Програмно – апаратні методи захисту від вилучених атак у IP мережі

До програмно-апаратних засобів забезпечення інформаційної безпеки засобів зв'язку в обчислювальних мережах відносяться:
апаратні шифратори мережного трафіка;
методика Firewall, реалізована на базі програмно-апаратних засобів;
захищені мережні криптопротоколи;
програмно-апаратні аналізатори мережного трафіка;
захищені мережні ОС.
Опишемо дані засоби захисту, застосовувані в Internet. При цьому ми переслідуємо наступні цілі: по-перше, ще раз повернемося до міфу про "абсолютний захист" , що нібито забезпечують системи Firewall, мабуть, завдяки старанням їхніх продавців; по-друге, порівняємо існуючі версії криптопротоколів, застосовуваних у Internet, і дамо оцінку, по суті, критичному положенню в цій області; і, по-третє, ознайомимося з можливістю захисту за допомогою мережного монітора безпеки, призначеного для здійснення динамічного контролю за виникаючими ситуаціями в сегменті IP-мережі, який захищається, що свідчать про здійснення на даний сегмент однієї з вилучених атак.
Методика Firewall як основний програмно-апаратний засіб здійснення мережної політики безпеки у виділеному сегменті IP-мережі.
У загальному випадку методика Firewall реалізує наступні основні три функції:
1. Багаторівнева фільтрація мережного трафіка.
Фільтрація звичайно здійснюється на трьох рівнях OSI:
мережному (IP);
транспортному (TCP, UDP);
прикладному (FTP, TELNET, HTTP, SMTP і т.д.).
Фільтрація мережного трафіка є основною функцією систем Firewall і дозволяє адміністратору безпеки мережі централізовано здійснювати необхідну мережну політику безпеки у виділеному сегменті IP-мережі, тобто, настроївши відповідним чином Firewall, можна дозволити чи заборонити користувачам як доступ із зовнішньої мережі до відповідного службам хостів чи до хостів, що знаходяться в сегменті, що захищається, так і доступ користувачів із внутрішньої мережі до відповідного ресурсам зовнішньої мережі. Можна провести аналогію з адміністратором локальної ОС, що для здійснення політики безпеки в системі призначає необхідним образом відповідні відносини між суб'єктами (користувачами) і об'єктами системи (файлами, наприклад), що дозволяє розмежувати доступ суб'єктів системи до її об'єктів відповідно до заданого адміністратором правами доступу. Ті ж міркування застосовні до Firewall-фільтрації: як суб'єктів взаємодії будуть виступати
IP-адреси хостів користувачів, а як об'єкти, доступ до яких необхідно розмежувати, - IP-адреси хостів, використовувані транспортні протоколи і служби надання вилученого доступу.
2. Proxy-схема з додатковою ідентифікацією й аутентифікацією користувачів на Firewall - хості.
Proxy-схема дозволяє, по-перше, при доступі до захищеного Firewall сегменту мережі здійснити на ньому додаткову ідентифікацію й аутентифікацію вилученого користувача і, по-друге, є основою для створення приватних мереж з віртуальними IP-адресами. Зміст proxy-схеми складається в створенні з'єднання з кінцевим адресатом через проміжний proxy-сервер (proxy від англ. повноважний) на хості Firewall. На цьому proxy-сервері і може здійснюватися додаткова ідентифікація абонента.
3. Створення приватних мереж (Private Virtual Network - PVN) з "віртуальними" IP-адресами (NAT - Network Address Translation).
