Metodologia wdroŜenia bezpiecznych sieci korporacyjnych dla początkujących administratorów bezpieczeństwa

Komentarze

Transkrypt

Metodologia wdroŜenia bezpiecznych sieci korporacyjnych dla początkujących administratorów bezpieczeństwa
Metodologia wdroŜenia bezpiecznych sieci
korporacyjnych dla początkujących
administratorów bezpieczeństwa
Teoria w praktyce
Autor:
Tomasz Turba
Opole, 2009r
[email protected]
http://tturba.tk
1
[email protected]
http://tturba.tk
SPIS TREŚCI
1.
Wstęp .................................................................................................................................. 4
2.
Cel i zakres publikacji ...................................................................................................... 9
3.
Współczesne zagroŜenia komputerowe ......................................................................... 10
3.1.
3.1.1.
Ataki klimatyczne ............................................................................................. 16
3.1.2.
Ataki związane z fizycznym kontaktem ......................................................... 24
3.1.3.
Atak socjotechniczny........................................................................................ 33
3.2.
4.
Przedstawienie ataków i sposobów obrony po stronie fizycznej ......................... 15
Przedstawienie ataków i sposobów obrony po stronie komputerowej ............... 44
3.2.1.
Atak pasywny.................................................................................................... 48
3.2.2.
Atak aktywny i jego wariacje .......................................................................... 61
Implementacja bezpiecznej infrastruktury sieciowej .................................................. 86
4.1.
Zastosowanie modelu SDLC w projekcie .............................................................. 87
4.1.1.
Dokumentacja techniczna................................................................................ 93
4.1.2.
Polityka bezpieczeństwa .................................................................................. 95
4.3.
Skuteczny monitoring i zarządzanie .................................................................... 115
5.
Testowanie zabezpieczeń .............................................................................................. 121
6.
Podsumowanie ............................................................................................................... 126
7.
Literatura ....................................................................................................................... 131
Spis rysunków ....................................................................................................................... 132
2
[email protected]
http://tturba.tk
3
[email protected]
http://tturba.tk
1. Wstęp
Z historycznego punktu widzenia, z bezpieczeństwem
bezpiecze
ludzkość jak i wszystkie Ŝyjące istoty
związane są od samego początku
pocz
swojego istnienia. Ubarwienie skóry niebezpiecznych
zwierząt,
t, cechy gatunkowe takie jak kły, szpony, twardość
twardo skóry czy teŜ ludzka potrzeba
habitacji są typowymi mechanizmami obrony.. W rozumieniu powstania potrzeby
bezpieczeństwa
stwa komputerowego (potrzeby obrony) istotne jest zapoznanie się
si z trzema
historycznymi faktami będącymi
ę ącymi grupą przełomowych wydarzeń w świecie komputerów i
jego nierozerwalnego
zerwalnego dzisiaj współdziałania z człowiekiem.
W 1943r. na potrzeby armii Stanów Zjednoczonych powstał pierwszy komputer „Eniac”
określany
lany mianem prekursora współczesnych komputerów personalnych. Miał masę
mas ponad 27
ton i jego konstrukcja była skierowana do wykonywania precyzyjnych i skomplikowanych
obliczeń balistycznych. Twórcy nie sądzili,
s
Ŝe powołają do Ŝycia
ycia zupełnie nową,
now nieznaną
branŜę,, która w krótkim czasie obejmie pół świata. BranŜę technologii informacyjnej.
informacyjnej
Wówczas nikt nie interesował się
si zbytnio zakresem zabezpieczania takich maszyn (jak i
komputerów architektury Von Neumanna) poza ich bezpieczeństwem
stwem na płaszczyźnie
płaszczy
fizycznego dostępu.
Rys. 1.1.. Oryginalne zdjęcie komputera Eniac zajmującego powierzchnię 140m2
Źródło: http://pl.wikipedia.org/wiki/ENIAC (03.04.2009r.)
Rzeczywista gałąź bezpieczeństwa
bezpieczeń
komputerowego pojawiła się w przełomowej dla branŜy
bran
IT chwili – w momencie usprawnienia komunikacji między
mi
co najmniej
iej dwoma komputerami
znajdującymi się w jednym budynku. Zanim powstał rodzaj sieci łączącej
ł ącej komputery w jeden
segment, pracownicy danej firmy, w której mieściło
mie
się kilka komputerów musieli biegać
między
dzy oddziałami z dyskietkami, gdy dane wymagały relacji z innymi aplikacjami
niezainstalowanymi na komputerze skąd
sk d została nagrana dyskietka. Dodatkowym problemem
był fakt, Ŝee nie istniały drukarki sieciowe, co wiązało
wi
się z korzystaniem z jednego
jedn
komputera
4
[email protected]
http://tturba.tk
do wielu wydruków i powodowało kolejki. Zastosowanie rozwiązania polegającego na
dostawianiu drukarki do kaŜdej stacji roboczej nie było funkcjonalne i skalowalne ze względu
na dynamiczny rozwój sprzętu.
Obie uciąŜliwości zniknęły, gdy to firma Xerox w 1978r. opracowała swój standard
komunikacji w sieci lokalnej – Xerox Ethernet. „Jest to historycznie najwcześniejsza sieć
LAN stosująca okablowanie. Jej ideą było przesyłanie informacji we wspólnym medium,
którym był kabel koncentryczny o maksymalnej długości 2500 m. Co 500 metrów umieszczano
urządzenia regenerujące sygnał. Na końcach kabla stosowano tłumiki zapobiegające odbiciu
sygnału. Komputery były dołączane do medium za pomocą nakręcanych na kabel nadajnikówodbiorników. Prędkość transmisji wynosiła 2,94 Mbit/s. Po raz pierwszy wprowadzono teŜ
nasłuchiwanie medium przed wysłaniem wiadomości oraz detekcję kolizji”.1
Z uwagi na zastosowanie współdzielonej magistrali – ówczesna sieć opierała swoje działanie
na algorytmie wykrywania kolizji – CSMA/CD (ang. Carrier-Sense Multiple Access with
Collission Detection). Algorytm ten zezwala na nadawanie bitów na współdzielone medium
tylko jednemu urządzeniu w danym momencie. Co w zamierzchłych czasach było
wystarczającym zapotrzebowaniem, lecz na krótko. W razie wystąpienia kolizji, tudzieŜ gdy
nadawać będzie więcej niŜ jedno urządzenie w tym samym czasie, algorytm zablokuje
wszystkie transmisje sygnałem zagłuszającym dla kaŜdej stacji z innym czasem wygaśnięcia.
Ta stacja, która jako pierwsza przekroczy czas licznika sygnału zagłuszającego będzie miała
prawo nadawać. Algorytm nie jest problemem samym w sobie lecz konstrukcja całej
procedury transmisji moŜe powodować zator, czyli zahamowanie prawidłowego działania
sieci. Większym problemem jednak jest urządzenie zastosowane do łączenia komputerów,
jakim jest hub, który pomimo spięcia urządzeń w logiczną topologię gwiazdy, od strony
fizycznej nadal spinał urządzenia w współdzielone medium magistrali.
Rys. 1.2. Typowy historyczny schemat logiczny sieci Ethernet w topologii współdzielonej magistrali
Źródło: Opracowanie własne
1
Źródło: http://pl.wikipedia.org/wiki/Xerox_Ethernet
5
[email protected]
http://tturba.tk
Współczesny rodzaj ramki Ethernet opatrzony standardem IEEE 802.3 bardzo niewiele róŜni
się od swojego pierwowzoru – ramki DIX2.
Rys. 1.3. Wzór ramki DIX
Źródło: Opracowanie własne
Krótki opis ramki:
•
•
•
•
•
•
Preambuła – ośmiobajtowa stała naprzemiennej wartości bitów słuŜąca do
synchronizacji odbiornika z nadajnikiem
Adres docelowy – sześciobajtowy fizyczny adres MAC3 odbiornika
Adres źródłowy – sześciobajtowy fizyczny adres MAC urządzenia nadającego sygnał
do odbiornika
Typ – jest to dwubajtowy identyfikator procesu po stronie odbiornika
Dane – z reguły są to dane wyŜszych warstw modelu odniesienia OSI, które podczas
transmisji ulegają enkapsulacji
FCS – „Frame Check Sequence” – jest to pole wykrycia błędu w transmisji za pomocą
sumy kontrolnej CRC4. Pole FCS w Ŝaden sposób nie zapewnia retransmisji
uszkodzonej ramki.
Krótko po powstaniu ramki DIX, stowarzyszenie IEEE zaczęło pracę nad standaryzacją
sposobu komunikacji w sieciach lokalnych. W 1980r. LAN Ethernet opatrzony numerem
IEEE 802.3 został oficjalnie otwartym i darmowym standardem komunikacji między hostami.
Rys. 1.4. Oficjalny wzór ramki Ethernet IEEE 802.3 stosowany w sieciach LAN wraz z różnicami do pierwowzoru
Źródło: Opracowanie własne
RóŜnice między ramkami:
•
SoF – „Start of Frame” – ostatni bajt preambuły został rozdzielony do osobnego pola
synchronizacyjnego oznaczanego bajtem 10101011 w celu określenia początku ramki i
kompatybilności z równocześnie powstałymi standardami Token Ring (IEEE 802.5)
2
DIX - Struktura ramki została opracowana przez firmy DEC, Intel i Xerox, nazwa powstała od pierwszych liter twórców.
MAC – „Media Access Control” – 48-bitowy fizyczny adres hosta w sieci Ethernet, unikatowy w skali światowej.
4
CRC – „Cyclic Redundancy Check” - matematyczny algorytm weryfikacji integralności transferowanej ramki
3
6
[email protected]
http://tturba.tk
•
Typ / Długość – oznacza całkowitą długość ramki Ethernet, której dolna granica wynosi 64B
(nie wliczając mechanizmu detekcji kolizji). JeŜeli natomiast wartość przekroczy 1500B pole
to jest określane mianem Typu, co zapewnia kompatybilność MTU5 z innymi standardami
transmisji lokalnej (DIX).
Dzisiejsza społeczność komputerowa, uŜywa ramki Ethernet juŜ od ponad 30 lat. Naturalną
prawidłowością jest fakt, Ŝe technologia podczas swego tworzenia nie była rozwijana na
odpowiednio wysokim poziomie w porównaniu do czasów w jakich dzisiaj mogłaby być. W
przeszłości standard IEEE 802.3 spełniał swoje role i nikt nie myślał, Ŝe nastąpi wielki
wybuch w sferze komunikacji na skalę światową. Biorąc pod uwagę czas istnienia standardu,
co raz więcej moŜna wykryć w nim usterek, których wcześniej nie moŜna było przewidzieć. Z
uwagi na szybkość transmisji, konstruktorzy byli świadomi rozwoju prędkości łącza w
niedalekiej przyszłości. Stąd połoŜenie pola adresu docelowego przed adresem źródłowym,
by urządzenia spinające mogły szybciej decydować przez jaką lokalizację ma ramka zostać
wysłana by dotrzeć do celu.
Początkowo sieci lokalne spinane były za pomocą kabla koncentrycznego w topologię
magistrali, bądź pierścienia. W raz z pojawieniem się standardu 802.3 opatentowano
urządzenie warstwy fizycznej modelu OSI – hub. Hub ustanawiał pierwsze powaŜne luki w
bezpieczeństwie wykryte krótko po jego powstaniu ze względu na swoją budowę.
Zasada działania huba, jak i jego poprzednika – regeneratora sygnału, polega na tym, Ŝe
transmitowane bity nie są kontrolowane w taki sposób by trafić konkretnie do jednego celu
(w transmisji Unicast).
Regenerator sam w sobie jedynie wzmacnia sygnał, gdy odległość pomiędzy stacjami
komunikującymi jest zbyt duŜa i powoduje tłumienie sygnału ze względu na stosowanie
impulsów elektrycznych w kablu miedzianym (kabel koncentryczny / współczesna skrętka).
Hub jest określany mianem wieloportowego regeneratora, gdyŜ jego zasada działania jest
podobna. Nadajnik wysyła ramkę, która dociera do urządzenia. Gdyby był to regenerator,
ramka podąŜyłaby w jednym, fizycznym kierunku. W przypadku huba, ramka podąŜa we
wszystkich kierunkach, tudzieŜ urządzeniach podpiętych do huba, które nie są nadajnikiem.
W praktyce wygląda to tak, Ŝe przesłana zostaje ramka do jednego konkretnego źródła, a
prawo jej odczytu ma kaŜdy, kto nie jest nadajnikiem i jest podpięty do urządzenia. Poprzez
ramkę przy transmisji na płaszczyźnie fizycznej rozumie się –oczywiście- kodowane bity.
Problem bezpieczeństwa jest więc powaŜny biorąc pod uwagę powyŜszy przykład, w którym
moŜna jasno odczytać, Ŝe luki w zabezpieczeniach pojawiają się juŜ od prostej warstwy
fizycznej modelu OSI.
JednakŜe sieć lokalna nie jest najbardziej niebezpieczną instancją w przedsiębiorstwie.
Pierwowzór sieci internetowej – ARPANET (1969r.), miał słuŜyć armii Stanów
Zjednoczonych do prowadzenia szczegółowych obliczeń i badań symulacji wybuchu
5
MTU – „Maximum Transmision Unit” – maksymalna dopuszczalna wielkość ramki, która nie ulegnie fragmentacji na
mniejsze porcje.
7
[email protected]
http://tturba.tk
nuklearnego. Celem projektowym było stworzenie sieci bez wyraźnego centralnego punktu
zarządzania, którego awaria mogłaby zniszczyć działanie pozostałych węzłów. Przodek
Internetu stanowił wdroŜony koncept pierwszej złoŜonej sieci rozproszonej. Kilka lat po
powstaniu najwaŜniejszych dzisiejszych filarów sieciowej komunikacji - stosu protokołów
TCP i DNS, Tim Berners-Lee6 w 1989r. złoŜył do agencji CERN7 projekt „World Wide Web”
do odczytywania dokumentów hipertekstowych. W 1990 stworzył podstawy języka HTML i
pierwszą stronę WWW. Narodził się Internet.
Dostęp do światowej sieci otwiera miliony moŜliwości hakerom na wykonanie ataku.
Konstrukcja sieci Internet – jej rozproszony model sprawia, Ŝe dowolna osoba z załoŜenia
moŜe być w sieci anonimowa. Co z psychicznego punktu odniesienia budzi w człowieku
skrywane uczucia, nieznaną ciekawość, które wraz z wpływem róŜnych postaw społecznych
moŜe stanowić namacalny pion motywacyjny do wykonania ataku. Nawet jeśli osoba
wykorzystuje tylko gotowe aplikacje to dalej stanowi zagroŜenie dla poprawnego działania
dowolnej sieci padającej ofiarą ataku. [1]
6
Sir Timothy Berners-Lee - współtwórca i jeden z pionierów usługi WWW. Od roku 1994 jest Przewodniczącym Konsorcjum
W3C.
7
Europejska Organizacja Badań Jądrowych CERN (fr. Organisation Européenne pour la Recherche Nucléaire) — ośrodek
naukowo-badawczy połoŜony na północno-zachodnich przedmieściach Genewy. NajwaŜniejszym narzędziem ich pracy jest
największy na świecie akcelerator cząstek – Wielki Zderzacz Hadronów. Obecnie do organizacji naleŜy dwadzieścia państw.
8
[email protected]
http://tturba.tk
2. Cel i zakres publikacji
Celem niniejszej publikacji, jest uświadomienie uŜytkownika o zagroŜeniach w
poszczególnych warstwach modelu OSI w rozumieniu bezpieczeństwa komputerowego,
będącego krytycznym w dzisiejszym skomputeryzowanym świecie czynnikiem wpływającym
na zysk, bądź stratę wkładu pienięŜnego zainwestowanego w firmie. Zrozumienie zagroŜeń,
sposobów wykrycia oraz ich usunięcia stanowi fundament wiedzy myślącego o karierze
inŜyniera ds. bezpieczeństwa. Z uwagi na fakt, Ŝe firma Cisco Systems jest pionierem w
produkcji niezawodnego sprzętu sieciowego na całym świecie, skupię się na wdroŜeniu i
konfiguracji wymienionych produktów wyŜej opisanej firmy:
W zakresie routerów:
- routery serii 3600, 2800
W zakresie firewalli, sensorów IPS:
- routery serii ISR 7200
W zakresie przełączników:
- przełączniki serii Catalyst 2900
Jak równieŜ opierając swoją wiedzę na podstawie zdobytych certyfikatów firmy Cisco i
innych z zakresu obsługi i bezpieczeństwa sieci komputerowych.
Publikacja podzielona jest na trzy części:
a) teoretyczną – obejmującą rozdziały:
o rozdział 3.1 – opis zagroŜeń po stronie fizycznej powodujących szkody.
o rozdział 3.2 – opis zagroŜeń po stronie komputerowej.
o rozdział 4.1 – obejmuje wdroŜenie modelu SDLC do projektowania sieci, oraz
szczegóły dokumentacji technicznej jakie powinny być zawarte w realnej
implementacji.
b) praktyczną – w tej części rozdziały zostały skupione na fizycznej implementacji
zaprezentowanych rozwiązań teoretycznych na sprzęcie firmy Cisco. Przedstawione
działanie skonstruowanej sieci, jej podatności na ataki oraz zapewnienie skutecznego
monitoringu:
o rozdział 4.2 – implementacja konkretnych rozwiązań zabezpieczających przed
zagroŜeniami z rozdziałów 3.1 oraz 3.2.
o rozdział 4.3 – przedstawienie zasad i implementacji skutecznego
monitorowania.
o rozdział 5 – stanowi część testującą, gdzie zostaną przeprowadzone wybrane
ataki na zaimplementowany system informatyczny.
c) podsumowującą – rozdział 6 zbiera i opisuje zaobserwowane wnioski autora na
podstawie skonstruowanej i skonfigurowanej bezpiecznej sieci komputerowej.
9
[email protected]
http://tturba.tk
3. Współczesne zagroŜenia komputerowe
Istnieje nieskończenie wiele powodów dla których człowiek pragnie zdobyć informacje.
Największym zagroŜeniem komputerowym nie jest luka w systemie, czy teŜ nieuprawniona
próba włamania róŜnymi mechanizmami. Głównym zagroŜeniem jest człowiek, potrafiący
odnajdować owe luki, czy bardziej negatywnie oddziaływać na system – włamując się. Jest to
ogólna definicja „hakera”, przestępcy komputerowego którego technologiczna wiedza
wykracza ponad przeciętne standardy statystyczne. W początkach istnienia sieci i wczesnej
telefonii tonowej istniały tylko dwa rodzaje hakerów. Ten „zły” – dzisiaj nazywany „black
hat” hakerem (hakerem w czarnym kapeluszu8) i „phreaker” – haker znający się na
mechanizmach telefonicznych, który w łatwy sposób moŜe je wykorzystać za darmo do
własnych celów. O ile liczba phreakerów znacznie się obniŜyła z uwagi na tanie połączenia
operatorów, o tyle liczba „czarnych kapeluszy” rośnie.
PoniŜsza tabela reprezentuje współczesny podział pozyskania informacji według potrzeby
oraz sposobu w jaki zostanie odnaleziona kondensując dane do odpowiedniego uŜytkownika:
Cel pozyskania informacji
Naukowo-badawczy
Sposób pozyskania informacji
Legalny
zwykły
uŜytkownik,
naukowiec
Nielegalny
student,
"white hat"
Materialny, dla zysku
pracownik, reklamobiorca
"black hat"
Prywatny
zwykły uŜytkownik, "grey hat"
"grey hat"
Wewnętrzna potrzeba
Inne
zwykły uŜytkownik, p2p
zwykły uŜytkownik, "script kiddie"
"hacktivist"
"phreaker", "script kiddie"
Rys 3.1. Rodzaje użytkowników pozyskujących informacje i ich współczesny podział
Źródło: Opracowanie własne
Cele jakimi kierują się uŜytkownicy dla pozyskania informacji mogą być róŜne. Z reguły jest
to wewnętrzna potrzeba pozyskania wiedzy. Np. surfowanie po ulubionym portalu z
wiadomościami sportowymi, lub ze względu na istnienie anonimowości w sieci, pozyskanie
nielegalnych pirackich kopii utworów do celów własnych. Haker moŜe zostać opłacony do
wydobycia, bądź naraŜenia na szkody konkurencji, lub moŜe dostać zlecenie na
przeprowadzenie szerokiego audytu bezpieczeństwa wychwytując wszystkie luki i
zabezpieczając je na przyszłość.
8
Określenia kolorów kapeluszy odnoszą się do czasów amerykańskiego dzikiego zachodu, gdzie kowboje - przestępcy nosili
kapelusze czarne, a polujący na nich szeryfowie białe.
10
[email protected]
http://tturba.tk
Rodzaje uŜytkowników:
a) zwykły uŜytkownik
ytkownik – osoba na co dzień pracująca, bądźź relaksująca
relaksuj
się przy
komputerze. Stanowi uogólnioną
uogólnion klasę nadrzędną dla pozostałych rodzajów uŜytkowników.
b) pracownik – osoba, której zawód jest ściśle związany
zany z komputerem. Nieświadomy
zagroŜeń sam w sobie stanowi bardzo podatny wyciek informacji z wnętrza
wn
sieci
korporacyjnej.
c) haker „white hat” – osoba, która posiada ogromną wiedzę
dzę nt. zabezpieczeń
komputerów, lecz nie wykorzystuje
wykorzystuj jej w ogóle w złych celach. Haker w „białym
„
kapeluszu”
uogólniając bardziej stanowi postawę ideologiczną i zbiór zasad etycznych jakimi powinni
kierować się inni znawcy bezpiecze
ezpieczeństwa komputerowego. Najbardziej znanym hakerem
etycznym jest Richard Stallman – twórca ruchu wolnego oprogramowania,
oprogramowania licencji GNU i
załoŜyciel
yciel Fundacji Wolnego Oprogramowania. Jego programistyczne umiejętności
umiej
przyczyniły się do utworzenia kluczowych aplikacji dla systemu GNU/Linux takich jak
kompilator GCC czy edytor Emacs. Powszechnie znany z pozytywnego nastawienia do
d Ŝycia.
Rys. 3.2.. Richard Stallman „Ostatni wielki haker”.
haker” Haker-aktywista
aktywista w białym kapeluszu
Źródło: http://www.benchmark.pl/aktualnosci/Richard_Stallman_na_konferencji_IT_Giants_2009_w_Krakowie
http://www.benchmark.pl/aktualnosci/Richard_Stallman_na_konferencji_IT_Giants_2009_w_Krakowie-16101.html
(04.06.2009r)
11
[email protected]
http://tturba.tk
d) haker „black hat” – najbardziej znany filmowy przykład osoby, która zna się
si na
zabezpieczeniach, lecz wykrada te informacje w celach materialnych. Dla sławy, dla
pieniędzy,
dzy, na zlecenie. Kevin Mitnick jest przykładem na to jak moŜna
mo
stać się
sławnym po tym, gdy zostanie się
si pochwyconym. Pomimo, Ŝe Mitnick
Mit
stosował
głównie ataki socjotechniczne to nie zarzuca mu się
si braku wiedzy o mechanizmach
telekomunikacyjnych. W nagłośnieniu
nagło nieniu przez media Mitnicka jako hakera o czarnym
kapeluszu po odsiedzeniu wyroku wydał bestsellerową
bestsellerow ksiąŜkę – „Sztuka
Sztuka Podstępu”.
Podst
Rys. 3.3. Kevin Mitnick – najsłynniejszy pochwycony socjotechnik, phreaker
phreaker i haker w czarnym kapeluszu
Źródło: http://fergdawg.blogspot.com/2008/08/kevin-mitnick-looks-back-in-forbes.html
http://fergdawg.blogspot.com/2008/08/kevin
(04.06.2009r)
e) haker „grey hat” – stanowi granicę
granic między
dzy czarnym, a białym. Najpowszechniejszy
rodzaj hakera. Zna się na bezpieczeństwie,
bezpiecze
lecz potrafi zostawić sobie tylne drzwi do systemu,
który został mu zlecony w celach diagnostycznych, bądź
b
przeprowadzenia audytu
bezpieczeństwa.
stwa. Zdobyte informacje wykorzystuje w celach własnych.
f) „hacktivist” – haker-aktywista.
haker
Osoba, która moŜe działać na zlecenie, bądź
b
pod
przymusem wydobywającc poufne informacje sklasyfikowane jako bardziej tajne niŜ
ni poufne
(np. rządowe). MoŜee działać według własnych wewnętrznych
trznych przekonań.
przekona RównieŜ jest
filmowym przykładem hakera „walczącego
„walcz
z systemem”.
g) „script kiddie” – osoba w gruncie rzeczy nie znająca
ca się na mechanizmach
bezpieczeństwa,
stwa, lecz wykorzystująca
wykorzystuj
darmowe oprogramowanie napisane
isane przez hakerów.
Stanowi największą część
ęść zewnętrznych
zewn
uŜytkowników zagraŜających
cych wewnętrznej
wewn
sieci
firmowej, lecz ataki, którymi operują
operuj są dość proste w ominięciu i zablokowaniu.
12
[email protected]
http://tturba.tk
JednakŜe z pojawieniem się powaŜnej luki w większości buforów programów
komputerowych, sprzętowych i protokołów (atak DoS) grupa ta równieŜ musi być mocno
brana pod uwagę przy zabezpieczaniu i audycie bezpieczeństwa firmowej sieci.
Za najogólniejszy podział rodzajów ataków przyjęto podział ze względu na źródło powstania.
W ten sposób ataki dzielone są na:
a) Zewnętrzne
b) Wewnętrzne
Zewnętrzne – czyli wszystkie, które powstają poza firmową siecią, z reguły w Internecie.
Stanowią grupę ataków, które zachodzą najczęściej ze względu na fakt istnienia
anonimowości w globalnej sieci internetowej. KaŜdy internauta silniej związany z
komputerem prędzej czy później ogląda film „Hakerzy”, bądź wchodzi na stronę o tematyce
bezpieczeństwa. Sam zaczyna próbować wywoływać ataki za pomocą dostępnego
oprogramowania i zostaje „script kiddie” pozostając jednocześnie anonimowym. Zupełnie jak
w przypadku namacalnego ataku na drugą osobę. Napastnik z reguły pragnie zachować swoją
toŜsamość i przykładowo atakuje ofiarę w masce. Napastnik komputerowy tak samo zostawia
ślady, lecz są one trudniejsze do analizy ze względu na zasięg sieci globalnej – mogą być
dokonywane zewsząd. W wypadku ataku fizycznego istnieje zawęŜone pole poszukiwań do
miasta, czy państwa. Ataki zewnętrzne z załoŜenia swojego umiejscowienia są atakami
wyłącznie komputerowymi. Jedynym realnym przykładem moŜe być włamanie przez osobę
niepowołaną i nieznaną do pomieszczenia w którym znajdują się urządzenia sieciowe – lecz
przy dzisiejszych zabezpieczeniach fizycznych, owy rodzaj ataku moŜna zaobserwować na
hollywoodzkich filmach, lecz nie moŜna oczywiście lekcewaŜyć ich istnienia.
JednakŜe bardziej niebezpieczne są ataki, które powstają wewnątrz sieci firmowej – przez
bardzo długi okres czasu, przedsiębiorstwa na tej płaszczyźnie były bezradne. JeŜeli
pracownik został przekupiony przez konkurencję do wykradzenia danych, bądź nieświadomie
podłączał niesprawdzone urządzenia – atak był realny i w zasadzie nie istniała na niego
skuteczna obrona. W dzisiejszych czasach specjaliści ds. bezpieczeństwa komputerowego
zwracają duŜą uwagę na zabezpieczenie sieci po obu stronach granicy.
W dobie rozwiązań telepracy, łączenia oddziałów tunelami VPN rzec moŜna, Ŝe
zabezpieczenie wnętrza sieci jest waŜniejsze niŜ od lat sprawdzone i działające techniki
ograniczania dostępu od zewnątrz za pomocą firewalli, które de facto są juŜ bardzo skuteczne.
Ataki ze względu na źródło powstania dzielą się na równorzędne podgrupy ataków
komputerowych i uzyskania fizycznego dostępu do sprzętu komputerowego.
13
[email protected]
http://tturba.tk
Istnieją trzy główne cele ataków z zastosowaniem powyŜszych podziałów, w sumie będącymi
równocześnie
wskaźnikami
prawidłowego
podziału
sektorów
bezpieczeństwa
komputerowego:
a) Poufność danej
b) Integralność danej
c) Dostępność danej
Ad. a). Za poufność rozumie się, Ŝe informacja, sklasyfikowana jako tajna ma zostać
przetransferowana z bezpiecznego, znanego źródła do celu, do którego jest przynaleŜna i do
Ŝadnego innego. Grupa ataków na poufność zawiera w sobie obie podgrupy ataków
równorzędnych (fizycznych i komputerowych).
Ad. b). Integralność – skoro dana przesyłana jest z zaufanego źródła do zaufanego celu to
podczas swojej podróŜy winna nie zostać w Ŝaden sposób zmodyfikowana w celu dokonania
przekłamania bądź innych niejawnych malwersacji. Grupa ataków na integralność danych w
głównej mierze skupia się wokół ataków komputerowych.
Ad. c). Dostępność – jeŜeli dana jest przesyłana z zaufanego źródła do zaufanego celu i działa
mechanizm badania jej integralności po obu stronach stacji to naleŜy zapewnić danej
bezpieczną trasę oraz nieprzerwalną działalność punktów transmisyjnych by pakiet mógł
zostać poprawnie przesłany. Grupa ta jest najtrudniejsza do obrony ze względu na
powszechność błędów w konstrukcjach protokołów, programów, a nawet mechanizmów
zabezpieczających. Atak na dostępność nawet nie musi być atakiem, a jedynie nagłą zbyt
mocną eksploatacją zasobów sieci. NaleŜy włoŜyć duŜy nacisk w prawidłowe zabezpieczenie
klasy ataków na dostępność zasobów sieciowych. [2]
14
[email protected]
http://tturba.tk
3.1. Przedstawienie ataków i sposobów obrony po stronie
fizycznej
Pierwszorzędną i najczęściej najsłabiej zabezpieczoną linią obrony jest zabezpieczenie
fizycznego dostępu do zasobów przedsiębiorstwa. Nie chodzi jedynie o zamknięcie na klucz
pomieszczeń. Włamywacz potrafi wykorzystać kaŜdą fizyczną lukę w zabezpieczeniu by móc
dostać się do informacji, które musi uzyskać.
Głównymi celami ataku są tutaj:
- oczywista dostęp fizyczny,
- niedopatrzenie w kontaktowym zabezpieczaniu informacji,
- podatność pracownika,
- podatność sprzętu na warunki klimatyczne (korozje, przegrzania, zalania),
- podatność sprzętu na zakłócenia elektryczne
Ochrona dostępu fizycznego jest podstawowym czynnikiem utrudniającym włamanie, lecz w
przypadku powstania niedopatrzenia gdy firma moŜe posiadać doskonałe drzwi, zamki,
systemy monitorowania, rozumie się, Ŝe firma pada ofiarą włamania nie dbając o właściwą
procedurę usuwania danych uwaŜanych za niepotrzebne. W przypadku małych firm problem
ten jest uwaŜany za mniej-waŜny, jednakŜe jeśli mamy do czynienia z ogromnym
przedsiębiorstwem drukującym dziennie kilogramy makulatury i nagrywającym setki płyt –
problem staje się równie waŜny co wdroŜenie skutecznego monitoringu. RównieŜ pracownik
sam w sobie wykonujący swoją pracę poprawnie, moŜe zostać ofiarą technik
socjotechnicznych wykorzystywanych w celu pozyskania zestawu nazwy uŜytkownika i hasła
dla zestawienia zaufanej relacji wewnątrz firmy pomiędzy urządzeniami.
Dobry inŜynier projektujący bezpieczną, zbieŜną sieć musi myśleć przyszłościowo. Nie tylko
patrząc na rozwój sprzętu i oprogramowania zabezpieczającego, lecz musi zwracać uwagę na
fakt, Ŝe sprzęt ciągle eksploatowany –jak wszystko inne- po czasie ulega częściowemu
zniszczeniu. Przez niewłaściwą konserwację, nie dbanie o prawidłowe warunki klimatyczne
panujące w pomieszczeniach, nieświadomy administrator moŜe doprowadzić do stworzenia
przypadkowej, samo rozwijającej się podatności w bezpieczeństwie systemu prowadzącej do
zniszczenia sieci.
15
[email protected]
http://tturba.tk
3.1.1. Ataki klimatyczne
Zwykle najgorszą grupą ataków są takie, o których się nie wie. Mając wiedzę i świadomość z
której strony system moŜe zostać zaatakowany, moŜna się przygotować na taką ewentualność.
JednakŜe w przypadku wystąpienia ataku, o którym administrator, czy szef działu
bezpieczeństwa informatycznego nie mają pojęcia – trudno jest nagle zapanować nad
zaistniałym kryzysem. Ataki klimatyczne są taką grupą ataków wykonanych nieświadomie,
czasem bez wyraźnego ludzkiego winowajcy.
W zasadzie nie biorąc pod uwagę czynniku ludzkiego to nie naleŜałoby pisać o atakach, a
raczej podatności metalowego sprzętu komputerowego na wpływy róŜnych czynników
środowiska. Łatwo jest przeoczyć środowiskowe zabezpieczenia skupiając się na innych,
dobrze udokumentowanych, powszechnych sposobach obrony komputerowej.
Do grupy zagroŜeń klimatycznych zalicza się (od najpowszechniejszych):
a) Zakłócenia elektryczne
b) Zaburzenia temperatury, wilgotności, zaniedbania
c) Kataklizm i inne
Ad. a) Najczęściej spotykanym zagroŜeniem dowolnego sprzętu, nie tylko komputerowego
jest jego ogromna podatność na występujące zakłócenia elektryczne powodujące w
najlepszym wypadku przerwę w działaniu, a w najgorszym trwałe jego uszkodzenie.
Zakłócenia elektryczne moŜna podzielić w następujący sposób:
- zaciemnienie – krótkotrwałe obniŜenie się poziomu napięć. Jest to najpowszechniej
występujące zakłócenie dotyczące aŜ 87% usterek sprzętu związanego z zakłóceniami
elektrycznymi. Zaciemnienie spowodowane jest najczęściej przez podłączenie do sieci
i uruchomienie wielu urządzeń w jednej chwili. Jest równieŜ powiązane z wysoką
temperaturą w pomieszczeniu, która moŜe wpływać na poziom napięcia na
urządzeniach. W wyniku wystąpienia zaciemnienia moŜe wystąpić twardy restart
komputera, błędne działanie urządzeń peryferyjnych. NajwaŜniejszym efektem jednak
jest procentowa utrata Ŝywotności kaŜdego z urządzeń.
- zanik napięcia – jak sama nazwa wskazuje, jest to całkowita utrata napięcia przez
urządzenie spowodowana dowolnym czynnikiem zewnętrznym takim jak:
wyładowania elektrostatyczne (pioruny), uszkodzenie linii przesyłowych wysokiego
napięcia, kataklizmy itp. Dla pracownika zanik napięcia oznacza całkowitą utratę
zawartości pamięci RAM i schowka z którym pracował, dlatego tak często w firmach
podkreśla się cykliczne zapisywanie części wykonanej pracy. Gorszym scenariuszem
moŜe być jeszcze przykładowo uszkodzenie tablicy alokacji plików dysku twardego.
