антивирусным продуктом с расширенными возможностями для сканирования враждебных программ, реализованных с помощью технологий Java и ActiveX.
GuardDog фирмы CyberMedia предназначена для работы под ОС Windows 95 на ПК с 8 Мбайт ОЗУ и 4 Мбайт на диске. Эта программа различает враждебные программы и "троянские кони"; блокирует cookie-файлы; защищает от вирусов в электронной почте и загружаемых файлах; фильтрует нежелательные Web-узлы; контролирует все подключения модема и выполняет еще ряд других полезных функций.
Вопросы для самоконтроля по разделу 2
1. Что такое интрасеть? Чем она отличается от локальной вычислительной сети? Каковы ее составляющие? Каковы используемые в интрасетях технологии?
2. Какие этапы включает процесс создания интрасети?
3. Опишите основные виды интрасетей.
4. Как и для чего осуществляется сегментирование интрасетей?
5. Что такое экстрасети?
6. Что такое удаленная атака? Что такое типовая удаленная атака?
7. Какие основные критерии классификации удаленных атак вы знаете?
8. Кратко опишите пять основных схем типовых удаленных атак.
9. С доступом к какой информации связаны классические методы взлома интрасетей?
10. В чем различие идентификации и аутентификации пользователей интрасетей?
|
|
|
11. Каково назначение подсистемы управления доступом интрасети?
12. Каковы особенности единого входа в систему (SSO)?
13. Перечислите основные методы получения злоумышленниками паролей легальных пользователей интрасетей и рассмотрите их особенности.
14. Какие современные методы взлома интрасетей существуют?
15. Как можно осуществить перехват данных при их перемещении по каналам связи и непосредственно при вводе с клавиатуры?
16. Какие способы зашиты от программ-снифферов и закладок на сегодня реально осуществимы?
17. Какие проблемы с точки зрения обеспечения информационной безопасности известны для графического интерфейса X Window?
18. В чем заключается атака с подменой системных утилит?
19. Как осуществляются нападения с использованием сетевых протоколов? Рассмотрите нападения на конкретных примерах различных протоколов и их комбинаций. Каковы основные способы обнаружения и защиты от этих нападений?
20. Какие еще способы атак современных злоумышленников вам известны?
21. В чем особенности сетевых вирусов? С помощью каких средств (отечественных и зарубежных) можно предотвращать, выявлять и ликвидировать последствия вирусных атак?
22. Расскажите об атаках, основанных на обнаруженных злоумышленниками ошибках в программах.
23. Какие слабости выявлены в технологиях Java и ActiveX с точки зрения обеспечения информационной безопасности? Какие средства обнаруживают "злонамеренные" программы?
3. СЛАБОСТИ СИСТЕМНЫХ УТИЛИТ, КОМАНД И СЛУЖБ INTERNET
В Internet и интрасетях потенциальные проблемы нарушения информационной безопасности могут возникнуть при обращении ко многим предоставляемым легальным пользователям сервисам и службам. Даже наиболее часто применяемые утилит, могут доставить много хлопот, будучи неправильно используемыми или неверно сконфигурированными. Важно знать обо всех проблемах, которые могут быть связаны с какой-либо утилитой прежде, чем запускать ее на своем компьютере. Это знание помогает вовремя предотвратить или, по крайней мере, заметить нападение.
|
|
|
Для достижения желаемых целей злоумышленник должен использовать уязвимости системных утилит, команд и служб, которые являются дефектом, позволяя осуществить НСД.
Уязвимость может возникать по трем причинам. Наиболее известная - программная ошибка, которая является проблемой реализации, т.е. когда проект или алгоритм корректен, но была допущена ошибка при его реализации в ПО или оборудовании. Вторая причина - недостатки непосредственно проекта, что потенциально более серьезно и трудно исправить. В этом случае уязвимость свойственна проекту (алгоритму) и, следовательно, даже совершенная реализация проекта в ПО или оборудовании не избавит от заложенной в проекте уязвимости. Третья причина возникновения уязвимости - ошибки конфигурации. Здесь существует множество вариантов. Много поставщиков отправляют свое ПО в "доверенном" состоянии, которое является удобным для пользователей, но также уязвимо для нападения. Ошибки конфигурации включают такие проблемы защиты, как известные по умолчанию учетные записи системы и пароли, разрешенная по умолчанию "запись всем", уязвимые сервисы, установленные по умолчанию.