У тому випадку, якщо адміністратор безпеки мережі вважає за доцільне сховати щиру топологію своєї внутрішньої IP-мережі, то йому можна порекомендувати використовувати системи Firewall для створення приватної мережі (PVN-мережа). Хостам у PVN-мережі призначаються будь-які "віртуальні" IP-адреси. Для адресації в зовнішню мережу (через Firewall) необхідно або використання на хості Firewall описаних вище proxy-серверів, або застосування спеціальних систем роутінгу (маршрутизації), тільки через який і можлива зовнішня адресація. Це відбувається через те, що використовувана у внутрішній PVN-мережі віртуальна IP-адреса, мабуть, не придатна для зовнішньої адресації (зовнішня адресація - це адресація до абонентів, що знаходиться за межами PVN-мережі). Тому чи proxy-сервер засіб роутінгу повинний здійснювати зв'язок з абонентами з зовнішньої мережі зі своєї дійсної IP-адреси. До речі, ця схема зручна в тому випадку, якщо вам для створення IP-мережі виділили недостатню кількість IP-адрес (у стандарті IPv4 це случається суцільно і поруч, тому для створення повноцінної IP-мережі з використанням proxy-схеми досить тільки однієї виділеної IP-адреси для proxy-сервера).
Будь-який пристрій, що реалізує хоча б одну з цих функцій Firewall-методики, і є Firewall-пристроєм. Наприклад, ніщо не заважає використовувати в якості Firewall - хосту комп'ютер зі звичайної ОС FreeBSD чи Linux, у якої відповідним чином необхідно скомпілювати ядро ОС. Firewall такого типу буде забезпечувати тільки багаторівневу фільтрацію IP-трафіка. Інша справа, пропоновані на ринку могутні Firewall-комплекси, зроблені на базі ЕОМ чи міні - ЕОМ, звичайно реалізують усі функції Firewall-методики і є повно функціональними системами Firewall. На наступному малюнку зображений сегмент мережі, відділений від зовнішньої мережі повно функціональним Firewall - хостом.

Рис. 3.1. Узагальнена схема повно функціонального хосту Firewall.
Однак адміністраторам IP-мереж, піддавшись на рекламу систем Firewall, не варто помилятися на той рахунок, що Firewall це гарантія абсолютного захисту від вилучених атак у мережі Internet. Firewall - не стільки засіб забезпечення безпеки, скільки можливість централізовано здійснювати мережну політику розмежування вилученого доступу до доступних ресурсів вашої мережі. Так, у тому випадку, якщо, наприклад, до даного хосту заборонений вилучений TELNET-доступ, то Firewall однозначно запобіжить можливість даного доступу. Але справа в тім, що більшість вилучених атак мають зовсім інші мети (безглуздо намагатися одержати визначений вид доступу, якщо він заборонений системою Firewall). Дійсно, задамо собі питання, а які з вилучених атак може запобігти Firewall? Аналіз мережного трафіка ? Помилковий ARP-сервер? Помилковий DNS-сервер? Ні, на жаль, Firewall вам отут не помічник. Нав'язування помилкового маршруту за допомогою протоколу ICMP? Так, цю атаку шляхом фільтрації ICMP-повідомлень Firewall легко відіб'є (хоча досить буде фільтруючого маршрутизатора, наприклад Cisco). Підміна одного із суб'єктів TCP-з'єднання? Відповідь негативна; Firewall отут абсолютно не при чому. Порушення працездатності хосту шляхом створення спрямованого шторму помилкових запитів чи переповнення черги запитів? У цьому випадку застосування Firewall тільки погіршить усю справу. Атакуючому для того, щоб вивести з ладу (відрізати від зовнішнього світу) усі хости усередині захищеного Firewall-системою сегмента, досить атакувати тільки один Firewall, а не трохи хостів (це легко порозумівається тим, що зв'язок внутрішніх хостів із зовнішнім світом можливий тільки через Firewall).
З усього вищесказаного аж ніяк не випливає, що використання систем Firewall абсолютно безглуздо. Ні, на даний момент цій методиці немає альтернативи. Однак треба чітко розуміти і пам'ятати її основне призначення. Нам представляється, що застосування методики Firewall для забезпечення мережної безпеки є необхідною, але аж ніяк не достатньою умовою, і не потрібно вважати, що, поставивши Firewall, ви разом вирішите всі проблеми з мережною безпекою і позбудетеся від усіх можливих вилучених атак з мережі Internet. Прогнила з погляду безпеки мережа Internet ніяким окремо узятим Firewall'ом не захистиш!
3.3 Програмні методи захисту, застосовані в мережі Internet.
