Секреты хакеров. Безопасность сетей - готовые решения

Предисловие

      Уязвимый (прил.) - 1. Чувствительный к физическому или эмоциональному воздействию. 
      2. Чувствительный к атаке: "Мы уязвимы на воде и на суше, независимо от наличия
         флота или армии" (Александр Гамильтон). 
      3. Восприимчивый к осуждению или критике; открытый для нападения.
      4. Подверженный влиянию, равно как убеждению и искушению.

При подключении к Internet из дома или офиса мы в любом случае сразу же становимся уязвимыми. При подключении к Internet вы фактически становитесь членом (не важно, по желанию или случайно) сообщества, в котором каждый является частью огромной системы, более мощной, чем сумма ее отдельных составляющих, где время и расстояние не играют никакого значения. Взаимосвязанность посредством Internet делает всех участников этого взаимодействия чрезвычайно близкими друг к другу. Теперь ваш ближайший сосед - это взломщик из другой страны, который хочет нанести вред, или талантливый ребенок, для развлечения рыщущий в виртуальном пространстве в поисках уязвимых мест.

Как и в любом другом сообществе, далеко не все граждане киберпространства честные люди. Сегодня практически в любой газете можно найти факты из жизни, связанные с применением силы или скандалами. Это же касается и Internet. В высокоскоростном сообществе Internet, которое характеризуется огромным количеством связей, можно легко увидеть важные негативные явления, характеризующиеся большой скоростью. Еще более огорчительным является тот факт, что в сообществе Internet "живут" очень умные люди с экстраординарным талантом и уймой свободного времени, которое они затрачивают на нанесение ущерба, а не на созидательную деятельность.

Не нужно слишком углубляться в историю Internet, чтобы увидеть быстрое развитие средств компьютерного взлома. Мне кажется, что скорость, с которой обнаруживаются и используются новые изъяны, гораздо выше, чем та, которая определяется законом Мура (Moore Law). Возможно, сообщество обеспечения безопасности должно сформулировать свой собственный закон, который гласит следующее: "В конечном счете взломщики в Internet смогут найти и воспользоваться каждым изъяном. Чем интереснее цель, тем быстрее это произойдет." К сожалению, большинство людей считают, что они "не относятся" к целям, заслуживающим внимания. Это не имеет ничего общего с действительностью. В этом может убедиться любой, кто установил брандмауэр на своем домашнем компьютере. Мне гораздо проще перечислить все страны, из которых не предпринимались попытки подсоединения к моему домашнему компьютеру, чем те из них, из которых осуществлялись подобные нападения. Каждый день подобные действия предпринимает как минимум дюжина "любителей", которые хотят узнать, будет ли мой компьютер "общаться" с ними через хорошо известного "троянского коня" или уязвимые приложения. Почему это происходит изо дня в день? Все объясняется очень просто: они слишком часто находили и взламывали уязвимые компьютеры.

Имеющиеся на сегодня средства взлома созданы относительно небольшой группой квалифицированных специалистов. В настоящее время благодаря наличию готовых средств, требующих лишь щелчка мышью, которые достаточно загрузить и запустить, скомпилировать и выполнить, в руки любого новичка попадает разрушительное оружие. Не так давно обсуждалось применение утилиты ping в качестве основного метода для создания условия DoS. А сразу же после этого подобные приемы начали стремительно развиваться и привели к возможности осуществления распределенной атаки DoS на компьютеры UNIX. Затем эти приемы были быстро адаптированы для использования на другой платформе, которая оказалась еще более уязвимой, - платформе Windows, используемой тысячами пользователей. Прекрасным примером все ускоряющегося развития методов взлома является вирусы-черви, которые распространяют "троянских коней" без вмешательства человека. С осени 2000 до лета 2001 года появились вирусы Bymer, Ramen Linux, Lion, SADMIND, Leave и Code Red. Вирус Code Red является, по-видимому, наиболее "дорогостоящей" автоматизированной атакой. Нанесенный им вред и средства, затраченные на борьбу с ним, оцениваются в несколько миллиардов долларов. Возможность осуществления подобного "хакинга на автопилоте" оказывается чрезвычайно важной и значительно повышает шансы взломщиков достигнуть успеха. Другие приемы, реализованные в вирусах-червях, характеризуются одной общей особенностью: от связанных с ними изъянов можно защититься и, следовательно, избежать нанесения ущерба. Все подобные изъяны, а также соответствующие контрмеры описываются в данной книге.

