Коллектив авторов - Защита от хакеров корпоративных сетей
Исходная версия от LBL была значительно улучшена с ее последнего официального релиза. Она имеет лицензию системы с открытым кодом (лицензия BSD) и, следовательно, может быть использована в коммерческом программном обеспечении, а также позволяет неограниченные модификации и редистрибуцию.
Исходная LBL-версия может быть найдена на ftp://ftp.ee.lbl.gov/libpcap.tar.Z. Команда tcpdump.org, принявшая разработку TCPDump, также приняла разработку libpcap. Свежая версия libpcap может быть найдена на www.tcpdump.org.
По сравнению с анализатором сетевого трафика, написанного под операционную систему Linux, используется «родной» интерфейс, анализатор сетевого трафика для Linux, использующий libpcap, намного проще, как показано далее:#include <stdio.h>
#include <stdlib.h>
#include <sys/types.h>
#include <net/ethernet.h>
#include <pcap/pcap.h>
pcap_t *open_interface(char *name)
{
pcap_t *pd;
char ebuf[PCAP_ERRBUF_SIZE];
/* use pcap call to open interface in promiscuous mode */
d = pcap_open_live(name, 1600, 1, 100, ebuf);
f (!pd)
return NULL;
return pd;
}
int read_loop(pcap_t *pd)
{
const unsigned char *ptr;
int size, c;
struct pcap_pkthdr h;
struct ether_header *hdr;
while (1) {
/* read the next available packet using libpcap */
ptr = pcap_next(pd, &h);
if (h.caplen < sizeof(struct ether_header))
continue;
hdr = (struct ether_header *)ptr;
/* print out ethernet header */
for (c = 0; c < ETH_ALEN; c++)
printf(“%s%02x”,c == 0 ? “” : “:”,hdr-
>ether_shost[c]);
printf(“ > ”);
for (c = 0; c < ETH_ALEN; c++)
printf(“%s%02x”,c == 0 ? “” : “:”,hdr-
>ether_dhost[c]);
printf(“ type: %in”, hdr->ether_type);
}
}
int main(int argc, char **argv)
{
pcap_t *pd;
char *name = argv[1];
if (!argv[1]) {
fprintf(stderr, “Please specify an interface namen”);
return -1;
}
pd = open_interface(name);
if (!pd) {
fprintf(stderr, “Unable to open interfacen”);
return -1;
}
if (read_loop(pd) < 0) {
fprintf(stderr, “Error reading packetn”);
return -1;
}
return 0;
}
Windows
К сожалению, операционные системы семейства Windows не предоставляют функциональной возможности доступа к сети на канальном уровне. Мы должны приобрести и установить пакет драйвера стороннего производителя для получения доступа к данному уровню. До недавнего времени не существовало общедоступных драйверов, для которых не нужна лицензия. BPF-образный драйвер на данный момент уже написан и поддерживает BPF-механизм фильтрации в ядре. Также существует портация библиотеки libpcap, которая в сочетании с драйвером предоставляет интерфейс, такой же простой его UNIX, как аналог. Драйвер, портация libpcap, так же как и Windows-версия TCPDump, доступны на http://netgroup-serv.polito.it/windump.Защитные меры
Итак, вы, наверное, думаете, что все потеряно и вы не можете ничего сделать для предотвращения прослушивания сетевого трафика вашей сети, правильно? Не все потеряно, вы убедитесь в этом в данном разделе.
Обеспечение шифрования
К счастью, для состояния сетевой безопасности шифрование (используемое должным образом) является «серебряной пулей», которая делает пакетные анализаторы бесполезными. Зашифрованная информация, полагая, что механизм шифрования является эффективным, разрушит все попытки нарушителя пассивно прослушивать вашу сеть.
Многие существующие сетевые протоколы имеют аналоги, которые полагаются на стойкие алгоритмы шифрования и всеобъемлющие механизмы, такие как IPSec, предоставляют это для всех протоколов. К сожалению, IPSec не используется широко в Интернете вне частных корпораций.
Secure Shell (SSH)
Secure Shell является криптографически стойкой заменой rlogin, rsh и rcp команд стандартного Telnet. Она состоит из клиента и сервера, которые используют криптографию с открытым ключом для обеспечения шифрования сессии. Secure Shell также предоставляет возможность ретрансляции произвольных портов через шифрованные соединения, являющиеся очень удобными для ретрансляции X11 Windows и других соединений.
SSH получила широкое признание как безопасный механизм для интерактивного доступа к удаленным системам. SSH зародилась и первоначально разрабатывалась финским разработчиком Тату Ялоненом (Tatu Ylonen). Оригинальная версия SSH стала коммерческой, и, несмотря на то что первоначальная версия до сих пор бесплатна, лицензия стала более ограничительной. Была создана общедоступная спецификация, результирующая разработку некоторого числа разных версий программного обеспечения SSH-клиента и сервера, не содержащих данных ограничений (в большинстве те, которые запрещают коммерческое использование).