До програмних методів захисту в мережі Internet можна віднести насамперед захищені криптопротоколи, з використанням яких з'являється можливість надійного
захисту з'єднання. Далі піде мова про існуючі на сьогоднішній день у Internet підходах і основних, уже розроблених, криптопротоколах.
До іншого класу програмних методів захисту від вилучених атак відносяться існуючі на сьогоднішній день програми, основна мета яких - аналіз мережного трафіка на предмет наявності одного з відомих активних вилучених впливів.
3.4 SKIP-технологія і криптопротоколи SSL, S-HTTP як основний засіб захисту з'єднання і переданих даних у мережі.
Одна з основних причин успіху вилучених атак на розподілені ВР криється у використанні мережних протоколів обміну, що не можуть надійно ідентифікувати вилучені об'єкти, захистити з'єднання і передані по ньому дані. Тому зовсім природно, що в процесі функціонування Internet були створені різні захищені мережні протоколи, що використовують криптографію як із закритим, так і з відкритим ключем. Класична криптографія із симетричними криптоалгоритмами припускає наявність у передавальної і приймаючої сторони симетричних (однакових) ключів для шифрування і дешифрування повідомлень. Ці ключі передбачається розподілити заздалегідь між кінцевим числом абонентів, що в криптографії називається стандартною проблемою статичного розподілу ключів. Очевидно, що застосування класичної криптографії із симетричними ключами можливо лише на обмеженій безлічі об'єктів. У мережі Internet для всіх її користувачів вирішити проблему статичного розподілу ключів, мабуть, не представляється можливим. Однак одним з перших захищених протоколів обміну в Internet був протокол Kerberos, заснований саме на статичному розподілі ключів для кінцевого числа абонентів. Таким же шляхом, використовуючи класичну симетричну криптографію, наші спецслужби змушені йти на те, що розробляють свої захищені криптопротоколи для мережі Internet. Це порозумівається тим, що чомусь дотепер немає гостированного криптоалгоритму з відкритим ключем. Скрізь у світі подібні стандарти шифрування давно прийняті і сертифіковані, а ми, видимо, знову йдемо другим шляхом.
Отже, зрозуміло, що для того, щоб дати можливість захиститися всій безлічі користувачів мережі Internet, а не обмеженій його підмножині, необхідно використовувати динамічно вироблювані в процесі створення віртуального з'єднання ключі при використанні криптографії з відкритим ключем. Далі ми розглянемо основні на сьогоднішній день підходи і протоколи, що забезпечують захист з'єднання.
SKIP (Secure Key Internet Protocol)- технологією називається стандарт інкапсуляції IP-пакетів, що дозволяє в існуючому стандарті IPv4 на мережному рівні забезпечити захист з'єднання і переданих по ньому даних. Це досягається в такий спосіб: SKIP-пакет являє собою звичайний IP-пакет, поле даних якого представляє із себе SKIP-заголовок визначеного специфікацією формату і криптограму (зашифровані дані). Така структура SKIP-пакета дозволяє безперешкодно направляти його будь-якому хосту в мережі Internet (міжмережна адресація відбувається по звичайному IP-заголовку в SKIP-пакеті). Кінцевий одержувач SKIP-пакета по заздалегідь визначеному розроблювачами алгоритму розшифровує криптограму і
формує звичайний TCP- чи UDP-пакет, що і передає відповідному звичайному модулю (TCP чи UDP) ядра операційної системи. У принципі, ніщо не заважає розроблювачу формувати за даною схемою свій оригінальний заголовок, відмінний від SKIP-заголовка.
S-HTTP (Secure HTTP) - це розроблений компанією Enterprise Integration Technologies (EIT) спеціально для Web захищений HTTP-протокол. Протокол S-HTTP дозволяє забезпечити надійний криптозахист тільки HTTP-документів Web-півночі і функціонує на прикладному рівні моделі OSI. Ця особливість протоколу S-HTTP робить його абсолютно спеціалізованим засобом захисту з'єднання, і, як наслідок, неможливе його застосування для захисту всіх інших прикладних протоколів (FTP, TELNET, SMTP і ін.). Крім того, жоден з існуючих на сьогоднішній день основних Web-браузерів (ні Netscape Navigator , ні Microsoft Explorer ) не підтримують даний протокол.