Безопасность и современный рынок

В деловом мире существует достаточно жесткая конкуренция, и безопасность в большей мере следует рассматривать не столько с точки зрения обеспечения доступности служб, а как средство рыночного регулирования. Формирование такой тенденции и инциденты в области обеспечения безопасности существенно влияют на курс акций, а также на развитие внешних корпоративных связей. Очевидно, что угроза атак из Internet будет повышаться, а различные компании по-прежнему будут продолжать использовать каналы Internet для осуществления части или всех своих бизнес-транзакций. Несмотря на все повышающуюся опасность атак в Internet, корпорации продолжают расширять сферу своего присутствия в сети. Почему это происходит? Из-за того, что Internet жизненно важна для бизнеса. Следовательно, все компании должны быть защищены и готовы к тому вниманию, которое, возможно, проявят к ним злоумышленники со злонамеренными целями. Разнообразные риски, связанные с ведением бизнеса в Internet, еще более повышают важность поддержки репутации компании. Ухудшение репутации из-за нарушения безопасности является одним из самых быстрых путей потери клиентов и торговых партнеров. Нарушение безопасности, приведшее к разглашению конфиденциальной информации, вашей или ваших клиентов, может стать настоящей катастрофой.

Сети даже самых опытных в области обеспечения безопасности компаний все равно будут содержать различные изъяны, поэтому они должны по-прежнему помнить о необходимости снижения риска. На этом пути первым шагом является получение знаний. И лишь после этого можно приступать к необходимым действиям и улучшениям. В ваших руках оказалось одно из наиболее мощных средств, доступных в настоящее время на рынке. С его помощью вы сможете получить необходимые знания. Читайте эту книгу и используйте полученную информацию. Хотелось бы высказать благодарность авторам этой книги. От них я на протяжении многих лет получал прекрасные советы. Эту книгу они назвали "Книгой изъянов и контрмер". Я надеюсь, что вы будете использовать полученную из этой книги информацию для повышения защищенности вашей организации. С точки зрения обеспечения безопасности в будущем компаниями с хорошей репутацией будут считаться те, которые делают ставку на талантливых людей и гибкие технологии. Это позволит им успешно бороться с постоянно изменяющимися подходами взломщиков и постоянно улучшать свою систему защиты. Те компании, которые не последуют этому примеру, почти наверняка попадут на первую страницу журнала The Wall Street Journal. А это далеко не лучший путь.

Пит Марфи (Pete Murphy), 8/4/2001

Вице-президент по вопросам безопасности, отдел компьютерной безопасности и оперативного реагирования Банка Америки

Питер Ф. Марфи (Peter F. Murphy) отвечает за работу группы борьбы с хакерами (Vulnerability and Response Management) Банка Америки. В состав этого подразделения входят группа оперативного реагирования Банка Америки (BACIRT - Bank of America Computer Incident Response Team), выявления вторжений, оценки состояния подсистемы защиты, управления в кризисных ситуациях, судебных расследований, региональные центры восстановления рабочего пространства, а также группа тестирования и планирования непредвиденных ситуаций в компьютерной сети.

