|
Раздел "Безопасность". Содержание:
Статьи:
 Компьютерная разведка: взгляд на сайт компании из недр Интернета
Методы защиты от DDoS нападений
Защищенный разговор
Атака из сети
Проверка на вшивость
Новости:
День личной сетевой защиты
Вирусы обращаются к пиринговым сетям
Американская интернет-система для голосования оказалась не защищена от хакеров
Хакеры осадили сайт izvestia.ru
"Лаборатория Касперского" усовершенствовала защиту для Linux Workstations
Детектор червей от Check Point ведет учет уязвимостям
Новая модификация червя Mimail сравнивает Буша с обезьяной
Между Японией и Кореей недавно отгремели кибервойны
Раздел "Безопасность". Статьи:
 | Компьютерная разведка: взгляд на сайт компании из недр Интернета |
|
Цель этой статьи не запугать Вас, а предостеречь от возможного недобросовестного поведения конкурентов и дать некоторые советы по избежанию таких действий. Мы попытаемся показать: сколько информации могут получить ваши конкуренты, проведя анализ сайта вашей компании; выделить наиболее частые ошибки, допускаемые украинскими компаниями; показать в насколько уязвимом положении может оказаться компания размещая свой сайт в Интернете.
И так начнем…
Введение
Наличие сайта компании в Интернете стало обыденным инструментом для ведения бизнеса. В основном, мы используем его как еще один канал общения с покупателями, партнерами и др. заинтересованными лицами, снимая тем самым нагрузку с классических форм получения о нас информации – телефон, факс и т.д. Некоторые компании, отдавая дань моде, пытаются полностью или частично перенести свой бизнес в Интернет. Как результат, появляется огромное количество электронных магазинов, складов и т.п.
Публикации в СМИ описывают выгоды, получаемые компанией от размещения своего сайта в Интернете, но не рассматривают другую сторону этого явления. В данной статье мы попытаемся показать те минусы, которые приобретает компания, выходя во «всемирную паутину».
Основная часть
Прежде всего, любой сайт характеризуется двумя показателями – дизайном и его информационным наполнением. Для нас больше важен второй показатель. А именно – характер информации, которую Вы выкладываете на страницы своего сайта. Не следует руководствоваться правилом, чем больше информации на сайте – тем лучше для компании. Нужно помнить, что любую информацию можно проанализировать и получить на основе ее выводы о вашей деятельности. Кроме того, некоторая информация сама по себе может уже являться конфиденциальной. И ее выкладывание в Интернет категорически нежелательно.
Каждая компания сама определяет перечень информации, которая составляет ее коммерческую тайну. Последнее и описывается в соответствующих внутрифирменных документах и разработке информационной политике компании. Выход таких данных за пределы компании грозит непредсказуемыми последствиями и, в первую очередь, происходит по вине персонала.
Выделим два пути получения конфиденциальной информации через сайт компании:
а) непроизвольное выкладывание конфиденциальной информации на страницы сайта
Данная ошибка особо часто допускается, когда вся работа с сайтом, а в частности его информационное наполнение, возложена на технический/обслуживающий персонал фирмы. Эта работа считается рутинной и ей не придают должного внимания.
Пример: в компании Х менеджер по закупкам назначен ответственным за информационное наполнение сайта. Не желая ничего плохого, он выкладывает в Интернет список партнеров/заказчиков с указанием их контактной информации. Единственных мотивом его поведения является тот факт, что поисковые системы будут давать больше ссылок на сайт его компании. Тем самым увеличивается посещаемость Интернет — ресурса, что, на данное время, является единственным аргументом высшему руководству для обоснования затрат на разработку и дальнейшую поддержку сайта.
б) получение конфиденциальной информации через «форму обратной связи»
Любой сайт предоставляет инструменты для организации обратной связи между его посетителями и компанией. На данный момент, наиболее распространенными являются размещение на страницах Интернет–ресурса электронных адресов персонала фирмы или возможность отправить в компанию письмо прямо с сайта.
Итак, мы получаем письмо, отправленное посетителем сайта. Он любезно просит уточнить потребительские характеристики нашего товара. Написав ему ответ, нам приходит еще одно сообщение с просьбой более детально расписать техническую сторону товара и этапы его производства. Все это мотивируется как «аргументы для дальнейшей работы с компанией». В последствии наш собеседник, по непонятным для нас причинам, прекращает с нами общение. Это и не удивительно, ведь он получил всю необходимую ему информацию.
Следует помнить, что возложение обязанностей ведения переписки на обслуживающий/технический персонал при отсутствии контроля за их действиями, может нанести значительный ущерб компании. Не проинструктированные в данном вопросе работники фирмы могут предоставлять любые данные, которые запрашивают «потенциальные заказчики».
Размещение на сайте электронных адресов персонала компании, а иногда их предоставляются до 20 и более, таит в себе еще одну скрытую опасность. Полученные таким образом, они используются для рассылки нежелательных писем — спама. Сбор адресов с сайта может происходить без посещения последнего, в данное время с этим достаточно успешно справляются программные роботы. Серьезность этих размышлений подтверждают проведенные американскими компаниями исследования, которые показывают, что сотрудник может тратить до 30% своего рабочего времени на обработку писем пришедших на его почтовый ящик.
Как одно из решений данного вопроса – отправка письма со страницы сайта. Таким образом, скрывается сам электронный адрес, куда уходят письма, плюс все они приходят на один почтовый ящик. Просмотр его может осуществляться одним человеком, осведомленным в вопросах, описанных выше.
Второе решение данного вопроса – заключение соглашения с компанией, которая будет обслуживать ваши публичные почтовые ящики. Организация работ здесь происходит по следующей схеме – компания, предоставляет Вам электронные адреса, которые и размещаются на страницах сайта. Все письма тщательно проверяются на спам, и на наличие вирусов. Первые и вторые отсеиваются – все остальные передаются обслуживающей компании. Как мы видим, схема проста и очень эффективна. Кроме этого вы избавляетесь от риска попадание во внутреннюю сеть компании вирусов, пришедших через электронную почту. И в дальнейшем, когда завязываются отношения с партнером или клиентом, вся переписка с ним переводится с публичного почтового ящика на рабочий почтовый ящик компании.
В рассмотренных двух случаях получение конкурентами конфиденциальной информации возможно только благодаря незнанию данного вопроса персоналом компании или его халатности.
Обратим теперь наше внимание на другую сторону работы с сайтом, а именно – размещение на нем новостей и пресс-релизов компании. Данные действия могут показаться читателю совершенно безобидными. Что может быть опасного в том, что мы предоставляем посетителям сайта информацию о событиях в компании, освещения ее деятельности и др.
Сбор и анализ этой информации позволит конкурентам определить Ваши стратегические направления развития. Станет понятным куда вы двигаетесь и чего хотите достичь, чему вы уделяете больше внимания и что является для вашей фирмы главным. Естественно, для получения таких выводов недостаточно прочитать пару сообщений с вашего сайта. Наблюдение за вашей компанией будет идти длительный период, будет собираться вся информация о Вас и вашей деятельности, куда и попадут новости и пресс-релизы.
Мы ни в коем случаи не подводим Вас к мысли, что раздел «Новости» нужно закрыть на сайте. Одним из выходов в данной ситуации является увеличение новостной информации и освещение других, незначительных сторон деятельности компании. Т.е. добавление пустой для выводов информации, производя «зашумливание» важных событий среди множества других второстепенных. Это значительно затруднит возможность получения конкурентами аналитических выводов по вашей деятельности.
При работе с новостями, следует постоянно помнить одно правило. Никогда не выкладывайте на сайт новости, которые описывают события в ближайшем будущем. Всегда описывайте факты, которые уже прошли. Т.е. не следует писать, что начаты переговоры с компанией Х или рассматривается вариант сотрудничества и совместной работы с ней. Используйте другой подход – уже после завершения проекта разместите на сайте новость, что ваша компания удачно завершила выполнение проекта Х и благодарит всех, кто принимал в этом непосредственное участие.
Перейдем теперь к рассмотрению следующего вопроса – рейтинговые системы и каталоги Интернет–ресурсов. Данные программные решения предоставляют возможность зарегистрировать в них свои сайты. Как результат, мы получаем некоторое мнение или оценку своего проекта.