Zanik napięcia tak jak zaciemnienie wpływa na zmniejszenie Ŝywotności kaŜdego
urządzenia, lecz w mniejszym stopniu.
16
[email protected]
http://tturba.tk
- skok napięcia – dramatyczny wzrost wartości napięcia. MoŜe przedostać się
dowolnym medium elektrycznym do dowolnego podpiętego urządzenia w sieci
korporacyjnej. Poprzez kabel UTP, linię telefoniczną, przez prąd przemienny.
Najczęstszą przyczyną wystąpienia skoku wysokiego napięcia jest niewłaściwe
uziemienie okablowania zewnętrznego i nieprawidłowa instalacji piorunochronów.
Niestety natura bywa nieobliczalna i nawet najlepsze zabezpieczenia mogą nie
powstrzymać całkowitego zniszczenia elektronicznego sprzętu, który miał styczność
ze skokiem napięcia.
- nagły wzrost napięcia – krótkotrwały, trwający zwykle 1/120 sekundy wzrost
wartości napięcia. Jest antagonizmem zaciemnienia, tudzieŜ w przypadku nagłego
wyłączenia wielu urządzeń pobierających duŜe napięcie, pozostaje ono na linii
docierając do reszty podłączonego sprzętu. Wszystkie urządzenia elektroniczne są
skonstruowane by otrzymywać napięcie mieszczące się w odpowiednim zakresie. Jeśli
owy zakres zostanie przekroczony, urządzenie odczuwa delikatne uszkodzenia,
przepalenia w zaleŜności od tego jak bardzo zakres został przekroczony.
- szum, EMI, RFI – zaszumienie pojawia się wtedy, gdy w pobliŜu pracują
urządzenia wytwarzające swoje pole elektromagnetyczne, które będąc odpowiednio
duŜe moŜe zaburzyć prawidłową falę sinusoidalną, której oczekuje inne urządzenie. W
przypadku okablowania miedzianego ma się do czynienia z interferencjami
elektromagnetycznymi (EMI), natomiast w przypadku transmisji bezprzewodowej z
interferencjami radiowymi (RFI). Poza przekłamaniem i błędami w działaniu
oprogramowania na sprzęcie dotkniętym zaszumieniem, większe zagroŜenia nie
występują.
Do obowiązków szefa działu bezpieczeństwa informatycznego przedsiębiorstwa nie naleŜy
instalacja sieci elektrycznej. Robi to wykwalifikowany elektryk, specjalista. W sprawach
elektrycznych informatyk w firmie winien znać się do poziomu instalacji i konserwacji
systemów podtrzymywania napięcia – UPS, które chronią przed nagłą awarią zasilania.
Jednak serwerownie z reguły są skonstruowane jako strefa w której się nie pracuje, a system
UPS nie podtrzymuje napięcia bardzo długo, więc teoretycznie w przypadku awarii czas
reakcji pracownika mógłby być dłuŜszy niŜ czas przez jaki UPS podtrzymuje zasilanie. Stąd
istnieje potrzeba implementacji układu zewnętrznego monitorującego stan UPS’a. Firma
TechBase w swojej ofercie prezentuje komputer przemysłowy NPE 9201-GPRS, który po
instalacji odpowiednich modułów i czujników potrafi przekazać informacje o zaistniałej
anomalii bądź braku zasilania z odpowiednich urządzeń do organów zarządzających
serwerownią, bądź układem elektrycznym w budynku.
17
[email protected]
http://tturba.tk
Rys. 3.1.1.1. Schemat ideowy współpracy komputera NPE 9201 i systemów UPS
Źródło: http://www.a2s.pl/monitoring-zasilaczy-awaryjnych-systemach-informatycznych-a-1775.html (23.05.2009r)
Osobny zarządzający komputer przemysłowy jest więc czynnikiem krytycznym we
właściwym zabezpieczeniu infrastruktury informatycznej. Szczególnie waŜnym atutem
takiego rozwiązania jest moŜliwość automatycznego zamknięcia systemu poddanemu
awaryjnemu zasilaniu, co wpływa na skuteczną ochronę sprzętu i danych przed zniszczeniem.
Zasilacze UPS umoŜliwiają połączenia logiczne poprzez szeregowe łącza i moŜna się z nimi
komunikować poprzez protokół SNMP gdzie moŜna monitorować parametry zasilacza i
zasilania (napięcie, wartość obciąŜenia, nominalny czas pracy z baterii). Za pomocą kontroli
SNMP administrator moŜe ułatwić sobie kontrolę zasilania czyniąc z kaŜdego UPS’a
niezaleŜny węzeł sieci. W przypadku zaistnienia zawieszenia się serwera administrator nie
mający moŜliwości wykonania jego restartu moŜe wyłączyć UPS’a zasilającego owy serwer
to spowoduje zamknięcie systemu operacyjnego w sposób nieuszkadzający pliki.
Wykorzystując komputer NPE-9201 moŜna zaplanować odpowiednią reakcję systemów
zasilania awaryjnego na konkretne zdarzenie elektryczne.
Ad. b) O ile zakłóceń elektrycznych moŜna się spodziewać, o tyle zakłóceń działania sprzętu
w przypadku grupy zagroŜeń klimatycznych nie. Trudno jest je wychwycić z uwagi na fakt,
Ŝe zakłócenia te nie mają nagłego skutku, a są pracą długotrwałego niedopatrzenia. Np. zbyt
wysokiej temperatury w pomieszczeniu, złego poziomu wilgotności co powoduje korozję
miedzi. Sprzęt po pewnym czasie skorodowania nie psuje się nagle, lecz początkowo
18
[email protected]
http://tturba.tk
uŜytkownik moŜe odczuwać jedynie dyskomfort w szybkości transmisji w sieci bądź istnieniu
pewnych przekłamań, a sprzęt w dalszym ciągu ulega nieuchronnej korozji.
Mając na uwadze zabezpieczenie sieci naleŜy brać pod uwagę kaŜdy czynnik, który
potencjalnie moŜe wydawać się, Ŝe nie ma Ŝadnego związku z bezpieczeństwem.
W przypadku zagroŜeń klimatycznych poza wyŜej wymienionymi czynnikami takimi jak
właściwa wilgotność i temperatura w pomieszczeniach naleŜy zadbać teŜ o estetykę samego
sprzętu. Nieprawidłowe rozmieszczenie okablowania i osprzętu w sposób niechlujny moŜe
doprowadzić do:
- braku rozeznania w topologii – przy zaistnieniu niewielkiej usterki o podłoŜu
sprzętowym poruszając się po serwerowni inŜynier pragnie jak najszybciej naprawić
zaistniały problem. W przypadku porozrzucanego sprzętu i okablowania zapewnia on
sobie stratę czasu na dochodzenie do tego, który kabel jest do czego wpięty.
Rys. 3.1.1.2. Instalacja grożąca zagrożeniem braku rozeznania w topologii
Źródło: http://englishrussia.com/?p=1836 (02.05.2009r)
19
[email protected]
http://tturba.tk
- mechanicznego uszkodzenia instalacji – przy wyjątkowo niechlujnej instalacji
oprócz porozrzucanego okablowania w pomieszczeniu moŜe być teŜ nieprawidłowo
przymocowany sprzęt do ścian, szaf rakowych czy innych miejsc. W wyniku
powstałych napręŜeń okablowania owy sprzęt moŜe ulec uszkodzeniu w wyniku
upadku, lub w najlepszym przypadku dla administratora – rozłączyć się. ZagroŜenie
mechanicznego uszkodzenia instalacji sieciowej w jasny sposób moŜe się spotęgować
z nieprawidłowym rozmieszczeniem okablowania.
- poŜaru – ostatecznie nieprawidłowo zaimplementowana instalacja moŜe
doprowadzić do małego wewnętrznego kataklizmu, jakim jest poŜar. Jest to najgorsze
moŜliwe zagroŜenie wynikające z niedbałości o sprzęt. Zapalenie się instalacji zaleŜy
od kaŜdego z wyŜej wymienionych typów zagroŜeń, zwłaszcza elektrycznych i naleŜy
skupić się na tym problemie gdyŜ jego wystąpienie jest realne i zniszczenia są
długotrwałe, czasami nieodwracalne.
Rys. 3.1.1.3. Przykład instalacji sumującej zagrożenie nieznajomości topologii, naprężenia sprzętu i pożaru
Źródło: http://englishrussia.com/?p=1836 (02.05.2009r.)
20
[email protected]
http://tturba.tk
Jedyną znaną obroną przed takimi nieprzewidzianymi zachowaniami się sprzętu sieciowego
jest jego właściwa instalacja od samego początku. Z ustalonym, przemyślanym projektem,
rozpisaną dokumentacją i kompetentnym personelem technicznym realizującym załoŜenia
wymienionych dokumentów (Model SDLC, rozdział 4.1). Natomiast jeŜeli chodzi o anomalia
w pomieszczeniu, to niezbędne jest zainstalowanie specjalnie zaprojektowanych czujników
temperatury, wilgotności i wycieku wody. Wcześniej wspomniana firma TechBase oferuje
rozwiązania dla informatyki przemysłowej pokrywające się z załoŜeniami bezpieczeństwa
takŜe przed anomaliami klimatycznymi. Przykładem jest juŜ wcześniej opisany komputer
przemysłowy NPE 9201-EDGE lub 9201-GPRS instalowany na linii szafy serwerowej i
klimatyzatora.
Rys. 3.1.1.4. Schemat ideowy działania komputera przemysłowego TechBase NPE 9201
Źródło: http://www.a2s.pl/monitoring-klimatyzatora-pomieszczeniu-serwerem-a-1774.html (23.05.2009r)
Zawiera w zestawie dwa czujniki temperatury. Jeden wykonujący pomiary w pomieszczeniu,
a drugi w samej szafie z głównymi serwerami. Oprócz tego jest zewnętrzny czujnik
wilgotności i oddzielnie czujnik wycieku wody. W razie wystąpienia jakichkolwiek odchyleń
od ustalonych norm (temperatura: 21ºC, relatywna wilgotność: 45%) system powiadamia
personel odpowiedzialny za utrzymanie i konserwacje właściwej struktury w serwerowni
poprzez wysłanie SMS’a i wiadomości e-mail.
Ad. c) Przed kataklizmami moŜna się zabezpieczyć, lecz w przypadku braku istnienia tzw.
lokalizacji odtwórczej, sprzęt dotknięty przez poŜar, powódź, trzęsienie ziemi na pewno w
jakimś stopniu ulegnie trwałemu uszkodzeniu. Człowiek nie ma na to wielkiego wpływu, lecz
moŜe zrobić jak najwięcej by zaradzić skutkom wystąpienia katastrofy.
21
[email protected]
http://tturba.tk
O ile szef działu bezpieczeństwa sam nie stworzy projektu lokalizacji odtwórczej to jest wiele
firm oferujących taką usługę.
Rys. 3.1.1.5. Przykładowa topologia logiczna struktury sieciowej przedsiębiorstwa podczas codziennej pracy
Źródło: Opracowanie własne
Polega ona na odzwierciedleniu fizycznego stanu sprzętowego przedsiębiorstwa w innej
lokalizacji, której to teoretycznie kataklizm nie powinien sięgnąć, lub dotknąć w minimalnym
stopniu powodującym uszkodzenia. W zaleŜności od tego ile firma jest w stanie zapłacić,
tudzieŜ jak dla nich waŜne jest jak najszybsze przywrócenie sprzętu i konfiguracji do stanu
sprzed katastrofy wyróŜnia się trzy podstawowe lokalizacje odtwórcze:
a) Gorąca lokalizacja odtwórcza (ang. hot site) – stanowi całkowitą redundancję
prawdziwego sprzętu korporacyjnego i aktualnej konfiguracji. Koszty utrzymania
drugiej, identycznej struktury informatycznej dokładnie odzwierciedlonej w innej
lokalizacji geograficznej są ogromne, jednakŜe w pewnych przypadkach bardziej
opłaca się takie rozwiązanie aniŜeli firma miałaby w ciągu kilku dni lub nawet
tygodni odtworzyć wszystko co zostało zniszczone przez ten czas tracąc jeszcze
większe sumy pienięŜne niŜ zostały przeznaczone na lokalizację odtwórczą. W
razie wystąpienia kataklizmu, redundantna struktura informatyczna jest w stanie
przejąć rolę głównej lokalizacji w ciągu kilku minut.
b) Ciepła lokalizacja odtwórcza (ang. warm site) – stanowi pośrednią redundancję,
gdyŜ odzwierciedla jedynie stan fizyczny sprzętu przedsiębiorstwa bez jego
konfiguracji. Jest to najbardziej optymalne rozwiązanie, gdyŜ przeniesienie
konfiguracji moŜe zająć maksymalnie kilka dni. Ciepła lokalizacja jest najczęściej
wybierana przez przedsiębiorstwa, którym nie zaleŜy na tyle na priorytetowym
22
[email protected]
http://tturba.tk
działaniu sieci, Ŝe są w stanie poczekać z naprawą usterek do kilku dni. Z reguły
jednak przeniesienie konfiguracji dobrym administratorom zajmuje nie więcej niŜ
jeden dzień.
c) Chłodna lokalizacja odtwórcza (ang. cold site) – jest to najsłabsza lokalizacja
odtwórcza. Nie zawiera redundancji pod względem sprzętu, ani konfiguracji.
Stanowi alternatywne źródło działania w przypadku wystąpienia awarii.
Czynnikiem decydującym jest bardzo niska cena utrzymania takiej struktury. W
przypadku małych przedsiębiorstw w zasadzie moŜna mówić, Ŝe chłodna
lokalizacja moŜe być ciepłą, gdyŜ firmowy sprzęt jest na tyle tani i nierozległy, Ŝe
alternatywne źródła działania jest podobne parametrami do lokalizacji głównej.
Zwykle gdy mała firma wymaga jedynie stałego dostępu do Internetu bez
osobnych funkcji to poprowadzone zostaje wolne łącze ISDN lub DSL stanowiące
chłodną redundancję. Utrzymanie jest bardzo tanie, lecz w przypadku wystąpienia
katastrofy sprzęt z lokalizacji nią dotkniętą moŜe być serwisowany w naprawie
przez bardzo długi okres czasu sięgający kilku tygodni.
Rys. 3.1.1.6. Przykłady wszystkich lokalizacji odtwórczych dla topologii przedsiębiorstwa z rysunku 3.1.1.3
Źródło: Opracowanie własne
Z punktu widzenia obrony przed zagroŜeniem kataklizmu lokalizacja odtwórcza jest
najskuteczniejszym rozwiązaniem dającym gwarancję powrotu do normalnego działania
infrastruktury przedsiębiorstwa w czasie zaleŜnym od tego ile firma przeznaczyła na ten cel
środków. [2]
23
[email protected]
http://tturba.tk
3.1.2. Ataki związane z fizycznym kontaktem
Historycznie najstarsze i najprymitywniejsze zagroŜenie jest związane z naruszeniem
prywatności niepodległego terytorium, np. poprzez włamanie do pomieszczenia, naruszenie
nietykalności ciała człowieka itp. W przypadku świata komputerów jest tak samo. Maszyny
są naraŜone na konfrontację z włamywaczem i w zasadzie wtedy Ŝadne stricte komputerowe
zabezpieczenia nie pomagają, gdyŜ jak ktoś ma fizyczny dostęp do sprzętu, ma dostęp do
wszystkiego co z nim związane. Istnieją trzy zadania jakimi moŜe kierować się włamywacz
uzyskujący dostęp do sprzętu:
a) Podpięcie sprzętowego podsłuchu – celem włamywacza jest kradzieŜ informacji.
Zadanie to moŜe być wielokrokowe. Podsłuch moŜe zostać załoŜony w celu wydobycia
zestawu nazwy uŜytkownika i hasła, które dopiero da dostęp do zdobycia poŜądanej
informacji, ewentualnie naruszenia zabezpieczeń systemu w celu czysto
destrukcyjnym, bądź pozostawienia sobie tylnej furtki (być moŜe dla dostępu
zdalnego). Dlatego waŜne jest by nawet w serwerowni, gdzie ruch zarządzany na
zewnątrz moŜe być nieosiągalny, nie zostawiać standardowych nazw uŜytkownika i
hasła.
Dla przykładu na znaczącej ilości domowych i dla średnich firm routerów (SOHO9)
bezprzewodowych zestaw ten to po prostu:
nazwa uŜytkownika: admin
hasło: admin
Podsłuch komputerowy ma dwie definicje:
- sniffer – jest to rodzaj sprzętu lub oprogramowania, który przechwytuje
pakiety przemieszczające się w sieci lokalnej. Poprzez odpowiednie filtry widokowe w łatwy
sposób moŜna odczytać zawartość przechwyconych, niezabezpieczonych pakietów. Sprzętem
podsłuchującym w sieciach komputerowych moŜe być zwykły rozdzielacz sygnału
niezauwaŜalnie wpięty w kabel. Sniffer ma teŜ dobre znaczenie. W kwestii programowej
moŜe równieŜ być narzędziem pracy administratora, który analizuje działanie sieci.
9
SOHO – Small Office, Home Office – określenie dla sprzętu, który swoją funkcjonalnością odpowiada zapotrzebowaniom
małego biura, lub domowego uŜytkownika
24
[email protected]
http://tturba.tk
Rys. 3.1.2.1. Przykład umiejscowienia podsłuchu sprzętowego
Źródło: Opracowanie własne
Stosunkowo trudno jest wykryć sprzętowy podsłuch. Bez analizy wartości napięć jakie
przepływają przez oba końce kabla w zasadzie pozostaje jedynie odnalezienie podsłuchu za
pomocą własnej percepcji wzrokowej. Dlatego tak waŜne jest zabezpieczenie sprzętu przed
niepowołanym fizycznym dostępem. Hub z uwagi na sposób w jaki działa równieŜ moŜe być
sprzętowym podsłuchem, lecz dzisiaj nie jest uwaŜany za zagroŜenie, a jedynie
niedopatrzenie administratora, więc zostanie opisany w sekcji zagroŜeń komputerowych.
Rys. 3.1.2.2. Przykłady snifferów, podsłuch w sieci Ethernet kabla UTP; podsłuch w sieci Thicknet kabla RG-8
Źródło: http://atel.com.pl, http://yagi.pl. (10.05.2009r.)
25
[email protected]
http://tturba.tk
- keylogger – podsłuch klawiszowy równieŜ dzieli się na sprzętowy i
programowy rodzaj, lecz jego funkcja jest zawęŜona. Sprowadza się do
przechwytywania wprowadzonych wartości z urządzeń IO (wejścia-wyjścia) takich
jak klawiatura, myszka. Przykładowo uŜytkownik wpisuje w przeglądarce nazwę
uŜytkownika i hasła, a keylogger przechwytuje i zapisuje w swojej pamięci kolejność i
wartości klawiszy jakie zostały wciśnięte.
Keylogger PS/2
Cechy charakterystyczne:
1. Wygląd – keylogger wygląda jak typowa
przelotka kabla PS/2, nawet jeśli zostanie
przez kogoś spostrzeŜony to istnieje duŜe
prawdopodobieństwo,
Ŝe
zostanie
zignorowany.
2. Niewykrywalny przez oprogramowanie z
uwagi na swoją konstrukcję.
3. Pojemność: ~2MB czyli około 2.000 000
przechwyconych stuknięć w klawiaturę co
odpowiada 12 miesiącom pracy przy
komputerze
4. Cena: 125zł/szt.
Keylogger USB
Cechy charakterystyczne:
1. Wygląd – tak jak keylogger PS/2 ten
podsłuch imituje przelotkę kabla USB
stosowanego w urządzeniach firmy Apple,
gdzie biały kabel i płaska końcówka są ich
produkcją seryjną.
2. Monitoring aktywności – potrafi zapisywać
strony po jakich surfowała ofiara.
3. Zwiększona pojemność w stosunku do
keyloggera PS/2 (~4MB).
4. Cena: 200zł/szt.
26
[email protected]
http://tturba.tk
Keylogger wewnętrzny
Cechy charakterystyczne:
1. Niewykrywalny
2. Wymaga podmiany klawiatury
3. Wysoka cena (289zł/sztuka)
Rys. 3.1.2.3. Przykłady różnych sprzętowych przechwytywaczy
Źródło: http://keylogger.com.pl (10.05.2009r.)
Rys. 3.1.2.4. Miejsca potencjalnych prób instalacji podsłuchu klawiszowego
Źródło: Opracowanie własne
Główną cechą sprzętowego podsłuchu klawiszowego jest jego kamuflujący wygląd, lecz
porównując go cenowo do sniffera wychodzi o wiele droŜej, za mniejszą funkcjonalność, ale
mniejszym trudem moŜna osiągnąć zamierzony cel.
Keylogger programowy działa dokładnie tak samo jak sprzętowy, lecz nie ma takich wąskich
ograniczeń pojemnościowych, gdyŜ moŜe wysyłać wciśnięte klawisze co pewien okres czasu
na skrzynkę pocztową atakującego, bądź przechowywać te informacje na dysku. W obu
przypadkach istnieje ryzyko wykrycia przez programy zabezpieczające.
b) Podsłuch drogą elektromagnetyczną – w zapewnieniu bezpiecznego przetwarzania
poufnych danych w branŜy IT nie naleŜy mówić o braku ryzyka podsłuchu
elektromagnetycznego. Fale elektromagnetyczne przenikają człowieka dzisiaj na
kaŜdym etapie jego Ŝycia. Poczynając od tego, Ŝe ich zbyt duŜe natęŜenie moŜe nieść
negatywne skutki zdrowotne, a kończąc na tym, Ŝe prywatność człowieka całkowicie
27
[email protected]
http://tturba.tk
zanika (telefon komórkowy – idealne źródło antenowe rozsyłające w około emisję
elektromagnetyczną). W wyniku wyświetlania lub przetwarzania informacji
podzespoły komputerowe emitują silne fale radiowe. Płyta główna stacji roboczej jest
w stanie stać się nadajnikiem radiowym w wyniku przetwarzania, który osiąga
częstotliwości z zakresu kilku GHz. Wynika to z faktu, Ŝe producenci sprzętu
zrezygnowali z metalowego ekranowania obudów komputerów zastępując go tanim
plastikiem. Istnieje szyfrowanie informacji w transmisji, jednakŜe w przypadku
podsłuchu elektromagnetycznego nie jest to Ŝadne zabezpieczenie. W końcu dana
prezentowana na monitorze nie jest w postaci zaszyfrowanej i napastnik za pomocą
odpowiedniego sprzętu odczytuje zawartość monitora ofiary, bądź częstotliwość dysku
twardego, gdzie dane te nie są szyfrowane przed ludzkim okiem. Emisja ujawniająca
jest problemem powszechnym kaŜdego sprzętu, medium przez które przepływa prąd,
gdyŜ kaŜde z tych urządzeń zgodnie z prawami fizyki emituje wtedy część swojej
energii elektrycznej jako pole elektromagnetyczne.
Rys. 3.1.2.5. Sposób emisji pola elektromagnetycznego przez urządzenie elektryczne
Źródło: Opracowanie własne
Jedyną skuteczną metodą ochrony jest zapewnienie ekranowania i zabezpieczenie
moŜliwych miejsc wycieku fali radiowej. Ekranowanie jest obniŜeniem natęŜenia
elektromagnetycznego pola urządzenia na zewnątrz za pomocą strat cieplnych lub
28
[email protected]
http://tturba.tk
odbić na ekranie. Sam ekran jest to bardzo cienka siatka o drobnych otworach
skonstruowana z metalu i jego pochodnych (blacha, folia). Głównym jego zadaniem
jest powstrzymanie rozchodzenia się fal radiowych.
W projekcie implementacyjnym działu IT jako pomieszczenie serwerowe z reguły
wybiera się pomieszczenia nie posiadające okien i podwieszanych sufitów – wynika to
z faktu, Ŝe ekranowanie jest skuteczne tylko wtedy gdy jest szczelne. Gdyby w
serwerowni były okna, byłoby to potencjalne miejsce podsłuchu i nieświadomego
wycieku emisji elektromagnetycznej. Tanim sposobem zabezpieczenia pokoju
serwerowni jest zbudowanie w niej klatki Faradaya. NaleŜy dokładnie pokryć całe
ściany, podłogę i sufit metalową, bardzo drobną siatką, np. z miedzi. Powstanie w ten
sposób rodzaj wewnętrznego płaszcza ekranującego. Nie naleŜy takŜe zapomnieć o
zabezpieczeniu paneli i przewodów wentylacyjnych za pomocą wkładek
przewodzących, które przepuszczają strumień powietrza, a nie przepuszczają fal
elektromagnetycznych. Po zamontowaniu takiego ekranowania warto jest
przeprowadzić bardzo prosty test polegający na sprawdzeniu zasięgu w telefonie
komórkowym poza pomieszczeniem i w nim samym. Celem jest osiągnięcie
minimalnego zasięgu antenowego lub jego brak. Telefon komórkowy moŜe posłuŜyć
więc jako tester fal elektromagnetycznych do potencjalnych wycieków, które będzie
moŜna sprawnie załatać spoiwem lub taśmą termoprzewodzącą. Kable w serwerowni
(poza horyzontalnymi dochodzącymi do szaf rakowych) powinny być kablami
światłowodowymi, które nie emitują fal elektromagnetycznych. Kabel typu skrętka z
uwagi na swoje parametry stanowi idealną antenę nadawczą dla napastnika. JeŜeli
chodzi o pomieszczenie serwerowe to ochrona na tym etapie się kończy, lecz znacznie
trudniej jest chronić komputery robocze, gdyŜ istnieje wiele pomieszczeń i Ŝaden nie
powinien być obłoŜony miedzianą siatką, poza specjalnym przypadkiem z
pomieszczeniami zawierającymi ściśle tajne dane. Raczej chodzi tutaj o zwykłe
pomieszczenia biurowe, pracownicze, więc nie byłoby to rozwiązanie estetyczne.
Problemem jest takŜe podsłuch w tym samym pomieszczeniu z uwagi na jego
rozmiary, więc taka ochrona klatką nie sprawdziłaby się. NaleŜy więc zabezpieczać
kaŜdą stację roboczą indywidualnie. MoŜna osiągnąć bezpieczeństwo zakupując
niedrogie ekranowane obudowy. W duŜym stopniu ograniczą one wyciek informacji.
Jednak największym uznawanym źródłem emisji jest przewód wideo łączący monitor z
portem w obudowie. Są dość długie, ustawione przewaŜnie w bliskim pionie i
nieekranowane, dlatego łatwo emitują informacje trafiające na monitor uŜytkownika.
NaleŜy wtedy zastosować ekran elektromagnetyczny ze specjalnej folii ochronnej.
29
[email protected]
http://tturba.tk
Rys. 3.1.2.6. Przykład oryginalnego obrazu i jego wycieku elektromagnetycznego na monitorze oddalonym 15m
Źródło: http://g1.computerworld.pl/news/1/9/191811 (27.05.2009r)
W celu zapewnienia większej ochrony naleŜy równieŜ zaopatrzyć się w telefony
cyfrowe z mechanizmem DECT z kodowaniem przekazu pomiędzy telefonem, a jego
słuchawką. Na pewno w transmisji sieciowej nie zaszkodzi szyfrować pakiety, gdyŜ
sprzęt do podsłuchu kabla jest relatywnie tańszy niŜ ten do podsłuchu
elektromagnetycznego z monitora (około kilkadziesiąt tys. złotych). [4]
c) Przełamanie fizycznej kontroli dostępu – jeŜeli celem włamania jest uszkodzenie
sprzętu to jeśli włamywacz przejdzie przez drzwi serwerowni i dostanie się do szafy
rakowej to moŜna uznać, Ŝe sprzęt nie zostanie w Ŝaden sposób przed zagroŜeniem
uchroniony. Wynika to z faktu, Ŝe jest to sprzęt elektroniczny. Szkodzi mu uszkodzenie
mechaniczne, elektryczne, zbyt niska i zbyt wysoka temperatura, poŜar, zalanie.
Włamywacz mający na celu zniszczenie sprzętu ma więc do wyboru w jaki sposób to
osiągnie. Co ciekawe poprzez uszkodzenie mechaniczne, takie jak uderzenie sprzętu
moŜe dojść do spięcia w instalacji elektrycznej, która następnie moŜe się zapalić i w
wyniku naszego zabezpieczenia przeciwogniowego zostać zalana wodą.
Zapewne po takim zestawie uszkodzeń sprzęt w Ŝaden sposób nie będzie nadawał się
do uŜytku. Wprowadzenie zabezpieczeń fizycznej kontroli dostępu jest stosunkowo
proste w porównaniu do przeprowadzenia komputerowego audytu bezpieczeństwa.
Podstawową składową obrony są solidne drzwi. MontaŜ skomplikowanych,
specjalistycznych zamków w mało solidnych drzwiach mija się z celem. Zamiast
drzwi wewnętrznych z reguły zbudowanych z cienkich warstw sklejek naleŜy
stosować bardzo solidne drzwi kancelaryjne. Są wytrzymałe z uwagi na pokrycie ich
warstwą stali o grubości około 2mm. Podstawą do takich drzwi są zamki rozporowe
zamykające się na kaŜdą ścianę w połączeniu z blokadą przeciwwywaŜeniową. JeŜeli
chodzi o zamek moŜna zastosować tradycyjne rozwiązanie mechaniczne, lecz
preferowanym sposobem z uwagi na funkcjonalność i programowalność, jest
stosowanie zamków cyfrowych z elektronicznymi wkładkami. Plusem takiego zamka
jest fakt, Ŝe nie musi być montowany w drzwiach chroniących wyłącznie pokoje.
Pracownik ochrony moŜe zaprogramować kartę w taki sposób by blokowała dostęp do
30
[email protected]
http://tturba.tk
innych miejsc. Przykładowo, jeŜeli czytnik karty umieszczony jest w windzie to omija
ona wyznaczone przez pasaŜera piętro jeśli nie zostanie zautoryzowany. Dodatkową
wadą kluczy tradycyjnych jest sposób ich opisywania. Mając pęk kluczy z reguły
kaŜdy jest podpisany z etykietą jakiego dotyczy pokoju. W przypadku karty
magnetycznej lub zbliŜeniowej, nie jest ona oznaczana (co najwyŜej kolorem), ani
podpisywana, co utrudnia włamywaczowi, który pozyskał kartę odnalezienie
właściwego pomieszczenia.
Warto pamiętać o dodatkowych elementach bezpieczeństwa jeŜeli naleŜy w sposób
szczególny zabezpieczyć cenne rzeczy.
Drzwi dodatkowo mogą być ognioodporne (do 60min) i posiadać certyfikat
Ministerstwa Obrony Narodowej z 17.11.205r oznaczony numerem EI60 związany z
funkcjonowaniem i organizacją kancelarii tajnych (norma PN-90/B-92270 lub
Rozporządzenie RM z 18.10.2005 Dz. U. 208, poz. 1741).
Jako wyposaŜenie warto pamiętać o ryglu elektromagnetycznym, mechanizmie
samozamykacza i o gałce z zewnątrz. Drzwi w razie niedopatrzenia pracownika
poprzez niedomykanie lub szarpanie, nie mogą zostać otwarte bez uŜycia karty.
Lecz po co komu solidne drzwi jeśli są wmontowane w ścianę działową z płyty
kartonowo-gipsowej lub warstw spienionego betonu. Włamywacz jest inteligentny.
Włamanie z pewnością zostało zaplanowane, więc jeśli przeprowadził on rekonesans
to sprawdził, Ŝe łatwiej będzie mu się przebić przez cienką ścianę niŜ forsować
antywłamaniowe, wzmocnione drzwi. Intruz moŜe stosunkowo szybko wyciąć otwór
za pomocą młota udarowego lub piły mechanicznej. Jest to głośne rozwiązanie, lecz
krótkie i skuteczne. W ochronie pomieszczenia, więc waŜne jest zabezpieczenie
kaŜdego miejsca przez które włamywacz jest w stanie się przedrzeć – okna, drzwi,
ściany, kanały wentylacyjne, sufit, podłoga. Mniej wartościowe przedmioty mogą być
przechowywane w szafach na dokumenty. Te droŜsze – w sejfach. Odporność sejfu i
szafy zaleŜy od ich przeznaczenia. Szafy na dokumenty typowo mogą być
wyposaŜone w zamki mechaniczne lub elektroniczne, regulowane półki i miejsce do
zaplombowania. Warto przeczytać regulację prawną o wymaganiach wobec szaf na
dokumenty niejawne w rozporządzeniu Rady Ministrów (Dz. U. 208, poz. 1741).
Przedmiotami przechowywanymi w takich szafach mogą być teczki osobowe
zatrudnionych pracowników, dokumentacja techniczna lub handlowa, bądź inne
poufne dokumenty.
31
[email protected]
http://tturba.tk
Konstrukcja skrzydła:
1. Blacha stalowa ocynkowana gr.
1,25 mm
2. Pianka poliuretanowa (samo
gasnąca, bezfreonowa)
3. Stalowe Ŝebra i pręty ze stali
hartowanej
4. Panele dekoracyjne odporne na
warunki atmosferyczne
5. Zamek centralny
6. Zamki pomocnicze
7. Zamek dodatkowy
8. Sztywny łańcuch
9. Stałe bolce
przeciwwywaŜeniowe
10. Regulowane zawiasy
11. Dolna listwa zamykająca z
uszczelką szczotkową
Rys. 3.1.2.7. Parametry techniczne drzwi antywłamaniowych firmy Gerda Star SX
Źródło: http://www.gerda.agp.pl/drzwi-starsx.html (22.05.2009r.)
DroŜszym rozwiązaniem, lecz bezpieczniejszym jest zaopatrzenie firmy w kasę
pancerną, w której moŜna np. przechowywać bardzo waŜne informacje, takie jak
krytyczne kopie bezpieczeństwa systemów informatycznych przedsiębiorstwa, bądź
walory pienięŜne. Sejf stanowi jeden z najtrudniejszych elementów do sforsowania
podczas włamania. MoŜe być zamontowany ze specjalnym systemem samo reakcji na
próbę włamania, jakim jest obrona przed wyrwaniem zawiasów czy system
samoczynnego ryglowania. Dodatkowo popularnym rozwiązaniem są zamki ze
szklaną płytką. Jeśli sejf zostanie poddany zbyt intensywnym wstrząsom, bądź
rozwiercaniu to płytka pęka i sejf ulega zaryglowaniu od wewnątrz i nie jest moŜliwe
jego otwarcie w sposób szybki i konwencjonalny. Szafy i sejfy mogą być
ognioodporne, lecz nie są wodoodporne. Jednak jednym z waŜniejszych czynników
bezpieczeństwa jest instalacja monitoringu przemysłowego, czyli regularne,
całodobowe badanie aktywności w pomieszczeniach waŜnych i poufnych z
wykorzystaniem do tego celu pracownika ochrony. W przedsiębiorstwie kaŜdy sektor,
nawet najmniej waŜny obszar powinien być stale monitorowany. Newralgicznymi
punktami są przejścia słuŜbowe i bezpośrednie korytarze do waŜnych pomieszczeń.
