Илья Медведовский: Атака на Internet

Значительные вложения оправдывают и цену – эти программы далеко не бесплатны, в отличие от SATAN, и стоят сотни долларов, что в данном случае неплохо, так как несколько ограничит число потенциальных кракеров. Для запуска программ нужен ключ, пересылаемый вам при покупке пакета, а в оценочную (evaluation) версию обычно включен ключ, который разрешит вам сканирование только своего собственного хоста.

Это семейство реализовано под 10 платформ:

• Windows NT;

• Windows 95;

• Windows 98;

• Windows 2000;

• HP/UX;

• AIX;

• Linux;

• SunOS;

• Solaris;

• IRIX.

Любая из реализаций знает уязвимости и других платформ.

Система Internet Scanner, хотя должна запускаться на одной из вышеперечисленных платформ (за исключением Windows 9х и IRIX), может быть использована для анализа защищенности любых систем, основанных на стеке протоколов TCP/IP.

Функционально Internet Scanner 5.6 (последняя версия на начало 1999 года) состоит из трех частей: сканер межсетевого экрана (Firewall Scanner), Web-сканер (Web Security Scanner) и сканер Intranet (Intranet Scanner). При этом, как и в SATAN, есть три стандартных уровня сканирования – легкий, нормальный и жесткий, но пользователь может сам настроить те уязвимости, которые войдут в каждый уровень сканирования (рис. 9.9). К тому же он имеет широкие возможности по редактированию следующих классов уязвимостей и проверок:

Рис. 9.9. Рабочий режим программы internet Scanner

• наличие пользователей/паролей по умолчанию и проверка на тривиальность паролей в FTP, POP3, telnet, rsh, rexec;

• проверка многих уязвимых демонов, от UUCP до httpd;

• проверки на подверженность атакам в обслуживании, от различных штормов до плохих пакетов, а также ICMP Redirect;

• проверки NFS и X-Windows;

• проверки на уязвимость служб, использующих RPC, в том числе NIS, pcnfsd и др.;

• отдельно вынесены проверки в Sendmail/FTP – от команды «debug» до современных уязвимостей;

• наличие разделяемых ресурсов Windows и тривиальность их паролей;

• надежность паролей пользователей Windows NT, а также установленной политики использования паролей и обнаружения нарушителей;

• различные настройки реестра Windows NT;

• настройки системы аудита Windows NT;

• проверки WWW-сервера, в том числе возможность задания URL, содержащего точки и доступности исходных текстов ASP-файлов;

• настройки межсетевых экранов и возможность входа на них (например, Cisco, CheckPoint, Raptor);

• установки proxy– и DNS-серверов;

• IP Spoofing, включая возможность предсказания TCP-последовательности и атак на r-службы.

Это единственная система такого класса, получившая в 1998 году сертификат Государственной технической комиссии при Президенте РФ № 195 от 02.09.98.

В отличие от системы Internet Scanner, рассматривающей хосты на уровне сетевых сервисов, System Scanner проводит анализ на уровне операционной системы, что позволяет ей протестировать гораздо больше потенциальных уязвимостей типа локальных переполнений буфера, неверных прав на файлы или каталоги и т. п. Поэтому, несмотря на возможность некоторого дублирования информации в создаваемых отчетах, этот продукт дополняет Internet Scanner. System Scanner, помимо UNIX и Windows NT, поддерживает также проверку ОС Windows 95/98.

Сетевой монитор RealSecure

Наконец, последний и самый быстроразвивающийся продукт – сетевой монитор безопасности RealSecure 3.0 (рис. 9.10). Первоначально он мог только обнаруживать и по факту обнаружения останавливать удаленные атаки. В последних версиях, благодаря возможности управления межсетевым экраном и маршрутизатором, он может также и предотвращать их, динамически меняя правила фильтрации на межсетевом экране или списке контроля доступа (ACL) маршрутизатора. Монитор ориентирован на защиту как целого сегмента сети, так и конкретного узла. Для обнаружения атак он использует так называемые сигнатуры, чем еще раз подтверждается сходство подобных продуктов с антивирусными сканерами. В базе данных RealSecure есть следующие классы сигнатур удаленных атак (рис. 9.11):

Рис. 9.11. Детализация события в RealSecure

• отказ в обслуживании (типа Land, Smurf, OOB – см. главу 4);

• попытки несанкционированного, доступ к ASP-файлам, различные переполнения буфера с возможностью исполнения кода);

• подготовка к атакам (различные способы сканирования портов, команда «expn» в SMTP и др.);

• подозрительная активность (в том числе ARP-запросы, удаленный доступ к реестру);

• подозрительные команды на уровне протоколов (передача паролей в разных службах, передача cookies, анонимное подключение к ресурсам).