Рассылка закрыта
Вы можете найти рассылки сходной тематики в Каталоге рассылок.
Безопасность в Интернет
| Безопасность в Интернет #7 сентябрь 2000 |
Друзья!
Сегодня мы продолжаем печатать статью из "Бизона".Почему был взломан Amazon.com, Yahoo.com, eBay.com и другие?
(продолжение)
Примеры реализации
В настоящий момент известно 4 основных инструмента реализации распределенных атак (Distributed Attack Tools) - trin00, Tribe Flood Network (TFN), Tribe Flood Network 2000 (TFN2K) и Stacheldraht.
Trin00
Trin00 - одна из первых распространенных распределенных атак типа "отказ в обслуживании". В качестве базы для атаки выбранной жертвы используются узлы под управлением операционных систем Linux и Solaris. Управление "демонами" осуществляется по протоколу TCP Взаимодействие между компонентами trin00 возможно только после предъявления соответствующего пароля, что не позволяет в случае обнаружения агента trin00 "перехватить" управление на себя или дать команду на прекращение атаки. Адреса отправителя пакетов trin00 не изменяются, что позволяет относительно легко обнаружить "демонов". Для атаки используется протокол UDP (атака UDP Bomb).
Tribe Flood Network (TFN)
TFN - второе известное средство для реализации распределенных атак. В отличие от trin00 оно использует протокол ICMP для управления своими компонентами. Спектр реализуемых атак Denial of Service в TFN шире, чем в trin00. Это и SYN Flood, и UDP Bomb, и ICMP Flood и, наконец, Smurf. Для затруднения обнаружения источников атаки адреса "демонов" могут быть изменены. Компоненты TFN работают под управлением ОС Linux и Solaris.
Tribe Flood Network 2000 (TFN2K)
TFN2K - это "продвинутая" версия TFN, которая появилась в декабре прошлого года. В отличие от своего прототипа, она использует алгоритм CAST-256 для шифрования управляющих команд между всеми своими компонентами. Для управления могут использоваться протоколы TCP, UDP или ICMP. Для введения в заблуждение TFN2K может создавать пакеты, направленные не на цель атаки (т.е. "decoy packets"). Компоненты TFN2K работают под управлением ОС Linux, Solaris и Windows NT [3]
Stacheldraht
Stacheldraht - это средство, объединяющее в себе возможности TFN и trin00. Для управления "мастерами" используется протокол TCP, а для управления "демонами" - TCP или ICMP. Основные отличия stacheldraht от своих "коллег" в возможности удаленного обновления своих компонент более новыми версиями и в возможности обнаружения фильтрации согласно RFC 2267, затрудняющей подмену адресов сетевых пакетов. Для шифрования управляющих команд используется протокол Blowfish. Компоненты stacheldraht работают под управлением ОС Linux и Solaris.
Механизмы и меры защиты
Различные фирмы, работающие на ниве безопасности выпускают обновления своих продуктов, предназначенные для обнаружения таких атак. Одной из таких фирм была Internet Security Systems, Inc., которые обновила сразу все семейство своих продуктов SAFEsuite, состоящее из системы обнаружения атак RealSecure, систем анализа защищенности Internet Scanner, System Scanner и Database Scanner, а также системы поддержки принятия решений в области безопасности SAFEsuite Decisions. Фирма Internet Security Systems выпустила обновления своих продуктов еще в декабре 1999 года, за 2 месяца до нашумевших атак на Amazon.com, Buy.com и других.
Однако еще до приобретения специализированных защитных средств можно реализовать ряд мер, которые помогут предотвратить или снизить ущерб от распределенных атак [4]. Во-первых, обновите все свое программное обеспечение, установив Service Pack'и, patch'и и hotfix'ы. Эта достаточно простая мера не позволит злоумышленникам установить на ваши узлы "демоны" и "мастера", используя уязвимости вашего программного обеспечения.
К другим мерам защитным мерам можно отнести:
1. Определите персонал, который будет отвечать
или с которым необходимо связаться в случае
обнаружения распределенной атаки или в случае
подозрения, что ваша система скомпрометирована и
может содержать "мастера" иди "демона".
В качестве такого персонала могут выступать
сотрудники отдела защиты информации, отдела
автоматизации или ваш Internet-провайдер.
2. Знакомьтесь с регулярно публикуемыми
бюллетенями, выпускаемыми организациями,
работающими в области информационной
безопасности (например, ISS Security Alert). Это позволит
вам быть в курсе новых уязвимостей и методов
действия злоумышленников. Для облегчения поиска
уязвимостей в вашей сети используйте
автоматизированные средства анализа
защищенности, например, системы Internet Scanner и System Scanner компании Internet
Security Systems. Эти системы позволяют обнаружить более
1200 различных уязвимостей, в т.ч. и приводящих к
реализации распределенных атак.