32
[email protected]
http://tturba.tk
3.1.3. Atak socjotechniczny
O socjotechnice, inaczej zwaną inŜynierią społeczną słyszał prawie kaŜdy człowiek.
Większość zastrzega się, Ŝe w skuteczny sposób potrafią się przed jej atakami obronić, lecz
kaŜdy kiedyś staje się na nie podatny. Z technikami wpływania na innych, człowiek ma do
czynienia przez całe swoje Ŝycie i w kaŜdym środowisku społecznym. W większości
przypadków nie jest nawet świadomy, Ŝe padł ich ofiarą. Przykładowo klient sklepu
elektronicznego skusił się na zakup nowego telewizora LCD, bo był on w promocji, po
obniŜonej cenie, gdzie tabliczka cenowa zawierała równieŜ przekreśloną –rzekomo- wyŜszą
wartość. Klient zrozumiał to jako okazję. Jest to typowy, Ŝyciowy przykład zastosowania
elementów socjotechniki. Jednak najpowszechniejszym i najbardziej rozpoznawanym
przykładem inŜynierii społecznej jest reklama telewizyjna, mająca na celu nastawić odbiorcę
na zakup produktu, bądź usługi. Z reguły wywołuje w widzu pozytywne emocje takie jak
radość, śmiech, upodobnienie do nadawcy. Aktorzy są weseli, pewni siebie, dobrze dobrani
do roli. Często są to osoby sławne – rozpoznawalne przez widza. Przedstawiany produkt jest
takŜe często idealizowany poprzez porównanie go do innego, gorszego produktu.
Socjotechnika wykorzystuje wszystkie moŜliwe luki umysłu ludzkiego:
- zaciekawienie
- pewność bezpiecznej relacji z rozmówcą
- podatność człowieka na kłamstwo
- emocje, w tym strach
Nie jest waŜne w jaki sposób zdobędzie się informacje, czy to poprzez typowe kłamstwo, czy
moŜe bardziej skomplikowany scenariusz. Liczy się fakt uzyskania informacji, bądź zachęty
ofiary do wykonania odpowiednich działań mających na celu przynieść atakującemu
poŜądane korzyści. Socjotechnika stanowi bardzo skuteczne narzędzie, wystarczy poznać
mechanizmy kierujące ludzką psychiką.
Rys. 3.1.3.1. Cykl życiowy ataku socjotechnicznego
Źródło: Opracowanie własne
33
[email protected]
http://tturba.tk
Występuje wiele technik inŜynierii społecznej. Do najpowszechniejszych naleŜą:
a) Pozorny wybór – socjotechnik przedstawia kilka punktów widzenia, jednakŜe
zdanie odpowiadające jego poglądom jest przedstawiane w bardziej pozytywnym
odczuciu. Jednocześnie daje widzowi rzekomą władzę nad dokonaniem własnego,
świadomego wyboru.
b) Ośmieszanie – socjotechnik manipuluje ofiarą ośmieszając nie odpowiadające mu
idee zgodnie z zasadą - Jeśli coś zostało ośmieszone – nie moŜe zostać
pozytywnie przyjęte.
c) Świadectwo autorytatywne – powołanie się na powszechnie rozpoznawany
autorytet (np. aktor, naukowiec, dyrektor lub szef).
d) Przeniesienie – manipulator przeprowadza skojarzenie swojego przesłania z
ugruntowanym pozytywnym pojęciem wśród odbiorcy. Budzenie pozytywnych
wspomnień np. z dzieciństwa, tworzenie otoczki do całości.
e) NiezaleŜne zdanie - kształtowanie przekazu w taki sposób, aby sprawiał
wraŜenie, Ŝe mówcy nie zaleŜy na uzyskaniu aprobaty widza, lecz buduje szacunek
„własnego zdania”. Technika powoduje w odbiorcy poczucie słuszności
wypowiedzi mówcy.
f) Selekcja faktów – częsta technika inŜynierii społecznej nieświadomie
wykorzystywana przez dzieci. Wypowiedzenie tylko tych faktów, które
odpowiadają manipulatorowi przy jednoczesnym zatajeniu pozostałej prawdy.
g) Nowomowa – tworzenie nowego pojęcia z silnym tłem emocjonalnym, często
przywoływanym w przyszłości. Technika bardzo popularna w reklamach
telewizyjnych telefonów komórkowych.
h) Wskazywanie negatywnego odniesienia – konsolidacja promowanych idei przez
manipulatora w świetle wskazania ich wroga.
i) Zdanie większości – stworzenie trwałej relacji z odbiorcami, często nazywanych
„swoimi”, którzy mają takie same zdanie jak mówca. Skoro większość ma rację to
musi być dobra decyzja.
j) Kłamstwo – niemówienie prawdy z jednoczesnym ograniczeniem odbiorcy do
dostępu do innych źródeł informacji o prawdzie.
k) Tworzenie stereotypu – uŜywanie stworzonego stereotypu. Często przywoływany
o silnym podłoŜu emocjonalnym.
l) Slogan – powtarzanie specjalnie spreparowanego tekstu – sloganu
wykorzystującego mieszane techniki socjotechniczne. Stosowane przez polityków
podczas wyborów, bądź w promocjach sklepowych.
Socjotechnika komputerowa w dzisiejszym świecie traktowana jest po macoszemu. KaŜdy ma
świadomość jej istnienia, lecz nie kaŜdy wie jak się przed nią świadomie obronić. Zdobycie
informacji technikami socjotechnicznymi poprzez komputer w zasadzie niczym nie róŜni się
od typowego wydobycia informacji od człowieka bez komputera, gdyŜ to właśnie sam
człowiek jest głównym celem ataku jako najsłabsze ogniwo w sieci korporacyjnej, a dopiero
później komputer słuŜy jako narzędzie włamania.
34
[email protected]
http://tturba.tk
W rozdziale 3. wspomniany został Kevin Mitnick, najsłynniejszy komputerowy socjotechnik.
Został oskarŜony i osadzony w więzieniu za wykorzystywanie umiejętności inŜynierii
społecznej do wyłudzania informacji. W zarzucie moŜna wyczytać, Ŝe Mitnick wcielał się
często w osoby trzecie. Najciekawszym aspektem jego kradzieŜy jest jednak to, Ŝe de facto
nie była to kradzieŜ! Wszystkie informacje naruszające zabezpieczenia firmowe słuŜące mu
do dalszych celów zdobył poprzez prośby skierowane do zwykłych ludzi, pracowników danej
firmy. W jednej ze swoich ksiąŜek pt. „Sztuka podstępu” opisuje on siedem metod jakimi
posługiwał się podczas infiltracji przedsiębiorstw.
a) Metoda pytania bezpośredniego – trudny do oparcia błyskawiczny „atak” z
zaskoczenia. Napastnik wprost pyta ofiarę o konkretne dane, bądź kieruje ją dobrym
uzasadnieniem, pewnością siebie.
PRZYKŁAD:
Napastnik: „Dzień dobry Pani, moje nazwisko Jan Swojski, mamy w firmie problemy
z działaniem sieci. Proszę na chwilę zmienić swoje hasło na „test123”…
…
Ok. wygląda na to, Ŝe w tym segmencie sieci wszystko jest w porządku. Dziękuję Pani
za pomoc. MoŜe juŜ Pani zmienić swoje hasło na stare. W razie problemów proszę
dzwonić do nas na dział techniczny. Pozdrawiam.
PowyŜszy dialog z pozoru wygląda jak normalna rozmowa z firmowym technikiem.
Cechy jakimi operuje to: grzeczność, gra na emocjach, nakaz, pozorny wybór.
Pracownik firmy nieświadomej zagroŜenia w rozmowie z grzeczną osobą z działu
technicznego wydaje się, Ŝe ma władzę nad tym co robi, bo przecieŜ nie podaje mu
swojego hasła. Technik tylko sprawdzi czy wszystko jest w porządku. Lecz w
momencie zmiany hasła socjotechnik moŜe podejrzeć pytanie pomocnicze w razie
zapomnienia hasła, zmienić szybko hasło blokując pracownicy dostęp lub po prostu
wykorzystać zaufaną relację konta pracownicy z serwerem instalując w szybkim
tempie swoje konie trojańskie. Socjotechnik grzecznie kończy rozmowę, więc
pracownicy wydaje się, Ŝe postąpiła jak najbardziej słusznie. JeŜeli wyszedłby jakiś
problem podczas rozmowy, albo rozmówca nie byłby przyjemny, z pewnością
pozostałoby to w pamięci pracownika co mogłoby w konsekwencji doprowadzić do
namierzenia źródła wystąpienia przyszłego (z punktu widzenia pracownika –
zaszłego) problemu.
b) Metoda budowania sztucznej osobowości – socjotechnik moŜe zebrać niepozorne, z
punktu bezpieczeństwa firmy nieistotne informacje odpowiednio uzasadniając swoje
prośby. Do zbiorów mogą naleŜeć m.in. dane osobowe administratora, numer
pracownika, numery telefonów wewnętrznych, znajomość wewnętrznej terminologii.
Dzięki zebraniu tychŜe informacji socjotechnik moŜe wcielić się w pracownika
korporacji. Kogoś zaufanego, kogoś z wewnątrz. Napastnik, który wykaŜe się
znajomością pewnych nazwisk, informacji wewnętrznych firmy jest w stanie
potwierdzić swoją sfałszowaną toŜsamość.
35
[email protected]
http://tturba.tk
PRZYKŁAD:
Zdobyte imię administratora: Stefan
Napastnik dzwoni do ofiary:
Ofiara: „Dział handlowy, w czym mogę pomóc?”
Napastnik: „Dzień dobry, jest tam moŜe w pobliŜu gdzieś Stefan?”
Ofiara: „Jaki Stefan?”
Napastnik: „No Stefcio z informatycznego, bo padł jeden segment sieci i nie ma się
do niego przelogować jak nie przez waszą handlówkę”
Ofiara: „A, ten Stefan, nie niestety nie ma go”
Napastnik: „Cholera! Miał juŜ tam u was być, przecieŜ to musi działać! MoŜe Pani
zmienić u siebie hasło na „test123” sprawdzę czy wszystko jest w porządku na
serwerze.
Ofiara: „… juŜ.”
<<MOMENT ATAKU>>
Napastnik: „Ok., uf, juŜ gotowe. Wszystko OK., niech Pani juŜ zmieni z powrotem na
swoje hasło, a jak tam Stefcio do Pani przyjdzie to proszę przekazać, Ŝe wszystko juŜ
działa.”
Ofiara: „Dobrze, dziękuję za pomoc”
Napastnik: „RównieŜ dziękuję, do zobaczenia”
Z reguły owa metoda jest skuteczniejsza im więcej informacji jest w stanie wydobyć
napastnik przed wykonaniem właściwego ataku.
c) Metoda budowania zaufania z wykorzystaniem emocji do przełamania barier
psychicznych – połączenie tych dwóch metod w jedną daje praktycznie zawsze dobre
rezultaty. Czynnikiem znaczącym jest tutaj jedynie fakt ile czasu jest w stanie
napastnik poświęcić by ofiara była w stanie mu w jakiś sposób zaufać. Czasami moŜe
to potrwać kilkanaście dni. Socjotechnik moŜe stworzyć ciekawy scenariusz w raz z
odpowiednim wyborem osobowości jaką będzie musiał odgrywać.
PRZYKŁAD:
Napastnik odgrywa rolę nowego, zagubionego pracownika, który potrzebuje pomocy,
gdyŜ nie potrafi sobie jeszcze zbytnio poradzić na nowym stanowisku w nowej firmie.
Napastnik: „Dzień dobry, nazywam się Zenon Marchewka, czy moŜe mi Pani
pomóc?”
36
[email protected]
http://tturba.tk
Ofiara: „W czym problem?”
Napastnik: „Dzwonię z działu księgowego, pracuję tutaj od wczoraj i mi bardzo
zaleŜy na nie straceniu tej posady. Czy mogłaby mi Pani podać numer do
administratora, gdyŜ mój komputer coś szwankuje?
Ofiara: „Tak, niech Pan dzwoni do Bolka pod wewnętrzny 45”
Napastnik: „Ślicznie Pani dziękuję i pozdrawiam!”
Ofiara: „Do widzenia.”
<<MOMENT ATAKU>>
W ten sposób mamy numer do administratora, a nawet za darmo została wydobyta
informacja o jego imieniu. Im więcej takich nieproszonych informacji socjotechnik
jest w stanie przechwycić tym więcej moŜe dzięki nim osiągnąć.
d) Metoda wykorzystania autorytetu – socjotechnik powołując się na osobę z
wyŜszego stanowiska w pewien sposób kontroluje zachowanie pracownika. Nikt nie
sprzeciwi się bez uzasadnienia decyzji swojego przełoŜonego, więc z reguły wykona
przekazane polecenie.
PRZYKŁAD:
Ofiara: „Dzień dobry”
Napastnik: „Dzień dobry Pani, tu Antek z marketingu, szef prosił przekazać, Ŝe ma mi
Pani przesłać na pocztę faktury z tego tygodnia”
Ofiara: „Na maila czy faksem?”
Napastnik: „A jak Pani woli… myślę, Ŝe mailem będzie szybciej, proszę słać na
[email protected]”
<<MOMENT ATAKU>>
Dobry socjotechnik musi mieć zawsze przygotowany scenariusz typowych
odpowiedzi i zachowań na jakie powinien w odpowiedni sposób reagować. Z
przykładu powyŜej, manipulant był przygotowany na ewentualne pytanie o sposób
przesłania informacji, gdyŜ nie uwzględnił je w swojej pierwszej wypowiedzi. Dał
pracownikowi pozorny wybór, lecz wyraźnie nakreślił negatywne odniesienie
nieodpowiadającej mu metody odbioru. Faks zostałby przesłany na wewnętrzny numer
firmowy, a z załoŜenia napastnik nie ma autoryzacji do przebywania w pomieszczeniu
biurowym z faksem przeznaczonym dla pracowników.
e) Metoda ankiety – najbardziej popularna metoda wyciągania informacji od rozmówcy,
jednakŜe ze względu nasilonej liczby swoich wystąpień jest w duŜej mierze
powszechnie uwaŜana juŜ za nieskuteczną. Ankieter-napastnik moŜe zadać wiele
37
[email protected]
http://tturba.tk
pytań pośród których będzie tylko jedno, które go interesuje. Dodatkowo moŜe
stymulować psychikę ofiary zapewniając np. o przysłaniu zestawu upominkowego
złoŜonego z drobiazgów za wypełnienie ankiety. Oczywiście pobierając od ofiary w
tym celu dane prywatne o zamieszkaniu. Lepszym typem napastnika w wypadku
ankiety jest kobieta z uwagi na delikatność głosu, wrodzony brak agresji i typowość
wykonywania takiej pracy przez płeć piękną (co usilnie w telewizji potwierdzają
róŜnego rodzaju reklamy).
PRZYKŁAD:
Napastnik: „Dzień dobry Panu, moje nazwisko Ola Poter, czy zechciałby Pan
otrzymać ode mnie upominkowy zestaw złoŜony z kremu do golenia i naszej nowej
maszynki Philips 3 w 1?”
Ofiara: „Za darmo? Ale co muszę zrobić w tym celu?”
Napastnik: „Tak, oczywiście zestaw jest całkowicie darmowy. Wystarczy, Ŝe odpowie
nam Pan na dwa króciutkie pytania. Czy mogę je teraz Panu zadać?”
Ofiara: „No słucham”
Napastnik: „Czy goli się Pan codziennie?”
Ofiara: „Nie, co drugi dzień”
Napastnik: „Czy stosuje Pan kremy pielęgnacyjne po goleniu?”
Ofiara: „Nie, wystarczy woda”
Napastnik: „Super, dziękuję za udział Pana w naszej ankiecie. Proszę teraz podać
dane adresowe, na który zostanie przesłany Panu zestaw upominkowy”
Ofiara: „Krzysztof Jarzyna
Ul. Rozbójników 40
Szczecin”
Napastnik: „Dziękuję ślicznie, listonosz przyniesie paczkę, do usłyszenia”
<<MOMENT ATAKU>>
Zadając pytania socjotechnik zataił fakt uzyskania adresu pod pretekstem otrzymania
darmowego prezentu. KaŜdy chce coś otrzymać minimalnym wkładem, a ofiara i tak
uwaŜa, Ŝe naleŜy jej się owy upominek chociaŜby przez fakt, Ŝe postanowił poświęcić
chwilę swojego cennego czasu na odpowiedzenie na pytania bez większego znaczenia
dla jego Ŝycia. Mając pewność, Ŝe rozmawiano z pracownikiem firmy i mając jego
dane osobowe moŜna je w odpowiedni sposób wykorzystać w rozmowie z inną osobą
pracującą z ofiarą potwierdzając tym samym jej znajomość.
38
[email protected]
http://tturba.tk
f) Metoda socjotechniki zwrotnej – skomplikowana metoda wymagająca
synchronizacji w rozmowie z wieloma ofiarami. Interesując ofiarę scenariuszem
postępowania socjotechnik skłania ją do nawiązania ze sobą kontaktu w przypadku
wystąpienia odpowiedniego zdarzenia.
PRZYKŁAD:
Napastnik przedstawiający się jako administrator dzwoni do pierwszej ofiary
informując ją o moŜliwych problemach w działaniu sieci.
Napastnik: „Dzień dobry, Ryszard z serwerownii, informuję Panią, Ŝe przez
najbliŜszą godzinę mogą wystąpić problemy z otwieraniem się stron WWW, w razie ich
wystąpienia prosiłbym o kontakt na mój numer 123-456-789”
Ofiara#1: „Dobrze, dziękuję”
Następnie napastnik wykonuje telefon do działu administracyjnego przedstawiając się
za pracownika firmy, który ma problem ze swoim komputerem.
Napastnik: „Witam, czy to dział komputerowy?”
Ofiara#2: „Tak w czym mogę pomóc?”
Napastnik: „Nie działają mi strony internetowe a obok zegarka mam napisane w
takiej Ŝółtej chmurce, Ŝe kabel sieciowy jest odłączony, mógłby Pan to jakoś u siebie
sprawdzić?”
Ofiara#2: „Dobrze, juŜ sprawdzam, momencik”
W tym czasie istnieje szansa, Ŝe administrator sprawdzi połączenie kabla
przełącznikiem na chwile go wypinając. JeŜeli w tym momencie pracownica
próbowała przeglądać strony internetowe to wyskoczy jej komunikat przekroczenia
czasu połączenia. Zgodnie z zaleceniami powinna zadzwonić do napastnika, który
będzie mógł rozwiązać jej problem”
Ofiara#1: „Dzień dobry, dzwonił Pan przed chwilą do mnie”
Napastnik: „A witam, i co? Przestało coś działać, prawda?”
Ofiara#1: „Tak no właśnie przeglądałam stronę jednego producenta i wyskoczyło mi,
Ŝe „przekroczono czas połączenia, co z tym zrobić?”
Napastnik: „Tak jak myślałem, w porządku, proszę zmienić swoje hasło na chwilkę na
„pracownik000”, system ustawi sobie standardowe parametry internetowe po naszej
zmianie”
Ofiara#1: „Gotowe”
<<MOMENT ATAKU>>
39
[email protected]
http://tturba.tk
Napastnik: „Proszę sprawdzić czy strony teraz działają”
Ofiara#1: „O rzeczywiście działają”
Napastnik: „No to po problemie, proszę z powrotem ustawić swoje hasło”
Ofiara#1: „Super, dziękuje ślicznie Panu za pomoc”
Napastnik: „Do usłyszenia!”
Metoda wymaga pewnej elastyczności i zaawansowania w stosowaniu technik
inŜynierii społecznej. Na pewno nie jest zalecana dla początkujących napastników.
Dodatkowo wymaga posiadania kilku informacji wewnętrznych. Wadą jest, Ŝe
napastnik podaje swój numer telefonu i o ile nie dzwoni z budki, bądź innego
nienamierzanego źródła to w przypadku niepowodzenia moŜe zostać schwytany.
g) Metoda socjotechniki odwrotnej – jest wariacją socjotechniki zwrotnej. Napastnik
nawiązuje kontakt z ofiarą, lecz w rozmowie objaśniając potrzebę stara się być stroną
pasywną. Metoda takŜe wymaga elastyczności i zaawansowania w stosowaniu
technik. Uczy wykorzystywać w rozmowie jak najmniej słów, a nawet milczenia we
właściwym momencie. Socjotechnika odwrotna często jest stosowana w
przesłuchaniach policyjnych.
PRZYKŁAD:
Napastnik wszedł w posiadanie skradzionego telefonu komórkowego pracownika.
Dzwoni do serwisu komórkowego bez konieczności przedstawiania się. Krótko
opisuje problem:
Napastnik: „Dzień dobry, wypadła mi bateria, a nie pamiętam jaki ustawiałem ten
kod początkowy, mógłby mi Pan jakoś pomóc?”
Ofiara: „Chodzi Panu o kod PIN. Proszę podać markę i model telefonu.”…
Ofiara: „(…)”
Ofiara: „Musi Pan zrobić (…) następnie (…) i ustawić (…).”
Napastnik: „Ślicznie dziękuję, do widzenia.”
40
[email protected]
http://tturba.tk
Wszystkie wyŜej opisane techniki i metody są jedynie składowymi ataku łączących się w
większą całość, w tzw. klasę ataków socjotechnicznych, do których zalicza się:
Pretekst
Wabik
Zasada Quid Pro Quo
Vishing i IVR
Pretekst – jest to akt stworzenia i uŜycia wymyślnego scenariusza (pretekstu), który posłuŜy
za zbudowanie w ofierze punktu zaufania do napastnika. Celem jest perswazja ofiary, której
efektem jest zdobycie poŜądanej informacji. Częstokroć pretekst wymaga wstępnego
rozeznania z atakowaną firmą i zebranie cząstkowych informacji wykorzystanych do
scenariusza. Z tej definicji jasno wynika, Ŝe jest to najbardziej podstawowa klasa ataku.
Wykorzystywana w dowolnym środowisku, nie tylko komputerowym. Socjotechnik atakując
pretekstem musi dobrze przemyśleć scenariusz, który stworzy i ewentualne odpowiedzi na
pytania jakie mogłyby paść ze strony ofiary, która nie moŜe wyczuć niebezpieczeństwa np.
poprzez zawahanie, zamyślenie.
Wabik – klasa stricte komputerowego ataku socjotechnicznego. Jest to zmyślne
pozostawienie haczyka, który ma zostać połknięty. Wabienie ofiary jest podobne jak w
wędkarstwie. Poprzez analogię naleŜy przyjąć wędkarza za napastnika, a rybę za ofiarę.
Natomiast haczyk jest przykładowo pozostawionym pendrivem na schodach firmy. Na dzień
dzisiejszy pendrive USB jest bardzo popularnym urządzeniem. Pojemność pokrywa
zapotrzebowanie pracownika, wymiary takŜe, lecz cena niejednokrotnie jest wysoka.
Dlaczego pracownik nie miałby przyswoić drugiego pendrive’a i sprawdzić jego zawartość?
KaŜdy z nas znajdując na ulicy, w biurze, w szkole owe kompaktowe urządzenie z pewnością
wpiąłby do swojego komputera i sprawdził co się na nim znajduje. W tym momencie zostałby
odpalony atak poprzez zainicjowanie konia trojańskiego bądź innego szkodliwego
oprogramowania. Nawet jeśli pracownik ma świadomość bezpieczeństwa i nie wepnie go w
swój komputer to moŜe to zrobić inny powiadomiony pracownik. O ile komputer sam nie
zablokuje infekcji to w jeśli w systemie jest ustawiona opcja automatycznego uruchamiania to
juŜ od tego momentu zabezpieczenia systemu zostają naruszone bez przeglądania zawartości
przez ofiarę.
Zasada Quid Pro Quo – jest to łaciński zwrot oznaczający „coś za coś”. Napastnik wchodzi
w korelację z ofiarą. Dobrym przykładem obrazującym ataki z klasy QPQ jest atak metodą
socjotechniki zwrotnej opisany wyŜej. Ofiara otrzymuje od socjotechnika telefon kontaktowy
w razie wystąpienia problemu. Zgłasza się sama do niego realizując jego polecenia i kończy
rozmowę z czystym sumieniem.
Vishing i IVR10 – Vishing jest to odmiana phishingu11 stosowanego w telefonii. Napastnik
wyłudza poufne informacje za pomocą telefonu róŜnymi technikami i metodami
socjotechnicznymi. Np. za pomocą połączenia stworzonego skutecznego pretekstu i
10
IVR – ang. Interactive Voice Response.
Phishing – sposób wyłudzenia poufnych informacji drogą elektroniczną. Z reguły jest to fałszywa informacja e-mail
prosząca o połączenie się ze sfałszowaną stroną, która zachowuje się i wygląda jak oryginalna.
11
41
[email protected]
http://tturba.tk
sfałszowanego systemu IVR. IVR jest to automatyczny system interakcji z obsługiwanym
uŜytkownikiem stosowany w telekomunikacji. Osoba, która dzwoni na system IVR po
wysłuchaniu serii komunikatów ma za zadanie wybrać odpowiedni numer klawisza do
którego przypisana jest zakomunikowana funkcja. Np. wybór języku rozmowy, aktualizacja
usług, autentykacja, dostęp do wybranych informacji z bazy danych. Atak socjotechniczny na
system polega na podszyciu się pod system IVR by odtworzyć oryginalne nagranie firmowej
instytucji np. banku w celu wyłudzenia informacji. Klasa wymaga połączenia kilku metod i
technik socjotechnicznych, gdyŜ uŜytkownik najpierw musi zostać skłoniony do połączenia
się z systemem w konkretnym celu. Np. moŜe do niego zostać wysłana informacja na e-mail,
Ŝe powinien połączyć się telefonicznie do oddziału banku, gdyŜ wygasa jego lista haseł
jednorazowych do obsługi transakcji i winien on potwierdzić wysłanie do niego nowej listy.
W tej sposób socjotechnik nagrywając wybory klawiszy od ofiary otrzymuje kod PIN lub inne
hasła potrzebne do logowania do banku.
Dobry socjotechnik potrafi skorelować ze sobą wszystkie klasy, co jest bardzo trudnym
elementem do wykrycia, gdyŜ jedynym punktem odniesienia jest ludzki umysł i jego
podatność na podświadome kontrolowanie sposobu myślenia.
Podstawowym czynnikiem obronnym jest zasada ograniczonego zaufania. Jeśli nie jest
wymagane podawanie jakichkolwiek informacji to nie naleŜy tego robić. Jeśli natomiast
istnieje potrzeba ich podania to naleŜy zweryfikować cel do którego zostaną przekazane
informacje. KaŜdy pracownik winien mieć tę zasadę „zakodowaną” w swojej głowie.
By zrozumieć problem naleŜy odpowiedzieć sobie na trzy pytania do następującej sceny:
Obca niezatrudniona osoba wchodzi sobie bez problemów do siedziby firmy, siada do
komputera i zaczyna w nim przeszukiwać informacje.
Pytania:
- czy któryś z pracowników stałby się podejrzany wobec tego zdarzenia?
(Potencjalnie przecieŜ moŜe to być nowy pracownik, bądź jakikolwiek usługobiorca,
przykładowo serwisant komputerowy)
- czy któryś z pracowników postanowiłby to zdarzenie zgłosić?
(Czy pracownikowi na tyle zaleŜy na firmie i swoich danych, by mógł to zgłosić?)
- czy pracownik wiedziałby w jaki sposób zgłosić zdarzenie i komu?
(Czy istnieje odpowiednio napisany zestaw reguł i zachowań w takich sytuacjach?)
JeŜeli na któreś z pytań odpowiedź pada negatywna naleŜy zainwestować w przedsiębiorstwie
w odpowiednie szkolenia i seminaria dla pracowników.
Powszechnie stosowanym, skutecznym sposobem obrony przed atakami socjotechnicznymi
jest przeprowadzanie periodycznych szkoleń pracowników, zwłaszcza nowozatrudnionych w
przedsiębiorstwie. Pobudzenie ludzkiej świadomości na obowiązkowym szkoleniu na których
42
[email protected]
http://tturba.tk
przedstawiane są przykładowe podejścia ataku stanowią źródło przyszłej obrony w gotowym
umyśle pracowniczym. Dodatkową motywacją dla pracownika moŜe być takŜe powaŜniejsze
szkolenie, zakańczane egzaminem. Jeśli pracownik zda go pozytywnie – otrzyma certyfikat.
W przypadku duŜych przedsiębiorstw moŜe się to wiązać z podwyŜką, więc jeśli nawet nie
obchodzą pracownika losy firmy, to na pewno obchodzi go ilość banknotów we własnym
portfelu. Pracownik ma własną motywację (zarobek) i dyrektor ma takŜe swoją (pobudzenie
umysłu do zapamiętania skali problemu socjotechniki). Jest to podstawowa linia obrony przed
atakiem wyłudzającym informacje. Wspomniano, Ŝe pracownikowi moŜe nie zaleŜeć na
losach jego firmy. W końcu moŜe odbyć całe szkolenie, uzyskać certyfikat, osiągnąć swój cel
– wyŜszy zarobek, a dalej przekazać socjotechnikowi poufne informacje. Świadomie, lub nie.
Istnieje więc dodatkowa linia obrony, która obowiązuje kaŜdego z pracowników – prawnie
chroniona polityka bezpieczeństwa. Jest to dokument przedstawiany pracownikowi w formie
drukowanej, z którym musi się zapoznać. Treść dotyczy posługiwania się sprzętem
komputerowym i sieciowym w przedsiębiorstwie. Jakie zadania moŜna wykonywać, jakie
czynności są zabronione oraz czym to grozi. Pracownik jest zobowiązany takŜe złoŜyć podpis
na takim dokumencie oświadczając w ten sposób, Ŝe zna konsekwencje niewłaściwego
postępowania i na jakie sankcje prawne mógłby zostać naraŜony. W ten prosty sposób
wyklucza się niejawnych sabotaŜystów – pracowników w przedsiębiorstwie, którym los firmy
jest obojętny. [3]
W pełni zabezpieczone przedsiębiorstwo przed atakami socjotechnicznymi obrazuje poniŜszy
rysunek zbierający powyŜsze informacje:
Rys. 3.1.3.2. Algorytm skutecznej obrony w strukturze przedsiębiorczej
Źródło: Opracowanie własne
43
[email protected]
http://tturba.tk
3.2. Przedstawienie ataków i sposobów obrony po stronie
komputerowej
O ile atak na fizyczny dostęp do urządzeń jest moŜliwy do wykrycia to atak komputerowy
moŜe zostać tak skonstruowany, Ŝe nie będzie on zauwaŜalny. Ataki komputerowe są w
dzisiejszych czasach najpowszechniejszym zagroŜeniem, ale takŜe najniebezpieczniejszym.
JeŜeli system zawiedzie i przepuści niedozwoloną transmisję w sieć korporacyjną to zostaje
ona powaŜnie naraŜona na uszkodzenie danych na stacjach roboczych, a co gorsza – na
serwerach, a przecieŜ dana jest dzisiaj krytycznym czynnikiem zysku w dowolnej branŜy w
której narzędziem pośrednim jest komputer – czyli teoretycznie w kaŜdej. Sposobów na
wykradzenie informacji czy teŜ na naruszenie spójności systemu przybywa z dnia na dzień w
ilości postępu geometrycznego. Są to w przykładowo wirusy, konie trojańskie, a przede
wszystkim tzw. złośliwe oprogramowanie (malware i spyware), czyli robaki internetowe,
krąŜące samoczynnie po sieci, dołączające się do stron, do treści wiadomości e-mail itp.
Sposoby te mogą słuŜyć róŜnym celom: włamaniu, podszyciu się, zebraniu informacji,
uszkodzeniu systemu, replikacji i dalszej infekcji. Pozostałymi sposobami są przewaŜnie
niegroźne skanowania systemów, próby ataków wyszkolonego hakera oraz ataki typu DoS.
Jako specjalista do spraw bezpieczeństwa informatycznego, warto przyjrzeć się aktualnym
raportom stworzonym przez największe stowarzyszenia, firmy zajmujące się reakcją i
kreowaniem zespołów bezpieczeństwa. W Polsce największą z takich organizacji jest CERT
Polska12 będący zespołem działającym w ramach Naukowej Akademickiej Sieci
Komputerowej NASK.pl. Zespół CERT zajmuje się reagowaniem na zdarzenia naruszające
jakiekolwiek działania w stronę bezpieczeństwa komputerowego w Internecie. Co roku
organizacja na podstawie zgłoszonych informacji, przygotowuje i udostępnia statystki
dotyczące przypadków naruszenia bezpieczeństwa w zasobach polskiego Internetu.
Przedstawiony zostaje fragment raportu z 2008r.
12
CERT - Computer Emergency Response Team Polska – www.cert.pl
44
[email protected]
http://tturba.tk
Rys. 3.2.1. Prezentowane kategorie ataków odnotowanych do CERT Polska w 2008r
Źródło: http://www.cert.pl/PDF/Raport_CP_2008.pdf (24.05.2009r)
Rysunek 3.2.1 opisuje procentowy udział zanotowanych ataków z konkretnych kategorii na
polskie systemy. W poprzednim roku, tj. 2008 została znacząco uwydatniona przewaga
kategorii Oszustwa komputerowe, na które składa się głównie atak typu phishing i vishing (z
podgrupy ataków socjotechnicznych) – średnio co piąte zgłoszenie. Pozwala to zobrazować
jak łatwym celem ataku na system komputerowy jest jego uŜytkownik, podatny na inŜynierię
społeczną. Kategoria Obraźliwe i nielegalne treści podobnie jak w latach poprzednich
utrzymuje się na wysokim poziomie procentowego udziału zgłoszeń. Co czwarty przypadek
był zgłoszeniem o próbie rozsyłania niechcianej korespondencji – spamu. Niechciane systemy
reklamowe rozwijają się w niezwykłym tempie i filtry pocztowe nie są w stanie codziennie
wszystkich wychwycić. Kategoria Złośliwe oprogramowanie podobnie jak spamming,
utrzymuje swój poziom od kilku lat na podobnej wysokości powolnie zwiększając skalę
zasięgu. W duŜej mierze by doszło do infekcji złośliwym oprogramowanie wymagane jest
działanie człowieka, który wejdzie na daną stronę (drive by download) lub włączy
niesprawdzony program. Kategoria Gromadzenie informacji nazywana po prostu
skanowaniem uległa znacznemu spadkowi, gdyŜ dotychczas ataki rekonesansowe uwaŜane
były za najliczniejszą grupę ataków na jakie naraŜony jest system. Zmiana nastąpiła w
wyniku tego, Ŝe zabezpieczenia w sektorze obrony przed skanowaniem znacznie się
polepszyły, a z uwagi na fakt, Ŝe nikt nie jest w stanie kontrolować kaŜdego skanowania
przechodzącego przez sieć globalną, zostało ono uznane za naturalny szum Internetu. [5]
45
[email protected]
http://tturba.tk
Grupa i typ ataku
Obraźliwe i nielegalne treści
Spam
Dyskredytacja
Przemoc / pornografia dziecięca
Złośliwe oprogramowanie
Wirus
Robak sieciowy
Koń trojański
Oprogramowanie szpiegujące
Dialer
Gromadzenie informacji
Skanowanie
Podsłuch
InŜynieria społeczna
Próby włamań
Wykorzystanie znanych luk systemowych
Próby nieuprawnionego logowania
Wykorzystanie nieznanych luk systemowych
Włamania
Włamania na konto uprzywilejowane
Włamania na konto zwykłe
Włamanie do aplikacji
Atak na dostępność zasobów
DoS
DDoS
SabotaŜ komputerowy
Atak na bezpieczeństwo informacji
Nieuprawniony dostęp do informacji
Nieuprawniona zmiana informacji
Oszustwa komputerowe
Nieuprawnione wykorzystanie zasobów
Naruszenie praw autorskich
KradzieŜ toŜsamości, phishing
Inne
Inne
Liczba zanotowanych
ataków
SUMA
466
8
8
482
3
24
104
2
0
133
84
0
2
86
24
62
0
88
6
16
57
79
4
22
0
26
5
1
6
5
316
400
721
10
10
Rys. 3.2.2. Rozkład liczbowy zaprezentowanych typów incydentów w kategoriach
Źródło: Opracowanie własne na podstawie: http://www.cert.pl/PDF/Raport_CP_2008.pdf (24.05.2009r)
46
[email protected]
http://tturba.tk
WyŜej opisane są jedynie kategorie ogólne ataków, jednak są to tylko wytyczne ataków
egzekwowane w konkretnym celu. Nadrzędne cele ataku zostały opisane w rozdziale 1 i są to:
- Atak na poufność danej
- Naruszenie integralności danej
- Ograniczenie dostępności danej
I tak moŜna wykreować drzewo powiązań celów nadrzędnych do poszczególnych grup
ogólnych ataków jakimi są:
a) atak pasywny
b) atak aktywny, w którego w skład wchodzą:
• atak zbliŜeniowy
• atak wewnętrzny
• atak dystrybucyjny
Rys. 3.2.3. Powiązane klasy ataków z celami nadrzędnymi naruszenia bezpieczeństwa danej
Źródło: Opracowanie własne
Ataki opisane na rysunku 3.2.3 stanowią próbę ogólnego sklasyfikowania kategorii ataków.
