Приложение B. Распространённые атаки и средства нападения | Red Hat Enterprise Linux: Руководство по безопасности

В таблице B-1 перечислены наиболее распространённые атаки и слабые места, используемые злоумышленниками для доступа к сетевым ресурсам организации. Здесь подробно описано как осуществляются эти атаки и как администраторы могут правильно защитить от них свою сеть.

Атака Описание Замечания

Пустые или стандартные пароли

Пустые административные пароли или стандартные пароли, назначенные разработчиком. Чаще всего это встречается в оборудовании вроде маршрутизаторов и брандмауэров, хотя некоторые службы, работающие в Linux, могут содержать стандартные пароли администратора (в состав Red Hat Enterprise Linux такие службы не входят).

Распространённая практика для сетевого оборудования, например, для маршрутизаторов, брандмауэров, сетей VPN, и подключаемых к сети хранилищ (network attached storage — NAS).

Не редкость в устаревших операционных системах, особенно в ОС со встроенными службами, таких как UNIX и Windows.

Иногда администраторы создают учётные записи привилегированных пользователей в спешке и оставляют пароль пустым — прекрасная лазейка для злоумышленников, обнаруживших такую учётную запись.

Стандартные общие ключи

Защищённые службы иногда поставляются со стандартными ключами шифрования для программирования или пробного использования. Если оставить эти ключи неизменными и поместить в рабочее окружение, доступное из Интернета, любые пользователи с теми же стандартными ключами получат доступ к этому ресурсу и всей его важной информации.

Наиболее распространено в беспроводных точках доступа и предварительно настроенных защищённых серверных продуктах.

CIPE (обратитесь к главе 6 Виртуальные частные сети) содержит пример статического ключа, который необходимо заменить при внедрении в рабочее окружение.

Подделывание IP

Удалённый компьютер изображает из себя узел вашей локальной сети, находит уязвимости ваших серверов и устанавливает программу чёрного хода или троянского коня для завладения ресурсами вашей сети.

Подделать IP довольно сложно, так как для этого нападающий должен предугадать числа TCP/IP SYN-ACK, координирующие соединение, но взломщик может облегчить реализацию такой атаки с помощью различных инструментов.

Успех зависит от работающих в системе служб (таких, как rsh, telnet, FTP и т.д.), проверяющих подлинность, полагаясь на источник, от чего рекомендуется отказаться в пользу PKI или других форм проверки подлинности с шифрованием, используемых в ssh и SSL/TLS.

Подслушивание

Сбор данных, передаваемых между двумя активными узлами сети, путём прослушивания соединения между этими узлами.

Атака такого рода в основном рассчитана на протоколы, передающие открытый текст, например, Telnet, FTP и HTTP.

Чтобы реализовать такую атаку, удалённый взломщик должен скомпрометировать систему в локальной сети; обычно для этого он осуществляет активную атаку (например, поддельный IP или «человек посередине») .

Рекомендуется использовать в частности следующие меры предохранения: службы, шифрующие передаваемые ключи, одноразовые пароли или проверка подлинности с шифрованием, спасающие от утечки пароля, сильное шифрование передаваемых данных.

Уязвимости служб

Если взломщик находит слабое место или уязвимость в службе, открытой в Интернете, через эту уязвимость он скомпрометирует всю систему и хранящиеся в ней данные, а возможно, и все остальные системы в сети.

Уязвимости служб, основанных на HTTP, таких как CGI, позволяют удалённо выполнять команды и даже получить доступ к интерактивной оболочке. Даже если служба HTTP работает от имени бесправного пользователя, вроде «nobody», можно получить, например, файлы конфигурации и сведения о сети, взломщик также может провести атаку «отказ в обслуживании», истощающую системные ресурсы или приводящую к недоступности службы для других пользователей.

Иногда службы имеют уязвимости, не замеченные во время разработки и тестирования; эти уязвимости (такие как переполнение буфера, когда взломщик вызывает сбой службы, переполняя простыми данными буфер приложения, и оказывается в интерактивной командной строке, где он может выполнять обычные команды) могут позволить злоумышленнику получить все административные полномочия.

Администраторы должны убедиться в том, что службы не работают под именем root, и внимательно следить за сообщениями об обновлениях и исправлениях ошибок приложений, публикуемых производителями или такими организациями, как CERT и CVE.

Уязвимости приложений

Взломщики находят ошибки в офисных приложениях, таких как почтовые клиенты, и запускают произвольный код, внедряют троянские программы для будущей компрометации или ломают систему. Атака может развиваться и дальше, если скомпрометированная рабочая станция пользуется доверием всей остальной сети.

Этой атаке наиболее подвержены рабочие станции и персональные компьютеры, так как обычные работники не имеют опыта и знаний, необходимых для выявления компрометации; крайне важно сообщить им об угрозах, связанных с установкой неизвестных программ и открытием непрошеных почтовых вложений.

Могут быть внедрены меры защиты, например, почтовый клиент настроен так, что вложения автоматически не открываются и не исполняются. Кроме этого, автоматическое обновление программного обеспечения из сети Red Hat Network или с помощью других служб управления системами может облегчить обеспечение безопасности на множестве рабочих мест.

Атаки типа "отказ в обслуживании" (Denial of Service — DoS)

Один или несколько нападающих совместно атакуют сеть или сервер организации, посылая неправильные пакеты целевому узлу (серверу, маршрутизатору, рабочей станции). Это приводит к недоступности ресурса для законных пользователей.

Последняя известная DoS-атака в США произошла в 2000 г. Несколько сильно нагруженных коммерческих и правительственных сайтов оказались недоступными вследствие скоординированной атаки наводнения пакетами ping, осуществлённой несколькими компьютерами-зомби, захваченными взломщиками.

Исходные пакеты обычно подделываются (и пересылаются повторно), что значительно затрудняет поиск истинного источника атаки.

Возможности фильтрации проникновений (IETF rfc2267) в iptables и сетевые IDS, подобные snort, помогают администратором проследить и предотвратить распределённые атаки DoS.

Таблица B-1. Распространённые атаки