12
Топологии звезд являются активными или пассивными сетями в
зависимости от следующих параметров:
Если центральный узел выполняет процессы, такие как усиление
или регенерация данных;
Если сеть активно контролирует транзит данных;
Если в сети требуются источники электроэнергии.
Топологии типа "звезда" также может быть реализован с помощью
Ethernet кабелей, беспроводных маршрутизаторов и/или другие компоненты.
Во многих случаях центральным узлом является сервер, а дополнительные
узлы-клиенты.
Преимущества топологии "звезда":
Централизованное управление сетью, с помощью центрального
компьютера, концентратора или коммутатора;
Легко добавить еще один компьютер к сети;
Если один компьютер в сети не работает, остальные сети
продолжают нормально работать;
Недостатки топологии "звезда"
Может иметь более высокую стоимость, особенно при
использовании коммутатора или маршрутизатора в качестве центрального
сетевого устройства;
Устройство центральной сети определяет производительность и
количество узлов, с которыми может работать сеть;
В случае сбоя центрального компьютера, концентратора или
коммутатора вся сеть отключается и все компьютеры отключаются от сети;
13
1.2 Классификация угроз безопасности локальной сети
В современном мире существует множество атак, которые вызывают
серьезные проблемы в корпоративной сети. Чтобы защитить сеть от атак,
администратор сети должен обнаружить все уязвимости, присутствующие в
сети, и должен знать, как защитить и смягчить последствия всех атак. Атака
происходит в несколько этапов для успешного выполнения против
корпоративной сети. Изначально злоумышленник может иметь
ограниченную информацию о целевой сети, поэтому одной из основных
задач злоумышленника является сбор информации или сведений об
уязвимостях целевой сети. После сбора информации о целевой сети,
несколько атак может быть запущено против организации. Для сбора
информации злоумышленники обычно не нуждаются в глубоких знаниях о
целевой сети. Например, они могут просто использовать WHOIS, чтобы
найти доменное имя и IP-адрес целевой сети, которая не является
преступлением. Эти сведения можно использовать позже для выполнения
атаки. Все сетевые атаки можно разделить на две части:
1. Атаки, требующие незначительного количества информации о
целевой сети;
2. Атаки, требующие значительного количества информации о
целевой сети.
Атаки, требующие меньше информации о целевой сети, делятся на:
Разведывательные атаки;
Атаки доступа;
DOS и распределенные DOS-атаки.
Атаки, требующие дополнительной информации о целевой сети,
подразделяются на:
Черви, вирусы и троянские кони;
Атаки прикладного слоя;
14
Угрозы протоколам управления.
Далее кратко описываются все нападения и методы их смягчения и
уделяется больше внимания разведывательным нападениям и методам их
смягчения.
1.2.1 Разведывательные атаки
Данный вид нападения определяется как несанкционированное
обнаружение и сопоставление систем, служб или уязвимостей целевой сети.
Если злоумышленник или нарушитель хочет атаковать сеть, он нуждается в
некоторой информации о целевой сети, IP-адресах, активных портах и
сервисах, операционной системе на компьютере. С помощью
разведывательных атак злоумышленник может собирать такую информацию
и выполнять реальную атаку на целевую сеть. В течение значительного
времени разведывательные атаки не обнаруживаются, так как не оказывают
никакого влияния на сеть.
Разведывательные атаки - это начальный шаг злоумышленника для
атаки на сеть. Для сбора информации о целевой сети, во-первых,
злоумышленник выполняет пинг целевой сети, чтобы получить список
активных IP-адресов. Затем злоумышленник выполняет сканирование
портов, чтобы определить, какие порты или службы активны на этих IP-
адресах. После определения динамических портов злоумышленник начинает
запрашивать порты, чтобы узнать, какая операционная система работает, тип
и версию приложений, запущенного программного обеспечения и
конфигурации, которая была применена на целевом узле. Разведывательная
атака может быть использована как административный инструмент или как
атакующий инструмент.
При атаке используются следующие инструменты и технологии:
Анализатор пакетов;
15
Сканирование портов;
Команда PING;
Информационные запросы в Интернете.
Рассмотрим далее более подробно каждый из компонентов.
Анализатор пакетов (сниффер) - это метод захвата каждого пакета,
который передается по сети. Сниффер пакетов представляет собой
прикладную программу которая использует сетевую карту компьютера
(Network Adapter Card, NAC) для перехвата пакеты, которые путешествуют
через сетевой уровень протокола управления передачей данных TCP/IP. NAC
должен работать в сквозном режиме для захвата пакетов. Сквозной режим -
это режим, в котором сетевая карта передает каждый пакет, полученный на
физическом уровне в приложение для обработки.
Захват пакетов может быть разработан очень легко, когда сетевое
приложение отправляет пакеты в обычном виде, без шифрования. Когда
пакеты отправляются в простом виде, их легко захватить и получить из них
информацию. Захват пакетов можно использовать как средство
администрирования для мониторинга и проверки сетевого трафика или как
средство атаки.
