[13]
Сканирование портов
Популярность: 10
Простота: 9
Результативность: ____ 9
Степень риска: 9 ,
При помощи диапазонного зондирования ICMP или TCP , определяются функционирующие (живые) системы и при этом добывается дополнительная полезная информация. После этого можно приступить к сканированию портов. Сканирование портов представляет собой процесс подключения к портам ТС P и UDP исследуемой системы с целью выявления работающих служб или coc тояния порта LISTENING (прослушивание). Идентификация слушающих портов важна для определения типа операционной системы и используемых приложений. Активные слушающие службы могут позволить неавторизованному пользователю получить доступ к системам с неправильной конфигурацией или к версиям программных продуктов с известными слабыми местами в защите. На последующих этапах предполагается, что интересующие системы функционируют, и теперь нужно выявить все слушающие порты или потенциальные точки доступа на исследуемом объекте.
При сканировании портов системы (или систем) можно решить несколько задач. Среди них:
-Идентификация служб TCP и UDP целевой системы
-Идентификация типа операционной системы
-Идентификация конкретных приложений или версий отдельных служб
Методы сканирования
Пионером в этой области является Fyodor . Он встроил различные методы сканирования в свою утилиту nmap . Многие типы сканирования, обсуждаемые ниже, создал и исследовал именно Fyodor .
Сканирование соединением TCP . Реализуется подключением к исследуемому порту и выполнением полного квитирования (пакеты подтверждения: SYN , SYN/ACK и АСК). Легко обнаруживается целевой системой На рис. 2.2 показана схема тройного подтверждения.
рис. 2.2. Подключение по TCP требует тройного подтверждения (полного квитирования): 1) посылка пакета SYN; 2) прием пакета SYN/ACK; 3) посылка пакета АСК
|
|
Угроза идентификации используемой операционной системы со стороны злоумышленника |
Комментарий к угрозе |
||
[13]
Обнаружение операционной системы
Популярность: 10
Простота: 9
Результативность: ___ 5
Степень риска: 8
Итак, существует множество средств и методов сканирования портов. Основная цель при сканировании портов состоит в выявлении слушающих портов TCP и UDP исследуемой системы. Вторая цель - определение типа сканируемой операционной системы. Конкретная информация об операционной системе используется на этапе построения карты слабых мест. Требуется максимальная точность в выявлении уязвимых мест исследуемой системы или систем. Поэтому нам нужна определенная степень уверенности в том, что удастся идентифицировать операционную систему целевого объекта. Можно применить методы захвата заголовков (см. главу 3), которые извлекают информацию из служб FTP , telnet , SMTP , HTTP , POP и др. Это простейший способ определения операционной системы и соответствующего номера версии работающей службы. Два наиболее точных инструмента, способных решить эту задачу, - всемогущая nmap и queso , которые выполняют идентификацию стека.
Идентификация стека
Прежде чем применить nmap и queso, нужно разобраться с идентификацией стека. Это мощная технология, позволяющая быстро и с высокой степенью точности определить операционную систему любого хоста. На деле существует множество нюансов в реализации стека IP каждым производителем. При разработке стека TCP / IP производители часто по-своему интерпретируют отдельные требования RFC . Таким образом, проверяя различия, можно сделать обоснованное предположение об используемой операционной системе. Для надежной идентификации стека требуется по крайней мере один слушающий порт. Утилита nmap делает вывод о типе операционной системы, даже если не открыт ни один из портов, однако точность такой догадки низка. Фундаментальную статью по данной теме написал Fyodor . Она была опубликована в Phrack Magazine ; найти ее можно по адресу http://www.insecure.org/nmap/nmap-fin-gerprinting-article.html .
|
|
Применение атакующим автоматизированных средств исследования |
Комментарий к угрозе |
||
[13]
Популярность: 10
Простота: 9
Результативность: ______ 9.5
Степень риска: 9.5
Существует множество различных средств, причем каждый день пишутся новые утилиты, упрощающие исследование сетей. Нам хотелось бы отметить еще две утилиты, которые дополняют рассмотренные выше средства.