SSL (Secure Socket Layer) - розробка компанії Netscape - універсальний протокол захисту з'єднання, що функціонує на сеансовому рівні OSI. Цей протокол, що використовує криптографію з відкритим ключем, на сьогоднішній день, на нашу думку, є єдиним універсальним засобом, що дозволяє динамічно захистити будь-яке з'єднання з використанням будь-якого прикладного протоколу (DNS, FTP, TELNET, SMTP і т.д.). Це зв'язано з тим, що SSL, на відміну від S-HTTP, функціонує на проміжному сеансовому рівні OSI (між транспортним - TCP, UDP, - і прикладним - FTP, TELNET і т.д.). При цьому процес створення віртуального SSL-з'єднання відбувається за схемою Діффі і Хеллмана, що дозволяє виробити криптостійкий сеансовий ключ, використовуваний надалі абонентами SSL-з'єднання для шифрування переданих повідомлень. Протокол SSL сьогодні вже практично оформився як офіційний стандарт захисту для HTTP-з'єднань, тобто для захисту Web-серверів. Його підтримують, природно, Netscape Navigator і, як не дивно, Microsoft Explorer. Звичайно, для встановлення SSL-з'єднання з Web-сервером ще необхідно і наявність Web-сервера, що підтримує SSL. Такі версії Web-серверів вже існують (SSL - Apachе, наприклад). У висновку розмови про протокол SSL не можна не відзначити наступний факт: законами США донедавна був заборонений експорт криптосистем з довжиною ключа більш 40 біт (недавно він був збільшений до 56 біт). Тому в існуючих версіях браузерів використовуються саме 40-бітні ключі. Криптоаналітиками шляхом експериментів було з'ясовано, що в наявній версії протоколу SSL шифрування з використанням 40-бітного ключа не є надійним захистом для переданих по мережі повідомлень, тому що шляхом простого перебору (240 комбінацій) цей ключ підбирається за час від 1,5 (на супер ЕОМ Silicon Graphics) до 7 доби (у процесі обчислень використовувалося 120 робочих станцій і трохи міні ЕОМ).
Отже, мабуть, що повсюдне застосування цих захищених протоколів обміну, особливо SSL (звичайно, з довжиною ключа більш 40 біт), поставить надійний бар'єр на шляху усіляких вилучених атак і серйозно ускладнить життя зловмисників усього світу. Однак весь трагізм сьогоднішньої ситуації з забезпеченням безпеки в Internet полягає в тому, що поки жоден з існуючих криптопротоколів (а їх уже чимало) не оформився як єдиний стандарт захисту з'єднання, що підтримувався б усіма виробниками мережних ОС. Протокол SSL, з наявних на сьогодні, підходить на цю роль щонайкраще. Якби його підтримували всі мережні ОС, то не треба було б
створення спеціальних прикладних SSL-сумісних серверів (DNS, FTP, TELNET, WWW і ін.). Якщо не домовитися про прийняття єдиного стандарту на захищений протокол сеансового рівня, то тоді буде потрібно прийняття багатьох стандартів на захист кожної окремої прикладної служби. Наприклад, уже розроблений експериментальний, ніким не підтримуваний протокол Secure DNS.
Також існують експериментальні SSL-сумісні Secure FTP- і TELNET-сервери. Але все це без прийняття єдиного підтримуваного усіма виробниками стандарту на захищений протокол не має абсолютно ніякого змісту. А на сьогоднішній день виробники мережних ОС не можуть домовитися про єдину позицію на цю тему і, тим самим, перекладають рішення цих проблем безпосередньо на користувачів Internet і пропонують їм вирішувати свої проблеми з інформаційною безпекою самим.
3.5 Мережний монітор безпеки IP Alert-1.
