- •Защита информации с помощью KerioWinRouteFirewall
- •2.Цель работы
- •3.Краткие теоретические сведения
- •3.1 Перечень возможных угроз безопасности
- •3.2 Атаки сети, виды и защита
- •3.2.1 Почтовая бомбардировка
- •3.2.2 Атаки с подбором пароля
- •3.2.3 Вирусы, почтовые черви и "троянские кони"
- •3.2.4 Сетевая разведка
- •3.2.5 Пассивные атаки на уровне tcp
- •Подслушивание - Сниффинг пакетов
- •3.2.6 Активные атаки на уровне tcp
- •3.2.6.1 Предсказание tcp sequence number - ip-спуфинг
- •Описание
- •Детектирование и защита
- •3.2.6.2 Ip Hijacking
- •Описание
- •Ранняя десинхронизация
- •Десинхронизация нулевыми данными
- •Ack-буря
- •Детектирование и защита
- •3.2.6.3 Пассивное сканирование
- •3.2.6.4 Атака на отказ в обслуживании
- •Затопление icmp-пакетами
- •Затопление syn-пакетами
- •3.2.6.5 Локальная буря
- •3.2.7 Атаки типа Man-in-the-Middle
- •3.2.8 Использование "дыр" и "багов" в по
- •3.3 Классификация средств защиты
- •3.3.1 Традиционные методы и средства обеспечения безопасности квс
- •3.3.2 Специфические сетевые методы и средства обеспечения безопасности
- •3.4 Kerio Winroute Firewall
- •3.4.1 Назначение программного обеспечения и задачи администрирования
- •3.4.2 Инструкция по установке
- •3.4.3 Инструкция по настройке
- •3.4.4 Инструкция по эксплуатации
- •4. Задание на лабораторную работу
- •Совместимость с операционными системами, с другим программным обеспечением и другими программами данного пакета WinRoute
3.2.6.2 Ip Hijacking
Если в предыдущем случае крэкер инициировал новое соединение, то в данном случае он перехватывает весь сетевой поток, модифицируя его и фильтруя произвольным образом. Метод является комбинацией "подслушивания" и IP spoofing'а.
Описание
Необходимые условия - крэкер должен иметь доступ к машине, находящейся на пути сетевого потока и обладать достаточными правами на ней для генерации и перехвата IP-пакетов.
Напомним, что при передаче данных постоянно используются sequence number и acknowledge number (оба поля находятся в ТСP-заголовке). Исходя из их значения, сервер и клиент проверяют корректность передачи пакетов.
Существует возможность ввести соединение в "десинхронизированное состояние", когда присылаемые сервером sequence number и acknowledge number не будут совпадать с ожидаемым значениеми клиента, и наоборот. В данном случае крэкер, "прослушивая" линию, может взять на себя функции посредника, генерируя корректные пакеты для клиента и сервера и перехватывая их ответы.
Метод позволяет полностью обойти такие системы защиты, как, например, одноразовые пароли, поскольку крэкер начинает работу уже после того, как произойдет авторизация пользователя.
Есть два способа рассинхронизировать соединение:
Ранняя десинхронизация
Соединение десинхронизируется на стадии его установки.
Крэкер прослушивает сегмент сети, по которому будут проходить пакеты интересующей его сессии
Дождавшись пакета S-SYN от сервера, крэкер высылает серверу пакет типа RST (сброс), конечно, с корректным sequence number, и, немедленно, вслед за ним фальшивый C-SYN-пакет от имени клиента.
Сервер сбрасывает первую сессию и открывает новую, на том же порту, но уже с новым sequence number, после чего посылает клиенту новый S-SYN-пакет.
Клиент игнорирует S-SYN-пакет, однако крэкер, прослушивающий линию, высылает серверу S-ACK-пакет от имени клиента.
Итак, клиент и сервер находятся в состоянии ESTABLISHED (установленный), однако сессия десинхронизирована.
Представим это в виде схемы:
Естественно, 100% срабатывания у этой схемы нет, например, она не застрахована от того, что по дороге не потеряются какие-то пакеты, посланные крэкером. Для корректной обработки этих ситуаций программа должна быть усложнена.
Десинхронизация нулевыми данными
В данном случае крэкер прослушивает сессию и в какой-то момент посылает серверу пакет с "нулевыми" данными, т.е. такими, которые фактически будут проигнорированы на уровне прикладной программы и не видны клиенту (например, для telnet это может быть данные типа IAC NOP IAC NOP IAC NOP...). Аналогичный пакет посылается клиенту. Очевидно, что после этого сессия переходит в десинхронизированное состояние.
Ack-буря
Одна из проблем IP Hijacking заключается в том, что любой пакет, высланный в момент, когда сессия находится в десинхронизированном состоянии вызывает так называемый ACK-бурю. Например, пакет выслан сервером, и для клиента он является неприемлимым, поэтому тот отвечает ACK-пакетом. В ответ на этот неприемлимый уже для сервера пакет клиент вновь получает ответ... И так до бесконечности.
К счастью (или к сожалению?) современные сети строятся по технологиям, когда допускается потеря отдельных пакетов. Поскольку ACK-пакеты не несут данных, повторных передачи не происходит и "буря стихает".
Как показали опыты, чем сильнее ACK-буря, тем быстрее она "утихомиривает" себя - на 10MB ethernet это происходит за доли секунды.