Stąd istnieją powiązania jednego ataku nie tylko z jednym celem. Przykładowo naruszyć
integralność danej moŜna na wiele sposobów, za pomocą typowego włamania (atak aktywny),
lub za pomocą ataku wewnętrznego (przez pracownika firmy naruszającego politykę
bezpieczeństwa i jeszcze instalując złośliwe oprogramowanie replikujące się po wnętrzu sieci
korporacyjnej (atak dystrybucyjny). Wszystkie mogą doprowadzić do zmiany danej
przechodzącej przez sieć, lub komputer roboczy, gdzie atak miał miejsce. [8]
47
[email protected]
http://tturba.tk
3.2.1.
Atak pasywny
Atak pasywny – jak nazwa wskazuje, jest to atak nie powodujący uszkodzeń systemu.
Rodzaj rekonesansu, gdzie następuje próba wydobycia poŜądanych informacji, które mogą
posłuŜyć do wykonania ataku aktywnego, wewnętrznego, lub dystrybucyjnego. W czasie
wojennej bitwy, dowódca wysyła swoich zwiadowców w celu przeprowadzenia zbiórki
informacji o siłach wroga, ich słabych stronach. Tak samo jest w przypadku zdobywania
informacji o systemie komputerowym. RóŜnymi sposobami są wysyłani automatyczni
„zwiadowcy” zbierający dla napastnika informacje o dziurach w systemie, otwartych portach
itp. Skanowania przeprowadzane są w ogromnych ilościach w całej sieci globalnej i nikt nie
jest w stanie je kontrolować, czy teŜ zabronić. W większości przypadków ze względu, Ŝe są
wykonywane przez aplikacje diagnostyczne słuŜące administratorom sieci do wykrycia
własnych luk zanim zrobi to ktoś inny. 90% aplikacji skanujących jest całkowicie legalnych
(oczywiście, niekoniecznie darmowych) i powszechnie wykorzystywanych przez
uŜytkowników.
Do sposobów wywołania ataku pasywnego zalicza się:
- narzędzie ping, trace, finger
- skanowanie w poszukiwaniu otwartych portów
- przechwycenie pakietów za pomocą podsłuchu programowego
- wyłudzenie informacji za pomocą technik inŜynierii społecznej
- grzebanie w wyrzuconych biurowych odpadach
a) Ping i trace
Najprostszym przykładem jest narzędzie ping badające osiągalność połączenia źródła z celem.
Narzędzie w podstawowej wersji jest bardzo proste. Operując protokołem ICMP w warstwie
sieci (L3) modelu OSI , podając w syntaktyce komendy docelowy adres IP, otrzymuje się w
odpowiedzi średni czas potrzebny na wysłanie zapytania i otrzymanie odpowiedzi od celu.
Protokół ICMP jest wykorzystywany równieŜ w narzędziu trace, słuŜącym do szczegółowej
analizy trasy routingu jaką obiera pakiet. W transmisji od źródła do celu podawane są kolejne
adresy interfejsów routerów przez które on przechodzi. Narzędzie trace przyjmuje róŜne
nazwy w konkurentnych systemach operacyjnych. W Windowsie XP jest to tracert, w
Linuksie w zaleŜności od dystrybucji jest to komenda traceroute lub trace, a w systemie
Cisco IOS – komenda traceroute.
48
[email protected]
http://tturba.tk
Rys. 3.2.1.1. Przykład użycia narzędzia ping i tracert w systemie Windows XP
Źródło: Opracowanie własne
Rys. 3.2.1.2. Przykład użycia narzędzia ping i traceroute na routerze Cisco 7200
Źródło: Opracowanie własne
49
[email protected]
http://tturba.tk
Rys. 3.2.1.3. Przykład użycia narzędzia ping i traceroute w systemie Linux
Źródło: Opracowanie własne
Za pomocą polecenia ping i trace napastnik moŜe zebrać informacje o urządzeniach
składających się na sieć firmową. W praktyce takie skanowanie jest z reguły przeprowadzane
z Internetu, gdzie napastnik ma moŜliwość zakrycia swojej toŜsamości. Atakujący ma za cel
włamanie się. Mając wiedzę, Ŝe większość firm na świecie wykorzystuje w swojej sieci
protokół IPv4 – musi ona takŜe wykorzystywać usługę translacji adresów prywatnych na
publiczne. Adresami prywatnymi są oznaczane interfejsy wewnątrz sieci i te adresy nie są
routowalne w Internecie. Oznacza to tyle, Ŝe jest miliony takich samych adresów IP,
przewaŜnie zaczynających się prefiksem klasy C takim jak 192.168.*.*, którymi są
zaadresowane róŜne stacje robocze, interfejsy, terminale, lecz nikt poza wewnętrzną siecią ich
nie widzi. Odwrotnie jest z adresami publicznymi, które są przydzielane przez odpowiednie
organizacje. Firma z reguły moŜe dostać jeden globalny adres IP, który widzą wszyscy. Takie
rozwiązanie musiało zaistnieć, gdyŜ nikt nie przewidywał, Ŝe sieć Internet stanie się siecią o
zasięgu globalnym i tak szybko wyczerpie się całkowita pula adresów o długości 32bitów
poprzez ciągłe podłączanie do sieci nowych maszyn. Informatyk w przedsiębiorstwie musi
sobie radzić więc stawiając usługę NAT (PAT), gdzie setki komputerów z wnętrza sieci
widziane są na Internecie jako jeden globalny adres IP. Klasy i zasięgi adresów dla
konkretnych masek opisuje dokument RFC 1918.
Napastnik mając świadomość, Ŝe adresacja wewnętrzna w firmie to zapewne 192.168.*.*
wykonuje on polecenie ping na adres rozgłoszeniowy dla tej sieci. W tablicy ARP napastnika
pojawiają się odpowiedzi ICMP Echo Reply z adresami IP komputerów, których napastnik
nie musiał zgadywać, gdyŜ wysłał polecenie ICMP Echo Request na całą pulę adresową, a
komunikacja typu broadcast (rozgłoszenie) jest komunikacją do wszystkich komputerów z
danej podsieci.
50
[email protected]
http://tturba.tk
Rys. 3.2.1.4. Schemat skanowania sieci za pomocą polecenia ping
Źródło: Opracowanie własne
Haker w ten prosty sposób zyskuje wiedzę o ewentualnych komputerach, serwerach czy
interfejsach, które mogą posiadać potencjalne luki, które on moŜe wykorzystać by dostać się
do systemu.
Świadomą obroną przed tym zagroŜeniem jest blokowanie puli adresów z dokumentu RFC
3330. Przenigdy z Internetu do wnętrza sieci nie powinien trafić pakiet z adresem z puli
adresów prywatnych lub zarezerwowanych. Blokowanie moŜna przeprowadzić na kilka
sposobów.
- za pomocą listy kontroli dostępu (ACL13) w kierunku wchodzącym do interfejsu od
strony Internetu, wycinać adresy:
- 0.0.0.0
- 10.0.0.0/8
- 127.0.0.1/32
- 172.16.0.0/12
- 192.168.0.0/16
13
ACL – Access Control List – prymitywna forma ściany ogniowej.
51
[email protected]
http://tturba.tk
- za pomocą usługi SPI14 badać stan pakietu z wnętrza sieci, jeŜeli nie został on
zainicjowany wewnątrz (sesja TCP, pakiet ICMP), to naleŜy go zablokować.
- za pomocą mechanizmu ZFW15 - nie zezwalać na przychodzenie pakietów z
Internetu jeśli nie zostały one do tego uprawnione między strefą zaufaną, a niezaufaną.
b) Skanowanie portów
Po skutecznie przeprowadzonym rekonesansie pingiem moŜna przeprowadzić skanowanie
portów. Jest to podobny mechanizm, lecz dotyczy adresacji warstwy transportowej, a nie
sieciowej. Wszystkie aplikacje, usługi komputerowe działają na przypisanych portach na stałe
lub dynamicznie. JeŜeli na danym porcie pracuje jakaś aplikacja to uwaŜa się to za podatność
na atak. UwaŜa się wtedy, Ŝe port jest otwarty - podatny. Analogicznie jeŜeli przyjąć, Ŝe port
to furtka do domu i jest otwarta to niejako wysyła się zaproszenie dla włamywacza, który ma
mniej zabezpieczeń do sforsowania. Tak samo jest w przypadku furtek komputerowych.
Napastnik łącząc się na otwarty port moŜe wykonać z niego próbę logowania, lub odpalić na
nim tzw. exploit’a, czyli aplikacje wykorzystującą błędy oprogramowania. O ile próba
skanowania na maszynie brzegowej łączącej sieć wewnętrzną i globalną, z reguły kończy się
niepowodzeniem (zwraca się uwagę na zabezpieczanie tych maszyn) to po przeprowadzeniu
skutecznego rekonesansu za pomocą ping’a moŜliwe jest przeskanowanie odnalezionej
maszyny, która nie dość, Ŝe moŜe mieć otwarte porty to dodatkowo wewnątrz sieci ma
zaufaną relację z innymi urządzeniami. Haker włamując się do takiej maszyny ma wtedy
ułatwione zadanie podwójnie. Istnieje wiele narzędzi do skanowania portów. Najbardziej
znanym jest program Nmap posiadający wiele zróŜnicowanych funkcji. Wykorzystują go
zarówno administratorzy w audycie swojej sieci jak i anonimowi napastnicy z Internetu.
Dodatkowym atutem jest fakt, Ŝe program jest darmowy i wieloplatformowy. UŜywać
powinien go kaŜdy świadomy swojego niebezpieczeństwa w sieci uŜytkownik, lecz z uwagi,
Ŝe program jest dość skomplikowany w obsłudze to wykorzystywany w dobrym celu jest
tylko przed administratorów i informatyków. Poprzez dobry cel rozumie się przeprowadzenie
własnego audytu bezpieczeństwa w zgodzie z zasadą, Ŝe jeśli samemu się czegoś nie
sprawdzi, to nie ma się pewności czy jest to skuteczne rozwiązanie problemu, zwłaszcza w
przypadku bezpieczeństwa systemu informatycznego.
14
15
SPI – Stateful Packet Inspection – rodzaj starej ściany ogniowej, lecz nadal skutecznej.
ZFW – Zone-Based Firewall – rodzaj nowej technologicznie implementacji ściany ogniowej.
52
[email protected]
http://tturba.tk
Rys. 3.2.1.5. Zrzut ekranu z udanego skanowania przeprowadzonego przez narzędzie Nmap
Źródło: Opracowanie własne
Analizując rysunek 3.2.1.5 widać, Ŝe porty 37, 53, 80, 81, 82, 90 i 113 są portami otwartymi.
Działają na nich odpowiednie usługi takie jak TIME, DNS i HTTP, które stanowią
potencjalne miejsce luk w systemie. Dodatkowo narzędzie Nmap moŜe próbować rozpoznać
system operacyjny ofiary i adres fizyczny karty sieciowej której skanował przydzielony adres
IP.
53
[email protected]
http://tturba.tk
c) Skanowanie uŜytkownika
Do lat 90. XX wieku narzędzie finger było powszechnie w sieciach stosowane w celu
sprawdzenia kto jest w danym momencie zalogowany na skanowanej maszynie dając o nim
podstawowe informacje takie jak:
- nazwa uŜytkownika
- jego dane osobowe
- czas nieaktywności jego klawiatury (tzw. czas idle)
Finger jest to historyczny protokół komunikacyjny wycofany juŜ z uŜytku, ze względu, Ŝe
stanowił duŜą lukę bezpieczeństwie. Przez podawanie informacji o nazwie uŜytkownika
moŜna było na systemie przeprowadzać próby logowań za pomocą ataku siłowego lub
słownikowego. Narzędzie słuŜyło administratorom do podglądania systemu by zapewnić mu
spójne działanie przed niewłaściwymi, często nieświadomymi czynnościami pracowników.
Rys. 3.2.1.6. Przykład użycia narzędzia finger w systemie Linux
Źródło: http://pl.wikipedia.org/wiki/Finger (27.05.2009r)
Linijka „No plan.” informuje, Ŝe uŜytkownik nie posiada w swoim katalogu domowym
ukrytego pliku .plan, który zawiera plany do realizacji na najbliŜszy czas i czym uŜytkownik
się w danej chwili zajmuje. Plik w prawach dostępu ma odczyt dla wszystkich – więc równieŜ
jest to kolejna luka w bezpieczeństwie. Pomimo, Ŝe protokół został wycofany z uŜytku, to jest
zaimplementowany w kaŜdym systemie, gdzie niegdzie nawet świeŜo po instalacji pozostaje
nadal włączony. O ile w sieci nie stosuje się pułapki „honey-pot” na włamywaczy to naleŜy
niezwłocznie tę usługę wyłączyć. Obecnie finger został zastąpiony narzędziem who (whois),
które informuje jedynie o zalogowanych uŜytkownikach do systemu. Who moŜna uŜywać
tylko lokalnie i badać tylko system na którym jest zainstalowany, więc nie stanowi
potencjalnego wycieku informacji.
54
[email protected]
http://tturba.tk
d) Przechwytywanie pakietów – sniffer programowy
Zasada działania podsłuchu programowego jest taka sama jak wcześniej opisanego podsłuchu
sprzętowego. Liczy się umiejscowienie sniffera. Jednak podsłuch programowy moŜe być
realizowany w sposób legalny – przez administratora w celach czysto diagnostycznych, lub
nielegalny – przez włamywacza. Większość sieci LAN w dzisiejszych czasach jest oparte o
technologię Ethernet, czyli urządzenia są spięte kablem UTP/STP/FTP w topologię gwiazdy z
jednym centralnym punktem przełączania, lub w topologię rozgałęzionej gwiazdy, gdzie
kaŜdy centralny punkt posiada węzeł do innego centralnego punktu.
Rys. 3.2.1.7. Współczesne topologie sieci lokalnej Ethernet
Źródło: Opracowanie własne
Uzyskując dostęp do urządzenia centralnego, zwykle jest to hub lub przełącznik, osoba ma
kontrolę nad ruchem jaki przepływa między węzłami. O tyle jest to łatwo zrobić w przypadku
koncentratora, Ŝe ruch który otrzymuje na dany port, przesyła do wszystkich innych poza
portem źródłowym, więc podsłuchiwanie wymaga jedynie instalacji sniffera lub ustawienie
karty sieciowej w tryb rozwiązły (promiscuous ). W normalnym trybie pracy komputer
analizuje ruch sieciowy z kaŜdym otrzymanym pakietem. Bada czy ramka jest adresowana do
niego. Jeśli jest to deenkapsuluje jej zawartość. Natomiast jeśli adres fizyczny ramki jest inny
niŜ karty sieciowej to zostaje ona zignorowana przez interfejs. W trybie promisc karta
sieciowa przyjmuje kaŜdy ruch niezaleŜny od adresacji. Tryb ten powstał jak kaŜdy inny
sniffer, w celu badania wydajności sieci przez administratora za pomocą wczesnej zuboŜałej
wersji narzędzia typu SPAN16. Mając narzędzie typu Cisco Wireshark moŜna analizować
dowolny pakiet krąŜący po sieci lokalnej.
16
SPAN – SwitchPort Analyzer – tryb analizowania ruchu sieciowego.
55
[email protected]
http://tturba.tk
Rys. 3.2.1.8.
3.2.
Zrzut ekranu z programu Wireshark firmy Cisco
Źródło: http://www.topsofts.com/images/product/screenshot/4/48380.gif (27.05.2009r)
Rys. 3.2.1.9.. Schemat rozgłaszania pakietów przez koncentrator i przechwytywania
przechwytywania ruchu przez napastnika
Źródło: Opracowanie własne
56
[email protected]
http://tturba.tk
Ten rodzaj podsłuchu jako samego ataku nosi nazwę „Man-In-The-Middle”, czyli „osoba w
środku”. Technika MITM jest często stosowana przy atakach wewnętrznych i aktywnych.
Koncentrator z uwagi na swoje powaŜne wady konstrukcyjne wynikające z działania jedynie
w warstwie fizycznej, został powoli wyparty w komercyjnym stosowaniu w
przedsiębiorstwach przez przełączniki, niemniej nadal są w sprzedaŜy i sprawdzają się w
rozwiązaniach domowych. Jednak z uwagi na fakt, Ŝe przełącznik jest znacznie
bezpieczniejszy, a jest w podobnej cenie zaleca się kupić go kupić zamiast hub’a.
Znacznie trudniej jest przechwytywać pakiety, gdy jako punkt centralny w topologiach
gwiazd jest uŜywany przełącznik. Pracuje on w warstwie łącza danych i nie rozgłasza
kaŜdego pakietu, a jedynie wtedy gdy został tak zaadresowany. Switch otrzymując ramkę od
źródła uczy się jego adresu MAC i zapisuje go do swojej tablicy adresów CAM (ContentAddressable Memory) wraz z portem z którego ramka przybyła. W ten sposób po zbudowaniu
swojej topologii przełącznik bada wartość pola adresu docelowego w ramce Ethernet i
przełącza ją na odpowiedni port docelowy. Szczegółowy opis budowania tablicy CAM
zostanie przeprowadzony w sekcji ataków aktywnych. Sposób podsłuchiwania przełącznika
jest inny, dopóki nie dozna on uszkodzeń w wyniku ataku wewnętrznego. Normalnie kaŜdy
pakiet nie zostaje przechwytywany przez sniffer, a mogą zostać wychwytywane jedynie te,
które idą przez przełącznik do serwera i z serwera są badane. Innymi słowy, dopóki
przełącznikowi nic nie przerwie prawidłowej pracy to będzie on przesyłał tylko ramki od
źródła do celu i nigdzie indziej. Natomiast administrator z poziomu serwera moŜe uruchomić
narzędzie tcpdump lub linsniff i tylko z tamtego poziomu analizować pakiety. Napastnik
mając dostęp do serwera moŜe równieŜ przechwytywać pakiety, lecz opłaca się to stosować
tylko w przypadku transmisji otwartych, czyli nieszyfrowanych, takich jak Telnet, http,
ftp/tftp, smtp, gdyŜ czas rozkodowania zaszyfrowanych pakietów SSH/SSL byłby zbyt długi.
57
[email protected]
http://tturba.tk
Rys. 3.2.1.10. Schemat przełączania ramki w topologii Ethernet z zastosowaniem przełącznika
Źródło: Opracowanie własne
Rys. 3.2.1.11. Zrzut ekranu z programu tcpdump ustawionego do przechwytywania pakietów SMTP
Źródło: Opracowanie własne
Przełącznik według powyŜszych argumentów, sam w sobie stanowi więc obronę przed
podsłuchiwaniem, lecz Ŝeby była ona skuteczna przełącznik winien być zarządzany.
Dodatkowo administrator powinien wyłączyć usługi transmitujące pakiety w sposób
nieszyfrowany, takie jak: Telnet, FTP/TFTP, HTTP, SMTP i zastąpić je protokołami
58
[email protected]
http://tturba.tk
szyfrowanymi: SSH, SCP, HTTPS, ESMTP. Zdecydowanie utrudni to napastnikowi
odczytanie zawartości pakietów.
e) Podsłuch socjotechniczny
Oczywiście atakiem pasywnym są takŜe niektóre z technik inŜynierii społecznej, za pomocą
której zbierane są cząstkowe informacje słuŜące do zdobycia tej krytycznej, właściwej dla
napastnika. Wszystko w kwestii vishingu i metod stosowanych w socjotechnice zostało
opisane w rozdziale 3.1.3. JednakŜe dodatkowo administrator moŜe sam przeprowadzić tzw.
samodzielny test penetracyjny. Powinien podszyć się pod pracownika firmy i wykorzystać
metody socjotechniczne sprawdzając poziom kompetencji pracownika z którym rozmawia
przez telefon lub prowadzi konwersację za pomocą faksu i poczty elektronicznej. Ostatecznie
po przeprowadzonych testach nie powinien on zdradzać swojej toŜsamości. Taki samodzielny
legalny rekonesans uczy takŜe pracowników jak mają postępować w takich sytuacjach.
Jednak mogliby stać się wyczuleni na kolejne próby traktując je jako kolejne testy, a jak
wiadomo bezpieczeństwo IT to nieustanny monitoring i testowanie. Mogłoby to spowodować
potencjalny wyciek informacji znuŜonego pracownika, który na Ŝarty mógłby podać swoje
poufne dane w celu sprawdzenia co moŜe się stać. MoŜe on jednak nie wiedzieć, Ŝe podaje je
napastnikowi, zamiast człowiekowi ze swojej firmy.
Innym rodzajem ataku socjotechnicznego podsłuchującego jest tzw. atak „przez ramię”.
Potencjalny napastnik stoi za uŜytkownikiem logującym się do systemu patrząc mu w
klawiaturę jaką kombinację klawiszy naciska. Napastnik teŜ moŜe celowo zerknąć na
wyświetlone na monitorze dane konfiguracyjne, gdzie jest wypisane niezaszyfrowane hasło.
Rozwiązaniem jest oczywiście zaszyfrowanie hasła, które utrudni jego zapamiętanie, oraz
nauka szybkiego pisania na klawiaturze ☺.
Rys. 3.2.1.12. Zrzut ekranu z konfiguracji routera z zagrożeniem ataku „przez-ramię”
Źródło: Opracowanie własne
59
[email protected]
http://tturba.tk
f) Wydobywanie informacji ze śmietnika
Pomimo, Ŝe tytuł podpunktu wydaje się być śmieszny, problem wycieku informacji przez
błędną utylizację nośników jest powaŜny. Niewłaściwe niszczenie dokumentów, nośników
informacji moŜe być czynnikiem powodującym skuteczne odpalenie ataku w stronę sieci
korporacyjnej. Człowiek jest w stanie zrobić bardzo wiele by osiągnąć swój cel i nie zawaha
się ubrudzić śmieciami z kontenera jeśli tam znajdzie potrzebne mu dane. Terminem
„dumpster diving” jednak nie określa się tylko wydobywaniem informacji z kontenerów.
Poufne dane moŜna znaleźć na pracowniczych biurkach, tabliczkach, zostawionych notesach,
kartkach, niezamykanych szafkach. Podobnie jak w przypadku podsłuchu socjotechnicznego
administrator mógłby wykonać test penetracyjny w celu sprawdzenia jak poufne informacje
są przechowywane przez pracowników podając się np. za sprzątacza, lub przeglądając biurka
po godzinach pracy. Pracownicy bardzo często zostawiają zapisane kartki z hasłami do
systemów. Wynika to z faktu, Ŝe dobry administrator wymaga od swoich uŜytkowników
dobrych haseł złoŜonych ze znaków alfabetu, cyfr, znaków specjalnych i róŜnicowania
wielkości liter. Na domiar wszystkiego wymaga dodatkowo cyklicznych zmian haseł np. co
okres kwartalny. Początkowo kaŜdy pracownik moŜe mieć problem z zapamiętaniem swojego
hasła, więc w dobrej wierze moŜe je sobie gdzieś zapisać. Polityka bezpieczeństwa
przedstawiona pracownikowi, pod którą się on podpisuje powinna bardzo wyraźnie zabraniać
takich sposobów przechowywania haseł. Jeśli juŜ gdzieś musiałyby być składowane to w
miejscu trudno dostępnym i zabezpieczonym. Nie tylko dokument papierowy jest
zagroŜeniem. Powoli standardowym nośnikiem informacji staje się pendrive, jednak płyty CD
jeszcze przez pewien okres czasu na pewno będą istniały jako nośniki waŜnych informacji w
wielu przedsiębiorstwach. NaleŜy pamiętać o ich skutecznej utylizacji poprzez składowanie w
specjalnych pomieszczeniach do okresu aŜ ich poufność nie będzie miała znaczenia, lub
poprzez usuwanie za pomocą specjalnych niszczarek biurowych z wkładami do niszczenia
płyt CD. RównieŜ polityka bezpieczeństwa winna zawierać informacje o prawidłowej
utylizacji nośników.
60
[email protected]
http://tturba.tk
3.2.2. Atak aktywny i jego wariacje
JeŜeli celem nie jest jedynie zdobycie informacji poprzez naruszenie jej poufności poprzez
atak pasywny to jedynie inną moŜliwością jest naruszenie tej informacji poprzez atak
aktywny. Przez naruszenie rozumie się wpływ na jej integralność – czyli zmianę danych, lub
wpływ na jej dostępność – czyli jej istnienie w systemie i moŜliwość jej odczytania. O ile atak
pasywny w Ŝaden sposób nie musi szkodzić poza wyciekiem danych (oczywiście krytycznie
waŜnym) o tyle atak aktywny zawsze niesie za sobą konkretne, namacalne szkody. Sam atak
aktywny polega na włamaniu się do systemu, naruszeniu jego zabezpieczeń za pomocą
dostępu zdalnego, z poziomu zaufanej relacji, lub poprzez kontakt fizyczny. Atak aktywny
niesie za sobą powaŜne konsekwencje karne pomimo raczkowania w ustalaniu ustaw w
sektorze prawa komputerowego. W głównej mierze skazywani są jednak przestępcy
naruszający komputerowe praco autorskie, czyli piraci, nielegalni dystrybutorzy, uŜytkownicy
nielegalnego oprogramowania (głównie systemu operacyjnego). Jednak by zwycięŜyć w
takiej sprawie naleŜy mieć trzy efektywne argumenty oskarŜające jakimi są:
- motyw – odpowiadający na pytanie „dlaczego przestępca dokonał czynu
karalnego?”
Motyw zadaje pytanie o cel jaki przyświeca przestępcy komputerowemu. W
zaleŜności o tego jakim jest hakerem według klasyfikacji moŜe mieć róŜne cele
opisane w rozdziale 3.
- dowody rzeczowe – „czym przestępca posługiwał się podczas dokonania czynu
karalnego?”
Dowodem rzeczowym mogą być umiejętności przestępcy, bądź zebrany materiał
dowodowy (płyty CD, logi ze sprzętu). Jest to trudne z uwagi, Ŝe logi komputerowe
łatwo moŜna spreparować, jednak właściwe ich zabezpieczanie i tworzenie
rutynowych kopii bezpieczeństwa poświadczane przez inne osoby z sektora
bezpieczeństwa stanowią mocną podstawę oskarŜającą.
- sposobność – „w jakich okolicznościach przestępca mógł dokonać czynu
karalnego?”
Sposobność, powszechnie nazwana „alibi” oznacza czy przestępca mógł dokonać tego
czynu, czy nie był w tym czasie w innym miejscu co moŜe go wykluczyć z kręgu
podejrzanych. Podobnie jak dowody rzeczowe, sposobność przestępcy
komputerowemu jest dosyć trudno udowodnić, ze względu, Ŝe atak mógł zostać
wywołany z dowolnej lokalizacji, z dowolnego komputera.
Atak pasywny z reguły wygląda tak samo, zawiera te same algorytmy postępowania. W
przypadku ataku aktywnego występuje wiele jego postaci. Jest modyfikowalny, kaŜdy atak
moŜe wyglądać inaczej.
61
[email protected]
http://tturba.tk
Pomijając wariację, wyróŜnia się trzy podstawowe ataki aktywne nazwane po głównych
celach nadrzędnych zagroŜenia komputerowego wraz z podklasami ataków:
a) Ogólny aktywny atak na poufność danej
• Wewnętrzne i zbliŜeniowe ataki na poufność:
• MAC Spoofing
• DHCP Spoofing
• ARP Spoofing
• Wykorzystanie podatności protokołu DTP i VLAN Hopping
• Atak idle
b) Ogólny aktywny atak na integralność danej
• Dystrybucyjne i zbliŜeniowe ataki na integralność:
• Złośliwe oprogramowanie:
• Koń trojański
• Wirus
• Robak
• Metody ataku na logowanie lub deszyfrowanie danej
c) Ogólny aktywny atak na dostępność danej
• Wewnętrzne i zbliŜeniowe ataki na dostępność:
• Wykorzystanie podatności protokołu STP
• Wykorzystanie podatności protokołu VTP
• Wykorzystanie podatności protokołu NTP
• Wykorzystanie podatności protokołu SNMP
• Szkodliwe debugowanie i niekontrolowany sztorm rozgłoszeniowy
62
[email protected]
http://tturba.tk
Ad. a) Ogólny atak na poufność danej - najmniej szkodliwy atak aktywny. Charakteryzuje
się wykradzeniem informacji po naruszeniu zabezpieczeń systemu bez jego modyfikacji lub
uszkadzania.
Rys. 3.2.2.1. Schemat aktywnego ataku na poufność danej na przykładzie ataku na bank
Źródło: Opracowanie własne
Typowy schemat postępowania:
[1] – Napastnik przeprowadził skuteczny rekonesans na system komputerowy banku.
ZauwaŜył, Ŝe serwer stron internetowych posiada przestarzałe zabezpieczenia. Włamuje się
na serwer za pomocą swoich umiejętności i narzędzi jakimi dysponuje (exploity, programy).
[2] – ZauwaŜa, Ŝe serwer bazy danych z danymi kart kredytowych jest bardzo dobrze
zabezpieczony i nie uda mu się tak prosto włamać jak na serwer HTTP. Wykorzystuje on
więc zaufaną relację jaka istnieje wewnątrz systemu banku pomiędzy serwerem HTTP, a
serwerem bazy danych. Napastnik zbiera poufne informacje o kartach kredytowych, hasłach
dostępu i danych osobowych właścicieli kart.
[3] – Napastnik po zebraniu poufnych danych wykorzystuje numery kart kredytowych do
wykonania całkowicie legalnych zakupów, bądź przetransferowania pieniędzy na odległe
konto, stamtąd na jeszcze jedno i tak dalej w odległe zapętlenie uniemoŜliwiające szybkie
jego schwytanie. [8]
63
[email protected]
http://tturba.tk
IP Spoofing
Dostęp do systemu, przestępca moŜe uzyskać wykorzystując skierowany atak podszywania
się pod adres IP (IP Spoofing).
Rys. 3.2.2.2. Schemat ataku IP Spoofing
Źródło: Opracowanie własne
W transmisji wykorzystującej protokół połączeniowy – TCP w celu nawiązania połączenia
stosuje się tzw. sekwencje „potrójnego uścisku dłoni” (ang. three-way handshake). Polega ona
na zsynchronizowaniu się źródła z celem na odpowiednim porcie w zaleŜności od Ŝądanej
usługi. Składa się z tytułowych trzech kroków:
- wysłaniu ze źródła segmentu powitalnego (pakiet SYN), numer sekwencyjny wynosi
1.
- odpowiedzi celu w postaci segmentu potwierdzającego (pakiet SYN-ACK), numer
sekwencyjny wynosi np. 2 co oznacza, Ŝe cel otrzymał sekwencję numer 1 i oczekuje
na przesłanie sekwencji numer 2.
- wysłaniu przez źródło segmentu odpowiadającego i zatwierdzającego połączenie
(pakiet ACK), potwierdzenie wysłania sekwencji numer 2.
W praktyce zostają wysłane kolejne numery sekwencyjne, oczywiście liczba ta jest losowa,
tak samo jak port źródłowy. Jednak jeśli napastnik posiadałby wiedzę jaki numer
sekwencyjny potrzebuje CEL, jako potwierdzenie mógłby w odpowiednim czasie przesłać
64
[email protected]
http://tturba.tk
pakiet ACK szybciej niŜ rzeczywiste źródło i to z napastnikiem wtedy serwer nawiązałby
połączenie, gdyŜ w procesie enkapsulacji, w segmencie nie jest juŜ badany adres IP, a same
porty, więc komputer nie ma świadomości, Ŝe jest w transmisji z napastnikiem. Potwierdził
on losowy numer sekwencyjny oczekiwany przez serwer więc jest zaufaną relacją do czasu
wygaśnięcia transmisji. Istnieją dwa rodzaje ataku IP Spoofing:
- non-blind – komputer źródłowy, cel i napastnik są komputerami z jednej sieci i
napastnik wykorzystuje podsłuch (np. sniffer) w celu zdobycia informacji o numerze
sekwencyjnym – łatwy atak, lecz wymaga duŜej mocy obliczeniowej komputera, gdyŜ
nawiązanie połączenia w sieci lokalnej trwa relatywnie krócej niŜ w sieci Internet.
- blind – komputer źródłowy, cel lub napastnik znajdują się w róŜnych sieciach. Z
reguły komputer źródłowy i cel są w jednej, a napastnik w drugiej, stąd określenie
„ślepe trasowanie”. W celu zdobycia informacji o numerze sekwencyjnym
wykorzystuje on jeden z podstawowych ataków na integralność danej – tzw.
trasowanie pakietu (ang. IP source-routing).
Rys. 3.2.2.3. Schemat ataku IP source-route
Źródło: Opracowanie własne
Istnieją dwie wariacje:
- loose ip soure-route – napastnik określa listę interfejsów IP przez które
pakiet moŜe przejść, lecz moŜe obrać w ostateczności inną trasę by dojść do
napastnika.
- strict ip source-route – napastnik określa listę interfejsów IP przez które
pakiet musi przejść.
Jak widać ataki aktywne z reguły są mieszaniną powiązanych ze sobą technik w celu
osiągnięcia ostatecznego celu. W przypadku aktywnego ataku na poufność danej
65
[email protected]
http://tturba.tk
wykorzystuje się techniki spotykane przy ataku Man-In-The-Middle, co wynika z
umiejscowienia napastnika pomiędzy stacją źródłową, a docelową.
