Атаки типа Man-in-the-Middle

Этот тип атак весьма характерен для промышленного шпионажа. При атаке типа Man-in-the-Middleхакер должен получить доступ к пакетам, передаваемым по Сети, а потому в роли злоумышленников в данном случае часто выступают сами сотрудники предприятия или, к примеру, сотрудник фирмы-провайдера. Для атакMan-in-the-Middleчасто используются снифферы пакетов, транспортные протоколы и протоколы маршрутизации. Цель подобной атаки, соответственно, – кража или фальсификация передаваемой информации или же получение доступа к ресурсам сети. Защититься от подобных атак крайне сложно. Поэтому в чисто техническом плане обезопасить себя можно только путем криптошифрования передаваемых данных. Тогда хакер вместо необходимых ему данных получит мешанину символов, разобраться в которой практически невозможно.

Использование "дыр" и "багов" в по, эксплоиты

Весьма и весьма распространенный тип хакерских атак – использование уязвимых мест в широко используемом программном обеспечении, прежде всего для серверов. Обычно ситуация развивается следующим образом: кто-либо обнаруживает "дыру" или "баг" в программном обеспечении для сервера и публикует эту информацию в Интернете в соответствующей конференции. Производитель данного ПО выпускает патч ("заплатку"), устраняющий данную проблему, и публикует его на своем web-сервере. Одна из причин, помимо низкокачественного ПО, состоит в том, что при проведении подобных атак злоумышленники часто пользуются портами, которым разрешен проход через межсетевой экран. Нередко в Интернете можно найти готовые эксплоиты для атаки на стандартные уязвимости. Эксплоит (exploit, эксплуатировать) – это компьютерная программа, фрагмент кода или последовательность команд, использующие уязвимости в программном обеспечении и применяемые для проведения атаки на вычислительную систему.

Защититься от таких атак можно по двум стратегическим направлениям. Одно – максимально тщательно отслеживать всю информацию об обнаруженных уязвимостях и максимально быстро ставить "заплатки". Но всегда есть шанс, что хакер узнает об уязвимости первым, да и постоянное применение наспех выпущенных заплаток не всегда хорошо сказывается на стабильности системы. Второй путь – использование менее распространённых программ (для которых нет эксплоитов) и программ не последних версий, в которых маловероятно обнаружение новых уязвимостей. Этот путь достаточно надёжен и гораздо менее трудоёмок, но применим лишь тогда, когда функциональность старых и сторонних программ достаточна. При обоих способах существенно снижает риск правильное стратегическое планирование системы защиты.

Стратегия построения защищённой системы

Стратегия – вопрос политический, а политика, как известно, "искусство возможного". Сделать все каналы защищёнными и передавать информацию только в шифрованном виде – возможно только теоретически. Интернет тем и отличается от прочих сетей, что в нём приходится взаимодействовать с чужими, и, более того, неизвестными людьми и системами.

Поэтому основным принципом является "разумная паранойя", когда любое действие, безопасность которого не гарантируется, рассматривается как враждебное, и "всё, что не разрешено – запрещено".

Необходимо обеспечить работу нужных соединений, отфильтровав все ненужные. Этим занимается файерволл (брандмауэр, межсетевой экран, ip-фильтр).

При конфигурировании файрволла необходимо сперва определить, какие соединения от каких узлов на какие адреса и порты нам необходимы для работы. Например, если мы открываем веб-сервер, необходимо разрешить соединение по протоколу TCPна порт 80, если у нас есть ещё почтовый сервер – то соединения по 25 и 110 портам. Описав разрешающие правила, в конце списка обязательно надо добавить правило, запрещающее любое соединение по любому протоколу. При получении пакета файрволл просматривает правила сверху вниз, и если ни под одно разрешение пакет не подошёл – значит, этот пакет нам не нужен. После настройки следует тестирование – необходимо проверить, работает ли система так, как нам нужно. Если всё в порядке – сохраняем настройки и обязательно устанавливаем пароль на конфигурацию, чтобы пользователи не могли случайно или намеренно изменить их. Даже не являющаяся защищённой система (WindowsХPбез установки сервис-паков и апдейтов) может годами работать в Интернет, если на ней грамотно настроен файрволл (при этом встроенного "брандмауэраWindowsкатегорически недостаточно). Просто необходимо запретить всё ненужное, оставив только нужное – при этом атака извне (кромеDoS) становится практически невозможной. Но остаётся опасность атаки изнутри – через вирусы, трояны, эксплоиты и социальную инженерию.