Эти действия относительно безвредны для сайта компании, но ситуация изменяется, если вы продвигаете на рынок свой Интернет–продукт и делаете ставку на получение дохода от предоставления услуг потребителям. В данной ситуации, регистрируя его в рейтингах и др. оценочных системах, Вы пытаетесь получить максимум информации о нем. Последнее же даст нам возможность знать мнение потребителей о нем и разработать следующую версию, более функциональную и востребованную на рынке.
Если к данной информации открытый (публичный) доступ, то Ваши конкуренты имеют возможность получить критику продукта, его анализ, узнать слабые и сильные стороны. Это даст им возможность выйти на рынок с новым, улучшенным решением по отношению к вашему продукту. Самый простой выход из данной ситуации — закрыть публичный доступ к просмотру информации о вашем Интернет–ресурсе. Как мы увидим дальше, данная ошибка с открытым доступом присуща и в других ситуациях.
Когда появляется сайт компании, его владельцев в первую очередь интересует показатели его посещаемости. Для получения таких данных используются счетчики. Они размещаются на каждой странице Интернет – ресурса и фиксируют ее просмотр. Сейчас на рынке существует огромное их количество: от любительских разработок до профессиональных продуктов; по цене – от совершенно бесплатных, до оплаты ежемесячно значительных сумм. На некоторых сайтах можно увидеть целый ряд таких счетчиков, разукрашиваемых нижнюю часть страниц.
Информацию, которую они предоставляют, можно разделить на следующие группы:
- общая статистика – посещаемость, посетители;
- характеристики посетителя – география, параметры браузера;
- статистика структуры – просмотры страниц, откуда были заходы;
- работа посетителей с сайтом (сессии) – точки входа и выхода, переходы между страницами, время нахождения на страницах и т.п.
Анализируется в первую очередь первая группа — общая статистика. Она предоставляет нам информацию о количестве посетителей, времени посещения и страницы, которые были ими просмотрены. Другие группы включают показатели, смысл которых не такой прямой и простой, и они не поддаются детальному анализу.
Счетчик сам по себе предоставляет очень много информации, но ее обработка и анализ потребует знания механизмов работы в Интернет. По этой причине, большая часть данных просто игнорируется. А получение из показателей счетчика выводов, пригодных для принятия решений в бизнесе, потребует еще большего умения.
Дадим краткое описание тех выводов, которые можно получить из статистики счетчика:
а) посещаемость
По показателям счетчика можно увидеть страницы и разделы сайта, которые являются наиболее просматриваемыми. Если Вы размещаете на них информацию о продуктах или описание услуг, станет ясно, на чем именно фокусируют свое внимание посетители. Имея данную информацию, ваши конкуренты имеют возможность уделить в своей работе больше внимания тем товарам и услугам, которые интересны посетителям, и тем самым увеличить объемы своих продаж.
В этом же контексте рассматривается и анализируется поведение посетителей на Интернет–ресурсе. Изучается мотивация и причинность переходов между страницами, время их работы с ними и т.п. Данный вопрос более детально будет рассмотрен ниже.
б) информация о посетителях
Из данной группы статистики нам более всего интересна информация о регионах (странах) и о хостах посетителей.
Первое дает нам возможность получить карту распределения заинтересованности посетителей ресурса. Получив такие данные, ваши конкуренты могут увидеть, где проявляется наибольшая заинтересованность в ваших продуктах или услугах. Эта информация очень полезна, когда конкуренты хотят выйти на рынок с продуктом, аналогичным вашему. Они имеют возможность увидеть, каким регионам страны следует уделить больше внимание. По этой статистике они могут так же проследить активность работы каждого филиала, если они разнесены по разным странам или регионам.
Информация о хостах предоставит им возможность (следует уточнить - не всегда) определить, откуда осуществлялся просмотр страниц сайта вашей компании, и кто проявляет к вам интерес.
Пример: мы обратили внимание на компанию, которая занимается предоставлением бизнес информации участникам рынка о надежности того или иного их партнера — юридического лица. Работает она на рынке уже не первый год. Так как доступ к статистике счетчика, установленного на страницах сайта компании, был открыт, т.е. публичным, то каждый имел возможность ознакомиться с ней. При анализе хостов за определенный период времени, мы получили список компаний, которые проявляют интерес к их услугам, а возможно уже воспользовались ими. Дальнейшее использование данной информации может быть всевозможным.
Скорей всего, данная ситуация подходит под парадокс «хорошего парикмахера» – «у хорошего парикмахера не обязательно хорошая прическа, так как не он стрижет себя». Но допускать такие ошибки тоже нельзя и не стоит давать вашим конкурентам возможность получать так легко информацию о Вас.
Ваша компания тратить как материальные, так и нематериальные ресурсы на проведение рекламных, маркетинговых и PR-акций для привлечения новых заказчиков/партнеров. Естественно, получив поверхностную информации о Вас, они захотят более детально ознакомиться с предлагаемыми вами услугами или товарами. Часть из них, для решения данного вопроса, воспользуется возможностями Интернет и посетит сайт вашей компании. И вот на этом этапе потенциальных заказчиком/партнеров могут успешно перехватить их, не затратив при этом каких-то больших усилий. Вашим конкурентам достаточно позвонить компаниям, проявлявшим интерес к сайту компании и рассказать им о себе.
Как можно увидеть, из описанного выше, допустив одну маленькую оплошность, Вы можете полностью свести на нет все затраченные вашей компанией усилия.
в) анализ поведения посетителей
Наверно, наиболее интересную информацию о вашей компании конкуренты могут получить, проведя именно такой вид анализа. Статистика счетчика позволяет просматривать переходы посетителей по страницам, что дает возможность изучения их мотивации, выявление причин принятия ими того или иного решения.
Рассмотрим данный вопрос на более конкретных примерах, что даст возможность читателям лучше понять высказываемые здесь мысли. Для этого обратим ваше внимание на ставшие столь популярными в последнее время электронные магазины. Сейчас мы можем через них купить все: от зубной щетки до автомобиля или самолета.
Итак, ваша компания имеет в Интернете свой электронный магазин. Приносит он вам прибыль или нет – это уже второй вопрос. Как и любой сайт, на страницах магазина стоит счетчик. Если ваши конкуренты имеют статистику посещаемости и поведения, знайте — Вы подарили им информацию об объеме продаж электронного магазина, получаемом от его работы доходе и другую бизнес информацию. Дабы не вводить читателей в заблуждение, здесь следует уточнить, что такая ситуация возможна, только когда Вы используете определенные технологии и механизмы работы электронного магазина. Консультацию по данному вопросу вам даст программист, работающий в вашей компании.
Мы не будем приводить в данной статье перечень всех используемых для построения электронных магазинов в Интернете технологий и их анализ на предмет проведения указанных ниже действий. Опишем лишь наиболее простой и известный случай.
Пример: все действия посетителя в электронном магазине передаются на сервер в виде значения параметров методом «get» и могут быть визуально видны в URL — …page.php?id=174&action=add (action=buy), где id — уникальный номер товара в системе, action – действие посетителя: добавить в корзину, оформить покупку и т.п. Список таких URL конкуренты получают из статистики счетчика, установленного на страницах вашего электронного магазина. Что позволяет знать им действия посетителей относительно товаров. Просуммировав их, они получают список купленных посетителями товаров. Цена их указана вами на страницах сайта – что дает возможность получить объемы продаж за любые периоды, наиболее покупаемые товары и высчитать доход, получаемый вами от работы электронного магазина.
Для проведения такого исследования нужно обладать специфическими знаниями о механизмах и технологиях работы Интернет. Консультацию по данным вопросам вашим конкурентам может дать любой студент технического ВУЗа за вполне умеренную плату.
Как видно, проведя такой анализ, ваши конкуренты могут сделать выводы – выгодна или нет продажа через Интернет, какие именно товары покупаются и имеют спрос, стоит или нет выходить в Интернет со своим электронным магазином. У Вас же для получения такой информации ушел не один месяц работы и затрачены достаточно большие финансовые ресурсы.
Как видно из рассмотренного выше раздела по анализу статистики счетчиков, выводы о вашем бизнесе, получаемые при анализе, могут быть очень важными для ваших конкурентов. Имея их, они существенно подкорректируют свое развитие, что даст им преимущества в конкурентной борьбе. Для проведения описанных здесь работ не требует больших финансовых затрат, что делает их доступными для средних и маленьких компаний. Последнее же показывает, что аналитические исследования не являются приоритетом больших компаний.