Ниже выделены уязвимости наиболее часто применяемых утилит, команд и служб Internet, а также указаны средства для устранения перечисленных уязвимостей. Все эти средства безопасности реализуются как дополнение к основным протоколам и могут вводится по желанию пользователей в зависимости от требуемого уровня безопасности или доверительности к промежуточным системам при передаче информации.
Telnet
Telnet – это терминальный сервис, предназначенный для терминального доступа на удаленный компьютер по протоколу IP. Сам по себе он не представляет проблем. Проблема в том, что он открывает хост для удаленного доступа. При установлении сеанса с удаленным хостом, используя Telnet, пароль пользователя передается по Internet в незашифрованном виде. Вторая опасность заключается в том. что атакующий может подключиться к уже существующей Telnet-сессии. Для этого используется техника, которая называется "session hijacking" (перехват сеансов связи). И, в-третьих, удаленные пользователи способны нарушить полномочия на доступ к данным.
|
|
|
Обычно, если злоумышленник пробует войти посредством Telnet на чужой хост, и этот сервис недоступен, то он, скорее всего, перейдет к другой, более беззащитной цели.
FTP
Протокол передачи файлов (File Transfer Protocol, FTP) может быть одной из наиболее безопасных утилит Internet, но если он неправильно сконфигурирован, то может стать и самой незащищенной. Использование анонимного FTP является в Internet основой для передачи миллионов байт данных в день и обычно не доставляет хлопот. Однако, если FTP-сервер хоть в чем-нибудь неправильно сконфигурирован, то злоумышленник сможет воспользоваться этим, чтобы проникнуть на чужой хост и далее изменять или удалять, а также незаконно распространять информацию или ПО.
FTP обычно устанавливается в ограниченной среде с корневым каталогом, измененным, например, на "/home/ftp". Пользователь анонимного FTP-сервиса будет ограничен только FTP-каталогом и его подкаталогами; при этом системный файл паролей будет недоступен. Если корневой каталог FTP не отделен от других каталогов или если ОС не позволяет это. то предоставление FTP-доступа может привести к серьезным проблемам. Если пользователь имеет право на запись в каталогах, доступных через FTP, то могут возникнуть большие проблемы, в том случае, если пользователь применит команду PUT для записи нового файла типа ".rhosts" или подобного. Файл ".rhosts" содержит список имен пользователей и хостов, для которых любая команда удаленного выполнения принимается без аутентификации (установления подлинности пользователя). Это может быть чревато неприятными последствиями либо для хоста, либо для тех, кто пользуется данным FTP-хостом. Поэтому пользователь анонимного FTP никогда не должен иметь права записи во всей структуре каталогов, чтобы в интрасети не возникало новых несанкционированных файлов.
В данном случае опасность кроется в ошибке при копировании файла паролей в директорию анонимного сервера FTP. Без файла паролей в директории /ftp/etc FTP не разрешает доступ к архиву, реальные пароли программы в этом файле не нужны, поэтому администратор обязан их вычистить. Некоторые серверы FTP, например WU-FTPD, имели слабое место, позволяющее получить привилегированные права "суперпользователя" (superuser). В последних версиях программы эта ошибка исправлена.
|
|
|
Подводя итог выше сказанному, ошибки в конфигурировании FTP-сервера могут позволить злоумышленнику изменять или удалять, а также незаконно распространять информацию или ПО.
Обобщая меры безопасности для протоколов Telnet и FTP, перечислим их: конфиденциальность и целостность для коммуникаций с установлением соединений, аутентификация субъектов коммуникаций и контроль доступа на основе идентификации субъекта коммуникаций. Эти сервисы могут быть полностью обеспечены на прикладном уровне модели OSI/ISO, однако целесообразно использовать некоторые механизмы на более низких уровнях, в частности, используя специальные защищенные протоколы сетевого и транспортного уровней NLSP (Network Level Security Protocol), SSL (Secure Socket Level) и TLSP (Transport Level Security Protocol). При этом устраняется дублирование сервисов на более высоких уровнях, однако возникает необходимость введения новых программных модулей в ядро ОС.