Важное значение имеет зонирование системы. Так, не следует подключать напрямую к Интернет (выдавать белыйIP-адрес) содержащий важную и конфиденциальную информацию сервер. Городскую казну не размещают в караульной башне, казна хранится в подвале внутреннего зАмка. Непосредственно к сети Интернет, с получением реальногоIP-адреса, должен быть подключён компьютер (или специальное устройство), не содержащий конфиденциальных данных и не предоставляющий сложных сервисов (в которых могут быть уязвимости). Также на этом компьютере не должны работать пользователи, способные запустить троян или принести вирус. Высокая мощность и большой диск такому компьютеру вовсе не требуются – справиться с функциями интернет-гейта для сети из сотни компьютеров вполне может давно устаревший Пентиум-1, лишь бы он был технически исправен.

Для сетей такого класса – дома и небольшого офиса (SOHO) – существуют недорогие готовые решения – интернет-роутеры. Часто такие роутеры выполнены в общем устройстве сADSL-модемами или точками беспроводного доступа. По умолчанию такое устройство разрешает только доступ из внутренней сети к внешним ресурсам, игнорируя все попытки подключения извне. Для большинства малых сетей этого достаточно. В случае, если создаваемая система должна иметь доступ извне – ситуация усложняется. Нам необходимо на роутере включить режим "виртуального сервера", когда при получении пакета на внешний интерфейс с определённым номером порта роутер передаёт его на адрес внутренней сети. Это во многом похоже на настройку файрволла и выполняет те же функции. Не следует без необходимости использовать режимDMZ(демилитаризованная зона, разоружение) – при этом режиме роутер пробрасывает все внешние соединения на указанный компьютер внутренней сети.

В случае если необходима работа через Интернет с ценными данными (веб-портал, терминал-сервер и т.п.) – необходимо обеспечить три зоны безопасности. В первой зоне находится сервер интернет – отдельный компьютер или аппаратное устройство-роутер с файрволлом, во второй – сервер приложений удалённого доступа, на котором работают доступные извне службы (HTTP,VPN) и в третьем – сервер баз данных, который только предоставляет данные серверу приложений. Тогда даже при заражении сервера приложений вероятность повреждения данных существенно снижается. Разумеется, важным компонентом информационной безопасности является резервирование информации, хотя это и не относится непосредственно к сетевым системам, нелишне напомнить о бэкапе – недавняя история со взломом "Московского Комсомольца" наглядно это показала.

Если в работе системы используются беспроводные сети – использование шифрования обязательно. Помните, что нешифрованная информация в беспроводной сети доступна всем.

Обеспечение защиты от атаки изнутри– наиболее сложно. Прежде всего, тут в дело вступает "человеческий фактор" – а каждому из сотрудников свою голову не приставишь. Защита ведётся по двум направлениям. Во-первых, должно использоваться антивирусное ПО – современные версии популярных продуктов обеспечивают, как правило, комплексную защиту, определяя не только собственно вирусы, но также трояны, кейлоггеры, несанкционированное подключение и опасные веб-сайты. Разумеется, своевременное обновление имеет важное значение, но даже устаревший антивирус значительно лучше, чем его отсутствие – далеко не всегда опасность исходит от новейших программ. По возможности следует использовать безопасное ПО. Так, например, для Оперы и Мозиллы значительно меньше эксплоитов, чем дляInternetExplorer, а случаев поражения червями почтовой программыTheBat! вообще единицы. Большинство почтовых программ имеют настройки, ограничивающие открытие потенциально опасного содержимого. Эти настройки необходимо использовать.

Важно также разграничение прав пользователей. Работать под административными правами нежелательно – при этом любой запущенный пользователем троян получает полную власть над системой. Пользователь с ограниченными правами имеет гораздо меньше возможностей что-то испортить (хотя от уничтожения пользовательских файлов это не спасёт).

В целом – есть полушутливое правило "хороший админ должен быть параноиком", то есть в любом нетипичном действии видеть угрозу. Ну и, конечно, регулярный бэкап и шифрование конфиденциальной информации, благо средств для этого хватает – от парольного архива до использования протокола httpsдаже на домашнем сервере.