Так, нами не затронут вопрос об этике использования полученных выводов вашими конкурентами. А как вы, читатель, сами понимаете, они могут быть как совершено безобидными, так и иметь своей целью нанесение урона вашему бизнесу, вплоть до вытеснения Вас с рынка.
Выводы
Подытоживая все выше сказанное, можно сделать следующие выводы:
- компании на рынке Украины не имеют знаний по данному вопросу и не рассматривают сайт компании с описанной здесь точки зрения, а именно анализа их конкурентами и получения информации о деятельности компании;
- количество и качество информации, которое могут получить ваши конкуренты о Вас через анализ сайта, просто огромное, а ее использование ими – непредсказуемое;
- для устранения описанных ошибок, компании достаточно осуществить не требующие много времени и денег элементарные действия, как пример можно порекомендовать:
а) закрытие публичного доступа к информации счетчика и др. Интернет–систем, которые предоставляют статистику или анализ вашего ресурса;
б) определение перечня информации, которая может выкладываться на сайте;
в) разработка правил работы с Интернет–ресурсом, что касается переписки через сайт, новостей и др.
И последнее: иногда мы совершаем действия, совершенно безобидные с нашей стороны, но которые могут иметь обратный эффект, поэтому всегда старайтесь получать консультацию от специалистов.
Об авторе: Мисюк Сергей Константинович, директор компании «Вернито», e-mail contact@vernito.com, tel. +38 (044) 554-75-44
   
| Методы защиты от DDoS нападений |
|
Попасть под воздействие DDoS атаки - кошмарный сценарий для любого системного
администратора, специалиста по безопасности или поставщика доступа.
Обычно атака начинается мгновенно и без предупреждения и не
прекращается со временем - система не отвечает, канал заблокирован,
маршрутизаторы перегружены. Эффективный и быстрый ответ на нападение
затруднителен и часто зависит от третих лиц, типа ISP провайдеров. В
этой статье исследуется методы, которые должны использовать
системные администраторы, если они когда-либо оказались в этой,
довольно нежелательной, ситуации.
Обнаружение DDoS нападения
DDoS нападение распознать просто
- замедление работы сети и серверов, заметное как администратору
системы, так и обычному пользователю. Первым шагом в нашей защите мы
должны идентифицировать тип трафика, который загружает нашу сеть.
Большинство нападений DDoS посылает очень определенный тип трафика -
ICMP, UDP, TCP, часто с поддельными IP адресами. Нападение обычно
характеризует необычно большое количество пакетов некоторого типа.
Исключением к этому правилу являются DDoS нападения, направленные
против определенных служб, типа HTTP, используя допустимый трафик и
запросы.
Чтобы идентифицировать и изучить пакеты, мы должны анализировать
сетевой трафик. Это можно сделать двумя различными методами в
зависимости от того, где исследуется трафик. Первый метод может
использоваться на машине, которая расположена в атакуемой сети.
Tcpdump - популярный сниффер, который хорошо подойдет для наших
целей. Анализ трафика в реальном масштабе времени невозможен на
перегруженной сети, так что мы будем использовать опцию "-w", чтобы
записать данные в файл. Затем, используя инструмент типа tcpdstat
или tcptrace, мы проанализируем результаты.
Результаты работы tcpdstat, на нашем tcpdump файле:
DumpFile: test
FileSize: 0.01MB
Id: 200212270001
StartTime: Fri Dec 27 00:01:51 2002
EndTime: Fri Dec 27 00:02:15 2002
TotalTime: 23.52 seconds
TotalCapSize: 0.01MB CapLen: 96 bytes
# of packets: 147 (12.47KB)
AvgRate: 5.56Kbps stddev:5.40K PeakRate: 25.67Kbps
### IP flow (unique src/dst pair) Information ###
# of flows: 9 (avg. 16.33 pkts/flow)
Top 10 big flow size (bytes/total in %):
26.6% 16.5% 14.7% 11.6% 9.8% 7.6% 5.4% 5.4% 2.5%
### IP address Information ###
# of IPv4 addresses: 7
Top 10 bandwidth usage (bytes/total in %):
97.5% 34.1% 31.2% 21.4% 10.7% 2.5% 2.5%
### Packet Size Distribution (including MAC headers) ###
<<<<
[ 32- 63]: 79
[ 64- 127]: 53
[ 128- 255]: 8
[ 256- 511]: 6
[ 512- 1023]: 1
>>>>
### Protocol Breakdown ###
<<<<
protocol packets bytes bytes/pkt
------------------------------------------------------------------------
[0] total 147 (100.00%) 12769 (100.00%) 86.86
[1] ip 147 (100.00%) 12769 (100.00%) 86.86
[2] tcp 107 ( 72.79%) 6724 ( 52.66%) 62.84
[3] telnet 66 ( 44.90%) 3988 ( 31.23%) 60.42
[3] pop3 41 ( 27.89%) 2736 ( 21.43%) 66.73
[2] udp 26 ( 17.69%) 4673 ( 36.60%) 179.73
[3] dns 24 ( 16.33%) 4360 ( 34.15%) 181.67
[3] other 2 ( 1.36%) 313 ( 2.45%) 156.50
[2] icmp 14 ( 9.52%) 1372 ( 10.74%) 98.00
Как видно, эти простые утилиты могут быстро помочь определить
тип преобладающего трафика в сети. Они позволяют сэкономить много
времени, анализируя и обрабатывая зафиксированные пакеты.
Для контроля входящего трафика может использоваться
маршрутизатор. С помощью списков ограничения доступа, маршрутизатор
может служить основным пакетным фильтром. Скорее всего он также
служит шлюзом между вашей сетью и интернетом. Следующий пример от
Cisco иллюстрирует очень простой способ использовать списки доступа,
чтобы контролировать входящий трафик:
access-list 169 permit icmp any any echo
access-list 169 permit icmp any any echo-reply
access-list 169 permit udp any any eq echo
access-list 169 permit udp any eq echo any
access-list 169 permit tcp any any established
access-list 169 permit tcp any any
access-list 169 permit ip any any
interface serial 0
ip access-group 169 in
Используя команду "show access-list", система покажет
количество совпавших пакетов для каждого типа трафика:
Extended IP access list 169
permit icmp any any echo (2 matches)
permit icmp any any echo-reply (21374 matches)
permit udp any any eq echo
permit udp any eq echo any
permit tcp any any established (150 matches)
permit tcp any any (15 matches)
permit ip any any (45 matches)
Результаты просты, но эффективны - обратите внимание на
высокое число ICMP echo-reply пакетов. Подробная информация может
быть собрана о подозреваемых пакетах, добавляя в конец команду
"log-input" к специфическому правилу. Это правило будет
регистрировать информацию о любом ICMP трафике:
access-list 169 permit icmp any any echo-reply log-input
Маршрутизатор теперь более подробно регистрирует собранные
данные (которые можно посмотреть используя "show log") о
соответствующих пакетах. В пример ниже, файл регистрации показывает
несколько пакетов, соответствующих правилу DENY ICMP:
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.45.142 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.45.113 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.212.72 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 172.16.132.154 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.45.15 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.45.142 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 172.16.132.47 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.212.35 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.45.113 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 172.16.132.59 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.45.82 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.212.56 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 172.16.132.84 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.212.47 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.45.35 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 192.168.212.15 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
%SEC-6-IPACCESSLOGDP: list 169 denied icmp 172.16.132.33 (Serial0 *HDLC*) -> 10.2.3.7 (0/0), 1 packet
Обратите внимание на информацию, содержавшуюся в каждой
строке: источник и адрес назначения, интерфейс и правило, которому
оно соответствует. Этот тип детальной информации поможет определить
нашу защиту.
Реакция
После того, как мы идентифицировали подозреваемый
трафик, пришло время исследовать, как нам ответить на нападение. К
сожалению, варианты несколько ограничены, потому что большинство
DDoS нападений использует поддельные исходные IP адреса, которые
вероятно сгенерированы случайным образом. Так что же нам делать?