Gopher
Информационная система Gopher ("парень на побегушках"), содержащая большие массивы информации в виде файлов, директорий, запросов, сеансов telnet и FTP, также может послужить источником беспокойства. Главную опасность представляет система поиска информации по ключевым словам. Обычно она реализуется в виде отдельной программы и запускается по требованию пользователя. При этом можно перехватить запрос и послать ложный ответ с последующей адресацией на атакующий объект. Кроме этого, система позволяет включить в дерево Gopher практически любой файл из файловой системы, что при наличии ошибок в назначении прав доступа может привести к "утечке" информации и, наконец, можно заставить G-сервер выполнять shell-команды, которые написал злоумышленник.
NFS
Сетевая файловая система (Network File System, NFS) является способом, с помощью которого хосты могут совместно использовать дисководы, директории и файлы всей сети. NFS, первоначально разработанная Sun Microsystems для своих рабочих станций, теперь доступна для широкого круга компьютеров - от большинства Unix-систем до ПК, работающих под DOS. NFS позволяет пользователям иметь доступ к файлам сервера даже без регистрации на этом компьютере. NFS использует 32-байтовый пакет, называемый файловым указателем. Подключившись к файловому указателю, злоумышленник получает важную информацию обо всех файлах, расположенных в разных директориях на ПК, составляющих интрасети. Существуют средства, позволяющие взломщику подсоединить NFS-каталоги без соответствующего разрешения со стороны сервера. Некоторые из этих пакетов используют старые ошибки NFS, в то время как другие просто выискивают и используют файловые указатели. В любом случае злоумышленники имеют возможность подсоединить каталоги и копировать файлы на сервер и с него.
|
|
|
NFS представляет определенные возможности по НСД к информации. Во-первых, как и в большинстве случаев, это ошибки администратора системы. В директории /etc, в системах Unix, расположен файл exports, в котором администратор прописывает директории для удаленного монтирования и права доступа к ним. Например, это может выглядеть так:
Первая строчка разрешает монтирование на чтение директории /usr/local/pub с компьютера с адресом 144.206.160.40, вторая строчка разрешает монтирование директории /usr/local/dima с правами перезаписи на ПК с именем dima.polyn.kiae.su, директория /usr/temp открыта для монтирования всем пользователям из внешнего мира. Предполагается, что монтирование осуществляет администратор системы. NFS была разработана для Unix-систем, где всегда существует администратор и обычные пользователи. С появлением персональных компьютеров ситуация изменилась. Теперь, используя средства типа PC-NFS или PC/TCP, смонтировать удаленную файловую систему может и простой пользователь, но для того, чтобы получить реальные права доступа к информации, он должен зарегистрироваться, а это означает пересылку идентификатора и пароля по сети.
Другим источником проколов в системе безопасности может быть наличие символьных ссылок, которые назначаются по команде In. Указывая на другую область файловой системы, такая ссылка расширяет возможность проникновения за пределы смонтированной файловой системы или директории, что может привести к НСД к информации.
Наконец, злоумышленник может воспользоваться тем, что NFS "доверяет" portmapper (эта программа проверяет, какие приложения сервиса удаленного выполнения процедур RPC являются доступными и на каких портах), а это значит, что можно пройти и здесь, если получить доступ к этой программе.
Главная рекомендация при использовании NFS состоит в том, что не надо лениться прописывать всех пользователей и их права доступа и не следует делать открытых всему миру монтируемых файловых систем. Также можно запрещать пакеты, направленные на порты 2048 и 2049 – порты данных для NFS.
DNS
В Internet используется две службы директорий DNS (Domain Name System - система доменных имен) и Х.500. Средства безопасности и необходимые протоколы хорошо определены для Х.500. Так, широкое применение находит система распределения и сертификации открытых ключей Х.509. Однако нет хорошо разработанной концепции и специальных механизмов безопасности для DNS(RFC 1535).
