4.5. Моделирование процессов реализации внедрения ложного dns-сервера

4.5.1. Внедрение ложного dns-сервера

Основой данной атаки является то, что злоумышленник перехватывает запрос атакуемого хоста к настоящему DNS-серверу. Благодаря этому он решает задачу подбора номера порта, с которого отправлен запрос. Перед ним ставится задача определить идентификатор запроса, однако в большинстве систем этот идентификатор либо равен единице, либо имеет близкий порядок. Поэтому, отправив несколько ответов с разными идентификаторами, злоумышленник может рассчитывать на успех атаки.

Смоделируем данную атаку с помощью сети Петри-Маркова. Обозначения элементов этой сети приведены ниже, s_i — позиции, t_j — переходы:

s₁ — злоумышленник готов к проведению атаки и ожидает запроса от атакуемого хоста к DNS-серверу,

s₂ — атакуемый хост готов,

t₁ — ожидание передачи запроса атакуемого хоста к DNS-серверу,

s₃ — требуемый запрос перехвачен,

t₂ — анализ запроса и формирование ответа,

s₄ — необходимый ответ сформирован,

t₃ — отправка ответа атакуемому хосту,

s₅ — ответ отправлен,

t₄ — прием атакуемым хостом ложного ответа и изменение его таблицы имен,

s₆ — соединение атакуемого хоста с ложным сервером осуществлено.

Вид данной сети представлен на рис. 4.20.

Рис. 4.20. Вид сети Петри-Маркова процесса реализации внутрисегментного внедрения ложного DNS-сервера

На этой сети позиции не имеют инцидентные дуги, поэтому вероятности перемещения из них в переходы равны единице.

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Для сети Петри-Маркова процесса реализации внутрисегментного внедрения ложного DNS-сервера имеет место следующая система интегро-дифференциальных уравнений [60,62]:

(4.16)

Полагаем, что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (4.2) при i1,…,7; j1,...,5.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

₁₃₂₄₃₅₄₆₅₇₆,

(4.17)

где исходные параметры атаки принимают следующие значения:

₂₁15,5 с — среднее время запуска и настройки злоумышленником программы для реализации атаки,

₂₁₃₂0,1 c,

₄₃0,2 с — средние времена соответственно пересылки и обработки пакетов.

Таким образом, среднее время перехода по всей сети 16,25 с, а зависимость вероятности реализации атаки от времени приобретает вид, представленный на рис. 4.21.

P(t)1e_t/16,25

P(t)

Рис. 4.21. Зависимость вероятности реализации внутрисегментного внедрения ложного DNS-сервера от времени

4.5.2. Межсегментное внедрение ложного dns-сервера

При реализации данной атаки злоумышленник не имеет возможности перехватить запрос атакуемого хоста к настоящему DNS-серверу. Перед ним ставится задача определить номер порта, с которого отправлен запрос и идентификатор запроса, однако в большинстве систем этот идентификатор либо равен единице, либо имеет близкий порядок. Поэтому, отправив несколько ответов с разными идентификаторами и номерами порта, злоумышленник может рассчитывать на успех атаки.

Смоделируем данную атаку с помощью сети Петри-Маркова. Обозначения элементов этой сети приведены ниже, s_i — позиции, t_j — переходы:

s₁ — атакуемый хост готов,

t₁ — ожидание передачи запроса атакуемого хоста к DNS-серверу,

s₂ — атакуемый хост отправил запрос к DNS-серверу и ожидает ответа,

s₃ — злоумышленник сформировал и отправляет атакуемому хосту ложные DNS-ответы,

t₂ — прием атакуемым хостом ложного ответа и изменение его таблицы имен,

s₄ — соединение атакуемого хоста с ложным сервером осуществлено.

Вид данной сети представлен на рис. 4.22.

Рис. 4.22. Вид сети Петри-Маркова процесса реализации межсегментного внедрения ложного DNS-сервера

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Для данной сети Петри-Маркова имеет место следующая система интегро-дифференциальных уравнений [60,62]:

(4.18)

Полагаем, что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (4.2) при i1,…,4; j1,...,2.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

₁₁₁₃₂,

(4.19)

где исходные параметры атаки принимают следующие значения:

₂₁15,5 с — среднее время запуска и настройки злоумышленником программы для реализации атаки,

₁₁₂₂0,2 c, ₃₂1 с — средние времена соответственно пересылки и обработки пакетов.

Таким образом, среднее время перехода по всей сети 17,53 с, и зависимость вероятности реализации этапа от времени приобретает вид, представленный на рис. 4.23.

P(t)1e_t/17,53

P(t)

Рис. 4.23. Зависимость вероятности реализации межсегментного внедрения ложного DNS-сервера от времени