Отслеживаем источник атаки
Первое, что приходит в голову,
это попытаться "проследить" источник атаки. Однако DDoS, в отличие
от традиционного DoS, исходит из множественных источников. Поэтому
неплохо было бы определить транзитный маршрутизатор, через который
проходят большинство пакетов. К сожалению, для этого потребуется
сотрудничать с несколькими источниками, так как вы не способны
исследовать пакеты на вышестоящих маршрутизаторах. Каждый участник
процесса (главным образом ISP провайдеры) будут использовать очень
похожие методы. Идентифицировав злонамеренный тип трафика, используя
вышеописанные методы, будет создан новый список ограничения доступа.
Добавив его к правилам, которые применены к интерфейсу, который
посылает трафик атакуемому адресату, мы снова используем команду
"log-input". Регистрация подробно запишет информацию об исходном
интерфейсе и MAC адресе источника атаки. Эти данные могут
использоваться, чтобы определить IP адрес маршрутизатора,
отправляющего злонамеренный трафик. Процесс будет повторен на
следующем маршрутизаторе в цепочке. После нескольких итераций,
источник (или один из них) будет обнаружен. Тогда можно создать
соответствующий фильтр, который заблокирует атакующего. Недостаток в
этом методе защиты от DDoS нападения - время и сложность. Получение
таких данных требует работы с несколькими сторонами, и иногда
использование правового принуждения.
Ограничение допустимого предела ("rate limit")
Лучший способ
немедленной помощи, доступный большинству ISP провайдеров, должно
быть "ограничение допустимого предела" злонамеренного типа трафика.
Ограничение допустимого предела ограничивает пропускную способность,
которую определенный тип трафика может потреблять в данный момент
времени. Это может быть достигнуто, удаляя полученные пакеты, когда
превышен некоторый порог. Полезно, когда определенный пакет
используется в нападении. Cisco предлагает способ, который позволяет
ограничить ICMP пакеты, используемые в нападении:
interface xy
rate-limit output access-group 2020 3000000 512000 786000 conform-action
transmit exceed-action drop
access-list 2020 permit icmp any any echo-reply
Этот пример поднимает интересную проблему, которая была
отмечена ранее. Что, если злонамеренный трафик полностью законный?
Например, ограничение SYN flood, направленное на Web сервер,
отклонит и хороший и плохой трафик, так как все законные подключения
требуют начального установления связи. Это трудная проблема, не
имеющая простого ответа. Нельзя просто защитится от таких типов
хитрых DDoS нападений, не принося в жертву часть законного трафика.
Фильтрация черной дыры
ISP провайдеры могут использовать
другие способы защиты, которые зависят от изменения маршрутизации,
типа фильтрации "черных дыр". "Black hole" фильтрация отправляет
злонамеренный трафик к воображаемому интерфейсу, известному как
Null0 - подобный /dev/null на Unix машинах. Так как Null0 - не
существующий интерфейс, трафик, направленный к Null0, по существу
удаляется. Кроме того, эта методика минимизирует воздействие
производительности, так как остальная часть сети остается устойчивой
при тяжелых загрузках.
Важно отметить, что адресная фильтрация - не лучший способ защиты
против DDoS нападений. Даже если вы заблокировали нападение на своем
маршрутизаторе или межсетевой защите - все еще большие порции
входящего трафика могут затруднить прохождение законного трафика.
Чтобы действительно облегчить эффект от DDoS нападения, трафик
должен быть блокирован в вышестоящей цепочке - вероятно на
устройстве, управляемом большим провайдером. Это означает, что
многие из программ, которые утверждают, что предотвращают DDoS
нападения, в конечном счете, бесполезны для маленьких сетей и их
конечных пользователей. Кроме того, это означает, что предотвращение
DDoS нападения, в некоторый момент, не зависит от нас. Это печальная
правда, понятная любому, кто когда-либо имел дело с проблемой.
Предотвращение
Если вы удачно защитились от DDoS нападения,
удостоверьтесь, что вы используете следующие предосторожности,
которые будут препятствовать вашей собственной сети участвовать в
DDoS нападениях.
Нужно включить команду "ip verify unicast reverse-path" (или не
Cisco эквивалент) на входном интерфейсе подключения восходящего
потока данных. Эта особенность удаляет поддельные пакеты, главную
трудность в защите от DDoS нападений, прежде, чем они будут
отправлены. Дополнительно, удостоверьтесь, что блокирован входящий
трафик с исходными адресами из зарезервированных диапазонов (то
есть, 192.168.0.0). Этот фильтр удалит пакеты, источники которых
очевидно неправильны.
Входящие и исходящие методы фильтрации, также критичны для
предотвращения DDoS нападений. Эти простые списки ограничения
доступа, если внедрены всеми ISP провайдерами и большими сетями,
могли бы устранить пересылку поддельных пакетов в общедоступный
интернет, сокращая тем самым время, требуемое для розыска
атакующего. Фильтры, помещенные в граничные маршрутизаторы,
гарантируют, что входящий трафик не имеет исходного адреса,
происходящего из частной сети и что еще более важно, что трафик на
пересекающихся курсах действительно имеет адрес, происходящий из
внутренней сети. RFC2267 - большой основа для таких методов
фильтрации.
Наконец важно составить точный план мероприятий ПРЕЖДЕ чем,
произошло нападение.
Заключение
DDoS нападения - вызов Internet сообществу. В то
время как существует большое количество программ для предотвращения
DDoS атак, большинство из них не применимо для небольших сетей или
провайдеров. В конечном счете, вы сами должны защитится от DDoS. Это
значит, что вы должны четко знать, как реагировать на нападение -
идентифицируя трафик, разрабатывая и осуществляя фильтры. Подготовка
и планирование, безусловно, лучшие методы для того, чтобы смягчить
будущие DDoS нападения.
| Защищенный разговор |
|
В то время как существуют
десятки программных продуктов,
позволяющих шифровать файлы и
сообщения, передаваемые по
электронной почте, средств для
защиты разговоров в режиме on-line все
еще очень мало. Какой бы из
известных программ для разговора в
текстовом режиме (chat) мы ни
пользовались, наш разговор может
стать объектом для любопытных ушей.
Мысль летит дальше: на любом из
десятка или более узлов сети, через
которые проходят пакеты, их можно
фильтровать, изучать, записывать.
Особенно легко это делать вашему
провайдеру. Вывод: если не хотите
ставить в известность о своих
личных делах провайдера, ФСБ, ФБР
(список можете продолжить сами), для
важных разговоров пользуйтесь
программами для защищенных
разговоров.
Способ 1: Разговор в текстовом режиме
Те из читателей, которые не в первый
раз заглядывают на мой сайт, знают,
что в этом классе я описывал лишь
одну программу - Secure Communicator.
Прграмма плохая, дорогая, алгоритм
шифрования не раскрывается.
BetweenUs, обеспечивает шифрование
разговора по алгоритмам 3DES, CAST-128 и
Blowfish, передачу шифрованных файлов,
одновременную беседу до 10
пользователей, удобный интерфейс,
похожий на IRC. Самое ценное, что
программа имеет online директорий, где
можно встретиться с другом, так что
знать IP адрес человека заранее
совсем не нужно. Программа
находится в стадии internal beta и не
имеет подробного файла справки,
просто небольшой readme на английском
языке. Так что если интересно, то
дистрибутив можно взять здесь (2.1MB).
Разработчики обещают бесплатную
регистрацию активным бета-тестерам
и просят написать пару строк даже
если все работает идеально.
Во-вторых, даю пару линков с
описаниями (от Tucows) на новые
программы, которые я нашел, и
предложить читателям самим их
попробовать и, если есть желание,
написать о впечатлениях.
Итак, вашему вниманию предлагаются:
- Bote.
Private encrypted Internet Chat, PopupNotes, Messages,
Mini Web Server, Email, File Transfers, Voice Messageing,
Dynamic IP Address support via Website, DNS or Email
means you are in contact when you want to be. Visual and
Audible alerts ensure that your important messages are
seen. You control Botes' power with its comprehensive but
rational setup panels.
- SecureChat. High
security chat program. Advanced features and security
implementation. Not for the inexperienced, provides
excellent encryption to chat conversations. Clean
interface and attractive font options in the program.