Оригинальная версия SSH, написанная Тату Ялоненом, доступна на ftp://ftp.cs.hut.fi/pub/ssh/. Новая коммерческая SSH может быть приобретена у компании SSH Communications Security (www.ssh.com), которая предоставляет коммерческие версии бесплатно для общепризнанных университетов.
Полностью бесплатная версия SSH-совместимого программного обеспечения, OpenSSH, разработанного проектом операционной системы OpenBSD (как показано на рис. 10.8), может быть получена на www.openssh.com.
Рис. 10.8. Проект OpenSSH
Между прочим, команда OpenBSD/OpenSSH делает много хорошей работы за маленькие деньги или вообще бесплатно. Рисунок 10.8 наносится на футболки продажи, которые приносят некоторый доход, помогающий покрыть расходы на проект. Футболки, постеры и компакт-диски, которые они продают, можно найти на www.openbsd.org/orders.html.
Secure Sockets Layers (SSL)
SSL предоставляет сервисы аутентификации и шифрования. С точки зрения прослушивания сетевого трафика, SSL уязвим к атакам «человек посередине» (man-in-the-middle attack). Нарушитель может установить прозрачную программу-посредник между вами и Web-сервером. Эта программа-посредник может быть настроена дешифровывать SSL-соединения, перехватывать и обратно зашифровывать их. Когда это случается, пользователь будет предупрежден диалоговым окном, показанным на рис. 10.9. Проблема заключается в том, что большинство пользователей игнорируют эти предупреждения и все равно продолжают сеанс.
Рис. 10.9. Предупреждение о некорректном сертификате SSL
PGP и S/MIME
PGP и S/MIME являются стандартами для шифрования сообщений электронной почты. Если корректно использовать данные стандарты, существует вероятность сделать невозможным интерпретирование перехваченных сообщений электронной почты анализаторами e-mail трафика, таких как dsniff и Carnivore.
В Соединенных Штатах Америки ФБР разработало Троянского коня Magic Lantern, который регистрирует нажатия клавиш с надеждой перехватить пароли пользователей. Когда ФБР получает пароль, оно может расшифровывать сообщения электронной почты. В Соединенном Королевстве Великобритании пользователи обязаны законом предоставлять свои ключи шифрования по запросу для обеспечения правопорядка.
Коммутация
Сетевые коммутаторы усложняют процесс прослушивания вашей сети нарушителем; однако ненамного. Коммутаторы иногда рекомендуются как решения для проблемы прослушивания сетевого трафика; однако их настоящее назначение заключается в улучшении производительности сети, а не в предоставлении обеспечения информационной безопасности. Как объясняется в пункте «Усовершенствованные методы прослушивания сетевого трафика», любой нарушитель с помощью соответствующих инструментов все равно может прослушивать коммутируемый хост, если они находятся на одном и том же коммутаторе или сегменте.
Применение методов обнаружения
Но что, если вы по каким-либо причинам не можете использовать шифрование в вашей сети? Что делать в такой ситуации? В данном случае вы должны полагаться на обнаружение любой сетевой интерфейсной платы (NIC), которая может функционировать в режиме, инициированном анализатором сетевого трафика.
Локальное обнаружение
Многие операционные системы предоставляют механизм для выявления сетевых интерфейсов, работающих в «безразличном» режиме (promiscuous mode). Данный механизм обычно представлен в виде флага состояния, который ассоциирован с каждым сетевым интерфейсом и содержится в ядре. Он может быть просмотрен использованием команды ifconfig в UNIX-системах.
Следующий пример показывает интерфейс в операционной системе Linux, не находящийся в «безразличном» режиме:
eth0 Link encap: Ethernet HWaddr 00:60:08:C5:93:6B
inet addr: 10.0.0.21 Bcast: 10.0.0.255 Mask: 255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets: 1492448 errors: 2779 dropped: 0 overruns: 2779
frame: 2779
TX packets: 1282868 errors: 0 dropped: 0 overruns: 0
carrier: 0
collisions: 10575 txqueuelen: 100
Interrupt: 10 Base address: 0x300Необходимо отметить, что атрибуты интерфейса ничего не упоминают о «безразличном» режиме. Когда интерфейс переключается в «безразличный» режим, как показано далее, в разделе атрибутов появляется ключевое слово PROMISC:
eth0 Link encap: Ethernet HWaddr 00:60:08:C5:93:6B
inet addr: 10.0.0.21 Bcast: 10.0.0.255 Mask: 255.255.255.0
UP BROADCAST RUNNING PROMISC MULTICAST MTU: 1500 Metric:1
RX packets: 1492330 errors: 2779 dropped: 0 overruns: 2779
frame: 2779
TX packets: 1282769 errors: 0 dropped:0 overruns:0 carrier:0
collisions: 10575 txqueuelen: 100
Interrupt: 10 Base address: 0x300Важно отметить, что если нарушитель скомпрометировал защиту хоста, на котором вы выполняете данную команду, он или она может с легкостью повлиять на результат выполнения этой команды. Важной частью инструментария нарушителя является замещение команды ifconfig таким образом, что она не сообщает об интерфейсах в «безразличном» режиме.
Сетевое обнаружение
