Меры защиты от атак на протокол arp

Различные сетевые операционные системы по-разному используют протокол ARP для изменения информации в своих ARP таблицах.

Атаки, связанные с уязвимостями протокола ARP являются внутрисегментными и поэтому представляют угрозу для пользователя только в случае нахождения атакующего внутри сегмента сети. Защиты от атак на протокол ARP в общем случае не существует, т.к. используемые уязвимости являются особенностями работы технологии Ethernet (широковещательность). Однако можно выполнить следующее:

• нарушителя нужно искать внутри сетевого сегмента атакуемого объекта;

• полезно вести таблицу соответствия МАС-адресов и IP-адресов, которую следует периодически обновлять;

• использовать статические записи в таблице ARP хотя бы для наиболее важных узлов сети.

11. Атаки сетевого уровня на протокол ip и его защита

11.1. Аутентификация на основе ip-адреса (Address Masquerading)

Аутентификация (подтверждение подлинности) на уровне IP относится к компьютерам, а не к пользователям. Поскольку IP-адрес конфигурируется программно, обычно бывает легко задать для узла другой IP-адрес, так что узел будет корректно работать в сети. Если аутентификация осуществляется по IP-адресу узла, это позволит атакующему получить доступ к ресурсам, к которым он при обычных условиях доступа иметь не должен. Такое действие называется Address Masquerading (Адресный маскарад). Протоколы прикладного уровня, как, например, Network File System (NFS), могут быть уязвимыми к таким атакам, если нет дополнительной аутентификации на основе, например имени и пароля пользователя.

Атака «Address Masquerading»

Рис. 2.6

На рис. 2.6 нарушитель, дождавшись отключения легального NFS клиента, присваивает себе его IP-адрес.

11.2. Address Spoofing

Address Spoofing в простейшем варианте представляет собой замену адреса отправителя или получателя пакета и отправку такого пакета в сеть.

Более усовершентсвованный вариант техники Address Spoofing называется TCP sequence number attack.

Средства программирования под UNIX позволяют легко управлять сетевыми пакетами, например, формировать их заголовки. Например утилита Nmap, некоторые режимы которой позволяют задать поддельные адреса отправителя пакетов. Под Windows это осуществить несколько сложнее.

11.3. Ошибки фрагментации

Большое количество атак на протокол IP связано с одной из его функций -фрагментацией. Посылка специфических пакетов, где определённым образом заполнены поля заголовка, отвечающие за фрагментацию, может привести к зависанию или понижению производительности узла. Как правило, используемыми уязвимостями во всех случаях являются ошибки реализации. Исправление этих ошибок – это установка пакетов обновления программного обеспечения. Большое число одинаковых фрагментированных пакетов вызывают "замораживание" машины на время атаки. Уязвимыми оказались машины с Windows 95/98/NT/2000. Узлу посылается большое количество пакетов с одинаковым полем Identification, помеченных как последний фрагмент со смешением 65520. Это приводит к падению производительности узла практически до нуля.

Защитится можно путем установки соответствующего обновления ПО.