Способ 2: Интернет-телефония
Прекрасный продукт для тех, кто
имеет хорошую телефонную линию,
быстрый модем и звуковую карту - это
PGPfone. Он обеспечивает надежнейшую
криптозащиту и позволяет общаться
не только в сети, но и просто с
другим телефонным абонентом
напрямую. Получить программу можно здесь, а
узнать подробнее об этом продукте
можно у Максима
Отставнова.
Другой весьма качественный
продукт для шифрованного общения
голосом через Интернет - Speak
Freely (freeware). По желанию
пользователя программа
обеспечивает шифрование по
алгоритму DES или IDEA (последний
надежнее), что требует
предварительного обмена паролем. В
принципе можно работать и с
публичными PGP ключами, но
поддерживается только страя DOS
версия PGP. Программа очень
компактна (меньше 300К),
нетребовательна к системным
ресурсам и обеспечивает весьма
приемлемое качества звука. На выбор
предлагается много различных
алгоритмов компрессии, некоторые
из них совместимы и позволяют
общаться с пользователями других
аналогичных программ. Так что даже
если вас не интересует шифрование,
Speak Freely - отличный выбор для
телефонного общения в сети.
| Атака из сети |
|
Во-первых, пусть название статьи
вас не пугает... или пугает, но не
очень сильно. Речь идет всего лишь о
том, что когда компьютер подключен
к сети, он становится ее частью. К
сожалению, большинство
пользователей забывает об этой
совершенно тривиальной истине. Меж
тем забывать о ней не стоит, ибо
несколько практических выводов,
которые из нее следуют, таковы:
- Вы имеете доступ к миллионам
компьютеров Интернета, а
миллионы компьютеров
Интеренета зачастую имеют
доступ к вашему компьютеру.
- Загружая программы из сети, вы
можете заполучить на свой диск
программу-троянца или вирус.
- Любой компьютер в сети
подвержен различным
техническим атакам, которые
могут привести к его зависанию,
потере данных и прочим
прелестям.
Ну а теперь рассмотрим все это
подробнее, спокойно и без истерик.
Разговор пойдет о компьютерах,
работающих под Windows 95/98/NT. Знатоки
(опытные пользователи, гуру, хакеры
) могут удалиться, начинающие
(неопытные пользователи, женщины,
дети, военные) могут остаться.
Доступ к компьютеру
Примерно к четверти или трети
всех компьютеров под Windows в сети
можно получить доступ за пару
минут. Этот печальный факт
объясняется тем, что сами
пользователи (или глупые системные
администраторы) конфигурирую
компьютер таким образом, что его
папки или целые диски становятся
доступными для чтения и записи с
удаленных компьютеров. Формально
это называется File and Print Sharing. Если вы
щелкните по иконке Network в Control Panel, то
увидите эту кнопку. И если флажок I
want to be able to give others access to my files включен,
то стоит задуматься.
Почему пользователи дают доступ к
своим файлам - наверное понятно.
Самая распространенная ситуация - в
доме два компьютера, соединенных в
маленькую сеть. Скрывать друг от
друга нечего, поэтому дается
свободный доступ сразу ко всему.
Или человеку нужно переписать
данные с десктопа на ноутбук. Или в
небольшой фирме стоит локалная
сеть. Или вы просто любите на разные
незнакомые кнопки нажимать ...
Короче говоря, придумайте
что-нибудь сами :-). Ну а где доступ с
соседнего компьютера, там и доступ
из Интернета. Как это делается, я
рассказывать не буду: секрета здесь
никакого нет, просто об этом
написаны мегабайты статей на
разных сайтах и тысячи постингов в
Usenet. Если кому-нибудь интересно -
поищите информацию в DejaNews,
ключевыми словами могут быть access
remote share* Windows.
Я же остановлюсь на том, к чему
могут привести путешествия других
людей по вашим дискам, и как этого
избежать. Во-первых, у вас могут
украсть приватную информацию, что
крайне неприятно. Файлы могут также
вообще стереть, что, пожалуй, еще
неприятнее. Но как правило крадут
другое, особенно если крадут
русские: пароли. Особенности
национального менталитета
("Халява!!!!!!!!!") приводят к тому,
что масса малолетних бездельников
только и занимаются тем, что крадут
пароли доступа к Интернету с чужих
компьютеров, благо устройство Windows
95/98 и большинства программ к этому
располагает. Пароли хранятся
просто по всему диску, обычно в
слабо зашифрованном виде. Dial-Up
пароли - в файлах .PWL, почтовые
пароли к Outlook - в реестре, к Eudora - в
eudora.ini, к FTP сайтам (включаю вашу
персональную страничку) - в разных
файлах FTP-клиентов, пароли NT - в
файлах SAM, и т.д. и т.п. Появилось
множество программ, которые
способны эти пароли извлекать, и
целые коллекции таких программ,
например на сайте Russian
Password Crackers есть несколько
программ для работы с .PWL файлами.
Так что пусть звездочки в окне
ввода пароля вас не обнадеживают, а
вот свободный доступ к файлам
своего компьюьера лучше
ограничить.
Как это сделать? Windows 95/98 и NT
по-разному обеспечивают удаленный
доступ. В первом случае, как
правило, используется share-access control
(доступ на основании только пароля),
во втором - user-access control (на основании
пары имя-пароль). На особенностях
безопасности NT я останавливаться
не хочу, потому что это очень
большая тема, да и не место ей на
этом сайте. Вы можете сами найти
много полезной информации на эту
тему на сайтах, посвященных
безопасности NT или просто прочесть какой-нибудь
FAQ. Для пользователей же Windows 95/98
cамое простое решение - отключить File
and Print Sharing, если он вам уже не нужен.
Можно также убрать привязку File and
Print Sharing к протоколу TCP/IP (Control
Panel=>Networl=>TCP/IP=>Properties=>Bindings), что
эффективно заблокирует доступ к
общим ресурсам из Интернета. Если
же доступ нужен, но то ставьте
пароли на общие папки и диски,
причем желательно сложные пароли.
Имейте также ввиду, что существует
возможность "взобраться вверх по
дереву", то есть если на диске C:
есть папка SomeStuff с открытым
доступом, то до корня C: тоже могут
добраться. Ну а вообще Windows 95/98 - ОС
слабо защищенная, и никакой
гарантии безопасности дать, увы, не
может.
В качестве развлекательной
программы можно установить NetWatcherPro
(245K, freeware), которые включает сирену
каждый раз, когда кто-то ломится в
компьютер. При этом показыватся IP
адрес атакующего и те файлы и папки,
котрые визитер просматривает.
Очень познавательно! Если доступ
хоты бы к одной папке открыт, сирену
будете слышать как минимум раз в
час.
А кони все скачут и скачут...
Какие кони? Троянские! Троянцами
называют программы, которые на
первый взгляд выполняют некие
полезные фунции, но на самом деле
либо разрушают систему, либо отдают
контроль в руки другого человека.
Пород троянцев множество:
некоторые из них вообще не
выполняют полезных функций, а
просто скрытно "живут" на
диске и делают разные гадости, а
некоторые, наоборот, совершенно не
скрываются от пользователя, при
этом производя некоторые
манипуляции, о которых никто не
подозревает (или не должен
подозревать). Пример первой породы -
всем известный Back Orifice, дающий врагу
почти полный контроль над вашим
компьютером и для вас невидимый.
Пример второй породы - MS Internet Explorer,
который при соединении с сайтом
Майкрософт развивает совершенно
бешенную активность по пересылке
данных с компьютера на сервер
Майкрософт, объем которых явно
превосходит простой запорос HTML
документа.
Попасть троянец на компьютер
может двумя основными способами:
либо вам его "положат" на диск,
либо вы его сами себе скачаете. Ну
очень нетривиальная мысль :-) Меж
тем множество людей получают
подобные программы себе на диск
каждый день. Со вторым способом все
более-менее ясно: не стоит
скачивать программы с неизвестных
сайтов, поддавшись на обещания
авторов дать вам "сУпЕр КрУТУю
МочИлкУ против /\аммер0в" или
классный вьюер для бесплатной
порнухи. Не надо также открывать
attachments, пришедшие с почтой от
незнакомых людей. С первым же
способом все немного сложней.
Во-первых, в ваше остутствие
какая-нибудь добрая душа может
этого троянца просто переписать на
компьютер с дискеты (не оставляйте
компьютеры без присмотра!).