Необходимыми средствами безопасности для службы директорий являются аутентификация происхождения данных и целостность данных для запросов и ответов. Контроль доступа необходим для защиты хранимых в директории данных от модификации и раскрытия неавторизованными пользователями. Общей рекомендацией может быть использование в Internet для защиты директорий средств Х.500 на прикладном уровне и соответствующих протоколов более низких уровней. Попытки реализовать необходимые средства безопасности для DNS посредством сервисов и механизмов более низких уровней не дает достаточной защищенности.
Рассмотрим подробнее DNS. Система доменных имен - это распределенная база данных на Internet, обеспечивающая преобразование IP-адреса в имя хоста, а также определяющая системы электронной почты и сервера имен для домена. Такое преобразование необходимо, так как на сетевом уровне адресация пакетов осуществляется не по именам, а по IP-адресам. На раннем этапе развития Internet объединяла небольшое количество компьютеров и Информационный центр сети (Network Information Center, NIC) для решения проблемы преобразования имен в адреса завел специальный файл (hosts), в который вносились имена и соответствующие им IP-адреса всех хостов в сети. Данный файл регулярно обновлялся и распространялся по всей сети. Но по мере развития Internet число хостов, объединенных в сеть, увеличивалось, и данная схема становилась все менее работоспособной. Поэтому была создана новая система преобразования имен - DNS [35].
Установка базы данных DNS не так трудна, однако неудачная конфигурация может блокировать доступ во внешнюю сеть или доступ удаленных пользователей на сервер. Поддержка файлов DNS – тоже не сложная, но требующая от администратора определенных навыков задача. Изменения в DNS должны быть доступны только администраторам, так как DNS содержит всю информацию о топологии сети и может служить путеводителем по ней, что очень нужно взломщику для определения потенциальных жертв НСД.
DNS-алгоритм удаленного поиска IP-адреса по имени выглядит так: хост посылает на IP-адрес DNS-сервера своего домена (он задается при настройке протокола IP в сетевой ОС) DNS-запрос, в котором указывает имя сервера, IP-адрес которого необходимо найти; а DNS-сервер, получив запрос, просматривает свою базу имен на наличие в ней содержащегося в запросе имени. Если имя найдено и найден соответствующий ему IP-адрес, на запросивший хост DNS-сервер отправляет DNS-ответ с записью искомого IP-адреса. Если указанное в запросе имя DNS-сервер не обнаружил в своей базе имен, то DNS-запрос отсылается DNS-сервером на один из корневых DNS-серверов, адреса которых содержатся в файле настроек DNS-сервера root.cache, и описанная процедура повторяется, пока имя не будет найдено (или не найдено). Уязвимость этой схемы удаленного поиска с помощью протокола DNS описывается ТУА "Ложный объект РВС". С помощью такой атаки удается внедрить промежуточный хост, через который будет идти поток информации между атакуемым объектом и сервером (например, Telnet-сервером).
По умолчанию служба DNS функционирует на базе протокола UDP (хотя возможно и использование протокола TCP), что, естественно, делает ее менее защищенной, так как протокол UDP, в отличие от TCP, вообще не предусматривает средств идентификации сообщений. Это требует от администратора сети специальных знаний и несколько снижает скорость работы системы, так как при использовании TCP требуется создание виртуального соединения, а конечные сетевые ОС вначале посылают DNS-запрос с помощью протокола UDP. Значение поля "порт отправителя" в UDP-пакете вначале принимается равным 1023, а затем увеличивается с каждым переданным DNS-запросом. В случае передачи DNS-запроса с хоста значение идентификатора (ID) DNS-запроса зависит от конкретного сетевого приложения, генерирующего DNS-запрос.
Подстановка ложных доменных имен - один из самых громких методов осуществления злонамеренных действий в Internet. Именно с помощью этого способа в 1996 г. хакеры разукрасили Web-страницы ЦРУ и Министерства юстиции США. И именно такому нападению подвергся сервер http://www.ritmpress.ru. Необходимо отметить, что хотя наиболее известные нападения с использованием подстановки ложных доменных имен приходятся на атаки Web-серверов с общедоступной информацией, подстановка доменных имен позволяет также перехватывать любую интересующую злоумышленника информацию, в том числе и параметры аутентификации доверительных пользователей атакуемого сервера.