Formą obrony przed atakiem podszywania się pod adres IP i trasowania pakietu jest
włączenie na routerze trybu TCP Intercept, implementacja refleksyjnej listy kontroli dostępu
lub nowsza metoda – implementacja firewalla (SPI/ZFW). NaleŜy takŜe wyłączyć usługę IP
source-routing i IP redirects.
MAC Spoofing
Podszywanie się pod adres fizyczny karty sieciowej jest wewnętrznym atakiem aktywnym na
poufność danych. Zmiana adresu MAC na inny, prawdopodobnie dostępny w sieci jako inny
komputer moŜe spowodować, Ŝe komputer źródłowy będzie przesyłał pakiety do
niewłaściwego komputera. Zmiana adresu MAC, pomimo, Ŝe jest to adres fizyczny jest
bardzo prosta. [10]
W systemie Windows naleŜy uŜyć narzędzia SMAC. Natomiast w systemie Linux wystarczy
wydać polecenie:
[email protected]#: ifconfig eth0 ether 00:01:02:03:04:ff
I w ten sposób adres fizyczny karty sieciowej z interfejsu eth0 został zmieniony na
heksadecymalną wartość 00:01:02:03:04:ff.
Rys. 3.2.2.4. Przedstawienie zapełniania tablicy CAM na przełączniku w normalnej pracy i przy podszywaniu się
Źródło: Opracowanie własne
66
[email protected]
http://tturba.tk
Ataki polegające na podszywaniu się do adres MAC są stosunkowo takŜe proste do wykrycia.
W celu zabezpieczenia sieci lokalnej przed podszyciem naleŜy włączyć usługę port-security
na przełączniku, przypisać statycznie adresy MAC do portów i ustawić odpowiednią reakcję
(wyłącz port, ogranicz dostęp i powiadom, ogranicz dostęp) na zaistnienie innego adresu
MAC na porcie na którym został przypisany statycznie przez administratora.
DHCP Spoofing
Kolejny z ataków typu MITM polega podszyciu się w lokalnej sieci za serwer DHCP, od
którego stacja robocza dostaje konfigurację sieciową. W ten sposób napastnik moŜe
przejmować cały ruch z komputera na który wysłał ustawienia DHCP np. ustawiając bramkę
domyślną na swój komputer. Atak DHCP Spoofing jest wewnętrznym atakiem aktywnym na
poufność informacji.
Rys. 3.2.2.5. Schemat ataku DHCP Spoofing
Źródło: Opracowanie własne.
Komputer po włączeniu zasilania i załadowaniu systemu operacyjnego jeśli jest podpięty do
sieci zaczyna rozgłaszać broadcastowe pakiety DHCP DISCOVER w cel odnalezienia
serwera DHCP od którego mógłby pobrać automatyczną konfigurację bez potrzeby jej
statycznego wpisywania [1]. JeŜeli napastnik usłyszy pakiet DHCP DISCOVER to jeśli
będzie szybszy w transmisji niŜ prawdziwy serwer DHCP i spreparuje pakiet DHCP OFFER z
przedstawieniem swojej oferty konfiguracji protokołu IP to komputer oczekujący ją po prostu
przyjmie [2]. Potwierdzi to pakietem DHCP REQUEST [3] i napastnik w celu zakończenia
procesu konfiguracji wyśle swoje potwierdzenie zajęcia danego adresu IP przez komputer o
67
[email protected]
http://tturba.tk
odpowiednim adresie fizycznym [4].W ten sposób jeśli napastnik ustawił w przekazywanej
konfiguracji jako bramkę domyślną lub serwer DNS swój adres IP, lub adres IP komputera do
którego ma bezpośredni dostęp to przez nie będzie przechodził cały ruch sieciowy z
komputera źródłowego. W szczególności podmiany bramki domyślnej, bo zmiana DNS’a
wpłynie jedynie kopiowanie pakietów z protokołów wykorzystujących rozwiązywanie nazw.
Rozwiązaniem tego problemu jest implementacja usługi DHCP Snooping, w której wyróŜnia
się dwa rodzaje portów konfigurowanych przez administratora:
- port zaufany – port przełącznika, który moŜe otrzymywać odpowiedzi serwera
DHCP.
- port niezaufany – port przełącznika, jeśli otrzyma pakiet z serwera DHCP to
przejdzie w stan nieuŜywalny, err-disabled.
Jednak jeŜeli napastnikiem jest osoba z wewnątrz firmy to moŜe ona wykorzystać zaufany
port w celu postawienia na nim swojego serwera DHCP. MoŜna zapobiec otrzymaniu
konfiguracji przez taki serwer ograniczając liczbę pakietów DHCP przyjmowanych na
sekundę, np. do wartości 3. JeŜeli wartość ta zostanie przekroczona zostanie wygenerowana
informacja Syslog na przełączniku i port będzie posiadał status ograniczonego dostępu.
ARP Spoofing
W sieci Ethernet istnieje mechanizm wykrywania konfliktów konfiguracji IP/MAC
komputerów. Konfliktem w tym wypadku jest duplikacja adresów IP w podsieci, co moŜe
prowadzić do złego trasowania pakietów. Większość systemów operacyjnych podczas
uruchamiania generuje pakiet GARP (Gratuitous ARP) w celu odnalezienia komputera o
takiej samej konfiguracji adresowej i wyświetleniu odpowiedniego komunikatu. Dzieje się to
w sposób, Ŝe pakiet GARP Probe jest rozgłaszany na całą podsieć zawierając w nagłówku
własny adres IP. Jeśli nie wróci do niego pakiet ARP Reply z odpowiedzią tzn. Ŝe komputer
posiada skonfigurowany adres IP, który nie jest aktualnie w podsieci uŜywany przez inny
komputer. Powinny wrócić tylko odpowiedzi z adresami MAC i IP innych komputerów.
Mechanizm GARP z załoŜenia – jak wiele stworzonych mechanizmów – miał pomagać,
jednak w ostateczności tworzy podatność dla napastnika, który w łatwy sposób moŜe
przechwytywać pakiety. W czasie rozsyłania przez stacje pakietów ARP Probe, napastnik
moŜe sfałszować pakiety ARP Reply i posłać je do komputerów, w których tablice ARP
Cache zmienią wpisy powiązań IP-MAC. Zmyślnie ustawiając powiązanie na swój komputer,
transmisja z innych hostów będzie przebiegać przez jego własny.
68
[email protected]
http://tturba.tk
Rys. 3.2.2.6. Schemat wstrzykiwania pakietów ARP Reply i konsekwencje przekłamań w tablicach ARP komputerów
Źródło: Opracowanie własne
Napastnik wie, Ŝe komputery w sieci lokalnej ciągle wysyłają zapytania ARP. Preparując
odpowiedzi ARP Reply, mając wiedzę o hostach przesyła on informacje do hosta A o
odnalezieniu w podsieci hosta B z jego adresem IP lecz z adresem MAC napastnika.
Przełączniki działają w warstwie drugiej, więc trasowanie polega na przesyłaniu pakietów na
odpowiedni adres fizyczny, a nie jak w przypadku routingu – na logiczny. Stąd cały ruch z
hosta A do hosta B będzie przechodził przez napastnika. Analogicznie jest w przypadku
wysłania odpowiedzi ARP do hosta B z adresem IP hosta A, lecz z adresem MAC napastnika.
[11]
Sposobem obrony jest wyłączenie usługi Gratuitous ARP na przełączniku, routerze i stacjach
roboczych. Jednak takie rozwiązanie moŜe spowodować konflikt w działaniu sieci lokalnej,
gdyŜ nie wiadomo, czy któraś stacja robocza nie ma statycznie skonfigurowanego adresu IP,
pomimo zabezpieczenia przed duplikacją dzieląc adresy IP przez serwer DHCP. Dodatkowo
naleŜy wykorzystać mechanizm DAI (ang. Dynamic ARP Inspection) działający jedynie przy
współpracy z mechanizmem DHCP Snooping, który równieŜ dzieli porty przełącznika na dwa
typy:
69
[email protected]
http://tturba.tk
- port zaufany – zezwalaj na odpowiedzi ARP Reply
- port niezaufany – porównaj zawartość odpowiedzi ARP Reply z tabelą powiązań
DHCP. JeŜeli powiązanie IP-MAC jest identyczne – zezwalaj na ruch. JeŜeli nie jest –
wyłącz port.
Porównanie zawartości odpowiedzi pakietu ARP Reply moŜna wykonywać na trzy sposoby:
porównując źródłowy adres fizyczny, docelowy lub porównanie adresów IP – najmniej
skuteczne. Z załoŜenia by wykluczyć atak ARP Spoofing całkowicie naleŜy ustawić porty
stacji roboczych jako niezaufane, natomiast porty łączące przełączniki jako zaufane.
Dodatkowo na waŜnych stacjach moŜna wprowadzić statyczne wpisy ARP, które nie są
dynamicznie usuwane z tablicy. [2]
Wykorzystanie podatności protokołu DTP i VLAN Hopping
Protokół DTP (ang. Dynamic Trunking Protocol) jest to firmowy protokół firmy Cisco
Systems zbudowany w celu zapewnienia automatycznej negocjacji typu portu trunkowego17
pomiędzy dwoma przełącznikami i rodzaju enkapsulacji wykorzystanej w oznaczaniu ramek
konkretnym VLAN’em. Po spięciu ze sobą dwóch przełączników kablem krosowanym
następuje automatyczna negocjacja trybu portu na trunk, gdzie od tego momentu moŜe
zaistnieć komunikacja między tymi dwoma urządzeniami.
Istnieją trzy stany portów przełącznika:
- dynamic – jeŜeli jest moŜliwe nawiązanie połączenia trunkowego (auto, on,
desirable) to port przełącznika automatycznie z pomocą protokołu DTP stanie się
portem trunkowym.
- access – port przełącznika na stałe jest przypisane jako port dostępowy w VLAN’ie
dla stacji roboczej.
- trunk – port przełącznika na stałe jest przypisany jako port trunkowy pomiędzy
przełącznikami.
Istnieje kilka ustalanych trybów portów protokołu DTP:
- auto – port nie stanie się portem trunkowym jeśli po drugiej stronie urządzenie nie
jest ustawione w tryb desirable. Jest to tryb standardowy kaŜdego portu przełącznika.
- on – powoduje, Ŝe port na stałe staje się portem trunkowym, nawet jeśli urządzenie
po drugiej stronie się na to nie zgadza.
- off – powoduje, Ŝe port na stałe staje się portem dostępowym, nawet jeśli urządzenie
po drugiej stronie się na to nie zgadza.
17
Trunk – główny szlak komunikacyjny wymiany pakietów pomiędzy przełącznikami.
70
[email protected]
http://tturba.tk
- desirable – port aktywnie próbuje stać się portem trunkowym dla portów typu auto,
on i desirable po drugiej stronie.
- nonegotiate – powoduje, Ŝe przełącznik przestaje rozsyłać ramki DTP w celu
nawiązania połączenia trunkowego.
Protokół DTP odciąŜa administratora przy instalacji przełączników do manualnego
formowania połączeń trunkowych między nimi, lecz stanowi takŜe sporą podatność na
zbliŜeniowy atak wewnętrzny. Standardowy typ portu po włączeniu nieskonfigurowanego
przełącznika to: dynamic auto, więc napastnik mając fizyczny dostęp do przełącznika moŜe
podpiąć się kablem krosowanym z własnym przełącznikiem co spowoduje nawiązanie
połączenia trunkowego między przełącznikami i to, Ŝe ramki przechodzące przez pierwszy
przełącznik trafią teŜ na ten drugi przy transmisji pomiędzy VLAN’ami.
Ramki pomiędzy VLAN’ami mogą być enkapsułowane dwoma standardami:
- ISL – jest to enkapsulacja całej ramki według Cisco, obecnie standard jest wymarły.
- IEEE 802.1Q (w skrócie: dot1q) – jest to otwarty standard i enkapsuluje tylko
nagłówek ramki, zmniejszając w ten sposób narzut na sieć lokalną.
JednakŜe standard dot1q otwiera pewną metodę ataku. W standardzie dot1q istnieje pojęcie
tzw. VLAN’u natywnego, jest to VLAN zarządzany przełącznika, na którym nie powinno być
Ŝadnych portów, a jedynie fizyczny interfejs VLAN1 słuŜący do zdalnego połączenia się z
przełącznikiem. 802.1q w celu zmniejszenia narzutu nie dodaje informacji VLAN’owej do
ramki jeŜeli jest to VLAN natywny, więc jeŜeli napastnik wyśle na przełącznik ramkę
oznaczoną VLAN’em natywnym to przełącznik usunie z nagłówka tę informację. W tym
momencie nic to nie daje napastnikowi, lecz moŜe on spreparować ramkę podwójnym
oznaczeniem VLAN’u. Ma do czynienia wtedy z atakiem VLAN Hopping.
Rys. 3.2.2.7. Schemat ataku VLAN Hopping
Źródło: Opracowanie własne
Pomimo, Ŝe z załoŜenia dostęp do VLAN20 jest zamknięty z komputerów z innego VLAN’u
to napastnik podwójnie oznaczając ramkę jest w stanie przedostać się przez przełączniki,
gdzie ramka prawidłowo zostanie przesłana do komputerów z VLAN20. Ramki tak przesłane
71
[email protected]
http://tturba.tk
mogą transportować inne ataki takie jak robaki, konie trojańskie czy moŜe podatności wyŜej
opisane. Podstawową linią obrony jest właściwe przypisanie portów. Dla portów przełącznika
łączącymi stacje robocze ma to być tryb access, natomiast dla trunków – ma to być na
sztywno trunk. Dodatkowo moŜna zmienić wartość natywnego VLAN’u ze standardowej
liczby 1 na inną. Napastnik nie mający dostępu do sieci musiałby go najpierw odgadnąć by
wykorzystać atak VLAN Hopping. Zabezpieczenie przed wpinaniem portów zostanie szerzej
opisane w podrozdziale dotyczącym ataków na protokół STP, gdyŜ tam odgrywa to większe
znaczenie.
Atak idle
Ostatnim atakiem aktywnym na poufność danej jest atak zbliŜeniowy polegający na
pozostawieniu stacji roboczej pracownika bez nadzoru fizycznego. Pracownik moŜe być
właśnie zalogowany w jakieś waŜne miejsce i nagle otrzymał telefon (być moŜe od
socjotechnika), Ŝe musiał zmienić on swoją lokalizację w krótkim czasie, więc pozostawił
swój komputer włączony. JeŜeli nie miał zdefiniowanego licznika mierzącego czas
nieaktywności klawiatury lub myszki to jest naraŜony na włamanie fizyczne. W celu obrony
naleŜy zdefiniować na przełącznikach i routerach liczniki exec-timeout na odpowiednią
wartość, a na stacji roboczej w najłatwiejszy sposób ustawić automatyczne włączanie
wygaszacza ekranu, który na powrót prosi o podanie hasła.
Ad. b) Ogólny atak na integralność danej – polega na podmianie danych, naruszeniu ich
struktury i jej zamianie. Jest to najczęściej spotykany atak komputerowy. Stosowany np. przy
hakowaniu stron internetowych, gdzie haker po udanym włamaniu pod firmową domeną
zostawia swoje przesłanie, podpis, logotypy itp.
Rys. 3.2.2.8. Schemat ogólnego ataku na integralność danej
Źródło: Opracowanie własne
72
[email protected]
http://tturba.tk
Na rysunku 3.2.2.8 przedstawiono sposób ataku napastnika, w którym przechwytuje on
transmisję pakietów zawierające dane do transakcji bankowej. Klient banku nie zauwaŜył, Ŝe
numer konta do przelewu został zmieniony na konto napastnika, gdyŜ z reguły w ostatnim
kroku potwierdzenia sprawdza się jedynie czy właściwa kwota została wpisana. Klient banku
zatwierdza transakcję i wszystko przebiegło po myśli napastnika. Na domiar złego jeŜeli
klient po czasie zorientuje się, Ŝe się pomylił to nie moŜe mieć do banku Ŝadnych roszczeń
gdyŜ widział przed sobą dane do przelewu i sam je potwierdził. Inną sprawą oczywiście jest
bezpieczny transfer, który bank gwarantuje, o to juŜ klient moŜe wystąpić w roszczeniach
swoich praw do zwrotu. Ogólny atak na integralność danej posiada swoje trzy wariacje.
- atak salami – polega na wykonaniu ogólnego ataku na integralność danej jednak
powodując bardzo małe szkody, przykładowo powyŜszy przelew mógłby być realizowany z
kwotą 0,01zł lecz zastosowany na ogromnej ilości klientów. Łatwo nie zauwaŜyć takiego
ataku, a odpalany moŜe być za pomocą hakera, bądź robaków, wirusów i koni trojańskich.
- atak Ŝonglerski – jest wariacją ataku ogólnego z tą róŜnicą, Ŝe ofiara nie widzi
wprowadzonych zmian na monitorze. W sensie, widzi na monitorze dane które sam podał, a
w rzeczywistości w transmisji pakietów następuje naruszenie ich integralności i dopiero w
efekcie końcowym moŜna odnaleźć nieprawidłowości. RównieŜ nie jest łatwo zauwaŜalny i
moŜe zostać tak samo odpalony jak atak salami.
- atak z zaufaną relacją – jest to atak podobny do ogólnego ataku aktywnego na
poufność danych gdzie wykorzystywana jest zaufana relacja pomiędzy maszynami, lecz tam
jedynie wydobywało się informacje, a tutaj następuje takŜe ich zmiana.
Skuteczną obroną przeciwko powyŜszym atakom na integralność danej są rozwiązania
mieszane takie jak szyfrowane tunele VPN w Internecie, zaawansowane technologicznie
ściany ogniowe i systemy IPS wczesnego wykrywania zagroŜeń.
Złośliwe oprogramowanie
W zasadzie poza wyŜej wymienionymi typami ataków na integralność to w tej grupie
dominują próby zdobywania hasła do systemu za pomocą:
- sniffera programowego (przykładowo Wireshark) – opisano w rozdziale 3.2.1d.
- konia trojańskiego
- wirusa
- robaka
- ataku siłowego i słownikowego
Wszystkie wymienione sposoby powyŜej są inteligentnymi fragmentami kodu, niewielkimi
programami napisanymi w celu szkodliwego oddziaływania na system lub wiele systemów.
Złośliwe oprogramowanie w dzisiejszym świecie jest bardzo szeroko sklasyfikowane na wiele
podgrup. Najpowszechniejszymi są: koń trojański, wirus i robak, jednak jest ich znacznie
73
[email protected]
http://tturba.tk
więcej. Klasyfikacja reszty polega stricte na działaniu bądź treści z jaką program konsoliduje.
Wszystkie jednak noszą wspólną nazwę: malware.
Rys. 3.2.2.9. Drzewo klasyfikacji złośliwego oprogramowania
Źródło: http://pl.wikipedia.org/wiki/Złośliwe_oprogramowanie (30.05.2009r)
Zostaną opisane tylko najpowszechniejsze rodzaje oprogramowania złośliwego, ze względu
na fakt, Ŝe są to takŜe główne zagroŜenia malware jakie moŜna spotkać w firmie.
Koń trojański
Jest to niewielki program podszywający się pod przydatną aplikację dla uŜytkownika, która
dodatkowo zawiera w swoim kodzie inną specjalnie ukrytą funkcjonalność mającą na celu
wpłynięcie szkodliwie na system (poprzez wydobycie informacji, kontrolę nad systemem lub
jego sparaliŜowanie). Nazwa pochodzi oczywiście z mitologii, gdyŜ ideologia tego
oprogramowania odpowiada załoŜeniom oszustwa spod bram Troi.
Do głównych celów konia trojańskiego naleŜą:
- atak dystrybucyjny – pozostawienie w systemie furtki dla napastnika w celu
kontrolowanego rozsyłania konia trojańskiego do dalszych systemów lub odpalenie
innego dowolnego ataku aktywnego
- utrudnianie pracy programów antywirusowych
- kontrola nad systemem – zmienianie stron startowych przeglądarki, zmiana tapety
pulpitu, niekontrolowane wysunięcia się tacek napędów optycznych czy po prostu
zawieszenia się systemu, wyłączenia monitora.
74
[email protected]
http://tturba.tk
Rys. 3.2.2.10. Zrzuty ekranów głównych najbardziej znanych koni trojańskich – NetBus oraz Back Oriffice
Źródło: http://www.columbia.edu/acis/rhno/security/moredetails.html (30.05.2009r)
Koń trojański z uwagi na swoją architekturę klienta (zainfekowanej maszyny) i serwera
(maszyny napastnika) często jest teŜ podsłuchem programowym. Nie posiada on wtedy
Ŝadnej innej funkcji poza podsłuchiwaniem klawiatury i innych czynności jakie przeprowadza
uŜytkownik na swoim komputerze (przeglądanie stron WWW itp.).
Głównym sposobem obrony przed końmi trojańskimi jest trwała profilaktyka polegająca na
ostroŜnym przestrzeganiu zasad polityki bezpieczeństwa, w której powinno być jasno
napisane, Ŝe naleŜy zwrócić szczególną uwagę na otwieranie nieznanych załączników do
wiadomości e-mail. Do roli administratora naleŜy natomiast uŜywanie ściany ogniowej i
zapewnienie stacjom roboczym aktualnego oprogramowania chroniącego z automatycznymi
aktualizacjami definicji koni trojańskich.
Wirus
Jest takŜe prostym programem komputerowym, który zupełnie jak wirus biologiczny powiela
się w sposób niekontrolowany, lecz wymaga nosiciela – w tym wypadku innego programu
komputerowego, pliku. Najczęściej ofiarami wirusów padają niedoświadczeni uŜytkownicy
systemów operacyjnych surfujący po Internecie i ściągający róŜne pliki bez ich weryfikacji
lub nawet zainstalowanego systemie pakietu antywirusowego. Rodzajów wirusów jest bardzo
wiele. Ogólnie wirus róŜni się tym od konia trojańskiego, Ŝe nie jest aplikacją typu klientserwer i napastnik nie ma wpływu w jaki sposób jego program się namnoŜy i gdzie się
namnoŜy poza pierwszym nosicielem. ZagroŜenie wirusami jest powszechnie znane i nie
wymaga większego komentarza, poza faktem, Ŝe naleŜy się przed nimi zabezpieczać
instalując na stacjach roboczych dobre, aktualne programy antywirusowe, gdyŜ stacje robocze
z reguły mają zainstalowany system Windows, a to on w szczególności jest podatny na wirusy
(dystrybucje linuksowe z uwagi na architekturę nie są w ogóle podatne na zagroŜenie
wirusem).
75
[email protected]
http://tturba.tk
Robak
Robak komputerowy jest obecnie najpowszechniejszym zagroŜeniem z grupy złośliwego
oprogramowania. Najszybciej się rozprzestrzenia z tego względu, Ŝe jego samo replikacja na
inne maszyny nie wymaga interakcji człowieka. Zadania robaka są przede wszystkim złoŜone.
W celu replikacji musi on pozyskać dane o innych maszynach (za pomocą ksiąŜek
adresowych, samopingowania sieci, bądź replikacji rozgłoszeniowej), musi zebrać informacje
poufne z systemu i szkodliwie na niego oddziaływać. Robak dodatkowo moŜe pełnić dowolną
funkcję innego złośliwego oprogramowania – wirusa, konia trojańskiego, aplikacji spyware
czy dialera połączeniowego.
Rys. 3.2.2.11. Fazy ataku robaka komputerowego
Źródło: Opracowanie własne
Fazy ataku robaka komputerowego:
- skanowanie – robak opuszczając maszynę napastnika przeprowadza rekonesans
ogólny w poszukiwaniu podatnych systemów na mechanizmy jego ataku
- próba włamania – po pomyślnym skanowaniu robak próbuje dostać się do systemu,
w zaleŜności od tego w jaki sposób został napisany moŜe atakować z poziomu
przeglądarki stron internetowych, z załączników e-mail lub innych źródeł.
- zapewnienie przetrwania – jeŜeli włamanie przebiegło pomyślnie to robak musi
zapewnić sobie przetrwanie w systemie na wypadek ponownego uruchomienia
komputera, w tym wypadku kopiuje się na dysk. Z reguły w postaci pliku
systemowego o nazwie niebudzącej zastrzeŜeń.
- samo replikacja – po zapewnieniu sobie stałego miejsca do ataku, robak
przeprowadza samo replikację na systemy lokalne ofiary do której się włamał,
przeprowadzając ponownie skanowanie maszyn.
76
[email protected]
http://tturba.tk
- szkodliwe działanie – jeŜeli robak odnalazł inne podatne systemy to wykonuje
zamierzone szkodliwe działanie na systemie wedle celów jego autora. Czasami robak
moŜe oddziaływać na system takŜe gdy wystąpiło niepowodzenie w stosunku do samo
replikacji, jednakŜe w dobie komputerów kaŜdy w jakiś sposób ma kontakt z innym
komputerem, co zapewnia robakowi przetrwanie.
Bardzo trudno jest się bronić przeciwko oprogramowaniu złośliwemu jeŜeli uŜytkownik
systemu nie jest świadomy zagroŜenia. W przedsiębiorstwie najlepszym wtedy rozwiązaniem
jest implementacja narzędzi NIPS i HIPS słuŜących do wczesnego wykrywania i
oddziaływania na intruzów. [2]
Atak siłowy i słownikowy
Atak siłowy (ang. brute force) jest najprymitywniejszą formą ataku komputerowego. Stąd
jego nazwa, Ŝe nie wymaga Ŝadnych specjalnych technik do włamania, a jedynie siłowo,
łopatologicznie wypróbowywane są kolejne ciągi znaków celu odgadnięcia prawidłowego
hasła uzyskując ten sam ciąg. Atak słownikowy jest bardzo podobny do siłowego, lecz nie
wykonuje on prób wszystkich znaków, a podawane są znane ciągi znaków stosowane w
mowie i piśmie. Stąd nazwa ataku słownikowego, Ŝe z reguły pliki z ciągami znaków są
słownikami wyrazów wzmocnionymi o typowe kombinacje i modyfikacje zwrotów. Np. w
dobrym pliku słownikowym moŜna odnaleźć wyraz „kot” i jego społeczne wariacje: „Kot”,
„KOt”, „KOT”, „kOt”, „kOT” oraz „k0t”, „K0t” i „k07”, „K07”. Na domiar złego nie
potrzeba samemu konstruować tak skomplikowanego słownika złoŜonego z ogromnej liczby
ciągu znaków, gdyŜ są takie dostępne w sieci.
Jednak te najstarsze ataki nie są dość skuteczne jeŜeli chodzi o próby logowań do systemu,
gdyŜ wystarczy ograniczyć tę próbę do odpowiedniej liczby w odpowiednim czasie i w ten
sposób konstruując trudne hasło napastnik musiałby spędzić kilka tysięcy lat na odgadnięciu
właściwego ciągu nawet gdy atak słownikowy jest o wiele szybszy od siłowego.
Atak siłowy i słownikowy jednak zyskuje na znaczeniu gdy napastnik uzyskał dostęp do
poufnego, zaszyfrowanego pliku. Wtedy mając odpowiednią maszynę o duŜej mocy
obliczeniowej jest w stanie rozszyfrować zawartość pliku, więc naleŜy się skupić na
prawidłowym zabezpieczaniu dostępu do plików, co w sektorze bezpieczeństwa
komputerowego jest sprawą oczywistą.
77
[email protected]
http://tturba.tk
Rys. 3.2.2.12. Zrzut ekranu z wydobytymi hasłami za pomocą narzędzia Cain
Źródło: Program Cain: http://oxid.it/ (30.05.2009r)
Istnieje wiele narzędzi wykorzystujących atak siłowy i słownikowy. Jednym z potęŜniejszych
jest kombajn łamiący o nazwie Cain, słuŜący jako narzędzie rozszyfrowujące, podsłuch i
dekoder. Program jest darmowy i kaŜdy po minucie jest w stanie nauczyć się z niego
korzystać.
WaŜne jest by uwzględnić w polityce bezpieczeństwa, Ŝe pracownicy nie mogą ze swojego
komputera transferować Ŝadnych plików systemowych, gdyŜ kaŜdy moŜe zawierać
informacje o podatności na ten system. Pliki mogą zostać wydobyte takŜe w sposób
socjotechniczny, więc naleŜy zwrócić na ten fakt pracownikowi uwagę.
78
[email protected]
http://tturba.tk
Ad. c) Ogólny aktywny atak na dostępność danej – charakteryzuje się tym, Ŝe atak jest
swoistą próbą jednej lub wielu stacji mających na celu ograniczyć uŜywalność atakowanego
systemu. Jest to najniebezpieczniejszy atak, powodujący znaczne uszkodzenia w sieci
produkcyjnej z powodu, Ŝe przerywa jej działanie. Dodatkowo do niedawna ataki na
ograniczenie dostępności były trudno wykrywalne, gdyŜ potencjalnie nie wykorzystują luk w
systemach lecz jego ograniczenia zasobowe. Ogólny atak aktywny na dostępność jest właśnie
próbą zajęcia wszystkich zasobów serwera.
Rys. 3.2.2.13. Schemat ogólnego aktywnego wyżerania zasobów z atakowanego serwera
Źródło: Opracowanie własne
WyróŜnia się następujące ataki na ograniczenie dostępności:
DoS (TCP SYN Flood, atak ICMP)
Atak DoS (Denial of Service) jest atakiem znamiennym grupy ataków na dostępność.
Przykładem jest atak TCP SYN Flood. Stacja robocza napastnika generuje ogromną ilość
pakietów synchronizacyjnych w trybie TCP Three-way Handshake, jednak nie wysyła pakietu
ACK na sam koniec tym samym pozostawiając otwarte gniazda na serwerze, których ilość w
końcu się skończy.
Rys. 3.2.2.14. Schemat ataku TCP SYN Flood
Źródło: Opracowanie własne
79
[email protected]
http://tturba.tk
Obrona przed atakiem typu TCP-SYN Flood polega na włączeniu usługi TCP Intercept
badającej stan nawiązywania połączenia zorientowanego. MoŜe działać w dwóch trybach:
- intercept – router symuluje rolę serwera wysyłając na pakiet SYN odpowiedź SYNACK, jeŜeli otrzyma on pakiet ACK to wtedy przenosi konwersację na serwer i
nawiązuje połączenie z nadawcą. Jest to rozwiązanie obciąŜające router, lecz
bezpieczniejsze niŜ przepuszczanie ruchu na serwer produkcyjny
- watch – w trybie patrzenia router sprawdza czy połączenia są całe, jeŜeli nie to
tworzy blokadę dla połączenia pomiędzy serwerem, a nadawcą.
Z kolei atak ICMP, zwany równieŜ „Pingiem Śmierci” polega na wysłaniu wielu pakietów z
tak dobranym rozmiarem, Ŝe powoli zacznie obciąŜać zasoby ofiary poprzez fragmentację
duŜych pakietów na mniejsze, częściej występujące. Rozmiar dobranego pakietu zaleŜy od
wielu czynników takich jak przepustowość łącza ofiary, którą wersję Ethernetu obsługuje
karta sieciowa oraz system operacyjny.
DDoS (atak Smurf, atak Botnetu)
Atak DDoS jest nowszą wersją ataku Denial of Service. Dodano słowo „Distributed”
oznaczające, Ŝe atak na dostępność jest przeprowadzany z wielu komputerów napastniczych i
skierowanych w jedną ofiarę co spowoduje szybsze przepełnienie się zasobów serwerowych.
Zbiór nieświadomie posłusznych komputerów wykonujących za napastnika atak jest
nazywana botnetem. Przykładem ataku DDoS jest Smurf, wykorzystujący legalne małe
narzędzie ping do wywołania lawiny pakietów pochłaniającej zasoby odbiorcy, który próbuje
na nie odpowiedzieć.
Rys. 3.2.2.15. Schemat ataku Smurf
Źródło: Opracowanie własne
80
[email protected]
http://tturba.tk
Zgodnie z normalnym trybem działania protokołu ICMP przy zapytaniu ping jest odpowiedź
na adres IP źródłowy z jakiego przyszło zapytanie, więc jeŜeli napastnik wyśle zapytanie ze
sfałszowanym adresem źródłowym na adres rozgłoszeniowy sieci zawierającej wiele
komputerów to zaczną one jednocześnie odpowiadać na zapytanie do serwera, który ich się
nie spodziewa i jego zasoby określające przepustowość zaczną być ograniczane.
Ogólną wadą wyŜej wymienionych ataków jest czas w którym muszą one działać by
przynieść poŜądany dla napastnika szkodliwy skutek. Czas ten jest zaleŜny od tego jaką mocą
obliczeniową i jakim łączem dysponuje ofiara. JeŜeli te parametry są lepsze to atak musi
potrwać dłuŜej. Inaczej jest w przypadku ataków wewnętrznych i zbliŜeniowych na
dostępność. Skutek, którym moŜe być awaria, przerwanie działania sieci jest natychmiastowy.
Atak na protokół STP i VTP
Protokół drzewa opinającego STP (ang. Spanning-tree Protocol) wykorzystywany jest w celu
zapewnienia redundantnych łącz lokalnych na przełącznikach. Został stworzony by
zniwelować moŜliwość wystąpienia pętli przełączeniowych w sieci lokalnej na skutek
podłączenia do przełącznika innego przełącznika za pomocą dwóch lub większej ilości kabli.
W protokole STP występuje pojęcie przełącznika głównego (ang. Root bridge), który jest
wybierany z pomocą algorytmów przeliczających lepszą wartość w protokole. Algorytmy
STP porównując tzw. BID (Bridge Identifier) – identyfikator przełącznika wybiera na
przełącznik główny ten, którego BID jest najniŜszą wartością pomiędzy liczbą 32768, a 1.
BID składa się z wartości priorytetu, adresu fizycznego przełącznika i numeru VLAN.
Protokół VTP (VLan Trunking Protocol) powstał w celu usprawnienia przesyłania informacji
o bazie sieci wirtualnych do innych przełączników bez konieczności wprowadzania tych
danych oddzielnie na kaŜdy z nich. W protokole występują tzw. numery rewizyjne
konfiguracji na podstawie których przełącznik wie, czy przyjąć rozgłaszaną konfigurację
VTP, czy moŜe jest to juŜ nieaktualna wersja i naleŜy ją zignorować.
Oba protokoły mogą być w jawny sposób wykorzystane w celu zniszczenia sieci
produkcyjnej za pomocą ataku wewnętrznego lub zbliŜeniowego z grupy ataków na
dostępność.
W wersji ataku zbliŜeniowego na protokół STP, napastnik moŜe pojawić się w miejscu gdzie
przełącznik firmowy jest słabiej chroniony i podłączyć do niego swój przełącznik, który
będzie miał specjalnie spreparowaną niŜszą wartość BID w taki sposób, Ŝe przy przeliczaniu
wartości topologii po jego wpięciu wygra elekcję na przełącznik główny. Porty, które
początkowo przesyłały dane nagle mogą zmienić swój tryb na blokowanie ruchu w celu
zapewnienia topologii wolnej od zapętleń.
