1.5.2 Меры противодействия удаленным атакам

1) Анализ трафика

Данная атака является пассивной, и сам факт ее реализации не оставляет в системе никаких фиксируемых изменений, к тому же активность хоста в процессе ее реализации существенно не отличается от нормальной. Однако в результате проведения такой атаки возможен перехват передаваемой по сети важной информации, такой как имена пользователей и пароли, которые при использовании протоколов FTP и telnet передаются в открытом виде. Таким образом, единственной возможностью минимизировать опасность от реализации данной атаки является применение средств криптографической защиты передаваемых сообщений на различных уровнях OSI [40, 52, 53, 54].

2) Отказ в обслуживании

Для предотвращения атак с использованием ICMP Echo Request/Reply могут быть использованы самые различные способы.

В качестве одного из таких эффективных мероприятий можно использовать запрещение приема и распространения сообщений типа directed broadcast. Использование данной меры рекомендовано документом RFC 1122, в соответствии с которым должны строиться правила функционирования маршрутизаторов в сети IP. В частности, в этом документе указано, что сообщения ICMP Echo Request, которые направлены в адрес типа directed broadcast, могут быть уничтожены без формирования какого либо диагностического сообщения [29].

Радикальным способом противодействия атакам типа smurf является запрещение трафика ICMP Echo Request/Reply на входных интерфейсах [34]. Однако данная мера лишает многих пользователей возможности использования эффективных инструментов, которые широко используются для определения статуса данного компонента сети — утилит ping, tracert и т.д.

3) Подмена доверенного объекта

Для защиты TCP-соединения при создании виртуального канала (атака IP-спуфинг) существует несколько путей.

Простейшим сигналом реализации данной атаки служат пакеты с адресами внутренней подсети, пришедшие из-за ее пределов. Программное обеспечение маршрутизатора может предупредить об этом администратора. Однако эта мера справедлива только в случае межсегментной атаки. Также можно усложнить или сделать невозможным угадывание начального номера сообщения ISS (ключевой элемент атаки). Например, можно увеличить скорость изменения ISS на сервере или выбирать коэффициент его увеличения случайно (желательно, используя для генерации случайных чисел криптографически стойкий алгоритм).

Кроме того, следует минимизировать доверие машин друг другу. В идеале не должно существовать способа, позволяющего напрямую попасть на соседнюю машину сети, получив права пользователя на одной из них.

Поэтому более надежным способом является анализ загруженности сети, отслеживание возникающих так называемых ACK-бурь. (При десинхронизации соединения клиент и сервер продолжают посылать друг другу сообщения с запросом на синхронизацию.) Это можно реализовать при помощи конкретных средств контроля за сетью [28].

Шифрование TCP/IP-потока решает в общем случае проблему IP-спуфинга (при условии, что используются криптографически стойкие алгоритмы).

4) Внедрение ложного объекта

В основе рассматриваемых способов противодействия ARP-атакам лежат два совершенно раличных принципа, каждый из которых обладает как достоинствами, так и недостатками.

Оба способа, помимо того, что они надёжно защищают от ARP-спуфинга имеют ещё то преимущество, что позволяют полностью контролировать трафик — не только тот, что проходит через шлюз, но и тот, который циркулирует между машинами (В случае использования PPPoE машины могут по взаимному согласию обмениваться данными между собой напрямую. В случае использования VLAN такой возможности они лишены полностью.)

Можно бороться со слабостями протокола ARP кардинально — просто не использовать его. ARP-таблицу можно сформировать вручную, при этом она становится неуязвимой к ARP-атакам. Для этого нужно добавить необходимые MAC-адреса в таблицу.

Если при этом отключить использование ARP на сетевых интерфейсах, то доступны будут только те системы, MAC-адреса которых добавлены в ARP-таблицу нашего узла, и наш MAC-адрес добавлен в ARP-таблицы узлов, с которыми производится обмен трафиком [28].

Если не отключать использование ARP на сетевых интерфейсах, MAC-адрес заданный статически имеет приоритет. Если MAC-адрес для какого-то IP-адреса не задан, используется ARP-запрос.

Преимущества и недостатки:

Метод ручного формирования ARP-таблиц имеет следующие недостатки:

а) добавляется много рутинной работы, связанной с добавлением и модификацией MAC-адресов. Каждое изменение в сети, связанное с заменой или перестановкой сетевых карт, должно сопровождаться редактированием ARP-таблиц в файлах.

б) клиентские узлы остаются по-прежнему уязвимыми к ARP-спуфингу.

Существует патчи для ядер Linux/FreeBSD, которые позволяют свести к минимуму опасность успешного выполнения атаки ARP-спуфинга против данных систем.

При приеме ARP-ответа производится сравнение старого и нового MAC-адресов, и при обнаружении его изменения запускается процедура верификации. Посылается ARP-запрос, требующий всем хозяевам IP-адреса сообщить свои MAC-адреса. Если выполняется атака, настоящая система, имеющая этот IP-адрес, ответит на запрос, и, таким образом, атака будет распознана. Если же изменение MAC-адреса было связано не с атакой, а со стандартными ситуациями, ответа, содержащего старый MAC-адрес, не будет, и по прошествию определенного таймаута система обновит запись в КЭШе [32].

К сожалению, этот метод не применим к Windows-системам, и другим системам, работающим под управлением ОС, исходный код которых недоступен.