3. Своевременно устраняйте уязвимости в
программном обеспечении, используемом в вашей
сети. Это позволит вам снизить риск
компрометации ваших систем и не позволит
злоумышленникам установить на ваши узлы
"мастера" или "демонов" для реализации
распределенных атак.
4. Для идентификации распределенных атак на ваши
системы, а также для идентификации
"мастеров" и "демонов", установленных в
вашей сети, используйте средства обнаружения
атак и анализа защищенности. Например, систему
RealSecure и уже названную систему Internet Scanner компании
Internet Security Systems.
5. Используйте межсетевые экраны и защитные
механизмы маршрутизаторов и другого сетевого
оборудования. Если это и не поможет обнаружить
источник распределенной атаки, то поможет
обнаружить сам факт ее реализации и своевременно
среагировать на нее.
6. Используйте средства балансировки нагрузки и
управления пропускной способностью сетевого
трафика.
7. Рассматривайте и своевременно реагируйте на
сообщения ваших пользователей о подозрительных
событиях в системе.
8. Разработайте план обеспечения непрерывной
работы и восстановления, который позволит в
случае нарушения функционирования ваших систем
вследствие реализации распределенных атак
быстро вернуться к нормальной работе.
9. По возможности создайте резервный канал
доступа в Internet. В случае нарушения
функционирования вашего основного канала, этот
канал позволит быстро переключится на резервный,
не нарушив принятую технологию обработки
информации.
10. Обучите ваш персонал в специализированных
организациях, занимающихся повышением
квалификации в области сетевой безопасности.
Список литературы
[1] J. Sandberg, T. Hayden, G. Vistica, D. Lorch. Hunting
the Hackers. Netweek, February 21, 2000
[2] А. Лукацкий. Анатомия распределенной атаки.
PCWeek/RE, 5, 2000
[3] ISS Security Alert. Denial of Service Attack using the TFN2K and Stacheldraht
programs. February 9, 2000
[4] Results of the Distributed-Systems Intruder Tools Workshop. CERT Coordination
Center. Software Engineering Institute. Carnegie Mellon University. December 7, 1999.
"Бизнес On-Line", 5, 2000
Новости от Агентства "Монитор" ( www.telenews.ru ) Воронеж, 18 сентября (Монитор). В августе 2000 года завершено расследование уголовного дела в отношении двух жителей Воронежа, обвиняемых в совершении преступлений по двум статьям: ст. 272 Неправомерный доступ к компьютерной информации и ст. 273 Создание, использование и распространение вредоносных программ для ЭВМ Уголовного Кодекса РФ. Как сообщает собкор Агентства, следствием было установлено, что на протяжении длительного времени они занимались распространением и использованием компьютерных вирусов, позволяющих скрытно проникать в чужие компьютеры с помощью Интернет, копировать из них конфиденциальную информацию, включая пароли для доступа в сеть. Так же хакеры могли управлять инфицированными компьютерами без уведомления владельцев. С помощью взломанных паролей обвиняемым удалось нелегально проработать в Интернет более 300 часов, причинив законопослушным пользователям сети материальный ущерб на сумму около 10 тыс. руб. Целевым засылкам вредоносных программ по электронной почте со стороны фигурантов подверглись более 400 физических и юридических лиц. В частности, жертвами хакеров стали администрация Воронежской области, Нововоронежская АЭС, некоторые воронежские банки, местные правоохранительные органы, средства массовой информации. Вирус на компьютер жертвы засылался либо скрытно через ICQ, либо под видом какой-либо полезной программы по электронной почте. Был создан сервер по Проблеме 2000 и под видом тестируемой программы злоумышленники распространяли вирус. В ходе следствия сотрудники УФСБ в числе связей обвиняемых выявили еще четырех воронежцев, совершавших правонарушения в сфере компьютерной информации. Однако, ввиду того, что их противоправные деяния большой опасности не представляли, материалы в самостоятельное производство не выделялись и на основании амнистии, объявленной в мае постановлением ГосДумы РФ, уголовное преследование было прекращено. Все четверо предупреждены о недопустимости повторения подобных правонарушений. Уголовное дело на двух хакеров передано в суд, который даст окончательную правовую оценку противоправной деятельности подследственных. Но уже сейчас любителям бесплатного Интернет несомненно стоит задуматься и оценить риск оказаться на скамье подсудимых. |
| Ваши отклики - andboc@mail.ru |
 |
 |
|
http://subscribe.ru/
E-mail: ask@subscribe.ru |
| В избранное | ||
