Илья Медведовский: Атака на Internet

• FTP и TFTP;

• NFS и NIS;

• rexd;

• sendmail;

• r-службах;

• X-Window.

Существуют также и дополнения к SATAN, в которые включены другие уязвимости.

Для поиска уязвимостей программа сначала различными способами собирает информацию о вашей системе, причем уровень проникновения конфигурируется пользователем и может быть легким, нормальным или жестким (рис. 9.8).

Легкий уровень, по утверждению авторов программы, не может быть обнаружен атакуемой стороной (по крайней мере, такая активность программы не принимается за враждебную) и включает в себя DNS-запросы для выяснения версии операционной системы и другой подобной информации, которую можно легально получить с использованием DNS. Далее она посылает запрос на службу RPC (remote procedure call), чтобы выяснить, какие rpc-сервисы работают.

Нормальный уровень разведки включает в себя все запросы легкого уровня, а также дополняет их посылкой запросов (сканированием) некоторых строго определенных портов, таких как FTP, telnet, SMTP, NNTP, UUCP и др., для определения установленных служб.

Наконец, жесткий уровень включает в себя предыдущие уровни, а также дополняется полным сканированием всех возможных UDP– и TCP-портов для обнаружения нестандартных служб или служб на нестандартных портах. Авторы программы предостерегают, что такое сканирование может быть легко зафиксировано даже без специальных программ (например, на консоли могут появляться сообщения от вашего межсетевого экрана).

Другим важным параметром, задаваемым при настройке SATAN, является глубина просмотра подсетей (proximity): 0 означает только один хост, 1 – подсеть, в которую он входит, 2 – все подсети, в которые входит подсеть данного хоста, и т. д. Авторы средства подчеркивают, что ни при каких обстоятельствах это число не должно быть более 2, иначе SATAN выйдет из-под контроля и просканирует слишком много внешних подсетей.

Собственно ничем более страшным, кроме как сканированием портов и обнаружением работающих служб и их конфигурации, SATAN не занимается. При этом, если находятся потенциальные уязвимости, она сообщает об этом. Как пишут сами авторы программы, фаза проникновения в удаленную систему не была реализована.

SATAN использует очень современный интерфейс – все сообщения программы оформляются в виде HTML-страниц, поэтому работа с ней мало чем отличается от плавания (surf) по Internet в любимом браузере (SATAN поддерживает любой из них, будь то lynx, Mosaic или Netscape). Пользователь может отсортировать найденные уязвимости (по типу, серьезности и т. п.) и тут же получить развернутую информацию по каждой из них. Для поддержки браузеров в SATAN входит собственный http-сервер, выполняющий ограниченное число запросов, а связь с ним осуществляется при помощи случайного 32-битного числа (magic cookie), которое выполняет дополнительную аутентификацию http-клиента. Иначе говоря, оно служит для предотвращения перехвата конфиденциальной информации браузером, отличным от запущенного самой SATAN, а также против любого взаимодействия с собственным http-сервером SATAN. Любопытно, что версии до 1.1.1 в этой схеме аутентификации тоже содержали ошибку, которая даже попала в один из бюллетеней CERT.

Итак, типичный сценарий работы с SATAN заключается в следующем:

1. Настроить желаемые параметры, в том числе глубину сканирования.

2. Задать адрес цели и уровень сканирования.

3. Просмотреть полученные результаты и получить по ним более подробную информацию.

4. Устранить найденные уязвимости.

Семейство программ SAFEsuite

В последние годы заслуженной популярностью пользуются программные средства, предлагаемые компанией Internet Security Systems (ISS, http://www.iss.net). Они имеют достаточно долгую историю, в частности программа Internet Security Scanner (тоже ISS) известна с 1992 года, когда она была еще условно бесплатной и работала только под UNIX.

С тех пор многое изменилось. В настоящее время компания ISS производит целое семейство продуктов автоматизированного контроля безопасности и обнаружения атак SAFEsuite. Туда входит сильно измененная Internet Scanner (по существу, это уже другая программа), анализирующая систему снаружи; System Scanner, анализирующая ее изнутри; и RealSecure, обнаруживающая и отражающая удаленные атаки. Безусловным достоинством этих программ является то, что они регулярно обновляются, причем в них добавляется не только описание новых уязвимостей и подвидов атак, но и новые механизмы их обнаружения и отражения. Именно мощная поддержка семейства SAFESuite и выводит его в лидеры – иначе через полгода эти программы были бы никому не нужны, как это случилось со многими разработками конкурентов.