У мережі Internet, як і в інших мережах (наприклад, Novell NetWare, Windows NT), відчувається серйозна недостача програмного засобу захисту, що здійснює комплексний контроль (моніторинг) на канальному рівні за всім потоком переданої по мережі інформації з метою виявлення всіх типів вилучених впливів. Дослідження ринку програмного забезпечення мережних засобів захисту для Internet виявило той факт, що подібних комплексних засобів виявлення вилучених впливів не існує, а ті, що маються, призначені для виявлення впливів одного конкретного типу (наприклад, ICMP Redirect). Тому і була почата розробка засобу контролю сегмента IP-мережі, призначеного для використання в мережі Internet і наступна назва, що одержала: мережний монітор безпеки IP Alert-1. Основна задача цього засобу, що програмно аналізує мережний трафік у каналі передачі, складається не у відображенні здійснюваних по каналі зв'язку вилучених атак, а в їхньому виявленні, протоколюванні (веденні файлу аудита з протоколюванням у зручній для наступного візуального аналізу формі всіх подій, зв'язаних з вилученими атаками на даний сегмент мережі) і негайним сигналізовуванні адміністратору безпеки у випадку виявлення вилученої атаки. Основною задачею мережного монітора безпеки IP Alert-1 є здійснення контролю за безпекою відповідного сегмента мережі Internet. Мережний монітор безпеки IP Alert-1 володіє наступними функціональними можливостями і дозволяє, шляхом мережного аналізу, знайти наступні вилучені атаки на контрольований їм сегмент мережі Internet.
Функціональні можливості мережного монітора безпеки IP Alert-1:
1. Контроль за відповідністю IP- і Ethernet-адрес у пакетах, переданих хостами, що знаходяться усередині контрольованого сегмента мережі.
На хості IP Alert-1 адміністратор безпеки створює статичну ARP-таблицю, куди заносить зведення про відповідний IP- і Ethernet-адресах хостів, що знаходяться усередині контрольованого сегмента мережі. Дана функція дозволяє знайти несанкціоновану зміну IP-адреси чи її підміну (IP Spoofing).
2. Контроль за коректним використанням механізму вилученого ARP-пошуку.
Ця функція дозволяє, використовуючи статичну ARP-таблицю, визначити вилучену атаку "Помилковий ARP-сервер".
3. Контроль за коректним використанням механізму вилученого DNS-пошуку.
Ця функція дозволяє визначити всі можливі види вилучених атак на службу DNS.
4. Контроль на наявність ICMP Redirect повідомлення.
Дана функція оповіщає про виявлення ICMP Redirect повідомлення і відповідної вилученої атаки.
5. Контроль за коректністю спроб вилученого підключення шляхом аналізу переданих запитів.
Ця функція дозволяє знайти, по-перше, спробу дослідження закону зміни початкового значення ідентифікатора TCP-з'єднання - ISN, по-друге, вилучену атаку "відмовлення в обслуговуванні", здійснювану шляхом переповнення черги запитів на підключення, і, по-третє, спрямований "шторм" помилкових запитів на підключення (як TCP, так і UDP), що приводить також до відмовлення в обслуговуванні.
Таким чином, мережний монітор безпеки IP Alert-1 дозволяє знайти, сповістити і запротоколювати усі види вилучених атак. При цьому дана програма ніяким образом не є конкурентом системам Firewall. IP Alert-1, використовуючи систематизовані особливості вилучених атак на мережу Internet, служить необхідним доповненням - до речі, незрівнянно більш дешевим, - до систем Firewall. Без монітора безпеки більшість спроб здійснення вилучених атак на ваш сегмент мережі залишиться приховано від ваших очей. Жоден з відомих FireWall не займається подібним інтелектуальним аналізом минаючих по мережі повідомлень на предмет виявлення різного роду вилучених атак, обмежуючи, у кращому випадку, веденням журналу, у який заносяться зведення про спроби підбора паролів для TELNET і FTP, про сканування портів і про сканування мережі з використанням знаменитої програми вилученого пошуку відомих уразливостей мережних ОС - SATAN. Тому, якщо адміністратор IP-мережі не бажає залишатися байдужим і задовольнятися роллю простого статиста при вилучених атаках на його мережу, то йому бажано використовувати мережний монітор безпеки IP Alert-1. До речі, Цутому Шимомура зміг запротоколювати атаку Кевіна Митника, багато в чому, видимо, завдяки програмі tcpdump - найпростішому аналізатору IP-трафіка.

