40. Виды атак на ос.

В настоящее время существует множество различных видов сетевых атак, которые используют уязвимости как операционной системы, так и иного установленного программного обеспечения системного и прикладного характера.

Известные сетевые угрозы можно условно разделить на три большие группы:

• Сканирование портов – угрозы этого вида сами по себе не являются атакой, но обычно ей предшествуют, поскольку это один из основных способов получить сведения об удаленном компьютере. Этот способ заключается в сканировании UDP/TCP-портов, используемых сетевыми сервисами на интересующем компьютере, для выяснения их состояния (закрытые или открытые порты).

• DoS-атаки или атаки, вызывающие отказ в обслуживании – это атаки, результатом которых является приведение атакуемой системы в нестабильное или полностью нерабочее состояние. Последствиями атак такого типа могут стать повреждение или разрушение информационных ресурсов, на которые они направлены, и, следовательно, невозможность их использования.

Существует два основных типа DoS-атак:

• отправка компьютеру-жертве специально сформированных пакетов, не ожидаемых этим компьютером, что приводит к перезагрузке или остановке системы;

• отправка компьютеру-жертве большого количества пакетов в единицу времени, которые этот компьютер не в состоянии обработать, что приводит к исчерпанию ресурсов системы.

• Атаки-вторжения, целью которых является "захват" системы. Это самый опасный тип атак, поскольку в случае успешного выполнения система оказывается полностью скомпрометированной перед злоумышленником.

Данный тип атак применяется, когда необходимо получить конфиденциальную информацию с удаленного компьютера (например, номера кредитных карт, пароли) либо просто закрепиться в системе для последующего использования ее вычислительных ресурсов в целях злоумышленника (использование захваченной системы в зомби-сетях либо как плацдарма для новых атак).

В данную группу включено самое большое количество атак. Их можно разделить на три подгруппы в зависимости от операционной системы: атаки под MicrosoftWindows, атаки под Unix, а также общая группа для сетевых сервисов, использующихся в обеих операционных системах.

Наиболее распространены следующие виды атак, использующих сетевые сервисы операционной системы:

• Атаки на переполнение буфера – тип уязвимостей в программном обеспечении, возникающий из-за отсутствия контроля (либо недостаточном контроле) при работе с массивами данных. Это один из самых старых типов уязвимостей и наиболее простой для эксплуатации злоумышленником.

• Атаки, основанные на ошибках форматных строк – тип уязвимостей в программном обеспечении, возникающий из-за недостаточного контроля значений входных параметров функций форматного ввода-вывода типа printf(), fprintf(), scanf() .

40. Способы защиты ос от типовых атак.

Системы обнаружения атак (СОА) представляют собой специализированные программно-аппаратные комплексы, предназначенные для выявления информационных атак в ИС. Типовая архитектура СОА включает следующие компоненты (рис. 1):

модули-датчики (или модули-сенсоры), предназначенные для сбора необходимой информации о функционировании ИС;

модуль выявления атак, выполняющий обработку данных, собранных датчиками, с целью обнаружения информационных атак нарушителя;

модуль реагирования на обнаруженные атаки;

модуль хранения данных, в котором содержится вся конфигурационная информация, а также результаты работы СОА. Таким модулем, как правило, является стандартная СУБД, например MS SQL Server, Oracle или DB2;

модуль управления компонентами СОА.

СОА собирают всю информацию, необходимую им для выявления атак, при помощи сетевых (network-based) и хостовых (host-based) модулей-датчиков [2]. Сетевые датчики предназначены для сбора информации обо всех пакетах данных, передаваемых в рамках того сетевого сегмента, где установлен датчик. Сетевые датчики реализуются в виде отдельного программно-аппаратного блока, подключаемого к сегменту ИС. Хостовые же датчики устанавливаются на рабочие станции и сервера ИС и собирают информацию обо всех событиях, происходящих на этих узлах системы. Как правило, большая часть существующих СОА используют оба типа датчиков для того, чтобы имелась возможность сбора максимального объема данных, необходимого для обнаружения информационных атак. Типовая схема размещения СОА в ИС в этом случае предполагает установку сетевых датчиков до и после межсетевого экрана (МЭ), что позволяет обеспечить контроль его функционирования и защиту. Одновременно сетевые датчики могут быть установлены в сегментах, где вследствие высоких материальных затрат размещение хостовых датчиков на каждом компьютере является нецелесообразным. Хостовые датчики СОА устанавливаются на наиболее критических серверах ИС, которые должны быть защищены от информационных атак.

Технология предотвращения информационных атак на системном уровне реализуется на уровне хостов ИС с использованием хостовых датчиков СОА. Этот подход позволяет предотвратить два типа информационных атак:

сетевые атаки, реализуемые нарушителем удаленно путем посылки объекту нападения серии пакетов данных с целью нарушить информационную безопасность хоста;

системные атаки, реализуемые нарушителем локально посредством несанкционированного запуска программ, также с целью нарушить информационную безопасность хоста. Примерами таких программ являются информационные вирусы, программы типа "троянский конь", программы, направленные на несанкционированное повышение прав доступа и др.