Приходится признать, что подстановка ложных доменных имен является, возможно, одним из самых опасных и в то же время самым трудно диагностируемым методом осуществления преступых, замыслов в Internet, Эта атака организуется с помощью ряда сетевых протоколов и приложений, устанавливающих доверительные отношения на основе доменных имен хостов. К таким приложениям относятся NFS, NIS, SMTP, X, rsh, riogin, rсp и отчасти ftp и гехес (когда задействованы конфигурационные файлы типа SHOME/.netrc). Смысл атаки сводится к "взлому" одного или нескольких DNS-серверов сети Internet, изменению базы данным, отвечающей за преобразование Internet-адреса в IP-адрес, и, возможно, рассылке искаженной информации по другим DNS-серверам сети Internet.
Наиболее сложным этапом в осуществлении метода подмены доменных имен можно назвать "взлом" одного из Unix-серверов, являющегося сервером доменных имен. Причем этот сервер не обязательно должен быть DNS-сервером той зоны, в которой находится атакуемый компьютер. Для взлома DNS-сервера злоумышленник может использовать совершенно различные способы. Если же злоумышленник является техническим служащим компании, поддерживающей DNS-сервер, то его задача невероятно облегчается. Получив контроль над DNS-сервером, злоумышленник проводит изменения в четырех файлах, являющихся базами данных для программы поиска доменных адресов: named. Имена этих файлов указаны в файле конфигурации /etc/named.boot и обозначаются как db.*. Подставив в этих файлах в логическое имя атакуемого компьютера IP-адрес компьютера-ловушки, злоумышленник может перехватывать все сообщения, адресованные атакуемому компьютеру. Если же "взломанный" DNS-сервер лежит вне пути прохождения IP-пакетов от доверительного клиента к атакуемому компьютеру, злоумышленник может применить следующий прием. Создав во "взломанной" базе данных DNS дополнительный, вымышленный адрес, злоумышленник отправляет письмо по этому адресу из зоны, близкой к доверительному клиенту. Сервер DNS зоны доверительного клиента отправляет запрос о новом адресе на "взломанный" DNS-сервер и вместе с этим новым адресом загружает в свой кэш скомпрометированный адрес атакованного компьютера. Теперь до момента обнуления кэша сервера DNS зоны доверенного компьютера (от нескольких десятков минут до нескольких суток), доверенный клиент при обращении к атакованному компьютеру будет попадать на компьютер-ловушку злоумышленника.
Для службы DNS выделяют три основных варианта УА, рассмотренных далее более подробно.
1. Перехват запроса DNS. Его осуществляют путем перепрограммирования сетевого адаптера для приема всех передаваемых по каналу пакетов, извлечения из него номера UDP-порта отправителя запроса, двухбайтового значения ID идентификатора DNS-запроса и искомого имени и последующей посылкой ложного DNS-ответа на указанный в DNS-запросе UDP-порт, в котором нужно указать в качестве искомого IP-адреса IP-адрес ложного DNS-сервера.
Простейшим вариантом атаки с использованием ложного DNS-сервера будет выдача себя за доверенный объект (сервер) с последующим присвоением прав и полномочий пользователя. Это может быть достигнуто путем передачи на клиентский хост приглашения, идентичного приглашению реального сервера. Пользователь вводит свое имя (это может быть и имя администратора системы), а затем – пароль. Ложный сервер, перехватив данную информацию, выводит какую-либо фиктивную ошибку (например, неправильный пароль) и отсоединяется. Необходимым условием осуществления данной атаки является перехват DNS-запроса. Это возможно только в том случае, если атакующий находится либо на пути основного трафика, либо в сегменте настоящего DNS-сервера. Выполнение одного из этих условий делает подобную удаленную атаку трудно осуществимой на практике (попасть в сегмент DNS-сервера, и, тем более в межсегментный канал связи, атакующему скорее всего не удастся). Однако в этом случае есть возможность осуществить межсегментную удаленную атаку на Internet.