Рис. 3.2. Мережний монітор безпеки IP Alert-1.

3.6. Засоби автоматизованого контролю безпеки.
Ми вже говорили про корисність засобу автоматизованого контролю безпеки окремого комп'ютера, а також усієї подмережі, за якої він відповідає, для системного адміністратора. Природно, що такі засоби вже з'являлися, і частіше інших зустрічаються назви ISS (Internet Security Scaner), COPS (Computer Oracle and
Password System) і, звичайно, SATAN (Security Administrator Tool for Analizyng Networks). На жаль, їм звичайно властиві наступні недоліки:
системозалежність - звичайно вони розраховані на цілком конкретну ОС чи навіть її версію;
ненадійність і неадекватність - якщо ці програми повідомляють, що всі "О'кеу", це зовсім не виходить, що так насправді і є; і навпаки - деяка "уразливість" , з їхнього погляду, може виявитися спеціальним варіантом конфігурації системи;
малий час життя - тому що з моменту виявлення уразливості до її викорінювання проходить не дуже великий час (порядку року), програма швидко застаріває;
не актуальність - більш того, з моменту виходу програми у світ всі нові (тому самі небезпечні) уразливості виявляються невідомими для неї, і її цінність швидко зводиться до нуля. Цей недолік є самим серйозним;
нарешті, це можливість їхнього використання з прямо протилежними цілями - для пошуку вад у вашій системі.
Можна помітити явну аналогію цих програм з антивірусними сканерами першого покоління - ті знали лише строго визначений набір вірусів, нові віруси додавалися тільки в наступному випуску програми. Якщо подивитися на можливості сучасних антивірусних програм - це й оперативне лікування вірусів, і автоматизоване поповнення бази вірусів самим користувачем, і пошук невідомих вірусів, - то можна побажати, щоб гарний сканер Інтернету зміг запозичити деякі з них. У першу чергу - це можливість поповнення бази новими уразливостями. Причому в наші дні це нескладно зробити - коштує лише переписувати інформацію з джерел, що займаються саме збором таких зведень, типу CERT чи CIAC.
3.7 Програма SATAN.
SATAN, іноді вважається чи ледве ні самою небезпечною програмою з абиколи написаних, починаючи від своєї лиховісної назви до можливості влізти чи ледве не в самий захищений комп'ютер. А що стосується влізання в комп'ютер - якщо подібна програма і мається в зломщиків чи спецслужб, то вона ніколи не стала б вільно поширюватися по Інтернету, як це відбувається з SATAN.
Насправді SATAN - це добротно зроблена, із сучасним інтерфейсом, програма для пошуку проломів у вашої підмережі (Intranet, як модно говорити останнім часом), написана на машинно-незалежних мовах Perl і З, тому вона в деякій мері переборює перший з вищеописаних недоліків. Вона навіть допускає можливість для розширення і вставки нових модулів. На жаль, у всім іншому їй властиві зазначені недоліки, у т.ч. і самий головний - вона вже застаріла, і не може зараз серйозно використовуватися ні адміністраторами, ні зломщиками. Однак на момент виходу це була досить актуальна програма. Вона містила в собі пошук більшості уразливостей. Зокрема, програма шукає уразливості в:
FTP і TFTP;
NFS і NIS;
rexd;
sendmail;

r-службах;
X-Window.
Існують також більш пізні версії SаTаN'а, у які включений пошук і інших уразливостей. Для цього вона спочатку всіляким образом збирає інформацію про вашу систему, причому рівень цього конфігурується користувачем і може бути: легкий, нормальний і твердий. Легкий рівень, за твердженням авторів програми, не може бути ніяк виявлений стороною, що атакується, (принаймні, така активність програми ніяк не може бути прийнята за ворожу) і містить у собі DNS-запити для з'ясування версії операційної системи й іншої подібної інформації, що може бути легально отримана з використанням DNS. Далі вона надсилає запит на службу RPC (remote procedure call) для з'ясування, які rpc- сервіси працюють. Нормальний рівень розвідки містить у собі всі ці запити, а також доповнює їхньою посилкою запитів (скануванням) деяких строго визначених портів, таких як FTP, telnet, SMTP, NNTP, UUCP і ін. для визначення встановлених служб. Нарешті, твердий рівень містить у собі всі попередні рівні, а також доповнюється повним скануванням усіх (можливих) UDP- і TCP-портів для виявлення нестандартних служб чи служб на нестандартних портах. Автори застерігають, що таке сканування може бути легко зафіксовано навіть без спеціальних програм - наприклад, на консолі можуть з'являтися повідомлення від вашого FireWall..