1.2.2 Сканирование портов и пинг сканирование
Как сканирование портов, так и пинг сканирование являются наиболее
распространенным видом разведывательных атак. Они могут использоваться
в качестве административных инструментов или в качестве средств взлома.
Сетевой администратор будет использовать это средство для поиска
уязвимых служб в сети. Хакер будет использовать, чтобы использовать
службы незаконным способом.
С помощью пинг сканирования злоумышленник получит IP-адреса
целевой сети. Это можно сделать, отправив протокол ICMP-сообщение
16
(Internet Control message Protocol) ping на каждый IP-адрес целевой сети или
отправив сетевой пинг. ICMP-пинг будет отправлять Эхо-запросы к
нескольким узлам. Если узел посылает ответные запросы, то компьютер с
таким IP-адресом присутствует в сети. Пинг сканирование относится к
медленным и старым методам, используемым для сканирования сети.
С помощью сканирования портов злоумышленник может узнать
открытые порты и сервисы, которые активны на компьютере с заданным IP-
адресом. Сканирование портов выполняется путем отправки ряда сообщений
целевым узлам. В зависимости от типа полученного ответа злоумышленник
обнаружит, какие порты открыты, какие порты закрыты и какие службы
связаны с этим портом. Всем службам присваиваются известные номера
портов. Например, простой протокол передачи почты (SMTP) и порт 25. Если
сканирование порта обнаружит номер порта 25, злоумышленник узнает, что
узел использует SMTP. Чаще всего используются инструменты сканирования
портов SAINT, Nmap и Nessus.
1.2.3 Запросы информации в Интернете
Запросы к Интернету для получения информации о веб-сайте или
организации называются запросами к информации в Интернете. Запросы
системы доменных имен (DNS) могут предоставлять информацию о
конкретных доменах, например, кто владеет доменом и какой адрес назначен
этому домену. DNS - крупнейшие и активные распределенные базы данных
на планете. Функция DNS заключается в том, чтобы перевести
удобочитаемый доменное имя в машиночитаемые IP-адреса.
Злоумышленники могут использовать этот интернет-инструмент, для
получения информации из Интернета. Нет способа уменьшить эту угрозу.
Предоставляя информацию DNS, организации должны убедиться в том, что
17
должна быть предоставлена только определенная информация, которая не
причиняет вреда.
1.2.4 Атаки доступа
Атаки доступа можно представить, как доступ к сетевому трафику
незаконным способом. С помощью атак доступа злоумышленники могут
получать данные, получать доступ и могут повышать свои права доступа в
сетях или системах. Они используются для получения доступа к
конфиденциальным базам данных, веб-счетов и другой конфиденциальной
информации. Атака доступа может происходить различными способами.
Атаки доступа состоят из:
Атака на пароль;
Эксплуатация доверия;
Перенаправление портов;
Атака Man-in-the-middle;
Переполнение буфера.
Рассмотрим каждый их этих методов атаки.
Атаки на пароль. Пароли используются для проверки подлинности
пользователей. Пароли являются очень конфиденциальными данными и
легко захватываются хакерами, потому что они понятны человеку. Атаки
паролей используются для угадывания системных паролей. Это делается
путем серии попыток подобрать пароль системы злоумышленником. Атака
по словарю является распространенным примером атаки паролем. Атака по
словарю будет перебирать все возможные пароли пока не найдет нужный
пароль.
Атаки паролем могут осуществляться следующими способами:
Перебор;
Троянская программа;
18
IP-спуфинг;
Анализатор пакетов.
Эксплуатация доверия и перенаправление портов. Устройства,
работающие в общей среде, должны доверять информации, поступающей от
других устройств. Хакеры попытаются использовать это доверие, получив
доступ к одному из скомпрометированных устройств в сети. При
использовании доверия хакер может прослушивать или отправлять или
изменять данные в качестве доверенного пользователя. Например, если хост
Демилитаризованной зоны (ДМЗ) скомпрометирован, то злоумышленник
может воспользоваться этим для атаки на узел, подключенный к внутреннему
интерфейсу брандмауэра.
Атака перенаправления портов - это тип атаки на использование
доверия. С помощью взломанного хоста, атака перенаправление порта
отправляет все пакеты на другой адрес. Она осуществляется путем установки
программного обеспечения проброса портов, такого как HTTPtunnel или
NetCat. С помощью перенаправления портов хакер может знать о
коммуникациях, ID пользователя/пароле и протоколах, используемых в сети.
Man-in-the-Middle (MitM) атаки являются одним из самых интересных
и сложных атак в плане обеспечении безопасности сети. Атака MitM может
быть определена как атака, при которой злоумышленник будет читать и
записывать данные, передаваемые между двумя хостами, не зная хостов. Для
выполнения этой атаки злоумышленник должен иметь доступ к сетевым
пакетам, передаваемым по сети. Атаки MitM также называются атаками на
сессии. Атака MitM реализуется с помощью сетевых пакетов и протоколов
маршрутизации и транспорта.
