Лабораторна робота №5. Сканування tcp/ip мереж за допомогою програми nmap Мета роботи

Вивчення методів сканування TCP/IP мереж на прикладі використання утіліти NMap.

Теоретичні відомості

Атака на комп’ютерну систему здійснюється здебільшого за таким сценарієм. На першому етапі зловмисник здійснює збирання інформації про мережу, яка є ціллю атаки, як технічними, так і нетехнічними методами. В загальному випадку метою збирання інформації є отримання відомостей про конфігурацію мережі, системне й прикладне програмне забезпечення, що в ній використовується, сервіси, що запущені. Переважна більшість таких відомостей може бути отримана шляхом сканування мережі. Тривалість цього етапу не визначена. В результаті обробки отриманих даних зловмисник або шукає відомі вразливості, притаманні ПЗ, що використовується, або здійснює самостійні дослідження ПЗ, в залежності від його кваліфікації.

На другому етапі запускається програмний код, що використовує ту або іншу вразливість, так званий «exploit». Цей етап і становить власне сутність атаки. В результаті виконання коду зловмисник або отримує несанкціонований доступ до комп’ютерної системи, або спричиняє в ній порушення функціонування (аж до краху системи) у випадку атаки на відмову в обслуговуванні. Тривалість цього етапу, як правило, дуже мала, хоча можуть бути й виключення (наприклад, підбір паролів). Джерелом коду, що реалізує атаку, може бути як власна творчість досвідченого хакера, так і величезна кількість сайтів в Інтернет, тобто зловмисник, що реалізує (навіть успішно) атаку, не обов’язково має високу кваліфікацію.

На третьому етапі зловмисник здійснює дії, заради яких він здійснював атаку: читання конфіденційних захищених даних, несанкціонована модифікація, блокування або знищення інформації, тобто реалізуються загрози конфіденційності, цілісності й доступності інформації.

На четвертому (необов’язковому) етапі зловмисник здійснює дії, спрямовані на приховування слідів його перебування в системі. Як правило, вони полягають в редагуванні файлів аудиту операційної системи.

Таким чином, першим етапом атаки є розвідка, яка здебільшого здійснюється шляхом сканування мережі, або включає таке сканування як складову частину. Сканери мереж і портів є найбільш поширеними інструментами збору інформації технічними методами. Безпосередньо сканування дає інформацію про активні IP-адреси і пов’язані з ними сервіси, а також про деякі подробиці, які система явно чи неявно повідомляє про себе через мережу (тобто, або система явно дає відповідь на стандартні чи спеціально сформовані запити визначених протоколів, або її поведінка може бути визначеним чином проінтерпретована). Одним з найпоширеніших і найдоступніших сканерів є NMap (Network Mapping) – безкоштовне ПЗ для ОС Unix і Linux.

Правові аспекти сканування

Перш, ніж детальніше познайомитись з методами сканування й утілітою NMap, необхідно з’ясувати правові аспекти здійснення сканування, яке, як ми зазначили вище, можна розглядати як перший етап здійснення атаки. Однак, певна частина спеціалістів з комп’ютерної безпеки, в тому числі автори деяких популярних книг і автори програмного забезпечення, яке здійснює сканування, не відносять сканування до атаки. Автор NMap і автори книги “Атака на Інтернет” – яскраві тому приклади. Однак слід розібратись, що саме може бути метою сканування.

По-перше, сканування може бути актом тестування, яке здійснює уповноважений адміністратор для перевірки працездатності і активності тих чи інших сервісів у мережі. По-друге, сканування може бути актом розвідки, за яким з великою ймовірністю буде здійснено спробу атаки. По-третє, сканування може бути частиною дослідження комп’ютерів і мереж, яке виконують адміністратори і експерти для перевірки на наявність недокументованих інтерфейсів, так званих люків (“backdoor”), які відкриваються деякими “троянськими конями”, вірусами або мережевими “хробаками” для несанкціонованого віддаленого доступу, в тому числі для надання зловмиснику можливості повного контролю над комп’ютером через мережу. Фактично, третій випадок від другого відрізняється лише тим, як будуть застосовані результати розвідки: для компрометації системи чи для захисту від компрометації.

Таким чином, мережеві сканери дійсно можна вважати не просто інструментом, а зброєю, наслідки застосування якої залежать від того, в чиїх вона руках і наскільки ці руки вправні. А сканування є ні чим іншим, як застосуванням цієї зброї. Крім того, за несприятливого збігу обставин (мала потужність сервера-цілі, вразливе або неправильно налаштоване ПЗ) саме сканування без цілеспрямованих спроб атаки може стати причиною відмови в обслуговуванні. Тому цілком природно, що реакція системного адміністратора на сканування його машини або мережі, напевно, буде дуже різкою, аж до звернення до правоохоронних органів. В деяких мережах, наприклад в мережі НТУУ “КПІ”, сканування інших підмереж заборонено правилами. Сканування в Інтернет, скоріше за все, закінчиться тим, що провайдер відключить комп’ютер, з якого проводилось сканування, без відшкодування грошей, що залишались на рахунку. Малоймовірно, щоби за одним лише фактом сканування наступила кримінальна відповідальність, однак, якщо слідство буде розпочато за іншим фактом (компрометація системи, викрадення конфіденційної інформації, створення та впровадження шкідливого ПЗ), то наявність в арсеналі підозрюваного мережевого сканера однозначно буде розцінено як доказ (прецеденти вже мали місце в Російській Федерації і обговорювались в російській пресі).

Тому суворе застереження, яке слід пам’ятати – якщо ви плануєте здійснити сканування, обов’язково попередьте (або дістаньте згоду, в залежності від наявних у вас повноважень) усіх зацікавлених осіб. В деяких випадках згоду слід отримати у письмовому вигляді.