Іншою важливою опцією, що задається при настроюванні SаTаN'а, є глибина перегляду підмереж (proximity). Значення 0 означає тільки один хост, 1 - підмережу, у яку він входить, 2 - усі підмережі, у які входить підмережа даного хосту, і т.д. Автори підкреслюють, що ні при яких обставинах це число не повинне бути більш 2, інакше SATAN вийде з-під контролю і просканує занадто багато зовнішніх підмереж.
Власне, нічим більш страшним, крім як скануванням портів і виявленням працюючих служб і їхньої конфігурації, SATAN не займається. При цьому, якщо знаходяться потенційні уразливості, він сповіщає про це. Як пишуть самі автори, фаза проникнення у вилучену систему не була реалізована.
Користувач може відсортувати знайдені уразливості (по типі, серйозності і т.п.) і відразу одержати розгорнуту інформацію з кожній з них. Цікаво, що у версіях до 1.1.1 у цій схемі аутентифікації теж була помилка, що навіть потрапила в один з бюлетенів CERT.
Отже, типовий сценарій роботи з SATAN полягає в наступному:
настроїти бажані параметри, у тому числі глибину сканування;
задати адреси, мети і рівень сканування;
переглянути отримані результати й одержати по них більш докладну інформацію;
усунути знайдені уразливості.
Адміністратору безпеки рекомендується просканувати на твердому рівні усі свої хости, а також усі довірені хости, обов'язково запитавши на це дозвіл у їхніх адміністраторів. Це рекомендується зробити навіть сьогодні, незважаючи на те, що SATAN застарів - ви зможете швидко одержати список використовуваних мережних служб і їхніх версій і перевірити, немає чи серед них уразливих, скориставшись матеріалами CERT чи CIAC.
3.8 Internet Scaner (ISS).
Програма, що більш-менш задовольняє перерахованим вимогам до сучасного засобу автоматизованої перевірки безпеки хосту. Принаймні, вона регулярно обновляється. Вона оригінально називається Internet Scaner SAFESuite і поширюється компанією Internet Security Systems (ISS - не плутати з Internet Security Scaner) за адресою http://www.iss.net. Для запуску вона вимагає ключ, що пересилається вам при покупці пакета, а в оцінну (evaluation) версію включений ключ, що дозволить вам сканування тільки свого власного хосту.
Ця програма реалізована під 6 платформ:
Windows NT,
HP/UX 9.x і 10.x,,
AIX 3.2.5 і 4.1,
Linux (ELF),
SunOS 4.1.3,
Solaris (SPARC) 2.x,
при цьому кожна з реалізацій знає уразливості й інших платформ.
Функціонально вона складається з трьох частин: сканер FireWall, Web-сканер і сканер Intranet. При цьому, як і в SATAN, користувач набудовує рівень сканування. При цьому він має можливість редагувати наступні зацікавлені класи уразливостей:
у NFS,
у RPC,
у Sendmail/FTP,
у X Windows,
IP Spoofing (включаючи можливість пророкування TCP-послідовності й атаки на r-служби),
відмовлення в обслуговуванні (різні способи),
наявність користувачів за замовчуванням,
тестування стандартних демонів і правильності їхніх настроювань,
правильність настроювань FireWall,
наявність помилок і правильність адміністрування Web-сервера.

Внимание, отключите Adblock

Вы посетили наш сайт со включенным блокировщиком рекламы!
Ссылка для скачивания станет доступной сразу после отключения Adblock!

Скачать