Во-вторых,троянца могут положить из
сети прямо на диск пока вы, ничего
не подозревая, мило беседуете в IRC
или гуляете по сайту Netscape. Как с
этим бороться, я рассказал выше. Да,
и еще один важный момент. Кто-то
меня недавно удивил, сказав, что
положить-то файл из сети на
локальный диск можно, но как его
локально запустить? Да очень
просто, из строки Run в win.ini, ведь этот
файл подправить дистанционно тоже
легко. Так что timeo Danaos et dona ferentes! О
целом табуне троянев подробно
рассказано на сайте Trojan Games.
Некторых особенно
распространенных троянцев
способны обнаруживать
антивирусные программы, например AntiViral
Toolkit Pro. Имейте ввиду, что всех
троянцев ни одна программа
обнаружить не может, и можно
спокойно рассмеяться в лицо тому
производителю софта, который
пытается убедить вас в обратном.
Хочу также рассказать о том, как
реальные и вымышленные факты,
касающиеся доступа к компьютеру из
Интернета, могут использоваться
против доверчивых пользователей.
Есть один московский провайдер,
выведем его под псевдонимом
"2-Конь". Так, средненький
провайдер, довольно дешевый, только
вот одним плох - постоянно ворует ( я
бы даже сказал, нагло прет) у
клиентов время. Смотришь сатистику,
ба! Оказывается просидел
пользователь в сети всю вчерашнюю
ночь, хотя на самом деле мирно
посапывал в кровати. Клиенть звонит
провайдеру, тот, натурально,
заявляет, что невиновен, и что
пароль доступа у клиента украли.
Клиент верит, меняет пароль, через
неделю все повторяется. Клиент
звереет. Провайдер официально на
своем сайте заявляет, что в связи с
огромным числом троянцев претензии
по поводу неправомерного доступа к
аккаунту не принимаются. Если
клиент верит в мифы, то он будет
продолжать потокать ворам, полагая,
что пароль у него действительно
воруют. Если же он в мифы не верит, а
доверяет своим собственным
знаниям, то он досконально
проанализирует уязвимость своего
компьютера и, возможно, придет к
выводу, что пароль крадут все же не
с его компьютера.
Технические атаки
На самом деле термин
"Технические атаки" не очень
точен. Все атаки, по сути,
технические. Здесь имеются ввиду
атаки из сети, направленные на
технический вывод из строя
компьютера, как правило на короткое
время, нужное для перезагрузки.
По-английски такие атаки
называются Denial of service (DOS) attacks. К privacy
это прямого отношения не имеет, но
раз уж зашел разговор об атаках, то
я решил кратко упомянуть и о них.
Cимптомы "болезни" таковы:
неожиданно компьютер, подключенный
к сети, зависает, либо появляется
голубой "экран смерти" -
сообщение об ошибке. Лечение
простое - Alt-Ctrl-Del. Инструментарий
для таких атак водится в сети в
большом количестве, не меньше и
недоумков, которые получают
наслаждение от того, что заваливают
чей-то компьютер. Cамый известный
представитель славного семейства -
Winnuke, уложивший в свое время
миллионы компьютеров под
управлением Windows. Менее известны bonk,
smurf, ping of death ... несть им числа. Почти
от всех подобных атак можно
защититься, регулярно скачивая
патчи с сайта Майкрософт. Подробно
и по-русски об этом можно прочесть здесь.
| Проверка на вшивость |
|
Давненько ничего не было слышно про глобальные компьютерные эпидемии, но вирусописатели, конечно же, на заслуженный отдых не отправились. И минувшие выходные принесли “долгожданную” весть. Встречайте: легка на помине, очередная почтовая инфекция Bagle-A.
Bagle или, если быть точным, Beagle (букв. гончая – это слово встречается в коде вируса, но, чтобы не потакать авторам зловредной программки, решено официально именовать её искажённым именем Bagle), был замечен в Сети впервые в субботу, а на понедельник пришлась первая волна заражений по всему миру. До вечера вторника его вниманием оставались обделёнными только Соединённые Штаты, праздновавшие день Мартина Лютера Кинга, но и здесь за последние двенадцать часов ситуация наверняка изменилась – и к уже покорённым ста с лишним странам добавилась ещё одна. Да, Bagle, несмотря на свою невероятную простоту, шагает по планете весьма смело: число перехваченных антивирусными компаниями копий измеряется десятками тысяч, а общее число заражённых машин в мире по косвенным данным перевалило за миллион. Всё это заставило отдельные компании (в частности F-Secure) присвоить инфекции наивысший уровень опасности.
Самое любопытное в происходящем то, что Bagle – как уже было отмечено выше – чрезвычайно прост и в чём-то даже наивен. Это самый обычный, можно сказать классический, которых уже не бывает, почтовый вирус, попадающий на машину потенциальной жертвы в виде письма с прикреплённым к нему exe-файлом. В письме, кроме заголовка, содержащего всего одно слово (Hi!), находится полная тарабарщина. Если пользователь пытается открыть прилагаемый файл, тот запускается и устанавливает свою копию в каталог Windows (по наличию там файла beagle.exe можно определить, заражена ли машина, а удалив файл – провести дезинфекцию). После этого Bagle принимается за рассылку инфицированных писем по обнаруженным на компьютере почтовым адресам и переходит в режим ожидания команд от хозяина (открывает и слушает порт 6777), играя роль “троянского коня”. Одновременно с некоторой периодичностью он пытается выкачать с дюжины бесплатных серверов некий файл, предположительно содержащий вторую версию вируса: оригинал, подчиняясь встроенной в него команде, перестанет работать после 28 января.
Короче говоря, теоретически, шансов на успех у Bagle нет никаких: файрволы на входе в корпоративные сети должны отсечь исполняемый файл от письма, они же должны заметить и заблокировать попытки вируса связаться с внешним миром. Кроме того, сами пользователи должны понимать, что совершают глупость, пытаясь открыть каким-то образом просочившееся послание. Вот только вопреки всем предположениям Bagle работает и – готовьтесь! – ближайшая неделя обещает быть непростой.
Ничего интересного в этой истории больше нет, но мне бы хотелось использовать её как вступление для перехода к более общей теме защищённости современных персональных компьютеров от внешних напастей. Вы все знаете про неудовлетворительную ситуацию с защищённостью программных продуктов Microsoft. Привычка обвинять во всех бедах софтверного гиганта стала настолько популярной, что, положа руку на сердце, признайтесь: вы тоже согласны с таким вот бытующим среди администраторов средней руки утверждением – мол, если вы сделали ставку на Microsoft, у вас проблемы. Говоря так, обычно кивают в сторону Linux или Mac OS. Но насколько реально обоснованы такие страхи, подозрения и обвинения?
Признаться честно, я и сам до недавнего времени разделял их полностью. Но поменял своё мнение, попав пару месяцев назад на одно большое (имя его в данном случае не имеет значения) предприятие, где вся ИТ-инфраструктура была словно бы специально подготовлена для эпидемического взрыва. Десятки машин и несколько больших серверов увязаны в единую локальную сеть, работают под управлением Windows 98, 2000 и XP без всяких сервис-паков и патчей, в качестве почтовых клиентов повсеместно используются базовые версии Outlook Express, ни одно соединение не защищено файрволом и т.п. и т.д. Короче говоря, идеальное место для превращения в рассадник заразы. Единственное, что защищает всё это “великолепие” – жёсткие блокировки на шлюзе, соединяющем локальную сеть с Интернет: здесь запрещены все соединения, кроме необходимых для просмотра веб-страничек, а от входящих писем (пользователям разрешён доступ только к одному – собственному, корпоративному – почтовому серверу) принудительно отсекаются исполняемые файлы. Ужас, который я ощутил, когда это всё увидел, неописуем – понимаете сами: такая сеть могла жить до первой большой эпидемии, но не дольше. Вот только ничего не случилось ни через день, ни через два, а ветераны, проработавшие здесь последние лет пять говорят, что ничего не случалось и раньше. Грамотно построенная линия внешней обороны гарантирует защиту от глобальных напастей. Так не перегнули ли мы палку с обвинениями в адрес коммерческого софта? Возможно, при правильном подходе всё не так страшно? Подключайтесь к дискуссии, обсудим!