2. "Шторм" ложных ответов DNS. Этот вариант удаленной атаки основан на ТУА "Ложный объект РВС" – атакующий осуществляет постоянную передачу на атакуемый хост заранее подготовленного ложного DNS-ответа от имени настоящего DNS-сервера без приема DNS-запроса. Это возможно, так как обычно для передачи DNS-запроса используется протокол UDP, в котором отсутствуют средства идентификации пакетов. Критерии, предъявляемые сетевой ОС хоста к полученному от DNS-сервера ответу, – это, во-первых, совпадение IP-адреса отправителя ответа с IP-адресом DNS-сервера; во-вторых, необходимо, чтобы в DNS-ответе было указано то же имя, что и в DNS-запросе; в-третьих, DNS-ответ должен быть направлен на тот же UDP-порт, с которого был послан DNS-запрос (это первая проблема для атакующего), и, в-четвертых, в DNS-ответе поле идентификатора запроса в заголовке DNS (ID) должно содержать то же значение, что и в переданном DNS-запросе (это вторая проблема). Номер UDP-порта, с которого был послан запрос, можно попробовать найти простым перебором, направляя ложные ответы на соответствующий перечень портов. Двухбайтовый идентификатор DNS-запроса либо равен единице, либо в случае DNS-запроса (от Netscape Navigator, например) имеет значение порядка единицы (каждый запрос ID увеличивается на 1).
Для осуществления данной УА атакующий выбирает интересующий его хост (например, top.secret.com), маршрут к которому изменяется так, чтобы он проходил через ложный сервер (хост) атакующего. Это достигается постоянной передачей (направленным "штормом") атакующим ложных DNS-ответов на атакуемый хост от имени настоящего DNS-сервера на предполагаемые UDP-порты. Как только атакуемый хост обратится по имени к хосту top.secret.com, то от данного хоста в сеть будет передан DNS-запрос. Атакующий его никогда не получит, так как на хост сразу же поступит постоянно передаваемый ложный DNS-ответ, который и будет воспринят ОС атакуемого хоста как настоящий ответ от DNS-сервера. Атака состоялась, и теперь атакуемый хост будет передавать все пакеты, предназначенные для top.secret.com, на IP-адрес хоста атакующего, который, в свою очередь, станет переправлять их на top.secret.com.
Реализация данной УА позволяет из любой точки Сети нарушить маршрутизацию между двумя заданными объектами (хостами). Эта атака осуществляется межсегментно по отношению к цели атаки и угрожает безопасности любого хоста Internet, использующего обычную службу DNS.
3. Цель – сервер DNS. Из рассмотренной ранее схемы удаленного DNS-поиска следует, что в том случае, если указанное в запросе имя DNS-сервер не обнаружил в своей базе имен, то запрос отсылается сервером на один из корневых DNS-серверов, адреса которых содержатся в файле настроек сервера root.cache. Теперь сам DNS-сервер является инициатором удаленного DNS-поиска. Целью атаки станет не хост, а DNS-сервер, и ложные DNS-ответы будут направляться атакующим от имени корневого DNS-сервера на атакуемый DNS-сервер.
При этом для ускорения работы каждый DNS-сервер кэширует в области памяти свою таблицу соответствия имен и IP-адресов хостов. В том числе в кэш заносится динамически изменяемая информация об именах и IP-адресах хостов, найденных в процессе функционирования DNS-сервера. И тогда, если в ответ на запрос от DNS-сервера атакующий направит ложный DNS-ответ (или в случае "шторма" ложных ответов будет вести их постоянную передачу), то в кэш-таблице сервера появится соответствующая запись с ложными сведениями, и в дальнейшем все хосты, обратившиеся к данному DNS-серверу, будут дезинформированы, и при обращении к хосту, маршрут к которому атакующий решил изменить, связь с ним будет осуществляться через хост атакующего по схеме "Ложный объект РВС". Эта ложная информация, попавшая в кэш DNS-сервера, будет распространяться на соседние DNS-серверы высших уровней, а следовательно, все больше хостов в Internet окажутся дезинформированы и атакованы.
Если атакующий не может перехватить DNS-запрос от DNS-сервера, для реализации атаки ему необходим "шторм" ложных DNS-ответов, направленный на DNS-сервер. При этом нужен перебор 216 возможных значений ID и отпадает проблема перебора портов, так как все DNS-запросы передаются DNS-сервером на 53 порт.