81
[email protected]
http://tturba.tk
Rys. 3.2.2.16. Schemat ataku zbliżeniowego STP
Źródło: Opracowanie własne
Takie działanie napastnika moŜe zakłócić nieprzerwalną pracę całej sieci produkcyjnej, która
będzie przesyłać ramki w inny niŜ ustalony wcześniej sposób, lecz atak zbliŜeniowy STP
moŜe być takŜe niewiedzą pracownika. ZałóŜmy, Ŝe pracownik przyszedł do pracy ze swoim
laptopem, mając na biurku komputer stacjonarny i jedno gniazdo Ethernetowe. Przyniósł swój
przełącznik i go podłączył, nagle sieć przestała działać, bo przełącznik był starszy niŜ
firmowe, czyli jego MAC adres był na pewno niŜszy, więc jego urządzenie zwycięŜyło w
nowej elekcji na przełącznik główny odcinając sieć od zasobów serwerowych. Inaczej jest w
przypadku świadomego działania, lecz w sposób wewnętrzny. Napastnik być moŜe ma
moŜliwość przeprowadzania zmian konfiguracyjnych na urządzeniach. Uzyskał ten dostęp
wykorzystując dowolną podatność w systemie. Zmienia on priorytet zaatakowanego
przełącznika na niŜszy co znowu spowoduje rekalkulacje i zakłócenie działania sieci. Dwa
pierwsze przypadki winny być opisane w sekcji zagroŜeń fizycznych, lecz nie powodują one
takich uszkodzeń, a jedynie komputerowe, więc sklasyfikowano je do grupy ataków
komputerowych. Podobnie jest atakiem zbliŜeniowym na protokół VTP. Napastnik lub
pracownik firmy moŜe podłączyć przełącznik, który został skonfigurowany świadomie bądź
nie w taki sposób, Ŝe numer rewizyjny konfiguracji będzie większy niŜ te w sieci
produkcyjnej. Oznacza to wtedy, Ŝe wszystkie przełączniki w trybie klienckim lub
serwerowym przyjmą tę konfigurację VLANów za swoją, zwiększając swoje numery
rewizyjne do wartości z wpiętego przełącznika +1.
82
[email protected]
http://tturba.tk
Rys. 3.2.2.17. Schemat ataku VTP
Źródło: Opracowanie własne
Nowe informacje z serwera VTP mogą powodować wymazanie prawidłowo dla firmy
skonfigurowanych informacji o VLAN’ach i na jakich portach pracują, co całkowicie
ograniczy funkcjonalność sieci produkcyjnej w działaniu.
Sposobami obrony na ataki STP są trzy rozwiązania. Włączenie mechanizmu ochrony portów
przełącznika (port-security). Włączenie Root Guard chroniącego przełącznik główny przed
niespodziewaną elekcją. Włączenie BPDU Guard – mechanizmu wyłączającego porty stacji
roboczych wtedy gdy otrzymają one ramki z BPDU (porty na stacjach roboczych nigdy nie
powinny jej otrzymać, gdyŜ komputer pracowniczy takich ramek nie wysyła, a jedynie
przełącznik. Jeśli pojawił się przełącznik na porcie typu access oznacza to naruszenie zasad
bezpieczeństwa.). W przypadku obrony przed atakami VTP równieŜ stosuje się mechanizm
port-security. Reszta zabezpieczeń wynika z ulepszeń w nowej wersji protokołu VTP,
chronionej hasłem i przypisaniem do domeny. Ewentualnie jeŜeli wszystko w sieci
produkcyjnej jest prawidłowo ustawione moŜna zmienić tryby VTP przełączników na
przeźroczyste co spowoduje ignorowanie ramek rozgłoszeniowych VTP z numerami
rewizyjnymi. Z innowacyjnych metod moŜna zastosować autentykację 802.1x po porcie
przełącznika. Jednak wymaga ona obsługi protokołu EAPoL na stacji roboczej (dopiero od
Windows Vista), na przełączniku i serwerze 802.1x. Nie mniej jest to rozwiązanie bardzo
skuteczne i elastyczne. Np. za pomocą mechanizmu dot1x moŜna przenieść nieprawidłowo
zautentykowanego uŜytkownika do osobnego VLANu z bardziej rygorystycznymi zasobami
83
[email protected]
http://tturba.tk
lub uŜytkownika, który jest ograniczony brakiem moŜliwości logowania z pomocą protokołu
EAPoL, do ograniczonych zasobów. [2]
Atak na protokół SNMP
Napastnik, który uzyskał dostęp do sieci produkcyjnej i działa w niej zarządzanie zdalne za
pomocą protokołu SNMP – moŜe on spowodować zmianę konfiguracji urządzeń lub pozyskać
z nich poufne informacje. Problem zostanie szerzej opisany w rozdziale dotyczącym
skutecznego monitoringu i zarządzania, jednak z uwagi na fakt, Ŝe jest to atak aktywny na
dostępność – informacja została tutaj zamieszczona.
Atak na protokół NTP
Protokół synchronizacji czasu NTP z pozoru nie ma zbyt wielkiego znaczenia w istnieniu
sieci produkcyjnej. Lecz często atak na protokół NTP jest powiązany z groźniejszym atakiem
aktywnym. Atak dystrybucyjny na czas ma na celu pozostawienie furtki dla napastnika dla
przyszłych ataków i włamań. JeŜeli zaatakuje on sektor sieci odpowiedzialny za
synchronizację czasu urządzeń to jest w stanie zmodyfikować czasy logów urządzeń w taki
sposób, Ŝe w teorii nikt nigdy nie zauwaŜyłby, Ŝe napastnik włamał się do systemu. Taka
zmiana równieŜ w razie wpadki włamywacza jest trudniejsza do udowodnienia przed sądem,
gdzie głównym przewaŜnie dowodem w sprawie są właśnie logi wydrukowane z urządzeń.
Łatwo jednak się przed atakiem NTP zabezpieczyć, gdyŜ wystarczy wysyłać te logi w kilka
niezaleŜnych od siebie miejsc i starannie konserwować.
Groźne debugowanie i niekontrolowany sztorm rozgłoszeniowy
Debugowanie – czyli podglądanie komunikatów systemowych na bieŜąco, mocno obciąŜa
dany system. Nie jest to polecane działanie w przypadku sieci produkcyjnych, gdyŜ moŜe
spowodować to zator lub przerwę w działaniu ze względu na ogromne ilości danych jakie
musi generować urządzenie w celu pokazania ich człowiekowi. W polityce bezpieczeństwa
winna być napisana informacja, Ŝe nie wolno debugować urządzeń. Jednak napastnik mając
dostęp zbliŜeniowy do urządzenia moŜe włączyć debugowanie na urządzeniach i w szybkim
tempie się oddalić. W krótkim czasie szybkość działania sieci na pewno zmaleje, a
znalezienie winowajcy moŜe się wtedy okazać bardzo trudne. Skutecznym sposobem obrony
przed takim działaniem jest odpowiedni przydział praw dostępu dla odpowiednich
pracowników. Innymi słowy, jeŜeli pracownik nie potrzebuje czegoś w swojej pracy to
powinno to zostać dla niego ograniczone w dostępie.
Pojęcie sztormu rozgłoszeniowego oznacza, Ŝe przez sieć zaczyna przepływać za duŜo
pakietów typu broadcast, które w krótkim czasie zaczynają się namnaŜać nie mając ujścia.
Powodem moŜe być zapętlenie się przełączników, gdy protokół STP lub VTP zacznie źle
działać w przypadku wpięcia przez napastnika jego przełącznika lub poprzez atak typu
DoS/DDoS wysyłający zapytania ICMP na adresy rozgłoszeniowe wewnątrz sieci. JeŜeli w
sieci lokalnej wystąpi sztorm rozgłoszeniowy to normalna transmisja juŜ się nie mieści w
granicy przepustowości urządzeń i medium, co ogranicza lub wyłącza działanie sieci. O tyle
jest to groźny atak, Ŝe uderza nie tylko w urządzenia produkcyjne w sieci, ale takŜe w zwykłe
84
[email protected]
http://tturba.tk
stacje robocze, które równieŜ mogą zostać wyłączone z prawidłowego działania poprzez zbyt
duŜy napływ pakietów do karty sieciowej. Powszechnie stosowanym rozwiązaniem jest
implementacja usługi Kontroli Sztormu na przełączniku i routerze. Poprzez zdefiniowanie
procentowego poziomu przepustowości osiągniętego przez pakiety rozgłoszeniowe i
zdefiniowanie typu akcji na to zdarzenie moŜna w prosty sposób kontrolować przepływność
transmisji w sieci lokalnej.
85
[email protected]
http://tturba.tk
4. Implementacja bezpiecznej infrastruktury
sieciowej
WdraŜanie dobrych rozwiązań zabezpieczających poufne dane i urządzenia w
przedsiębiorstwie nie naleŜy do prostych zadań. Jest to proces długotrwały i ciągły. Od
początku istnienia systemu informatycznego administrator ma na co dzień do czynienia z
aspektami bezpieczeństwa jakie musi zrozumieć, opanować i wdroŜyć by osłonić
przedsiębiorstwo przed nowymi zagroŜeniami i nie zostać zwolnionym z pracy.
W celu zapewnienia spójnego, dobrze zaplanowanego i udokumentowanego wdroŜenia
moŜna wykorzystać model SDLC (ang. Systems Development Life Cycle) stosowany w
inŜynierii oprogramowania i inŜynierii systemowej. Przechodząc przez kolejne fazy projektu i
wdroŜeń łatwiej jest administratorom ogarnąć projekt jako całość. Zaletą zastosowania
modelu SDLC jest jego dokładność opisanych zadań do realizacji przypadających na
konkretną fazę w pięciu podstawowych etapach.
- planowania
- analizy
- projektowania
- implementacji
- zarządzania
Zaletą stosowania etapów jest podział pracy pomiędzy pracowników, specjalistów,
przykładowo etapem analizy powinni zajmować się firmowi analitycy przy współpracy
projektantów, a fazą implementacji i zarządzania – administratorzy.
WaŜnym czynnikiem kaŜdego systemu informatycznego jest konstrukcja polityki
bezpieczeństwa zgodnej z wewnętrznymi regulacjami prawnymi firmy oraz krajowymi
ustawami.
Po skutecznej implementacji całe wdroŜenie winno być dobrze udokumentowane wraz z
narysowaniem schematu topologicznego całej sieci. Jest to krytyczny czynnik długotrwały,
tudzieŜ w razie zmiany pracownika (administratora), łatwo jest mu się odnaleźć w nowym
systemie niŜ jak miałby wszystko analizować od początku. Zajęłoby mu to duŜo czasu,
podczas gdy podatność nieaktualizowanego systemu rosłaby z kaŜdym nowym zagroŜeniem.
W projekcie zaprezentowano przykłady konfiguracji z routerów i przełączników firmy Cisco.
Zastosowana konfiguracja zapewnia ochronę przed atakami opisanymi w rozdziałach
wcześniejszych co zostanie zweryfikowane w testach penetracyjnych (rozdział 5.).
86
[email protected]
http://tturba.tk
4.1. Zastosowanie modelu SDLC w projekcie
Cykl śycia Rozwoju Systemu SDLC (ang. Systems Development Life Cycle) w inŜynierii
systemowej i inŜynierii oprogramowania jest procesem tworzenia lub modyfikowania
systemu stosując modelowanie i metodologię, której ludzie uŜywają by zbudować owy
system. Metodologie tworzą fundament podstaw w procesie planowania i kontrolowania
etapu tworzenia systemu. Model SDLC jest więc procesem logicznym uŜywanym przez
róŜnych analityków systemu (w tym analityków bezpieczeństwa informacji) by stworzyć
system oparty na swoich załoŜeniach. Wynikiem pracy z modelem SDLC powinien być
wysokiej jakości system informatyczny, który spełnia lub przekracza oczekiwania klienckie
wpływając pozytywnie na czas planowania i estymowany koszt wdroŜenia.
Model SDLC składa się z pięciu głównych etapów potrzebnych do tego, aby w pełni
zrealizować załoŜenia projektowe i wymagania klienckie. Są nimi: faza planowania, analizy
przydatności, projektowania, implementacji i konserwacji systemu. Istnieje wiele modeli
opartych o ogólny model SDLC. W dzisiejszych czasach rozwiniętych technologii i
róŜnorodności rozwiązań sprzętowych i programowych w planowaniu powinny zostać
wykorzystane dwa modele w sposób scalony. Model wodospadowy i model spiralny powinny
ze sobą całkowicie współdziałać, zwłaszcza jeŜeli chodzi o budowanie bezpiecznego systemu
informatycznego, który wymaga stałego rozwoju i opieki.
ZałoŜeniami modelu wodospadowego jest inkrementująca przepływność danej z kolejnych
faz. NaleŜy przejść po kolei kaŜdą fazę, której wynik wykorzystuje się w następnej i tak do
końca. Powoduje to stworzenie gruntownego podkładu pod skalowalny, funkcjonalny system
informatyczny. Natomiast załoŜeniem modelu spiralnego jest ciągły rozwój systemu. W
modelu spiralnym fazy ze sobą są powiązane cyklicznie. Tzn. po przejściu przez fazę
konserwacji po pewnym czasie moŜe nastąpić powrót do fazy planowania w celu zapewnienia
stuprocentowej funkcjonalności w sposób nieprzerwalny.
W obu modelach występują oczywiście te same fazy i ich załoŜenia wewnętrzne są
jednakowe. RóŜnica wynika, Ŝe jeden model stanowi fundament dla drugiego,
zapewniającego ciągłą skalowalność i rozwój. [12]
87
[email protected]
http://tturba.tk
Rys. 4.1.1. Schemat modelu wodospadowego na podstawie ogólnego modelu SDLC
Źródło: Opracowanie własne
Jak widać na rys. 4.1.1. poszczególne fazy modelu wodospadowego zawierają kolejne tematy
jakie naleŜy zrealizować zanim przejdzie się do kolejnej fazy. Jest to swoiste ułatwienie
dające analitykowi, projektantowi i administratorowi pojęcie o zakresie ich obowiązków
wykonawczych. W lewych górnych rogach kaŜdej fazy zostały opisane tytułowo, główne fazy
wynikające z definicji modelu ogólnego SDLC.
88
[email protected]
http://tturba.tk
Rys. 4.1.2. Schemat modelu spiralnego na podstawie ogólnego modelu SDLC
Źródło: Opracowanie własne
Model spiralny jest szczególnie waŜny w przypadku budowania trwale zabezpieczonej
infrastruktury sieciowej przedsiębiorstwa informatycznego. Bezpieczeństwo jest w
dzisiejszych czasach krytycznym czynnikiem prawidłowej pracy systemu informatycznego, z
uwagi na fakt, Ŝe powstaje kaŜdego dnia nowe zagroŜenie. W raz z nowym zagroŜeniem
istnieje ryzyko, Ŝe system będzie na niego podatny. Przeprowadzając testy penetracyjne
wykorzystując w ich planowaniu model spiralny zapewnia się w przedsiębiorstwie
prawidłowy przepływ faz, co usprawnia pracę.
W skrócie zostaną opisane kolejne fazy modelu SDLC wraz z krokami z modelu
wodospadowego, gdyŜ tematem publikacji nie jest projektowanie infrastruktury sieciowej, a
jedynie wdraŜanie konkretnych metodologii związanych z bezpieczeństwem systemu
informatycznego.
a) Faza planowania
SłuŜy do stworzenia wysoko-poziomowego spojrzenia na projekt z właściwej
perspektywy wraz z określeniem celów jakie mają zostać zrealizowane. Z zasady faza
planowania jest wykorzystywana do przedstawienia projektu wyŜszej grupie trzymającej
władze w celu pozyskania funduszy na realizację projektu.
ZłoŜona jest z dwóch kroków:
- kategoryzacja potrzeb bezpieczeństwa – odpowiada na pytanie czy dane
rozwiązania będą potrzebne w przedsiębiorstwie.
- wstępne sporządzenie analizy ryzyka – nawiązuje do kategoryzacji potrzeb, jednak
skupia się na fakcie, czy opłaca się wkładać w cały projekt fundusze, czy moŜe istnieje
89
[email protected]
http://tturba.tk
inny, łatwiejszy, a przede wszystkim tańszy sposób jego realizacji. Przedstawia się
tutaj głównie argumenty mogące przekonać zarząd w celu pozyskania funduszy.
b) Faza analizy
Faza analizy jest często nazywana fazą określenia wymagań. Po zatwierdzeniu
projektu przez zarząd musi nastąpić dogłębna analiza w jaki sposób projekt będzie
musiał być realizowany, oraz potwierdzić jego opłacalność sporządzając szczegółowy
kosztorys w którym oblicza się takŜe moŜliwość wystąpienia zagroŜenia, oraz jak
nowe rozwiązanie projektowe moŜe wpłynąć na zmniejszenie jego szkodliwości bądź
je wykluczyć.
Analiza określenia wymagań jest najwaŜniejszą fazą z
ekonomicznego. Jest wyjściem do wszystkich pozostałych faz.
punktu
widzenia
Składa się z siedmiu kroków:
- sporządzenie analizy ryzyka – jest rozwinięciem z kroku drugiego fazy
planowania. Zawiera szczegółowe dane nt. opłacalności rozwiązania. Analiza
ryzyka składa się z dwóch mniejszych analiz stanowiących całość (analiza ilościowa i
jakościowa). Stosowane są tutaj następujące wzory:
- analiza ilościowa:
ALE = AV * EF * ARO
- analiza jakościowa:
SLE = AV * EF
Poprzez analizę ilościową rozumie się określenie wartości ryzyka włoŜonych w
projekt funduszy względem wystąpienia ogólnie pojętego zagroŜenia.
ALE (ang. Annualized Loss Expectancy) – uśredniona roczna wartość strat
przewidywana jeŜeli przedsiębiorstwo nie zainwestuje funduszy w projekt.
AV (ang. Asset Value) – ogólny koszt zakupionego sprzętu i jego utrzymania.
EF (ang. Exposure Factor) – procentowa strata zainwestowanych funduszy gdy
wystąpi zagroŜenie.
ARO (ang. Annualized Rate of Occurence) – uśredniona roczna liczba
zagroŜeń jakimi moŜe zostać system dotknięty.
Poprzez analizę jakościową rozumie się określenie konkretnych wartości ryzyka w
przypadku wystąpienia pojedynczego zagroŜenia.
SLE (ang. Single Loss Expectancy) – określa wartość funduszy jaką firma moŜe
stracić za kaŜdym razem gdy wystąpi zagroŜenie.
90
[email protected]
http://tturba.tk
- analiza wymagań funkcjonalnych - określenie przydatności rozwiązań, oraz ich
prawidłowe zaplanowanie. Które rozwiązanie będzie spełniało swoją rolę, a które z
projektu naleŜy wykluczyć.
- analiza szczegółowych rozwiązań bezpieczeństwa - szczegółowa analiza w
propozycji konkretnych rozwiązań z zakresu bezpieczeństwa i ich przydatności na
podstawie ich funkcjonalności względem zwykłego uŜytkownika, który będzie
korzystał z systemu.
- sporządzenie kosztorysu i raportu – naleŜy zebrać wszystkie czynniki do których
realizacji będą potrzebne fundusze (urządzenia, media transmisyjne, opłacenie
projektantów, wdroŜeniowców). NaleŜy równieŜ stworzyć raport porównujący analizę
ryzyka do wartości z kosztorysu.
- ustalenie kroków postępowania – krok ten stanowi wyznacznik w jakich
okolicznościach czasowych kolejne etapy implementacji będą realizowane, oraz
naleŜy zdefiniować jakie to będą etapy.
- określenie etapów implementacji - jest to szerzej opisany krok poprzedni z
dokładnymi fragmentami opisującymi kolejne kroki na etapie wdraŜania
bezpieczeństwa do systemu.
- rozwaŜanie skuteczności zaproponowanych rozwiązań – krok stanowi meritum
poprzednich kroków, wyznaczając opłacalność realizacji projektu.
c) Faza projektowania
Faza projektowania jest częściowo kopią ostatnich kroków z fazy analizy. WdroŜenie
rozwiązania jest nie stanowi problemu, lecz by rozwiązanie było skalowalne i
funkcjonalne naleŜy zatroszczyć się o jego właściwe zaprojektowanie. Dlatego
początkowe kroki są powtarzane w celu upewnienia się, Ŝe rozwiązania naprawdę
mogą przynieść poŜądany efekt.
Faza składa się z czterech kroków, które są dokumentami:
- inspekcja i akceptacja rozwiązań – jak wyŜej, krok ma zapewnić prawidłowość
rozwiązania i w tym celu jest poświadczany przez wszystkie osoby biorące udział w
etapie projektowania, które przedstawiają dokument projektowy zarządowi w celu
ostatecznego zatwierdzenia.
- zadbanie o spójność systemu – jest to krok przedstawiający rozwiązania projektowe
pracownikom przedsiębiorstwa bezpośrednio w przyszłości z nim związanymi, np.
administratorzy będą odpowiedzialni za nieprzerwalną pracę systemu, więc muszą się
z nim zapoznać i takŜe go zaakceptować poprzez weryfikację własną.
- poświadczenie prawidłowości rozwiązań kaŜdy z projektantów musi
poświadczyć własnym podpisem, Ŝe projekt, który zostanie przez nich realizowany
jest projektem chronionym prawnie i wszelkie konsekwencje wynikające z zaniedbań
91
[email protected]
http://tturba.tk
na etapie jego tworzenia, będą stanowiły podstawę do obarczenia tym faktem
projektantów.
- zatwierdzenie implementacji – ostateczna weryfikacja wszystkich dokumentów i
podpis osoby zarządzającej przedsiębiorstwem, bądź odpowiedzialnej za przydział
funduszy.
d) Faza implementacji
Faza implementacji stanowi wdroŜenie projektu w rzeczywistość.
- konfiguracja, kontrola i zarządzanie – jest to normalny tryb pracy systemu
informatycznego po wykonaniu kroków instalacyjnych i konfiguracyjnych.
- obserwacja systemu – krok stanowi monitoring świeŜo zaimplementowanego
systemu informatycznego. Pomimo wieloetapowego potwierdzania wszystkich
prawidłowości projektowych zawsze moŜe się wydarzyć coś niespodziewanego.
Dlatego przeprowadza się czasową obserwację systemu, czy działa według swoich
załoŜeń. NaleŜy napisać na tym etapie gruntowną dokumentację techniczną stanu
faktycznego.
e) Faza konserwacji/zarządzania
Dochodząc do fazy konserwacji/zarządzania moŜna poświadczyć, Ŝe wszystkie
poprzednio zrealizowane fazy przebiegły pomyślnie, więc system informatyczny moŜe
zacząć normalnie pracować w warunkach produkcyjnych. Na tym etapie naleŜy
pamiętać o wszystkich czynnikach bezpieczeństwa i jakie naleŜy wykonywać kroki
postępowania w celu jego zapewnienia, które określa sporządzony dokument polityki
bezpieczeństwa.
- zabezpieczanie i archiwizacja poufnych danych
- konserwacja urządzeń
- usuwanie sprzętu, dokumentów i nośników
92
[email protected]
http://tturba.tk
4.1.1. Dokumentacja techniczna
Dokumentacja techniczna jest papierowym dokumentem słuŜącym do szybkiego odnalezienia
danego fragmentu sieci, urządzenia, parametru technicznego z urządzenia, Ŝe w razie
wystąpienia błędu, usterki, zagroŜenia, administrator mógł szybciej zlokalizować usterkę i ją
naprawić.
Dobra dokumentacja techniczna powinna zawierać przede wszystkim rysunki, zgodnie z tezą,
Ŝe „zdjęcie wyraŜa tysiąc słów”. Na jednym rysunku (najlepiej wielkoformatowym) powinna
się znaleźć topologia fizyczna (czyli sposób połączenia wszystkich urządzeń). JeŜeli sieć nie
jest zbyt rozległa i nie powoduje, Ŝe dane na rysunku się zlewają moŜna połączyć takŜe ją z
topologią logiczną, czyli z adresacją i liczbą hostów przypadających na sieć.
Rys. 4.1.1.1. Adresacja w topologii fizycznej sieci zastosowanej w projekcie
Źródło: Opracowanie własne
Rysunki topologii logicznej i fizycznej pozwalają osiągnąć większą skuteczność w
rozwiązywaniu problemów związanych z warstwą fizyczną i łącza danych modelu OSI.
W przypadku osiągnięcia większej skuteczności na wyŜszych warstwach proponuje się
opisanie rysunku topologii logicznej, usługami jakie zostały zaimplementowane na
poszczególnych urządzeniach.
93
[email protected]
http://tturba.tk
Tak w przypadku błędnego routingu i adresacji moŜna w krótkim czasie zlokalizować
problem warstwy sieciowej. W przypadku oznaczonej kontroli dostępu – w warstwie
transportowej i usług serwerowych w warstwach wyŜszych.
Rys. 4.1.1.2. Schemat co zostało zaimplementowane na poszczególnych urządzeniach
Źródło: Opracowanie własne.
Przy konstrukcji dokumentacji naleŜy takŜe pamiętać o tekście, które powinny najpierw
powielać dane z rysunków, a następnie je rozszerzać.
Przez rozszerzenie rozumie się ogólny opis działania usługi i jej przydatności w systemie
informatycznym oraz wklejenia plików konfiguracyjnych. Dokumentacja, tak jak
przedsiębiorstwo – powinna się rozwijać. W przypadku zmian w dokumencie naleŜy je
zapisywać z datami modyfikacji i zachowywać wszystkie stare wersje w zamkniętym
pomieszczeniu, niedostępnym dla otoczenia. [6]
94
[email protected]
http://tturba.tk
4.1.2. Polityka bezpieczeństwa
W rozdziale 3. traktującym o zagroŜeniach często jest wspomniane hasło polityki
bezpieczeństwa. W przedsiębiorstwie jest to bardzo waŜny dokument przedstawiany kaŜdemu
pracownikowi w celu zapoznania się z jego obowiązkami związanymi ze stanowiskiem
komputerowym oraz z danymi z jakimi pracuje. Polityka bezpieczeństwa powołuje się na akty
prawne takie jak ustawy o ochronie danych osobowych i informacji niejawnych oraz
rozporządzenia dotyczące przetwarzania danych poufnych i warunków technicznych
systemów informatycznych. Jest to dokument elastyczny, tzn. kaŜdy dział lub inna forma
podziału między pracownikami moŜe zostać w niej osobno opisana. KaŜdy pracownik musi
się podpisać pod polityką bezpieczeństwa, Ŝe się z nią zapoznał i zna wszelkie konsekwencje
jakie groŜą z tytułu nie stosowania się do zasada tegoŜ dokumentu. Dobra polityka
bezpieczeństwa powinna być zaopatrzona takŜe w raport zdarzeń i wykaz osób zapoznanych z
polityką. Usprawnia to prace logistyczne.
Zostaje przedstawiony wzór dokumentu polityki bezpieczeństwa jaki powinien być stworzony
w przedsiębiorstwie.
WZÓR POLITYKI BEZPIECZEŃSTWA
WSTĘP
PoniŜszy dokument jest zgodny z aktami prawnymi:
a). Ustawa z dnia 29.08.1997r. O ochronie danych osobowych (tekst jednolity Dz. U.
Nr 101, z 2002 r., poz. 926)
b) Ustawa o ochronie informacji niejawnych z 22.01.1999 r. (Dz. U. Nr 11, poz. 95 z
późniejszymi zmianami),
c) Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29.04.2004 r.
w sprawie dokumentacji przetwarzania danych osobowych oraz warunków
technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy
informatyczne słuŜące do przetwarzania danych osobowych (Dz. U. Nr 100, poz.
1024).
Niniejszy dokument reguluje sprawy ochrony danych osobowych zawierających się w
informatycznym systemie wykorzystywanym w lokalnej sieci komputerowej oraz zbiorów
danych w postaci dokumentacji papierowej w przedsiębiorstwie XXX.
Opisane zostały reguły wyznaczające granice dopuszczalnego zachowania się wszystkich
uŜytkowników systemu informatycznego przedsiębiorstwa XXX. Dokument w szczególności
zwraca uwagę na konsekwencje dla osób, które przekroczą opisane granice. Polityka
bezpieczeństwa wskazuje takŜe sposób postępowania w sytuacji naruszenia bezpieczeństwa
informacji w systemach informatycznych. Potrzeba opracowania dokumentu wynika z § 3
rozporządzenia Prezesa Rady Ministrów z dnia 25 lutego 1999 roku w sprawie podstawowych
wymagań bezpieczeństwa systemów i sieci teleinformatycznych (Dz. U. Nr 18 póz. 162) oraz
95
[email protected]
http://tturba.tk
§ 3 i 4 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004
r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i
organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne słuŜące do
przetwarzania danych osobowych (Dz. U. Nr 100, póz. 1024).
ZASADY OGÓLNE
1.
Dokument określa tryby postępowania dla przypadków, gdy:
a.
Zostało stwierdzone naruszenie zabezpieczeń systemu komputerowego
b.
Zawartość zbioru danych, ujawnione metody pracy, sposób działania
konkretnego programu mogą wskazywać na naruszenie zabezpieczeń.
2.
Dokument jest skierowany do wszystkich pracowników przedsiębiorstwa XXX.
3.
Stosowanie się do postanowień tego dokumentu ma zapewnić właściwą reakcję i
udokumentowanie przypadków, w których zostało stwierdzone naruszenie bezpieczeństwa jak
i zapewnić właściwy tok postępowania w celu przywrócenia normalnej pracy.
OPIS ZAGROśEŃ NARUSZAJĄCYCH ZASADY POLITYKI BEZPIECZEŃSTWA
1. Podział zagroŜeń:
a. Losowe zewnętrzne – przerwy w zasilaniu, kataklizmy. Ciągłość pracy
systemu zostaje naruszona lecz nie następuje wyciek poufnych danych
b. Losowe wewnętrzne – nieświadome pomyłki administratorów, operatorów,
przypadkowe awarie sprzętowe . Ciągłość pracy systemu zostaje naruszona i
moŜe nastąpić wyciek poufnych danych
c. Celowe zagroŜenia zamierzone – naruszenie poufności danych, nieuprawniony
dostęp do systemu.
2. Przypadki uzasadnionego podejrzenia stwarzania zagroŜeń dla systemu
informatycznego:
a. Sytuacje losowe - poŜar, powódź, katastrofa, terroryzm
b. Niewłaściwe warunki środowiskowe – wilgotność, temperatura, wibracje,
wstrząsy, wyładowania elektryczne
c. Umyślne awarie sprzętu i oprogramowania
d. Ujawnienie poufnych danych osobom niepowołanym
e. Nieprzypadkowa zmiana załoŜonego rytmu pracy w sieci komputerowej
f. Próba naruszenia integralności danej lub systemu
g. Pojawienie się komunikatu alarmowego
h. Naruszenie dyscypliny pracy w zakresie przestrzegania procedur
bezpieczeństwa stanowiska pracy
i. Stwierdzone nieprawidłowości w zakresie przechowywania i zabezpieczania
miejsc z poufnymi danymi – biurka, szafki, nośniki tradycyjne, nośniki
96
[email protected]
http://tturba.tk
ZABEZPIECZANIE POUFNYCH DANYCH
$1 Cele i zasady ogólne
Administrator jest zobowiązany do stosowania środków technicznych w celu zapewnienia
ochrony przetwarzanym poufnych danych w systemie informatycznym przedsiębiorstwa
XXX, w szczególności:
- zapobiegnięcie wycieku danych do rąk osób niepowołanych
- zapobiegnięcie przetwarzaniu danych, w sposób który narusza ustawę oraz zmianę,
utratę bądź uszkodzenie danych
- zabezpieczanie danych przed udostępnianiem osobom niepowołanym
$2 Cele i zasady ochrony ogólnej
Celem wprowadzonych do niniejszej polityki bezpieczeństwa jest ochrona danych poufnych
eksploatowanych w systemie informatycznym przedsiębiorstwa XXX.
Zabezpieczenia w szczególności tyczą się:
- zabezpieczenie danych przed dostępem osób niepowołanych na etapie jej
wykorzystywania (wprowadzanie, aktualizacja, wyświetlanie, drukowanie)
- zabezpieczenie danych zarchiwizowanych na nośnikach zewnętrznych
- przestrzeganie procedur niszczenia niepotrzebnych dokumentów papierowych oraz
nośników z danymi.
- ochrona systemu bezpieczeństwa przed dostępem fizycznym osób nieupowaŜnionych
do pomieszczeń, w których znajdują się urządzenia systemu informatycznego
- monitorowanie systemu bezpieczeństwa
- wyznaczenie ścisłego zakresu obowiązków pracowników w szczególności w
sektorze dotyczącym bezpieczeństwa danych
Sposoby zabezpieczeń są określone za pomocą:
- ograniczenia fizycznego dostępu do pomieszczeń z urządzeniami wykorzystywanymi
w systemie informatycznym
- zdefiniowanie programowych grup uŜytkowników, nazw oraz haseł
- stosowanie kryptograficznych metod ochrony danych, które są oferowane na pulpicie
uŜytkownika
- przeprowadzanie archiwizacji danych na nośnikach optycznych lub magnetycznych z
ich ochroną w oddzielnym pomieszczeniu lub budynku
- w pomieszczeniach ze sprzętem komputerowym zainstalowane są systemy alarmowe
i przeciwpoŜarowe
- za całość polityki bezpieczeństwa odpowiada szef działu bezpieczeństwa
przedsiębiorstwa XXX
97
[email protected]
http://tturba.tk
$3 Zabezpieczanie danych
Wprowadzone zostały następujące metody zabezpieczeń:
- na pracowniczych stacjach roboczych wprowadzono wysoki poziom zabezpieczeń
- pomieszczenia zawierające urządzenia przetwarzające poufne dane i kartoteki
osobowe zostały zabezpieczone właściwym okratowaniem, systemem alarmowym,
przeciwpoŜarowym i miernikiem właściwego poziomu parametrów klimatycznych
- w razie wystąpienia awarii zasilania lub zakłóceń sieci elektroenergetycznej serwera
i urządzeń przetwarzających poufne dane zostały zabezpieczone systemami
podtrzymującymi napięcie
- uruchomienie stacji roboczych wymaga podania hasła BIOS’u
- zalogowanie się do systemu wymaga podania nazwy uŜytkownika i hasła
- kaŜdy uŜytkownik systemu ma przydzielone prawa dostępu uprawniające go do
wykonywania operacji związanych ze swoją pracą.
- w razie nieudanego logowania następuje czasowe zawieszenie konta uŜytkownika
- logowanie w systemie jest moŜliwe jedynie w godzinach pracy
- administrator i szef działu bezpieczeństwa mają stosowne uprawnienia do
definiowania kont pracowników i haseł
- w celu zabezpieczenia dostępu z zewnątrz do sieci lokalnej przedsiębiorstwa stosuje
się system ściany ogniowej i szyfrowanie w wirtualnej sieci prywatnej
- kaŜda stacja robocza jest zaopatrzona w aktywny pakiet antywirusowy pracujący w
czasie rzeczywistym. Za krytyczne aktualizacje odpowiada administrator.
- urządzenia serwerowe zostały zaopatrzone w mechanizm wykrywania i prewencji
intruzów
- dostęp do danych przez pracowników wyznaczany jest przez administratora
- wykonane kopie bezpieczeństwa zabezpieczone w innym pomieszczeniu moŜe
otwierać jedynie szef działu bezpieczeństwa przedsiębiorstwa XXX
$4 Monitoring zabezpieczeń
Do monitorowania zabezpieczeń systemu informatycznego zobowiązani są administrator
systemu i szef działu bezpieczeństwa.