Основными целями атаки являются:
Нанесение ущерба конфиденциальности, целостности и
доступности;
Сбор информации;
Повреждение передаваемых данных;
19
Внедрение новой информации в сетевые сессии.
Атака переполнения буфера является наиболее распространенной
атакой, которая может поставить под угрозу безопасность компьютерной
системы в сетевой среде. Переполнение буфера - это процесс переполнения
или перегрузки пространства в буфере. Это делается путем программы,
которая записывает данные за выделенный конец буфера в памяти.
Переполнение буфера обычно возникает как следствие ошибок и
неправильного использования таких языков, как C или C++. Атаки
переполнения буфера помогают всем существующим вредоносным червям
распространяться с одной машины на другую. При атаке переполнения
буфера злоумышленник может вставить свой собственный код в компьютер
жертвы, чтобы контролировать или компрометировать службы хоста.
1.2.5 DOS и распределенные DOS-атаки
После разведывательных атак DOS-атаки являются наиболее
распространенной формой атак безопасности. DOS-атаки являются наиболее
сложными для полного устранения, поскольку они не направлены на
получение доступа к сети или информации в сети. Злоумышленники
используют DOS-атаки для предотвращения доступа законных пользователей
к информации или службам в сети. DOS-атаки также могут быть направлены
на целевую сеть, чтобы предотвратить исходящий трафик или предотвратить
входящий трафик для определенных сетевых служб. DOS-атаки делают
сервисы бесполезными для законного пользователя. DOS-атака может быть
выполнена как Flood-атака, атака Ping of Death и SYN-атака. Наиболее
распространенным типом атаки DOS является распределенная DOS-атаки.
Распределенная DOS-атака использует DOS-атаку на сервер и
отправляет в сеть очень большое количество запросов. Чтобы обработать все
запросы, сервер использует много времени и резко замедляет свою работу,
20
вследствие чего становится недоступным для законного доступа и
использования. Для выполнения распределенных DOS-атак,
злоумышленникам требуется очень мало усилий, потому что они могут
воспользоваться слабыми сторонами протоколов. Эти атаки очень трудно
устранить, поскольку они атакуют трафик, который обычно разрешен в сети.
1.2.6 Вирусы, черви и троянские программы
Вирус-это вредоносное программное обеспечение, прикрепленное к
программе или файлу, способному выполнять определенную нежелательную
функцию на компьютере. Вирус может сделать серьезные повреждения,
такие как удаление файлов или стирание всего диска. Некоторые вирусы
очень просты и не нанесут никакого вреда. Вирус не может распространяться
из одной системы в другую без человеческого взаимодействия. Вирус может
распространяться путем совместного использования зараженного файла или
открытия зараженного файла, или открытия вложения электронной почты,
содержащего вирус.
Червь-это подкласс вируса, который может влиять на систему так же,
как и вирус. Червь устанавливает свои копии в памяти компьютера и
выполняет произвольный код. Черви могут распространяться из одной
системы в другую систему без взаимодействия с пользователем. Черви
имеют возможность заражать всю сеть. Черви используют преимущества
автоматической отправки и получения файлов для распространения.
Троянский конь - это название программного обеспечения, который
выглядит полезным, но будет наносить урон после установки или запуска на
системе. Троянский конь может нанести серьезный ущерб, как удаление
файлов и уничтожения информации на вашей системе. Некоторые трояны
просты и не причиняют никакого вреда. Троянские программы не могут
21
воспроизвести, ни повторить себя. Но они могут сделать систему уязвимой
для многих атак.
1.2.7 Атаки прикладного уровня
Атаки прикладного уровня реализуются по-разному. Одним из
наиболее распространенных методов является использование известных
слабых мест приложений или систем, таких как sendmail, HTTP и FTP. Они
показывают пользователю экран, баннер или приглашение, с помощью
троянских программ, чтобы ввести данные для входа в систему. Как только
пользователь вводит данные, эта программа отправляет данные для входа
злоумышленнику. Этот тип атаки является старейшей формой атак
прикладного уровня. Новые формы атак уровня приложений используют
порты, разрешенные через брандмауэр. Эти атаки включают Java-апплеты и
элементы управления ActiveX и пропускают вредоносные программы через
открытые порты и загружают их в браузер пользователя. Атаки прикладного
уровня никогда не могут быть полностью устранены, поскольку ежедневно
обнаруживаются новые уязвимости.
1.2.8 Атаки на протоколы управления
Для расширения области вычислительной среды за пределы одной
локальной сети или нескольких компьютеров требуется набор
автоматизированных средств управления сетью. Для работы в среде с
несколькими поставщиками необходима система сетевого управления,
основанная на стандартизированных протоколах сетевого управления и
приложениях. Наиболее часто используемые протоколы управления Simple
Network Management Protocol (SNMP), SysLog, Trivial File Transfer Protocol