И еще одно условие осуществления этой удаленной атаки на DNS-сервер при направленном "шторме" ложных DNS-ответов: атака будет иметь успех, только если DNS-сервер пошлет запрос на поиск определенного имени (которое содержится в ложном DNS-ответе). Сам атакующий может послать на атакуемый DNS-сервер подобный DNS-запрос и спровоцировать DNS-сервер на поиск указанного в запросе имени.
Как видно из примеров, стопроцентная защита от метода подстановки доменных имен при сегодняшнем состоянии Internet невозможна. Тем не менее необходимо принимать меры, способные минимизировать вред, который может быть причинен этим методом. Крайне важно, с точки зрения безопасности информации, по возможности не располагать доверительных клиентов вне собственной внутренней сети, отдавая в Internet только общедоступную информацию. Если же необходимо иметь удаленных доверительных клиентов, то следует применять криптографические средства защиты IP-трафика и напрямую адресоваться по IP-адресу.
В мире злоумышленников хорошо известна и такая атака против DNS-серверов, которая выводит их из строя. Это, например, можно сделать с помощью программы DNSKiller, написанной на Си, работающей на компьютере с ОС Linux и убивающей DNS-серверы с ОС Windows NT 4.0.
NIS
Network Information System (сетевая информационная система) является приложением типа клиент/сервер, которое позволяет нескольким компьютерам совместно использовать общие файлы типа список хостов, файл паролей и т.п. Эта система первоначально была известна как "Желтые страницы" (Yellow Pages). NIS используется для управления группой компьютеров, обычно рабочих станций Unix и ПК. NIS облегчает администратору работу по управлению своей сетью, позволяя обновлять только один файл, который затем будет разделяться всеми связанными системами. К сожалению, каждый раз, когда речь идет о файле паролей, нужно иметь в виду, что злоумышленники будут всячески стремиться заполучить его. Программы, использующие слабые места N1S, были в ходу некоторое время назад. Эти программы позволяли злоумышленникам получать записи о паролях, содержащихся в NIS. Поэтому NIS была усовершенствована, чтобы блокировать попытки многих подобных программ, В связи с этим очень важно иметь последнюю версию NIS для используемой ОС.
World Wide Web
Серверы «всемирной паутины» WWW [36-38] также не доставляют больших хлопот при правильной конфигурации, однако есть несколько проблем, которые могут возникать в определенных ситуациях. Web уязвима в каждом из трех аспектов ее деятельности: клиентском обеспечении (браузерах), серверном обеспечении и каналах их соединяющих, т.е. во всей сети.
С ростом популярности WWW многие пользователи стали уделять много внимания расширению возможностей своих домашних страниц, используя средства создания скриптов CGI (Common Gateway Interface). CGI – это протокол для выполнения сценариев на серверах; в свою очередь, серверы осуществляют конечную обработку, например, связь с базой данных по запросу со страницы Web. Все коммерческие серверы Web поддерживают сценарии CGI. Каждый раз при вызове пользователем сценария CGI он запускается целиком заново, потому что каждый сценарий является исполняемым. Сценарии CGI пишутся на Perl, командных языках shell и т.п., а программы CGI – на C++ или других компилируемых языках. Скрипт - это программа, которую сервер вызывает для выполнения дополнительных функций, не предусмотренных в протоколе HTTP. Но, как и в случае любой другой программы, если какие-либо параметры неправильно обрабатываются, могут возникнуть нежелательные побочные эффекты. Например, если скрипт был написан без соответствующей обработки ошибок и способен неправильно обрабатывать строку, злоумышленник может воспользоваться этой ошибкой. В прошлом подобные проблемы позволяли злоумышленникам просматривать скрытые файлы и выполнять недоступные команды. Кроме того, если злоумышленник способен поместить файл в систему некоторым способом (возможно, при помощи анонимного FTP) и если WWW-сервер способен распознать его и обработать, то могут возникнуть определенные проблемы. Например, если злоумышленник поместит HTML-файл, не содержащий ничего, кроме ссылки с параметром HREF=/etc/passwd, указывающей на системный файл с паролями, то ему может открыться путь к вторжению в систему.
|
|
|