Do ich obowiązków w zakresie monitoringu zabezpieczeń naleŜą:
- okresowe badanie stanu zabezpieczeń pod względem testów penetracyjnych
- okresowa analiza kopii bezpieczeństwa pod względem ich przydatności w razie
powstania potrzeby odtwarzania danych
- ewidencja i kontrola nośników optycznych i magnetycznych
- kontrola częstotliwości zmiany haseł przez pracowników
- przedstawienie rocznych raportów z zakresu przeprowadzonych kwartalnych kontroli
$5 Szkolenia z zakresu bezpieczeństwa
Podstawowe szkolenie z zakresu bezpieczeństwa jest obowiązkowe i obejmuje wszystkich
pracowników przedsiębiorstwa XXX.
Tematyka szkoleń obejmuje zagadnienia:
- przepisy i wewnętrzne instrukcje dotyczące postępowania z chronionymi danymi,
archiwizacją i przechowywania nośników
- przepisy i wewnętrzne instrukcje dotyczące niszczenia wydruków i nośników.
98
[email protected]
http://tturba.tk
- zakres obowiązków pracownika i sposobów ochrony stanowiska pracy
$6 Archiwizacja danych
1. Archiwizacja danych w systemie informatycznym przebiega w trybie tygodniowym
2. Kopie awaryjne z programów z których korzystają pracownicy wykonywane są
codziennie. Za wykonanie kopii awaryjnej odpowiedzialny jest operator danej stacji
roboczej
3. Kopie bezpieczeństwa winny być przechowywane w szafie pancernej. Osobą
upowaŜnioną do wglądu do kopii bezpieczeństwa jest szef działu bezpieczeństwa
przedsiębiorstwa XXX.
$7 Zasady niszczenia wydruków papierowych i nośników danych
1. Nośniki optyczne wychodzące poza obszar przedsiębiorstwa nie powinny zawierać
danych poufnych
2. Nośniki optyczne przed wyrzucenie nim powinny być zniszczone fizycznie poprzez
przecięcie, przełamanie
3. Wydruki papierowe zawierające poufne dane winny być zniszczone fizycznie poprzez
wykorzystanie niszczarki i/lub spalenie w piecu
SPOSOBY POSTĘPOWANIA W PRZYPADKU NARUSZENIA ZASAD
BEZPIECZEŃSTWA
1. KaŜdy pracownik przedsiębiorstwa XXX, który był uczestnikiem naruszenia zasad
bezpieczeństwa powinien przekazać tę informację szefowi działu bezpieczeństwa, lub
administratorowi pod jego nieobecność w trybie natychmiastowym
2. W razie braku obecności szefa działu bezpieczeństwa lub administratora systemu
pracownik zobowiązany jest powiadomić bezpośredniego przełoŜonego
3. Zanim szef działu bezpieczeństwa lub administrator systemu przybędą na miejsce
zajścia zdarzenia pracownik jest zobowiązany:
a. Podjąć czynności niezbędne w celu powstrzymania wycieku poufnych danych
wynikającego z zajścia zdarzenia, w tym ustalenie moŜliwego sprawcy
b. Wstrzymanie swojej bieŜącej pracy zabezpieczając własne stanowisko
c. Zabezpieczenie miejsca zdarzenia
d. Zastosowanie się do innych regulaminów i instrukcji, jeŜeli takowe odnoszą
się do zaistniałego zdarzenia
e. Nie opuszczać miejsca zdarzenia bez uzasadnionej potrzeby do czasu
przybycia szefa działu bezpieczeństwa, administratora lub bezpośredniego
przełoŜonego chyba, Ŝe istnieje zagroŜenie Ŝycia
4. Szef działu bezpieczeństwa przeprowadza ścisłą dokumentację zaistniałego zdarzenia
i sporządza raport według ustalonego wzoru, który powinien zawierać:
a. Wskazanie osoby powiadamiającej o zaszłym zdarzeniu
b. Wskazanie innych osób zaangaŜowanych w zdarzenie
c. Wskazanie czasu i miejsca zgłoszenia zdarzenia oraz czasu i miejsca zajścia
zdarzenia
d. Określenie moŜliwych okoliczności zajścia zdarzenia
99
[email protected]
http://tturba.tk
OBOWIĄZKI SZEFA DZIAŁU BEZPIECZEŃSTWA
1. Przeprowadzanie ścisłego nadzoru nad przestrzeganiem instrukcji zawartych w tym
dokumencie
2. Przeprowadzanie ścisłego nadzoru nad zabezpieczaniem sprzętu oraz pomieszczeń
związanych z prawidłowym działaniem systemu informatycznego
3. Przeprowadzanie ścisłego nadzoru nad zabezpieczaniem oraz legalnością stosowanego
oprogramowania
4. Przeciwdziałanie dostępowi do systemu osobom nieupowaŜnionym
5. Podejmowanie działań w celu zapewnienia właściwej ochrony danych
6. Badanie i raportowanie naruszeń bezpieczeństwa w systemie informatycznym
7. Przeprowadzanie ścisłego nadzoru nad naprawami, konserwacją i likwidacją urządzeń
komputerowych
8. Definiowanie grup uŜytkowników, haseł dostępu i przydziału praw dostępu
9. Przeprowadzanie testów penetracyjnych w celu ustalenia aktualnego poziomu
bezpieczeństwa w przedsiębiorstwie
10. Przeprowadzanie aktualizacji oprogramowania na stacjach roboczych poza tymi
wykonywanymi automatycznie
11. Przeprowadzanie ścisłego nadzoru nad właściwą konserwacją i usuwaniem urządzeń i
nośników komputerowych
DODATKOWY ZAKRES OBOWIĄZKÓW DLA PRACOWNIKA PRZEDSIĘBIORSTWA
1. Pracownik jest zobowiązany dbać o bezpieczeństwo powierzonych mu poufnych
danych, ich właściwą archiwizację i przechowywanie, a w szczególności:
a. Chronić poufne dane przed dostępem osób niepowołanych
b. Chronić dane przed nieumyślnym zniszczeniem, lub modyfikacją
c. Chronić powierzone nośniki optyczne oraz wydruki przed dostępem osób
niepowołanych oraz przed nieumyślnym zniszczeniem
d. Utrzymywać w tajemnicy powierzone nazwy uŜytkownika, hasła, częstości ich
zmian oraz szczegóły techniczne wynikające z czytania tego dokumentu
2. Zabrania się pod rygorem odpowiedzialności karnej i słuŜbowej pracownikowi:
a. Ujawniać poufne dane
b. Kopiować poufne dane bez przewidzianych w tym celu instrukcji lub
wykraczając poza zakres swoich obowiązków
c. Przetwarzać dane w sposób nieodpowiedni, zabroniony zakresem obowiązków
100
[email protected]
http://tturba.tk
WZÓR OŚWIADCZENIA
…………………………….
Imię i nazwisko pracownika
…………………………….
Adres
…………………………….
…………………………….
Miejscowość, data
OŚWIADCZENIE
1. Własnoręcznym podpisem oświadczam, Ŝe jako pracownik przedsiębiorstwa XXX
zapoznałem się z dokumentem polityki bezpieczeństwa oraz, Ŝe znana jest mi treść
przepisów o ochronie danych osobowych, oraz o odpowiedzialności karnej z nią
związaną.
2. Zobowiązuje się jednocześnie do przestrzegania zasad opisanych w dokumencie oraz
nie będę:
a. Ujawniać poufnych danych eksploatowanych przeze mnie w przedsiębiorstwie
b. Ujawniać szczegółów technologicznych regulowanych przez wewnętrzne
instrukcje i regulaminy
c. Ujawniać szczegółów zawartych w dokumencie polityki bezpieczeństwa
d. Przekazywać osobom niepowołanym nośniki optyczne lub wydruki
e. Kopiować, przetwarzać lub usuwać dane w sposób niezgodny z opisanymi dla
mnie instrukcjami
3. Zobowiązuje się takŜe do:
a. Dbanie o środowisko pracy, swoje stanowisko oraz poszanowanie dla innych
pracowników przedsiębiorstwa
b. Informowania szefa działu bezpieczeństwa, administratora lub bezpośredniego
przełoŜonego o zaistniałym zdarzeniu naruszającym zasady bezpieczeństwa w
przedsiębiorstwie
c. Wykonywania czynności zawartych we wszystkich instrukcjach i
regulaminach przedstawionych mojej osobie.
…………………………………
Podpis pracownika
………………………..
Podpis przełoŜonego
101
[email protected]
http://tturba.tk
WZÓR WYKAZU
WYKAZ OSÓB ZAPOZNANYCH Z POLITYKĄ BEZPIECZEŃSTWA
Lp.
Imię i nazwisko
Stanowisko
Data
Podpis
WZÓR RAPORTU
RAPORT Z NARUSZENIA ZASAD BEZPIECZEŃSTWA W PRZEDSIĘBIORSTWIE
1. Data: ……………………. ………
Godzina: …………………………………
(dd.mm.rr)
(gg:mm)
2. Osoba powiadamiająca o zaistniałym zdarzeniu:
…………………………………………………………………………………………………..
(imię i nazwisko, stanowisko pracy, nazwa uŜytkownika (jeŜeli obowiązuje))
3. Lokalizacja zdarzenia:
…………………………………………………………………………………………………..
(nr pokoju, ewentualna nazwa pomieszczenia)
4. Rodzaj naruszenia bezpieczeństwa oraz towarzyszące okoliczności:
…………………………………………………………………………………………………..
…………………………………………………………………………………………………..
…………………………………………………………………………………………………..
5. Przyczyny wystąpienia zdarzenia:
…………………………………………………………………………………………………..
…………………………………………………………………………………………………..
…………………………………………………………………………………………………..
6. Podjęte działania zapobiegawcze:
…………………………………………………………………………………………………..
…………………………………………………………………………………………………..
…………………………………………………………………………………………………..
7. Podjęte postanowienie wyjaśniające:
…………………………………………………………………………………………………..
…………………………………………………………………………………………………..
…………………………………………………………………………………………………..
…………………………………………………..
(data, podpis Szefa Bezpieczeństwa Informatycznego)
Źródło: Opracowanie własne na podstawie: http://bip.trzcinsko-zdroj.pl/unzip/1084.dhtml (31.05.2009r)
102
[email protected]
http://tturba.tk
4.2. Realizacja projektu ochrony infrastruktury sieciowej
przedsiębiorstwa
NiŜej opisana konfiguracja jest częścią składową urządzeń produkcyjnych stosowanych w
realnej topologii. Stanowi odzwierciedlenie faktycznego stanu konfiguracyjnego z
niewielkimi wyjątkami zagraŜającymi przedsiębiorstwie. Dlatego zmienione zostały wszelkie
hasła, adresy IP oraz porty. Konfiguracje na wielu urządzeniach powtarzają się, dlatego kroki
te zostały pominięte, a jedynie opisane jako odnośnik do konfiguracji powyŜej. Tam, gdzie
występowały zmiany przy tej samej usłudze – zostały one opisane.
Konfiguracja dotyczy urządzeń z rysunku topologii uŜytkowej (rys. 4.1.1.2 z rozdziału 4.1.1)
KONFIGURACJA ROUTERA A
- zabezpieczenie logowania:
A(config)#security passwords minlength 10
A(config)#service passwordencryption
A(config)#enable secret level 15
ciscocisco
A(config)#security authentication
failure rate 3 log
A(config)#login block-for 30
attempts 3 within 15
A(config)#login delay 5
A(config)#access-list 1 permit
host 100.0.0.2 log
A(config)#login quiet-mode
access-class 1
A(config)#login on-success log
every 1
A(config)#login on-failure log
every 1
A(config)#username admin
privilege 15 secret ciscocisco
Ustala minimalną długość haseł na 10 znaków.
Włącza usługę prostego szyfrowania haseł w
konfiguracji.
Ustawia hasło trybu uprzywilejowanego na
ciscocisco.
Zezwalaj na 3 moŜliwe nieudane próby
logowania.
JeŜeli w ciągu 15sek. wystąpią 3 nieudane próby
logowania to blokuj moŜliwość logowania na
30sek. Tryb Cichy.
Opóźnienie między losowaniami ustawione na
5sek.
Ruch z hosta 100.0.0.2 sklasyfikowany jako
dozwolony.
Zezwolenie hostowi z listy 1 na logowanie
pomimo Trybu Cichego.
JeŜeli ktoś się zalogował to naleŜy zalogować tę
informację.
JeŜeli komuś nie udało się zalogować to naleŜy
zalogować tę informację
Tworzy konto uŜytkownika admin z hasłem trybu
uprzywilejowanego ciscocisco w lokalnej bazie
danych.
A(config-line)#transport input
ssh
Zastępuje usługę Telnet usługą SSH.
A(config-line)#login local
Zezwolenie na logowanie za pomocą lokalnej
bazy danych.
103
[email protected]
http://tturba.tk
A(config)#crypto key generale rsa
Generacja szyfrowania asymetrycznego RSA i
włączenie protokołu SSH 1.9.
A(config)#ip ssh version 2
Włączenie protokołu SSH 2.0.
A(config)#ip ssh time-out 60
Ustawienie czasu oczekiwania prompta na 60sek.
A(config)#ip ssh authenticationretries 3
Zezwolenie na trzy maksymalne nieudane
logowania.
Logowanie zdarzeń związanych z protokołem
SSH.
Zezwolenie na 5 konkurentnych zalogowań
jednocześnie.
A(config)#ip ssh logging events
A(config)#ip ssh maxstartups 5
A(config)#banner motd #
NIEAUTORYZOWANY DOSTEP SUROWO
WZBRONIONY #
Ustalenie wiadomości powitalnej widocznej
przed zalogowaniem.
- zabezpieczenie konfiguracji i systemu operacyjnego:
Skopiowanie konfiguracji z pamięci RAM do
pamięci NVRAM.
Zabezpieczenie systemu IOS w pamięci Flash
routera.
Zabezpieczenie konfiguracji z NVRAM do
pamięci Flash routera.
A(config)#copy running-config
startup-config
A(config)#secure boot-image
A(config)#secure boot-config
- przesyłanie wiadomości i zalogowanych zdarzeń do serwera Syslog:
A(config)#logging on
A(config)#logging 12.0.0.2
A(config)#logging trap
notifications
Włączenie logowania systemowego.
Przesyłanie wiadomości do serwera Syslog na
adres 12.0.0.2.
Przesyłanie wiadomości tylko z poziomu piątego i
poniŜej.
- wyłączenie niepotrzebnych usług:
A(config)#no ip http server
A(config)#no ip ftp-server
A(config)#no ip bootp server
A(config)#no ip finger
A(config)#no ip source-route
A(config)#no ip redirects
A(config)#no ip gratuitous-arp
A(config)#no ip domain-lookup
Wyłączenie usługi WWW.
Wyłączenie usługi FTP.
Wyłączenie protokołu BOOTP.
Wyłączenie narzędzia FINGER.
Obrona przed atakiem IP Source-Routing.
Obrona przed atakiem IP Source-Routing.
Obrona przed MAC Spoofing.
Wyłączenie usługi translacji nazw domen.
104
[email protected]
http://tturba.tk
A(config-if)#no ip unreachables
Częściowa
obrona
przed
atakiem
DoS/DDoS.
A(config-if)#no ip directed-broadcasts Częściowa
obrona
przed
atakiem
DoS/DDoS.
A(config)#no service pad
Wyłączenie usługi PAD.
A(config)#no service tcp-smallWyłączenie usługi TCP-S-Services.
services
A(config)#no service udp-smallservices
A(config)#no snmp-server
Wyłączenie usługi UDP-S-Services.
Wyłączenie protokołu SNMP.
- zabezpieczenie protokołu NTP:
A#clock set 15:30:30 1 june
2009
A(config)#ntp master 1
A(config)#ntp authenticate
A(config)#ntp authenticationkey 1 md5 KLUCZYK
A(config)#ntp max-associations
3
A(config)#ntp trusted-key 1
A(config)#ntp logging
Zdefiniowanie prawidłowego czasu na
routerze.
Zdefiniowanie źródła rozgłoszeń czasu NTP.
Włączenie autentykacji protokołu NTP.
Zdefiniowanie klucza MD5 autentykacji na
wartość KLUCZYK
Synchronizowanie maksymalnie trzech
asocjacji.
Zdefiniowanie, który klucz jest zaufany.
Logowanie zdarzeń związanych z
protokołem NTP do serwera Syslog.
- opcjonalna konfiguracja 802.1x (autentykacji maszyny po porcie):
A(config)#aaa new-model
A(config)#aaa authentication
login default local
A(config)#aaa authentication
dot1x default group radius
local
A(config)#dot1x system-authcontrol
A(config-if)#dot1x portcontrol auto
A(config)#dot1x guest-vlan
supplicant
A(config)#dot1x auth-fail maxattmepts 3
Włączenie logowania mechanizmem AAA,
wymaganym do prawidłowego działania autentykacji
dot1x
UmoŜliwienie prawidłowego logowania do routera
po włączeniu mechanizmu AAA.
Zdefiniowanie autentykacji protokołu dot1x do
serwera Radius, lub gdy coś się z nim stanie – za
pomocą lokalnej bazy danych.
Włączenie autentykacji 802.1x
Zdefiniowanie roli portu na transmisję ramek
EAPoL.
Przeniesienie uŜytkownika nie obsługującego EAPoL
do VLANu z ograniczonymi zasobami.
Po 3 nieudanych próbach logowania przenosi
uŜytkownika do VLANu restrykcyjnego.
105
[email protected]
http://tturba.tk
A(config)#dot1x host-mode
single-host
A(config)#dot1x guest_vlan 6
Oznaczenie portu jako samotnego.
A(config)#dot1x auth-fail vlan
7
Zdefiniowanie VLANu z ograniczonymi zasobami.
Zdefiniowanie VLANu restrykcyjnego.
KONFIGURACJA PRZEŁĄCZNIKA A
- zabezpieczenie logowania – tak samo jak router A.
- zabezpieczenie konfiguracji i systemu operacyjnego – tak samo jak router A.
- przesyłanie wiadomości i zdarzeń do serwera Syslog – tak samo jak router A.
- konfiguracja port-security (powtórzyć dla kaŜdego interfejsu stacji roboczej):
A_SW(config-if)#switchport portsecurity
A_SW(config-if)#switchport portsecurity maximum 1
A_SW(config-if)#switchport portsecurity violation shutdown
A_SW(config-if)#switchport portsecurity mac-address sticky
A_SW(config-if)#switchport mode
access
A_SW(config-if)#switchport access
vlan 2
Włączenie uslugi port-security.
Zdefiniowanie maksymalnej dozwolonej liczby
adresów MAC na port przełącznika na 1.
Zdefiniowanie reakcji na podłączenie komputera
z innym adresem MAC niŜ ten w tablicy CAM.
Dynamiczna nauka adresu MAC do tablicy CAM
pierwszego wpiętego komputera.
Zdefiniowanie trybu access dla interfejsu.
Przypisanie portu do VLAN2.
- konfiguracja protokołu VTP:
A_SW(config)#vtp mode
server
A_SW(config)#vtp domain
FIRMA
A_SW(config)#vtp password
0x011A
A_SW(config)#vtp version 2
Ustawienie trybu pracy protokołu VTP jako serwer na
tym przełączniku.
Ustawienie domeny protokołu VTP na FIRMA.
Ustawienie hasła dla przesyłanych pakietów VTP na
0x011A
Ustawienie wersji protokołu VTP na 2.
- zabezpieczenie protokołu STP i DTP:
A_SW(config)#spanning-tree mode
rapid-pvst
A_SW(config)#spanning-tree vlan 2-5
priority 0
Ustawienie trybu pracy na Rapid-PVST.
Ustawienie na sztywno priorytetu 0 co
zapobiegnie nowej elekcji przełącznika
głównego.
106
[email protected]
http://tturba.tk
A_SW(config)#spanning-tree portfast
bpduguard enable
A_SW(config-if)#spanning-tree guard
root
A_SW(config-if)#switchport trunk
A_SW(config-if)#switchport
nonegotiate
A_SW(config-if)#switchport trunk
native vlan 10
Włączenie usługi BPDU Guard.
Włączenie usługi Root Guard.
Zmiana trybu portu na trunk.
Wyłączenie protokołu DTP.
Zdefniowanie VLAN’u natywnego na 10.
- zabezpieczenie przed atakami DHCP i ARP Spoofing:
A_SW(config)#ip dhcp snooping vlan 2
A_SW(config)#ip dhcp snooping
information option
A_SW(config)#ip dhcp snooping limit
rate 3
A_SW(config-if)#ip dhcp snooping
trust
A_SW(config)#ip arp inspection vlan
2
A_SW(config)#ip arp inspection
validate src-mac
A_SW(config-if)#ip arp inspection
trust
Włączenie usługi DHCP Snooping dla
VLAN2.
Włączenie usługi DHCP Snooping dla agenta
DHCP Relay.
Ustawienie limitu pakietów DHCP na 3/sek.
Ustawienie interfejsu zaufanego dla serwera
DHCP.
Włączenie usługi DAI dla VLAN2.
Klasyfikacja portu na podstawie źródłowego
adresu fizycznego.
Ustawienie interfejsu zaufanego dla
przełącznika.
KONFIGURACJA ROUTERA B
- zabezpieczenie logowania – tak samo jak router A.
- zabezpieczenie konfiguracji i systemu operacyjnego – tak samo jak router A.
- przesyłanie wiadomości i zdarzeń do serwera Syslog – tak samo jak router A.
- wyłączenie niepotrzebnych usług – tak samo jak router A.
107
[email protected]
http://tturba.tk
- zabezpieczenie protokołu NTP w trybie klienckim:
A(config)#ntp server 10.0.0.1
prefer
A(config)#ntp authenticate
A(config)#ntp authenticationkey 1 md5 KLUCZYK
A(config)#ntp trusted-key 1
A(config)#ntp logging
Zdefiniowanie źródła rozgłoszeń czasu NTP z
którego będą pobierane informacje czasowe.
Włączenie autentykacji protokołu NTP.
Zdefiniowanie klucza MD5 autentykacji na wartość
KLUCZYK
Zdefiniowanie, który klucz jest zaufany.
Logowanie zdarzeń związanych z protokołem NTP
do serwera Syslog.
- stworzenie mechanizmu Router-on-a-Stick w celu poprawnego routingu pomiędzy
VLAN’ami przełączników:
B(config)#interface fastethernet 0/1.2
B(config-subif)#encapsulation dot1Q 2
B(config-subif)#ip address 192.168.1.1
255.255.255.224
B(config)#interface fastethernet 0/1.3
B(config-subif)#encapsulation dot1Q 3
B(config-subif)#ip address
192.168.1.33 255.255.255.192
B(config)#interface fastethernet 0/1.4
B(config-subif)#encapsulation dot1Q 4
B(config-subif)#ip address
192.168.1.97 255.255.255.128
Utworzenie podinterfejsu w
interfejsie fizycznym Fa0/1.
Wskazanie enkapsulacji 802.1q dla
VLAN2.
Zdefniowanie podsieci dla VLAN2.
Utworzenie podinterfejsu w
interfejsie fizycznym Fa0/1.
Wskazanie enkapsulacji 802.1q dla
VLAN3.
Zdefniowanie podsieci dla VLAN3.
Utworzenie podinterfejsu w
interfejsie fizycznym Fa0/1.
Wskazanie enkapsulacji 802.1q dla
VLAN4.
Zdefniowanie podsieci dla VLAN4.
108
[email protected]
http://tturba.tk
- zdefiniowanie puli adresów DHCP (operacje powtórzyć dla VLAN3 i VLAN4
analogicznie):
B(config)#ip dhcp pool PULA_2
Zdefiniowanie nazwy puli.
B(dhcp-config)#network 192.168.1.0
255.255.255.224
B(dhcp-config)#dns-server 100.0.0.1
Zdefiniowanie zakresu adresów w puli.
B(dhcp-config)#default router
192.168.1.1
B(config)#ip dhcp excluded-address
192.168.1.1 192.168.1.1
Zdefiniowanie lokalizacji serwera
DNS.
Zdefiniowanie bramki domyślnej dla
puli.
Wyłączenie adresu interfejsu z puli
automatycznego przydziału.
KONFIGURACJA PRZEŁĄCZNIKA B
- zabezpieczenie logowania – tak samo jak router A.
- zabezpieczenie konfiguracji i systemu operacyjnego – tak samo jak router A.
- przesyłanie wiadomości i zdarzeń do serwera Syslog – tak samo jak router A.
- konfiguracja port-security – tak jak na przełączniku A.
- konfiguracja protokołu VTP – tak jak na przełączniku A.
- zabezpieczenie protokołu STP i DTP – tak jak na przełączniku A.
- zabezpieczenie przed atakami DHCP i ARP Spoofing – tak jak na przełączniku A.
- obrona przed niekontrolowanym sztormem rozgłoszeniowym:
B_SW(config)#interface range
fastethernet 0/2 – 23
B_SW(config-if)#storm-control
broadcast level 70
B_SW(config-if)#storm-control
action shutdown
Zdefiniowanie zasięgu interfejsów.
Zdefiniowanie procentowego poziomu
obciąŜenia łącza pakietami rozgłoszeniowymi.
Ustalenie standardowej akcji na przekroczenie
procentowego poziomu obciąŜenia.
- wprowadzenie restrykcji dostępu hosta 192.168.1.5 do reszty VLAN2.
B_SW(config)#access-list 101 permit ip
host 192.168.1.5 any
B_SW(config)#vlan access-map MAPA 10
B_SW(config-vacm)#match ip address 101
Zdefiniowanie ruchu do wyłączenia.
Zdefiniowanie mapy dostępu z numerem
sekwencyjnym 10.
Badanie pakietów sklasyfikowanych w
ACL 101.
109
[email protected]
http://tturba.tk
B_SW(config-vacm)#action drop
B_SW(config)#vlan access-map MAPA 20
B_SW(config-vacm)#action forward
B_SW(config)#vlan filter MAPA vlanlist 2
Zdefiniowanie akcji DROP dla pakietu
sklasyfikowanego do ACL 101.
Zdefiniowanie mapy dostępu z numerem
sekwencyjnym 20.
Zdefiniowanie akcji PERMIT dla pakietów
bez klasyfikacji.
Implementacja VACL MAPA do VLAN2.
KONFIGURACJA ROUTERA C
- zabezpieczenie konfiguracji i systemu operacyjnego – tak samo jak router A.
- przesyłanie wiadomości i zdarzeń do serwera Syslog – tak jak router A.
- wyłączenie niepotrzebnych usług – tak jak na routerze A,
- zabezpieczenie protokołu NTP w trybie klienckim – tak jak na routerze B.
- zabezpieczenie logowania za pomocą AAA:
C(config)#aaa new-model
C(config)#tacacs-server host
12.0.0.2 key KLUCZYK singleconnection
C(config)#aaa authentication
login default group tacacs
local
C(config)#aaa authentication
enable default group tacacs
enable
C(config-line)#login
authentication default
C(config)#aaa authentication
username-prompt USER:
C(config)#aaa authentication
password-prompt PW:
Włączenie logowania AAA.
Zdefiniowanie adresu serwera TACACS+ z kluczem
szyfrowania KLUCZYK oraz, Ŝe kaŜda transakcja
AAA nie jest osobnym połączeniem, tylko całością.
Zdefiniowanie podstawowego mechanizmu logowania
do serwera TACACS+, a jak zawiedzie to z lokalnej
bazy danych.
Zdefiniowanie podstawowego mechanizmu logowania
do trybu uprzywilejowanego do serwera TACACS+, a
jak zawiedzie to za pomocą starej komendy enable.
Przypisanie metody autentykacji do terminala.
Zdefiniowanie prompta nazwy uŜytkownika.
Zdefiniowanie prompta hasła uŜytkownika.
KONFIGURACJA ROUTERA D
- zabezpieczenie logowania – tak samo jak router A.
- zabezpieczenie konfiguracji i systemu operacyjnego – tak samo jak router A.
- przesyłanie wiadomości i zdarzeń do serwera Syslog – tak jak router A.
- wyłączenie niepotrzebnych usług – tak jak na routerze A,
110
[email protected]
http://tturba.tk
- zabezpieczenie protokołu NTP w trybie klienckim – tak jak na routerze B.
- konfiguracja tunelu VPN między routerem D, a routerem E:
D(config)#crypto isakmp enable
D(config)#crypto isakmp policy 1
D(config-isakmp)#authentication preshare
D(config-isakmp)#encryption aes 128
D(config-isakmp)#group 2
D(config-isakmp)#hash md5
D(config-isakmp)#lifetime 86400
D(config)#crypto isamkp key KLUCZYK
address 30.0.0.1
D(config)#crypto ipsec transform-set
TSET1 ah-md5-hmac esp-aes 128
D(cfg-crypto-trans)#mode tunnel
D(config)#crypto ipsec securityassociation life time seconds 3600
D(config)#access-list 101 permit ip
10.0.0.0 0.0.0.7 30.0.0.0 0.0.0.255
D(config)#crypto map MAPA 10 ipsecisakmp
D(config-crypto-map)#match address 101
D(config-crypto-map)#set peer 30.0.0.1
D(config-crypto-map)#set transform-set
TSET1
D(config-if)#crypto map MAPA
Włączenie szyfrowania za pomocą fazy
ISAKMP.
Zdefiniowanie polityki szyfrowania fazy
ISAKMP.
Zdefiniowanie metody autentykacji na
PSK.
Zdefiniowanie metody szyfrowania pakietu
na AES 128-bit.
Zdefiniowanie metody szyfrowania
asymetrycznego na DH 1024-bit.
Zdefiniowanie algorytmu haszującego na
MD5.
Zdefiniowanie czasu wygaśnięcia
połączenia na 24h.
Zdefiniowanie hasła symetrycznego na
KLUCZYK i wskazanie adresu docelowego.
Zdefiniowanie zestawu transformat fazy
IPsec na szyfrowanie AES 128-bit i
haszowanie MD5.
Zdefiniowanie szyfrowania całych
pakietów.
Zdefiniowanie czasu wygaśnięcia tunelu
IPsec na 1h.
Wskazanie adresu źródłowego i
docelowego.
Zdefiniowanie krypto mapy z numerem
sekwencyjnym 10 posługującej się
negocjacją dwóch faz.
Sklasyfikowanie ruchu z ACL 101.
Ustawienie celu na 30.0.0.1.
Wskazanie transformaty.
Przypisanie krypto mapy do interfejsu.
111
[email protected]
http://tturba.tk
- konfiguracja innowacyjnej strefowej ściany zaporowej (ang. Zone-Based Firewall):
D(config)#zone security INTERNET
D(config)#zone security LAN
D(config-if)#zone-member security INTERNET
D(config-if)#zone-member security LAN
D(config)#class-map type inspect match-any
CM1
D(config-cmap)#match protocol tcp
D(config-cmap)#match protocol http
D(config)#class-map type inspect match-any
CM2
D(config-cmap)#match protocol icmp
D(config)#access-list 102 permit 20.0.0.0
0.0.0.255 any
D(config)#class-map type inspect match-any
CM3
D(config-cmap)#match address 102
D(config)#policy-map type inspect PM1
D(config-pmap)#class type inspect CM1
D(config-pmap-c)#inspect
D(config-pmap)#class type inspect CM3
D(config-pmap-c)#pass
D(config-pmap)#class type inspect CM2
D(config-pmap-c)#drop
D(config)#zone-pair security LAN_INTERNET
source LAN destination INTERNET
D(config-sec-zone-pair)#service-policy type
inspect PM1
Zdefiniowanie strefy INTERNET
Zdefiniowanie strefy LAN
Przypisanie strefy INTERNET do
interfejsu zewnętrznego.
Przypisanie strefy LAN do interfejsu
wewnętrznego.
Sklasyfikowanie ruchu do inspekcji.
Klasyfikacja ruchu TCP.
Klasyfikacja ruchu http.
Sklasyfikowanie drugiego ruchu do
inspekcji.
Klasyfikacja ruchu ICMP.
Zdefiniowanie puli do klasyfikacji.
Sklasyfikowanie trzeciego ruchu do
inspekcji.
Klasyfikacja ACL 102.
Zdefiniowanie nazwy dla polityki
wykonawczej.
Sklasyfikowanie ruchu CM1 dla
polityki.
Wykonanie akcji inspekcji na ruchu
TCP i HTTP z wewnątrz.
Sklasyfikowanie ruchu CM3 dla
polityki.
Wykonanie akcji PERMIT na ruchu z
ACL 102.
Sklasyfikowanie ruchu CM2 dla
polityki.
Wykonanie akcji DROP dla ruchu
ICMP.
Powiązanie ze sobą stref tworząc
parę.
Przypisanie polityki wykonawczej do
pary stref.
UWAGA: Konfigurację naleŜy przeanalizować takŜe dla pary odwrotnej (INTERNET_LAN),
gdyŜ nie jest to ta sama klasyfikacja. Jednak z uwagi na fakt, Ŝe strefa INTERNET jest strefą
zewnętrzną, to wszystkie połączenia z niej przychodzące winny być zablokowane, poza tymi
które zostały nawiązane wewnątrz firmy, stąd nie zostaje tutaj opisana konfiguracja.
112
[email protected]
http://tturba.tk
KONFIGURACJA ROUTERA E
- zabezpieczenie logowania – tak samo jak router A.
- zabezpieczenie konfiguracji i systemu operacyjnego – tak samo jak router A.
- przesyłanie wiadomości i zdarzeń do serwera Syslog – tak jak router A.
- wyłączenie niepotrzebnych usług – tak jak na routerze A,
- zabezpieczenie protokołu NTP w trybie klienckim – tak jak na routerze B.
- konfiguracja tunelu VPN między routerem E, a routerem D – analogicznie jak na
routerze D.
- implementacja podglądania nawiązywanych połączeń TCP:
E(config)#ip tcp intercept mode
intercept
E(config)#access-list 103 permit
any any
E(config)#ip tcp intercept list 103
Badaj stan połączenia zanim zostanie wysłany
pakiet ACK.
Klasyfikacja ruchu.
Badaj ruch z ACL 103.
- implementacja mechanizmu IPS - obrony przez złośliwym oprogramowaniem:
E(config)#ip ips sdf location
flash://256MB.sdf
E(config)#ip ips notify SDEE
E(config)#ip ips name IPSRULE
E(config)#ip ips fail-closed
E(config-if)#ip virtualreassembly
E(config-if)#ip ips IPSRULE in
Zdefiniowanie lokalizacji do pliku z sygnaturami.
Zdefiniowanie akcji zgłaszania zdarzeń do lokalnego
serwera logów SDEE.
Zdefiniowanie nazwy dla sygnatur IPS
Brak zezwolenia na ruch pakietów podczas
kompilacji nowych sygnatur.
Utworzenie dynamicznej listy kontroli dostępu dla
pakietów, które zostały pofragmentowane.
Zdefiniowanie kierunku działania sensora IPS na
interfejsie.