Раздел "Безопасность". Новости:
| День личной сетевой защиты |
|
Ведущие компании США в области программного обеспечения и систем защиты отмечают начало общенациональной кампании по обучению потребителей защите домашних компьютеров. Цель Personal Firewall Day (Дня личной сетевой защиты) — донести до пользователей знания об опасностях, с которыми они могут столкнуться во время связи с интернетом.
На сайте Personal Firewall Day новички смогут узнать о средствах, защищающих подключенный к интернету компьютер, и о сетевых угрозах для данных, таких, как хакеры, вирусы, черви и троянские кони. Эта кампания также хороший повод для профессионалов компьютерной безопасности поделиться своими знаниями с семьей, друзьями и обществом. Спонсорами выступают McAfee, Microsoft, Sygate, TruSecure и Zone Labs. Начинание также поддерживают Information Technology Association of America (ITAA) и институт SANS — лидеры в обучении и компьютерной защите.
Исследование, проводимое службой America Online для National Cyber Security Alliance обнаружило, что 86% пользователей хранит приватную информацию на компьютерах, что делает их привлекательными для сетевых хищников. По данным Gartner Inc., в течение 12 месяцев с июня 2002 года по июнь 2003 года 7 миллионов взрослых американцев стали жертвами идентификационных обманов. За год количество краж идентификаторов выросло на 79%.
Чтобы всесторонне защитить компьютер, необходимо сочетание файрвола (системы сетевой безопасности) и антивирусной программы. Личный файрвол создает барьер между компьютером и потенциально опасным контентом интернета. Вся входящая извне информация должна пройти через него, чтобы остались лишь проверенные данные. Файрвол можно настроить так, чтобы разрешить или блокировать входящий трафик с определенных адресов. Хороший антивирус может следить за входящей и исходящей почтой, скачиваемыми файлами и любыми дискетами и CD, которые вставляются в компьютер.
Многие люди не сознают потребности в личных файрволах на домашних компьютерах, но если их не использовать, риск угрозы данным очень велик, считает Пол Робертсон (Paul Robertson) из TruSecure. Расс Купер (Russ Cooper), модератор рассылки NTBugtraq, хотел бы, чтобы потребители понимали, что их связь с интернетом двусторонняя, и злоумышленники могут использовать подключение для атаки их компьютеров. «Если каждый из нас использует Personal Firewall Day чтобы убедиться, что хотя бы пятеро из наших друзей понимают важность обновления ооперационных систем, антивирусов и личных файрволов, мы сдвинем дело с мертвой точки,» — утверждает Стивен Норткатт (Stephen Northcutt), директор по обучению и сертификации в институте SANS.
Чтобы поднять планку безопасности в интернете, все мы должны ответственно подходить к надежности и безопасности вычислений. Лучший совет для новичка в компьютерах — найти знающего человека, которому он доверяет и обсудить с ним проблемы сетевой защиты, считает Купер.
| Вирусы обращаются к пиринговым сетям |
|
Авторы вирусов используют пиринговые сети для распространения своих творений. Подобная методика усложняет прекращение процесса распространения вредоносных кодов. По мнению экспертов, p2p сети становятся все более привлекательными для создателей вирусов.
Способов построения пиринговых сетей — множество, архитектура с центральным сервером, управляющим другими машинами в сети, встречается редко. Вместо этого каждый компьютер разделяет бремя организации системы, и должен предоставлять хранимую информацию прочим звеньям цепи. Наиболее известные пиринговые сети, такие как Kazaa, используются широкой аудиторией для поиска музыки, видео и других файлов.
Одним из первых вирусов, использовавших пиринговую сеть для размножения, был червяк Slapper, ориентированный на ОС Linux. Под Windows вирус, называемый Sinit, появился в 2003 году. Он превращал каждую зараженную машину в звено p2p сети. Ожидалось, что создатель Sinit будет использовать получившуюся сеть для управления зараженными компьютерами. «Это вечная гонка вооружений между авторами вирусов и антивирусными фирмами. Sinit — новый дерзкий вызов антивирусным компаниям», — сказал в интервью BBC Пит Симпсон (Pete Simpson) из компании Clearswift, предоставляющей услуги фильтрации почты.
Раньше некоторые авторы вирусов-"троянов" использовали для передачи команд IRC-каналы. В IRC-сетях были зарегистрированы тысячи компьютеров. Обнаружение и закрытие чатовского канала отключало создателя вируса от подчиненных машин. Однако, в распределенных сетях все не так просто, ибо за конкретный компьютер никто не несет ответственности. Так же в них намного труднее найти, где были запущены команды и кто контролирует процесс.
Кевин Хоган (Kevin Hogan), глава центра антивирусной защиты Symantec Security Response, грустно шутит: «Хорошей новостью о вирусных пиринговых сетях является то, что они редки. Это немножко сложнее, чем внедрить „троянского коня“ на единственном сервере». Ситуацию спасает не всегда эффективная передача команд между машинами распределенной сети и то, что редко используемые порты, через которые идет обмен информацией, блокируются большинством систем сетевой защиты. Однако, Хоган считает, что тенденция использования p2p сетей будет расти.
| Американская интернет-система для голосования оказалась не защищена от хакеров |
|
Интернет-система для голосования на президентских выборах, разработанная по заказу Пентагона, оказалась недостаточно защищена от постороннего вмешательства, сообщает сайт газеты NY Times.
К такому выводу пришла группа экспертов по компьютерной безопасности, проверявших по заказу американского правительства работу экспериментальной системы для голосования через интернет (Secure Electronic Registration and Voting Experiment, SERVE).
На разработку этой системы Пентагон выделил более 22 миллионов долларов. Планируется, что она будет введена в эксплуатацию в течение ближайших двух недель, и с ее помощью американские военнослужащие и гражданский персонал смогут голосовать на праймериз и президентских выборах в 2004 году.
"Мы настоятельно рекомендуем отказаться от использования этой системы для голосования и не заниматься разработками ее аналогов до тех пор, пока интернет не претерпит фундаментальных изменений или не будет создана принципиально новая система защиты передаваемых данных", - говорится в отчете, подготовленном по итогам работы группы экспертов по компьютерной безопасности.
На ближайших выборах интернет-системой голосования должны воспользоваться около 100 тысяч человек. Всего, по расчетам Пентагона, при помощи новой системы голосования в выборах должны принимать участие более миллиона американских граждан, находящихся за пределами страны.
Пентагон уже заявил, что, несмотря на выводы экспертов, интернет-система будет запущена в пробную эксплуатацию. "Это всего лишь точка зрения одной из групп экспертов, на ее основе невозможно принять решение о сворачивание такой значимой программы", - заявил представитель американского военного ведомства Глен Флуд (Glen Flood).
| Хакеры осадили сайт izvestia.ru |
|
Во вторник, 20 января в 9.00 по минскому времени, неизвестные хакеры начали распределенную DoS-атаку (DDoS-атака) на информационный сайт www.charter97.org. За сутки до этого на нем была опубликована статья "Белорусские корни торговцев Child Porn", которая, видимо, и послужила причиной атаки. Вплоть до настоящего времени сайт выведен из строя и доступна одна страница, на которой читателей держат в курсе происходящего, а также приведена та самая статья.
Но такая ситуация не была единичной. На информационном портале izvestia.ru чуть раньше был опубликован материал на эту же тему. И 19 января на него началась атака. Принцип ее состоит в том, что злоумышленник ищет некоторое количество компьютеров, у которых в операционных системах присутствуют незакрытые уязвимости, и использует их в дальнейшем для организации нападения. Машины могут быть расположенны в разных точках мира. Именно с них производится "бомбардировка" конкретного сервера тысячами запросов. Администраторы портала установили, что общим для всех компьютеров, которые участвовали в атаке, является открытый 1900-й порт, на который посылается UDP-пакет с подменой IP-адреса отправителя внутри и URL атакуемого сервера. Таким образом, пользователи компьютеров даже не подозревали, что их машины участвуют в атаке.