Cheops ( http :// www . marko . net / cheops /), произносится как "Кии-опс" (см. рис.), представляет собой утилиту с графическим интерфейсом, разработанную как универсальный всеобъемлющий инструмент картографирования сети. Cheops интегрирует в одном пакете возможности ping , trace route , сканирования портов и обнаружения операционных систем (посредством queso ). Cheops имеет простой интерфейс, который визуально отображает системы и соответствующие сети, облегчая знакомство с полем битвы.
Tkined является частью пакета Scotty , который размещается по адресу http :// wwwhome . cs . utwente . ml /- schoenw / scotty /. Tkined представляет собой сетевой редактор, написанный на языке сценариев Тс1. Эта утилита интегрирует различные средства управления сетями, позволяющие исследовать сети IP . Tkined расширяем и обеспечивает проведение операций по изучению сети с графическим отображением результатов. Он не производит обнаружение операционных систем, но выполняет многие из задач, упоминавшихся выше. Вместе с Scotty поставляется несколько исследовательских сценариев, заслуживающих внимания.
Рис. 2.4. Cheops предоставляет множество утилит картографирования сети в одном графическом пакете
[13]
|
ИСА_DNS.1 |
Угроза атак посредством создания ложного DNS-сервера в сети. |
|
ИСА_ICM.1 |
Угроза межсегментных атак посредством использования изменений маршрута передачи пакетов, базирующихся на протоколе ICMP |
|
ИСА_ICM.2 |
Угроза внутрисегмент. атак посредством использования изменений маршрута передачи пакетов, базирующихся на протоколе ICMP |
|
ИСА_TCP.1 |
Нарушение роботоспособности атакуемого хоста посредством наводнения TCP-запросами (TCP SYN flooding) |
|
ИСА_TCP.2 |
Ошибки в использовании сетевых служб (r-login, rsh) |
|
ИСА_АСТ.1 |
Угроза атаки посредством анализа сетевого трафика (Network traffic sniffing) |
|
ИСА_ЛАС.1 |
Угроза атаки посредством создания в локальной сети сети ложного ARP-сервера |
ПС: Система АИС |
||
Объект: АИС |
||
|
Угрозы: |
|
|
|
Пожар в помещении |
|
|
Угроза пожара от круглосуточно (ночью без пристутствия людей) работающего компьютера |
|
|
Пожар в здании за пределами помещения |
|
|
Потеря данных хранящихся на компьютерах или на магнитных носителях расположенных в помещении |
Объект: DNS |
||
|
Угрозы: |
|
|
|
Подмена данных об IP-адресе |
|
|
Открытость БД DNS |
Объект: Криптографическая система |
||
|
Угрозы: |
|
|
|
Пользователь случайно по ошибке удаляет важные данные |
|
|
Изготовленного количества криптографических ключей не хватает |
|
|
Несоблюдение правил по своевременному выведениию из использования скомпрометированных ключей |
|
|
Недостаточная стойкость СКЗИ |
|
ИСА_СКЗ.1 |
Перегрузка программно-аппаратного комплекса подсистемы СКЗИ |
|
ГТК_3.3 |
Недостаточная надежность СКЗИ |
|
|
Пользователь осуществляет действия не предусмотренные инструкциями и тем самым наносит ущерб функционированию системы |
|
|
Ошибки в инструкциях и документации |
|
NST_AE.1 |
Неправ.вв.дан.пользов.вызывает непр.функц.системы |
|
NST_AMR |
Администратор ошибочно делает важные ресурсы недоступными легальным пользователям |
|
NST_AP.1 |
Администратор устанавливает параметры таким образом, что в ИС может возникнуть перегрузка |
|
ИСА_ПП.1 |
Обслуживающий персонал не обучен быстрому скоординированному решению возникшей проблемы |
Выводы
В ходе лабораторной работы создана модель угроз информационной безопасности оцениваемой системы с помощью ПО РискМенеджер - Анализ v3.5. Отчет генерируется автоматически с помощью контекстного меню.