113
[email protected]
http://tturba.tk
- implementacja starego mechanizmu ściany ogniowej:
E(config)#ip inspect name BADAJ_TCP
tcp
E(config)#ip inspect name
BADAJ_HTTP http
E(config)#ip inspect name ICMP_E
icmp router-traffic
E(config-if)#ip inspect BADAJ_TCP
in
E(config-if)#ip inspect BADAJ_HTTP
out
Zdefiniowanie inspekcji pakietów TCP.
Zdefiniowanie głębokiej inspekcji pakietów
HTTP.
Zdefiniowanie inspekcji dla pakietów ICMP
generowanych przez router.
Badanie pakietów TCP w kierunku
wchodzącym.
Badanie pakietów http w kierunku
wychodzącym.
PowyŜsza konfiguracja urządzeń stanowi optymalną formę zabezpieczenia systemu
informatycznego na czas teraźniejszy. Niektóre sposoby konfiguracji cechują się duŜą
skalowalnością, dlatego zostały zaimplementowane (VPN, ZFW, STP). [7]
114
[email protected]
http://tturba.tk
4.3. Skuteczny monitoring i zarządzanie
Monitoring w przedsiębiorstwie jest obowiązkowym czynnikiem zapewniającym właściwy
poziom zabezpieczeń, nie tylko systemu informatycznego. Realizowany jest na dwóch
płaszczyznach: monitorowania pomieszczeń oraz monitorowania zasobów systemu
informatycznego.
Monitorowanie pomieszczeń powinno przebiegać całodobowo pod nadzorem pracownika
ochrony. Skuteczne monitorowanie pomieszczeń szczególnie wraŜliwych na moŜliwość
wycieku, bądź uszkodzeń danych powinno być realizowane przez kilka kamer, w tym kamerę
noktowizyjną. W przypadku zainstalowania w pomieszczeniach czujników temperaturowych,
nie jest wymagane instalowanie drogiej kamery termowizyjnej, gdyŜ czujnik wykryje i
zaraportuje wszelkie nieprawidłowości.
Monitoring komputerowy jest znacznie bardziej skomplikowany. Urządzeń oznaczonych jako
te, które naleŜy monitorować w przedsiębiorstwie jest duŜo. Nie jest to kilka waŜnych
pomieszczeń, które moŜna obserwować na osobnych monitorach. TakŜe kaŜde urządzenie
inaczej rejestruje zdarzenia. WaŜne jest by standaryzować sposób raportowania i wyznaczyć
właściwy jego poziom. Wpływa to na efektywność pracy administratora przeglądającego logi
z urządzeń. Nie musi on marnować czasu na znane komunikaty systemu, które są jedynie
zdarzeniami informacyjnymi. SłuŜy do tego narzędzie Syslog, zbierające informacje z
urządzeń do jednego miejsca.
Istnieje siedem poziomów wiadomości Syslog:
Poziom 0: Niebezpieczeństwo
Poziom 1: Alarmy
Poziom 2: Błędy krytyczne
Poziom 3: Błędy
Poziom 4: OstrzeŜenia
Poziom 5: Notyfikacje – poziom standardowy
Poziom 6: Informacje
Poziom 7: Debugowanie
KaŜdy poziom odpowiada równieŜ wystąpieniu zagroŜenia w systemie. JeŜeli jest to poziom 0
to nastąpiło powaŜne naruszenie zasad bezpieczeństwa i systemowi grozi uszkodzenie. JeŜeli
poziom 0 jest największym zagroŜeniem, to poziom 7 oczywiście jest najmniejszym.
Przykładem dobrego narzędzia Syslog jest darmowy serwer Kiwi centralizujący zbieranie
informacji z urządzeń i ułatwiający ich przeglądanie za pomocą filtrów.
115
[email protected]gmail.com
http://tturba.tk
Rys. 4.3.1. Zrzut ekranu z programu Kiwi Syslog
Źródło: http://kiwi-syslog-daemon.smartcode.com/screenshot.html (01.06.2009r)
Standardowo w urządzeniach Cisco poziom informacji Syslog jest ustawiony na Notyfikacje,
czyli w konsoli pojawiają się wszystkie zmiany interfejsów, zapisy plików konfiguracyjnych i
inne podobne rzeczy. W przypadku przeglądania logów przez administratora, takie
notyfikacje są dla niego zbędne, aczkolwiek zaleŜy w jakim celu logi są przeglądane. Być
moŜe administratorowi zaleŜy na badaniu osiągnięć swoich łącz i sieci, więc wtedy zdecyduje
się na poziom 6, lub 7. Jednak narzędzie Syslog nie jest efektywne w realizacji powyŜszego
zadania ze względu, Ŝe nie posiada graficznej reprezentacji danych, statystyk, a jedynie
przekazane informacje z urządzeń logujących.
Przykładem dobrego narzędzia do monitorowania działania sieci jest narzędzie LStat.
116
[email protected]
http://tturba.tk
Rys. 4.3.2. Zrzut ekranu z programu LStat
Źródło: Opracowanie własne
Narzędzie Lstat jest darmowe. Instalacja odbywa się w systemie operacyjnym Linux, a
konkretnie na serwerze dostępowym dla uŜytkowników sieci i Internetu.
Narzędzie Lstat poza rozwiązaniem instalacji na serwerze moŜna zrealizować poprzez metodę
SPAN lub RSPAN (ang. Remote Switch-Port Analyzer). Metoda SPAN polega na
kopiowaniu całego ruchu z wyznaczonego interfejsu (bądź interfejsów) sieciowego na
wyznaczony interfejs docelowy z którego ten ruch moŜe być zebrany i określony
statystykami. RóŜnica między trybem SPAN, a RSPAN jest taka, Ŝe ten drugi moŜna
realizować zdalnie.
Rys. 4.3.3. Schemat trybu SPAN i RSPAN kopiowania ruchu z interfejsów
Źródło: Opracowanie własne
117
[email protected]
http://tturba.tk
KONFIGURACJA RSPAN:
LEWY(config)#vlan 30
LEWY(config-vlan)#remote-span
LEWY(config)#monitor session 1 source
interface FastEthernet0/1 – 3
LEWY(config)#monitor session 1 destination
remote vlan 30 reflector-port
FastEthernet0/12
PRAWY(config)#monitor session 1 source
remote vlan 30
PRAWY(config)#monitor session 1 destination
interface FastEthernet0/10
Przejście do konfiguracji VLAN30.
Włączenie trybu RSPAN dla
VLAN30.
Wskazanie portów źródłowych z
których będzie kopiowany ruch.
Wskazanie portu przekazującego
ruch docelowy z VLAN30.
Wskazanie portu źródłowego, w
przypadku RSPAN jest to źródłowy
VLAN30.
Wskazanie portu docelowego na
który przekazywany będzie ruch.
JeŜeli jednak istnieje potrzeba monitorowania większej liczby uŜytecznych parametrów sieci i
urządzeń to naleŜy zainstalować narzędzie NetFlow skonstruowane specjalnie do
monitorowania zdarzeń z urządzeń firmy Cisco.
Rys. 4.3.4. Zrzut ekranu z programu NetFlow pokazujący różnorodność pakietów w transmisji
Źródło: Opracowanie własne
118
[email protected]
http://tturba.tk
W celu efektywnego monitoringu urządzeń Cisco za pomocą programu NetFlow warto jest
wprowadzić dodatkową konfigurację na urządzenia:
C(config-if)#ip route-cache flow
C(config)#ip flow-export destination
192.168.9.101 9996
C(config)#ip flow-export source
FastEthernet 0/1
C(config)#ip flow-export version 5
C(config)#ip flow-cache timeout active 1
C(config)#ip flow-cache timeout inactive
15
C(config)#snmp-server ifindex persist
C#show ip flow export
C#show ip cache flow
Włącza interfejs wysyłający pakiety na port
NetFlow.
Określenie celu i portu gdzie mają zmierzać
pakiety diagnostyczne.
Określenie jakie porty będą przedstawiane w
NetFlow.
Stosowanie NetFlow w wersji 5.
Zmiana czasu aktywności rozsyłania
pakietów diagnostycznych na minutę.
Odcinanie pakietów diagnostycznych, które
się ukończyły rozsyłać w czasie 15sek.
Zezwolenie na uŜywanie globalnych nazw
interfejsów zamiast adresów IP.
Pokazuje aktualną konfigurację NetFlow.
Pokazuje ile i jakie pakiety są eksportowane
do serwera NetFlow.
Z powyŜej konfiguracji jasno wynika, Ŝe narzędzie NetFlow wymaga działającego serwera
SNMP, co oznacza stworzenie podatności w sieci na atak.
Zarządzanie za pomocą protokołu SNMP w systemie informatycznym moŜna zrealizować na
dwa sposoby:
- zarządzanie w paśmie (ang. In-band) – ruch zarządzający przebiega przez sieć
produkcyjną co stanowi zagroŜenie jej działaniu i zwiększa obciąŜenie łącz.
- zarządzanie poza pasmem (ang. Out-of-band) – polega na odseparowaniu ruchu
zarządzającego poza sieć produkcyjną do osobnej podsieci stojącej za szyfrowanym
tunelem z fizycznym połączeniem dostępowym do kaŜdego urządzenia za pomocą
konsoli. Zmniejsza to obciąŜenie łącz, jednak jest znacznie droŜsze w implementacji
gdyŜ wymaga zupełnie nowego sektora z urządzeniami przekazującymi ruch
zarządzający do serwerów.
Z załoŜenia, protokołu SNMP nie powinno się stosować w sieci przedsiębiorczej. JeŜeli juŜ
istnieje szeroka potrzeba zdalnego zarządzania to naleŜy stosować protokół SNMP w wersji 3
z szyfrowaniem DES-56. Jednak jest to juŜ stary rodzaj szyfru, który bardzo łatwo złamać.
Nie mniej, Ŝeby działała aplikacja NetFlow naleŜy uŜywać protokołu SNMP ustalając hasło
MD5 oraz łańcuchy hasłowe typu ODCZYT (ro).
119
[email protected]
http://tturba.tk
Nigdy nie naleŜy uŜywać łańcuchów typu ZAPIS, gdyŜ złamanie prostego hasła umoŜliwia
zdalną rekonfigurację parametrów sieci.W kolejnym rozdziale dotyczącym testowania
zabezpieczeń zostaną wykorzystane narzędzia Kiwi Syslog i LStat w celu pokazania
efektywności zaimplementowanych sposobów bezpieczeństwa w fizycznie działającej sieci.
120
[email protected]
http://tturba.tk
5. Testowanie zabezpieczeń
ZałoŜenia wstępne:
Testowanie zabezpieczeń skonstruowanej sieci opiera się na badaniu parametrów
technicznych łącz lokalnych oraz statystyk z urządzeń L2, L3 i serwera. Sieć wykorzystana w
projekcie jest częścią realnie działającej sieci produkcyjnej. Jej zabezpieczenie odzwierciedla
realny stan. W przypadku przeprowadzania na nią ataków, autor pracy zobowiązał się do
niespowodowania szkód wynikających ze swoich działań i przeprowadzi ataki w taki sposób,
Ŝe mają tylko zasymulować rzeczywistą próbę uszkodzenia systemu. Rozumie się przez to
ciągły monitoring podczas prób i reakcję w razie wykrycia zbyt duŜego odchylenia od normy
w działaniu sieci.
Przeprowadzone zostaną ataki:
a) próba podszycia się na przełączniku atakiem MAC Spoofing
b) próba przejęcia przełącznika głównego w protokole STP
c) próba ograniczenia dostępności atakiem Smurf
d) próba podsłuchania hasła atakiem ARP Spoofing+IP source-routing+Socjotechnika
System jest monitorowany za pomocą:
- Lstat – dla ataków na dostępność
- Syslog – dla ataków wewnętrznych i zbliŜeniowych
- SDEE z poziomu SDM dla sensora IPS
Ad. A) MAC Spoofing:
Do przeprowadzenia ataku MAC Spoofing wykorzystano program MACoffset z pakietu
DSniff-2.3.
ATAK:
[[email protected] ~dsniff-2.3]# ./macof
101.59.29.36 -> 60.171.137.91 TCP D=55934 S=322 Syn Seq=1210303300 Len=0 Win=512
145.123.46.9 -> 57.11.96.103 TCP D=44686 S=42409 Syn Seq=1106243396 Len=0 Win=52
109.40.136.24 -> 51.158.227.98 TCP D=59038 S=21289 Syn Seq=2039821840 Len=0 Win2
126.121.183.80 -> 151.241.231.59 TCP D=7519 S=34044 Syn Seq=310542747 Len=0 Win2
211.28.168.72 -> 91.247.223.23 TCP D=62807 S=53618 Syn Seq=2084851907 Len=0 Win2
183.159.196.56 -> 133.10.138.87 TCP D=23929 S=51034 Syn Seq=1263121444 Len=0 Wi2
19.113.88.77 -> 16.189.146.61 TCP D=1478 S=56820 Syn Seq=609596358 Len=0 Win=512
121
[email protected]
http://tturba.tk
237.162.172.114 -> 51.32.8.36
TCP D=38433 S=31784 Syn Seq=410116516 Len=0 Win2
118.34.90.6 -> 61.169.58.50 TCP D=42232 S=31424 Syn Seq=1070019027 Len=0 Win=52
46.205.246.13 -> 72.165.185.7 TCP D=56224 S=34492 Syn Seq=937536798 Len=0 Win=52
105.109.246.116 -> 252.233.209.72 TCP D=23840 S=45783 Syn Seq=1072699351 Len=0 2
60.244.56.84 -> 142.93.179.59 TCP D=3453 S=4112 Syn Seq=1964543236 Len=0 Win=512
151.126.212.86 -> 106.205.161.66 TCP D=12959 S=42911 Syn Seq=1028677526 Len=0 W2
9.121.248.84 -> 199.35.30.115 TCP D=33377 S=31735 Syn Seq=1395858847 Len=0 Win=2
226.216.132.20 -> 189.89.89.110 TCP D=26975 S=57485 Syn Seq=1783586857 Len=0 Wi2
124.54.134.104 -> 235.83.143.109 TCP D=23135 S=55908 Syn Seq=852982595 Len=0 Wi2
27.54.72.62 -> 207.73.65.108 TCP D=54512 S=25534 Syn Seq=1571701185 Len=0 Win=2
246.109.199.72 -> 1.131.122.89 TCP D=61311 S=43891 Syn Seq=1443011876 Len=0 Win2
251.49.6.89 -> 18.168.34.97 TCP D=25959 S=956 Syn Seq=6153014 Len=0 Win=512
51.105.154.55 -> 225.89.20.119 TCP D=33931 S=1893 Syn Seq=116924142 Len=0 Win=52
82.2.236.125 -> 210.40.246.122 TCP D=43954 S=49355 Syn Seq=1263650806 Len=0 Win2
21.221.14.15 -> 9.240.58.59
TCP D=61408 S=26921 Syn Seq=464123137 Len=0 Win=512
70.63.102.43 -> 69.88.108.26 TCP D=61968 S=53055 Syn Seq=682544782 Len=0 Win=512
REAKCJA:
Rys. 5.1. Ochrona na atak rozpowszechnianie MAC Spoofing
Źródło: Opracowanie własne
Ad. B) Ataki zbliŜeniowe na protokół STP
- Atak na BPDU przełącznika głównego polega na wpięciu nowego przełącznika do
portu stacji roboczej.
REAKCJA:
Rys. 5.2. Ochrona na atak na przejęcie roli przełącznika głównego
Źródło: Opracowanie własne
122
[email protected]
http://tturba.tk
- Atak na priorytet przełącznika głównego polega na wpięciu nowego przełącznika
między dwa inne działające w sieci.
REAKCJA:
Rys. 5.3. Ochrona na atak przejęcie roli przełącznika głównego
Źródło: Opracowanie własne
Ad. C) Atak Smurf
Atak na ograniczenie dostępności o nazwie Smurf moŜna zrealizować samemu, lub poprzez
skompilowany program w języku C, którego kod do własnej kompilacji moŜna znaleźć pod
adresem: http://www.rs-labs.com/papers/tacticas/ircutils/smurf.html
ATAK:
Rys. 5.4. Przykład konfiguracji do ataku Smurf
Źródło: http://www.ixiacom.com/
123
[email protected]
http://tturba.tk
REAKCJA:
Rys. 5.5. Reakcja systemu na lawinę pakietów ICMP oraz ich sposób ograniczenia
Źródło: Opracowanie własne
Ad. d) Atak ARP Spoofing
Z poziomu serwera atak ARP Spoofing powiedzie się zawsze, gdyŜ serwer kontroluje całym
ruchem sieciowym.
ATAK:
[[email protected] ~linsniff]# ./linsniff -c
linsniff: listening on eth0
----------------06/03/09 10:09:48 tcp 192.168.8.4.1126 -> wwwin-apps.interia.pl.80 (http)
124
[email protected]
http://tturba.tk
GET /SERVICE/Paging/page/ HTTP/1.1
Host: wwwin-apps.interia.pl
Authorization: testownik c2Nvdlgh39UNMRH4lejDmaA== [sconvery:mojehaslo]
REAKCJA:
JednakŜe próbując odpalić aplikację linsniff na stacji roboczej będącej między źródłem, a
celem wynik skanowania nie zwraca Ŝadnych wartości, gdyŜ aplikacja linsniff nie potrafi
podmienić pakietów GARP, które zostały wyłączone. Film z przeprowadzonego ataku ARP
125
[email protected]
http://tturba.tk
6. Podsumowanie
Rozdział opisuje wnioski wynikające
wynikaj
z tekstu publikacji:
a) ZagroŜenie
enie bezpieczeństwa
bezpiecze stwa informatycznego jest czynnikiem niewątpliwie
niew
krytycznym. W celu zapewnienia nieprzerwalnej ochrony, administrator systemu musi
się ciągle uczyć.. Praca na stanowisku wymaga odporności
odporno ci psychicznej i fizycznej na
stres. JeŜeli
eli zawiedzie człowiek, to system takŜe.
tak e. Dlatego w przedsiębiorstwie
przedsi
powinien być podział na administratora od zarządzania
zarz dzania zasobami i na administratora
bezpieczeństwa danych
ch. Zapewni to skuteczny podział obowiązków.
zków.
b) Zrozumienie zagroŜenia
Ŝenia stanowi większą
wi
część rozwiązania
zania problemu. Wynika to z
faktu, Ŝe większość
ść ataków aktywnych odpalanych dzisiaj zatrzymuje się
si na ścianie
zaporowej systemu informatycznego. Natomiast przed atakami socjotechnicznymi
jedyną linią obrony jest człowiek. NaleŜy
Nale
zainwestować w jego szkolenie i
świadomość bezpieczeństwa,
bezpiecze
co potwierdzają dane z wykresu prezentowany
wykonany atak socjotechniczny:
Wynik ataku
30
20
10
0
Powodzenie
Wyłudzenie częściowe
Niepowodzenie
Rys. 6.1. Wyniki przeprowadzonego ataku socjotechnicznego
Źródło: Opracowanie własne
PowyŜsze
sze dane pokazują
pokazuj jak bardzo bezpieczeństwo
stwo w przedsiębiorstwie zaleŜy
zale od
informacji przekazywanej w sposób słowny. Jak łatwo jest manipulować
manipulowa człowiekiem
zatajającc psychologicznym płaszczem pytania w ankiecie,
ankiecie, pytając
pytaj
bezpośrednio
między
dzy innymi niewaŜnymi pytaniami.
126
[email protected]
http://tturba.tk
35
30
25
20
15
10
5
0
24
19
6
30
14
5
4
6
Rys. 6.2. Statystyki z ataku na podstawie płci
Źródło: Opracowanie własne
c) ZagroŜenia wewnętrzne
ętrzne i zbliŜeniowe
zbli
są najniebezpieczniejsze. JeŜeli
JeŜ pracownik nie
zauwaŜy podłączonego
czonego podsłuchu sprzętowego, czy teŜ podepnie znaleziony na
schodach nośnik
nik cyfrowy – to juŜ system informatyczny jest zagroŜony.
zagro
Dlatego
naleŜy pamiętać o przekazaniu pracownikom dokumentu polityki bezpieczeństwa
bezpiecze
i
jasno określić w nim jakie groŜą
gro sankcje za jej nieprzestrzeganie.
d) W celu stworzenia projektu systemu informatycznego, którego cechują:
cechuj dokładność,
rzetelność, jasność,
ść, funkcjonalność
funkcjonalno i skalowalność naleŜyy stosować
stosowa się do załoŜeń
modelu SDLC. Podział na etapy i fazy planowania, analizy, projektowania,
implementacji i zarządzania
ądzania określa
okre jasny zakres obowiązków
zków i zadań
zada do wykonania
przez określonych
lonych pracowników. KaŜdy
Ka dy projektant powinien realizować
realizowa swoją część,
kaŜdy
dy analityk swoją. Wszyscy w ostateczności
ostateczno
swoją pracę powinni skonsultować
skonsultowa
między sobą w grupie i dopiero zatwierdzić
zatwierdzi w sposób kompromisowy.
e) W pracy zostały zaprezentowane nowe rozwiązania
rozwi zania technologiczne, które dopiero są
s
wdraŜane w duŜych
ych systemach informatycznych.
Są to:
- strefowa zapora ogniowa (ang. Cisco Zone-Based
Zone Based Firewall) powoli
wypierająca
ca technologię CBAC (ang. Context-Based
Based Access Control).
ZałoŜenia
enia tej technologii opierają
opieraj się o istnienie stref wykluczonego dostępu
dost
pomiędzy
dzy którymi transmisja jest dozwolona tylko wtedy, kiedy została
skonfigurowana. Ułatwia to konfigurację
konfiguracj zapory ogniowej,, w ten sposób, Ŝe co nie
zostało jawnie udostępnione
pnione to jest niejawnie wykluczone z transmisji. Administrator
w efektywny sposób moŜe
mo kontrolować zasoby jakie udostępnia.
pnia. Dodatkowym atutem
strefowej zapory ogniowej jest jej niŜsze
ni
wykorzystywanie zasobów niŜ
ni w przypadku
analizy kaŜdego
dego przechodzącego
przechodz cego pakietu w mechanizmie CBAC, co pokazuje wykres
porównawczy pracy zajęcia
zaję zasobów:
127
[email protected]
http://tturba.tk
Rys. 6.3. Wykorzystanie procesora podczas pracy z pakietami w technologii CBAC
Źródło: Opracowanie własne
Rys. 6.4. Wykorzystanie procesora podczas pracy stref w technologii ZFW
Źródło: Opracowanie własne
- tunel IPsec VPN, który staje się preferowanym sposobem komunikacji WAN
pomiędzy oddziałami przedsiębiorstw. Administrator systemu informatycznego
powinien zwrócić szczególną uwagę na zaznajomienie się z ową technologią.
Pomimo, Ŝe z rysunku 6.5. jasno wynika, Ŝe wykorzystanie zasobów przez bardzo
mocne szyfrowania obciąŜają serwer, to jest to obecnie najbardziej bezpieczna
technologia transmisji danych pomiędzy oddziałami.
128
[email protected]
http://tturba.tk
Rys. 6.5. Wykorzystanie pamięci przy pracy w tunelu VPN
Źródło: Opracowanie własne
- autentykacja 802.1x – w połączeniu z port-security stanowi bardzo silne
zabezpieczenie w przypadku wystąpienia ataków wewnętrznych lub zbliŜeniowych.
Stosowanie obu metod naraz wyklucza w duŜym stopniu ataki podszywania się pod
MAC, ARP, DHCP, STP.
- IPS – w przypadku sensorów wykrywania intruzów naleŜy pamiętać, Ŝe
sensor nie potrafi wykryć zagroŜenia idącego z szyfrowanego tunelu IPsec. W tym
celu na stacji roboczej musi być zainstalowany program chroniący przed złośliwym
oprogramowaniem (antywirus, anty-spyware).
f) najlepsze rozwiązania obejmują:
- hierarchiczny podział uŜytkowników grupy z ograniczonymi przydziałami
praw dostępu na tyle na ile wymaga ich praca – technologia AAA, RB-CLI.
- wyłączenie protokołu Telnet w zastępstwie protokołu SSH.
- uŜywanie mocnej autentykacji i szyfrowania w pozostałych uŜywanych
protokołach:
- usługowe: NTP, SNMP, VTP, HTTPS, SCP, ESMTP, POP3
- routingu: RIPv2, EIGRP, OSPF, IS-IS
- wyłączenie wszystkich usług na urządzeniach, które nie są uŜywane.
- dbać o prawidłową archiwizację danych pracowników oraz raportów
generowanych przez urządzenia w codziennej pracy.
- wyłączyć pracownikom moŜliwość logowania do systemu w godzinach nie
związanych z ich czasem pracy.
- raportowanie wszystkich anomalii, usterek, oraz sposobów naprawy.
- codzienne przeglądanie serwisów internetowych poświęconych
bezpieczeństwu, oraz czytanie prasy, gdyŜ wiedza to podstawa dobrego
administratora bezpieczeństwa.
129
[email protected]
http://tturba.tk
- uŜywanie legalnego oprogramowania.
- instalacja codziennych aktualizacji (o ile to moŜliwe) programów
antywirusowych, systemów operacyjnych, systemów sieciowych i innych łatek
programów uŜywanych w systemie informatycznym.
- wykonywanie testów penetracyjnych na sektorze sieci, którego potencjalne
uszkodzenie nie wywoła fali kolejnych zagroŜeń dla krytycznej transmisji sieci
produkcyjnej.
- wykonywanie szkoleń pracowników raz do roku oraz zapoznanie z polityką
bezpieczeństwa kaŜdego nowego pracownika.
g) Niniejsza publikacja ma być praktycznym zestawem wskazówek jak się bronić przed
zagroŜeniami oraz wyznaczać skutecznie linie obrony w sektorze bezpieczeństwa systemu
informatycznego, więc załoŜenia wstępne z rozdziału 2. zostały zrealizowane.
130
[email protected]
http://tturba.tk
7. Literatura
[1] – Wendell Odom, „CCNA Official Exam Certification Library (CCNA Exam 640-802),
3rd Edition”, Cisco Press, San Francisco 2007.
[2] – Michael Watkins, Kevin Wallace, „CCNA: Security Official Exam Certification Guide
(Exam 640-553)”, Cisco Press, San Francisco 2008.
[3] – Kevin D. Mitnick, William L. Simon, „The Art of Deception: Controlling the Human
Element of Security”, Wydawnictwo Wiley, 2002.
[4] – Maciej Wiśniewski, „Emisja elektromagnetyczna – analiza zagroŜeń dla poufności
danej”, Politechnika Poznańska, Poznań 2000.
[5] – Zespół CERT.pl, „Analiza incydentów naruszających bezpieczeństwo teleinformatyczne
zgłaszanych do zespołu CERT Polska w roku 2008”, CERT Polska, Warszawa 2009.
[6] – National Security Agency, „The 60 minute Network Security Guide”, National Security
Agency, 2006.
[7] – Anthony Sequeira, „CCNA Security Quick Reference”, Cisco Press, San Francisco,
2009.
[8] – Russell Lusignan, Olivier Steudler, Jacques Allison, „Managing Cisco Network
Security”, Syngress, 2009.
[9] – Karen Scarfone, Paul Hoffman, „Guidelines on Firewalls and Firewall Policy:
Recommendations of the National Institute of Standards and Technology”, NIST,
Gaithersburg, 2008
[10] – Łukasz Bromirski, „Bezpieczeństwo Sieci – prezentacja”, Kraków, 2009.
[11] – Łukasz Bromirski, „How to attack, defend and 0wn network for fun, fun & fun”,
CONFidence, 2005.
[12] - Model SDLC, http://en.wikipedia.org/wiki/Systems_Development_Life_Cycle
(04.06.2009)
131
[email protected]
http://tturba.tk
Spis rysunków
Rys. 1.1. Oryginalne zdjęcie komputera Eniac zajmującego powierzchnię 140m2
Rys. 1.2. Typowy historyczny schemat logiczny sieci Ethernet w topologii współdzielonej magistrali
Rys. 1.3. Wzór ramki DIX
Rys. 1.4. Oficjalny wzór ramki Ethernet IEEE 802.3 stosowany w sieciach LAN wraz z różnicami do pierwowzoru
Rys. 3.1. Rodzaje użytkowników pozyskujących informacje i ich współczesny podział
Rys. 3.2. Richard Stallman „Ostatni wielki haker”. Haker-aktywista w białym kapeluszu
Rys. 3.3. Kevin Mitnick – najsłynniejszy pochwycony socjotechnik, phreaker i haker w czarnym kapeluszu
Rys. 3.1.1.1. Schemat ideowy współpracy komputera NPE 9201 i systemów UPS
Rys. 3.1.1.2. Instalacja grożąca zagrożeniem braku rozeznania w topologii
Rys. 3.1.1.3. Przykład instalacji sumującej zagrożenie nieznajomości topologii, naprężenia sprzętu i pożaru
Rys. 3.1.1.4. Schemat ideowy działania komputera przemysłowego TechBase NPE 9201
Rys. 3.1.1.5. Przykładowa topologia logiczna struktury sieciowej przedsiębiorstwa podczas codziennej pracy
Rys. 3.1.1.6. Przykłady wszystkich lokalizacji odtwórczych dla topologii przedsiębiorstwa z rysunku 3.1.1.3
Rys. 3.1.2.1. Przykład umiejscowienia podsłuchu sprzętowego
Rys. 3.1.2.2. Przykłady snifferów, podsłuch w sieci Ethernet kabla UTP; podsłuch w sieci Thicknet kabla RG-8
Rys. 3.1.2.3. Przykłady różnych sprzętowych przechwytywaczy
Rys. 3.1.2.4. Miejsca potencjalnych prób instalacji podsłuchu klawiszowego
Rys. 3.1.2.5. Sposób emisji pola elektromagnetycznego przez urządzenie elektryczne.
Rys. 3.1.2.6. Przykład oryginalnego obrazu i jego wycieku elektromagnetycznego na monitorze oddalonym o 15m
Rys. 3.1.2.7. Parametry techniczne drzwi antywłamaniowych firmy Gerda Star SX
Rys. 3.1.3.1. Cykl życiowy ataku socjotechnicznego
Rys. 3.1.3.2. Algorytm skutecznej obrony w strukturze przedsiębiorczej
Rys. 3.2.1. Prezentowane kategorie ataków odnotowanych do CERT Polska w 2008r
Rys. 3.2.2. Rozkład liczbowy zaprezentowanych typów incydentów w kategoriach
Rys. 3.2.3. Powiązane klasy ataków z celami nadrzędnymi naruszenia bezpieczeństwa danej
Rys. 3.2.1.1. Przykład użycia narzędzia ping i tracert w systemie Windows XP
Rys. 3.2.1.2. Przykład użycia narzędzia ping i traceroute na routerze Cisco 7200
Rys. 3.2.1.3. Przykład użycia narzędzia ping i traceroute w systemie Linux
Rys. 3.2.1.4. Schemat skanowania sieci za pomocą polecenia ping
Rys. 3.2.1.5. Zrzut ekranu z udanego skanowania przeprowadzonego przez narzędzie Nmap
Rys. 3.2.1.6. Przykład użycia narzędzia finger w systemie Linux
Rys. 3.2.1.7. Współczesne topologie sieci lokalnej Ethernet
Rys. 3.2.1.8. Zrzut ekranu z programu Wireshark firmy Cisco
Rys. 3.2.1.9. Schemat rozgłaszania pakietów przez koncentrator i przechwytywania ruchu przez napastnika
Rys. 3.2.1.10. Schemat przełączania ramki w topologii Ethernet z zastosowaniem przełącznika
Rys. 3.2.1.11. Zrzut ekranu z programu tcpdump ustawionego do przechwytywania pakietów SMTP
Rys. 3.2.1.12. Zrzut ekranu z konfiguracji routera z zagrożeniem ataku „przez-ramię”
Rys. 3.2.2.1. Schemat aktywnego ataku na poufność danej na przykładzie ataku na bank
Rys. 3.2.2.2. Schemat ataku IP Spoofing
Rys. 3.2.2.3. Schemat ataku IP source-route
Rys. 3.2.2.4. Przedstawienie zapełniania tablicy CAM na przełączniku w normalnej pracy i przy podszywaniu się
Rys. 3.2.2.5. Schemat ataku DHCP Spoofing
Rys. 3.2.2.6. Schemat wstrzykiwania pakietów ARP Reply i konsekwencje przekłamań w tablicach ARP komputerów
Rys. 3.2.2.7. Schemat ataku VLAN Hopping
Rys. 3.2.2.8. Schemat ogólnego ataku na integralność danej
Rys. 3.2.2.9. Drzewo klasyfikacji złośliwego oprogramowania
Rys. 3.2.2.10. Zrzuty ekranów głównych najbardziej znanych koni trojańskich – NetBus oraz Back Oriffice
Rys. 3.2.2.11. Fazy ataku robaka komputerowego
Rys. 3.2.2.12. Zrzut ekranu z wydobytymi hasłami za pomocą narzędzia Cain
Rys. 3.2.2.13. Schemat ogólnego aktywnego wyżerania zasobów z atakowanego serwera
Rys. 3.2.2.14. Schemat ataku TCP SYN Flood
4
5
6
6
10
11
12
18
19
20
21
22
23
24
25
26
27
28
30
32
33
43
45
46
47
49
49
50
51
53
54
55
56
56
58
58
59
63
64
65
66
67
69
71
72
74
75
76
78
79
79
132
[email protected]
http://tturba.tk
Rys. 3.2.2.15. Schemat ataku Smurf
Rys. 3.2.2.16. Schemat ataku zbliżeniowego STP
Rys. 3.2.2.17. Schemat ataku VTP
Rys. 4.1.1. Schemat modelu wodospadowego na podstawie ogólnego modelu SDLC
Rys. 4.1.2. Schemat modelu spiralnego na podstawie ogólnego modelu SDLC
Rys. 4.1.1.1. Adresacja w topologii fizycznej sieci zastosowanej w projekcie
Rys. 4.1.1.2. Schemat co zostało zaimplementowane na poszczególnych urządzeniach.
Rys. 4.3.1. Zrzut ekranu z programu Kiwi Syslog
Rys. 4.3.2. Zrzut ekranu z programu LStat
Rys. 4.3.3. Schemat trybu SPAN i RSPAN kopiowania ruchu z interfejsów
Rys. 4.3.4. Zrzut ekranu z programu NetFlow pokazujący różnorodność pakietów w transmisji
Rys. 5.1. Ochrona na atak rozpowszechnianie MAC Spoofing
Rys. 5.2. Ochrona na atak na przejęcie roli przełącznika głównego
Rys. 5.3. Ochrona na atak przejęcie roli przełącznika głównego
Rys. 5.4. Przykład konfiguracji do ataku Smurf
Rys. 5.5. Reakcja systemu na lawinę pakietów ICMP oraz ich sposób ograniczenia
Rys. 6.1. Wyniki przeprowadzonego ataku socjotechnicznego
Rys. 6.2. Statystyki z ataku na podstawie płci
Rys. 6.3. Wykorzystanie procesora podczas pracy z pakietami w technologii CBAC
Rys. 6.4. Wykorzystanie procesora podczas pracy stref w technologii ZFW
Rys. 6.5. Wykorzystanie pamięci przy pracy w tunelu VPN
80
82
83
88
89
93
94
116
117
117
118
122
122
123
124
124
126
127
128
128
129
133

Podobne dokumenty