Игорь Ворошилов, интернет-аналитик онлайновой редакции "Известий", так отзывается о прошедшей атаке: "Она продолжалась почти двое суток. Остановить такого типа DoS-атаку практически невозможно, поскольку автора UDP-запросов на компьютеры-посредники отследить очень сложно, да и вероятность того, что злодей именно со своей личной машины организует атаку, почти нулевая. Можно только защититься от нее каким-либо из способов, которые, в общем, тоже давно известны. Мы сумели прикрыть "тропу войны" через час с небольшим после начала налета. Наши программисты написали скрипт, который позволяет отследить те IP-адреса, количество запросов с которых было велико, и блокировать доступ к сайту именно для них. При этом остальные пользователи видят izvestia.ru как и прежде."
По его мнению, заказчиками атаки являются скорее всего те порнографы, которые еще находятся на свободе и продолжают свой "грязный бизнес". Однако кибернападение только усилило внимание общественности к затронутой теме. Истинные цели злоумышленников остаются в секрете. Так или иначе, работа сервера восстановлена. Игорь рассказал, что прецендентов такого масштаба у них еще не было. "Случались ситуации, когда с какого-нибудь одного IP-адреса криво настроенной "качалкой сайтов" сыпалось вдвое-втрое больше запросов, чем при штатной нагрузке, но такие неурядицы весьма просто локализуются и ликвидируются простой блокировкой IP выявленного нарушителя. А когда, как из пулемета, сыпятся сотни http-запросов почти с тысячи разбросанных по всему миру компьютеров, такая DoS-атака становится почти фатальной для незащищенного сайта, каковым является, например, www.charter97.org. Мы публично, через лист рассылки сообщества ezhe.ru поделились методикой защиты от конкретной DoS-атаки со всеми желющими. Однако тот факт, что атака на www.charter97.org все еще продолжается, свидетельствует лишь о пассивности саппорта виртуального хостинга, на котором размещается указанный сайт. А ведь для информационных интернет-ресурсов такая "война" опасна вдвойне, поскольку есть риск потерять аудиторию, восстановление лояльности читателей занимает времени и усилий на несколько порядков больше, чем требуется для отражения атаки".
| "Лаборатория Касперского" усовершенствовала защиту для Linux Workstations |
|
"Лаборатория Касперского" представила коммерческое решение для рабочих станций под управлением Linux - "Антивирус Касперского" 5.0 для Linux Workstations. Программу характеризует максимальная автоматизация всех функциональных процессов. В частности, согласно заданному пользователем расписанию осуществляется автоматическая проверка файловой системы рабочей станции. Однако в случае необходимости антивирусное сканирование может быть инициировано в любой момент времени по дополнительному запросу.
Обновление антивирусной базы данных выполняется через интернет при помощи встроенной утилиты. Для обеспечения возможности удаленного управления Антивирус Касперского для Linux Workstations интегрирован с системой администрирования Webmin.
Основное отличие "Антивируса Касперского" 5.0 для Linux Workstations - реализация новой антивирусной технологии, являющейся последней разработкой экспертов "Лаборатории Касперского". Внедренное во все компоненты продукта антивирусное ядро включает в себя все антивирусные технологии мирового класса и обеспечивает значительное по сравнению с предшествующей версией снижение нагрузки на производительность компьютера при полном сохранении функциональности решения. Кроме того, значительному упрощению подверглась архитектура программного комплекса, что существенно оптимизировало процесс его администрирования. Помимо этого, усовершенствована система представления статистических данных. Благодаря этому расширились возможности пользователя в области конфигурации отчетов о работе компонентов программы, а также настройки параметров создания и рассылки предупреждений о вирусных атаках.
Стоимость нового продукта "Лаборатории Касперского" зависит от количества защищаемых рабочих станций. В частности, стоимость организации защиты для 10 рабочих станций составит $325 (без учета налогов).
| Детектор червей от Check Point ведет учет уязвимостям |
|
Устройство InterSpect компании Check Point знает обо всех известных уязвимостях и выявляет подозрительную деятельность в сети, которая может указывать на попытки воспользоваться ими.
Производитель брандмауэров Check Point выпустил устройство для защиты корпоративных сетей от кибератак, использующих известные уязвимости в LAN-протоколах и приложениях. Устройство InterSpect сообщается с регулярно обновляемой базой данных известных уязвимостей, и когда пакеты, связанные с определенным приложением, начинают вести себя подозрительно, перехватывает управление, ставит соответствующий ПК на карантин и предупреждает пользователя о том, что доступ к общей сети временно прекращается — до тех пор, пока компьютер не будет очищен.
Управляющий директор Check Point UK Ник Лав пояснил ZDNet UK, что компании, как правило, защищают свои сети по периметру, и если злоумышленный код занесен вовнутрь (например, через зараженный ноутбук), то возникают проблемы. InterSpect позволяет сегментировать сеть, так что в случае тревоги зоны риска — такие как «зона соприкосновения», где работает много пользователей с ноутбуками, — могут быть быстро изолированы от остальной сети.
«Если в зоне соприкосновения окажется лаптоп, зараженный червем, InterSpect физически отключит это устройство от общей корпоративной сети. Оно будет подключено к другой части сети, которая обеспечивает доступ к необходимым службам для восстановления и очистки ПК», — пояснил Лав.
По его словам, потребность в такой защите вызвана тем, что перед установкой патчей компании обычно выполняют серию тестов, и у злоумышленников есть возможность воспользоваться уязвимостями. Лав приводит в пример MSBlast, использующий уязвимость, о которой было объявлено в апреле 2003 года, а патч для нее опубликовали в июле. Червь MSBlast появился в августе того же года — и, хотя об уязвимости было известно уже несколько месяцев, всю вину возложили на системы, основанные на контрольных сигнатурах. «Ни одна такая система не могла и не сможет обнаружить червя, если он смутировал, — в этом случае их надо опять обновлять», — говорит Лав.
Он уверяет, что, если бы в то время существовала система InterSpect, она обнаружила бы попытку воспользоваться уязвимостью Microsoft, о которой уже было известно. «Мы не разыскиваем известные злонамеренные пакеты — мы выявляем поведение приложений, обращенное к этим уязвимостям. Мы можем заключить, что приложение ведет себя неестественно; следовательно, структура пакетов и их поток злонамеренны, и мы блокируем их».
Аналитическая фирма IDC утверждает, что рынок аппаратуры защиты сетей демонстрирует уверенный рост, но Check Point, вероятно, столкнется с конкуренцией со стороны доминирующих на этом рынке Cisco и NetScreen, доли рынка которых составляют соответственно 27,7% и 20,8%.
InterSpect от Check Point поддерживает протоколы CIFS, MS SQL, DCOM, Sun RPC, DCE RPC, HTTP и др. Продукт поступит в продажу немедленно по цене от 9000 до 39000 долл.
| Новая модификация червя Mimail сравнивает Буша с обезьяной |
|
Новый вариант вируса Mimail - Mimail.N обнаружен в спамерских рассылках, помеченных как "Большое Новогоднее Предложение от PAYPAL.COM" с приложением "pp-attach". Стоит только пользователю открыть приложение, как форма ввода попросит ввести ваш почтовый адрес, номер кредитной карты и личный код идентификации. Если компьютер не подключен к Интернету, червь привяжет стартовую страницу IE к вебсайту, показывающему сатирическую картину, сравнивающую Джорджа Буша и обезьяну. Первое появление Mimail отмечено в августе 2003. С тех пор в сети распространилось уже довольно много вариантов. Mimail. C, Mimail. L и Mimail. М. варианты соблазняю пользователя обещанием разных картинок, Mimail. I, Mimail. J и Mimail. N - модификации пытаются выманить у пользователя детали их кредитной карточки. Консультант по безопасности в антивирусной компании Sophos, Кэрол Тэро, отметила, что маловероятно, что все Mimail-клоны были написаны одним и тем же человеком. Скорее всего, авторы вирусов просто нашли его код достаточно легким для изменения и решили рассылать его, в дальнейшем уже преследуя свои цели.
| Между Японией и Кореей недавно отгремели кибервойны |
|
Споры о принадлежности некоторых островов между японскими и корейскими интернет-пользователями привели к массированным кибератакам. Кибервойны гремели трое суток, выливаясь в попытки взломов и мощные DOS-атаки, изрядно затруднившие доступ ко многим сайтам и забившие паразитным трафиком международные каналы. Японские и корейские власти продолжают споры по территориальной принадлежности острова Додко довольно давно. Обострение споров вызвал одновременный выпуск марок с изображением острова обоими странами. Видимо таким образом они стремились уязвить друг друга.
|