Пит имеет семнадцатилетний опыт разработки систем, технологий аудита и обеспечения безопасности информации в банковской и финансовой сферах. Пит является членом ассоциации ISACA (Information Systems Audit and Control Association). Кроме того, он имеет сертификат аудитора информационных систем (CISA - Certified Information Systems Audit) и принимает участие в работе группы Vulnerability Assessment, являющейся составной частью президентской комиссии CIP (Critical Infrastructure Protection), а также группы обмена информацией по вопросам сетевой безопасности (NSIE - Network Security Information Exchange), входящей в состав Национального президентского консультативного совета по вопросам безопасности телекоммуникаций (NSTAC - National Security Telecommunications Advisory Council).

Комментарий к современному состоянию сетевой безопасности от компании Cisco Systems, Inc.

Билл был сильно разочарован результатами анализа своей деятельности и тщательно продумал свою месть. Его работодатель, GREATNETgames.com, быстроразвивающаяся компания, у которой не оказалось времени внимательно продумать вопросы безопасности. Очень немногочисленный и слишком перегруженный персонал при проектировании сети не разработал всестороннего плана обеспечения безопасности. В сети GREATNETgames.com для соединения с глобальной сетью используется пограничный маршрутизатор. Однако его возможности по обеспечению защиты совсем не задействованы. Внутренняя сеть оптимизирована для удобства, а не для безопасности. На сетевом сервере не применяется единая схема шифрования паролями, которая необходима для строгой аутентификации. Специалисты по информационным технологиям установили брандмауэр для защиты внутренней сети, но не общедоступного Web-сервера. Поскольку сеть GREATNETgames.com наверняка уязвима для любого взломщика, то что говорить о "своем" хорошо осведомленном человеке. И Билл приступает к работе.

После простого сканирования сети в распоряжении Билла оказалась ясная картина ее изъянов. Он исследовал домен NT, используемый финансовой службой, компьютеры отдела исследований и учета кадров, а также обнаружил несколько несложных паролей, большинство из которых запомнил. С помощью стандартных учетных записей Билл разместил "троянских коней", которые будут предоставлять ему все возможности удаленного управления, а также установил сетевой анализатор для сканирования почтовых сообщений. Это позволит быть в курсе обсуждения его атак. Кроме того, он реализовал несколько "бомб" замедленного действия, которые автоматически сработают через определенное время. После успешного завершения всех действий Билл приступает к поиску данных о торговых операциях. И это только начало...

В течение последних двадцати лет компьютерная индустрия совершила поразительный переход от закрытых сетей, основанных на использовании мэйнфреймов, к открытым сетям с доступом в Internet. В настоящее время компании участвуют в электронной коммерции, чтобы оставаться конкурентоспособными, и могут быстро подключаться к своим многочисленным партнерам, обеспечивая возможность взаимодействия с удаленными служащими. И это происходит на фоне многих других новшеств. Однако наряду с преимуществами использования Internet повышается также риск деловой деятельности, и компании должны быть к этому готовы. При "открытии" сети сразу же возрастает и риск. Как продемонстрировано в приведенном выше сценарии, невнимательное отношение к вопросам защиты может предоставить много потенциальных возможностей искусным взломщикам.

Вне всякого сомнения, червь Code Red, вирус Melissa и другие широко известные средства создания атак DoS должны привлекать пристальное внимание специалистов по информационным технологиям и бизнесу. Очевидно, что даже самые могущественные компании оказываются уязвимыми. Зачастую именно они выбираются в качестве цели. Опасность хакинга становится все более серьезной, а его результаты все более разрушительными. Не стоит раздумывать о целесообразности защиты информации при построении сети и развертывании новых приложений.

Государственное регулирование также начинает играть все более существенную роль. Организации должны учитывать новые законы и защищать свою ценную информацию. Вряд ли радостным окажется звонок из юридического отдела, когда руководители компании захотят разобраться в том, как взломщику удалось воспользоваться вашей сетью для нападения на другие сети. Эти "дополнительные обязательства" должны оказать существенное влияние на увеличение вложений в сферу электронной коммерции.

Как же управлять рисками в таком изменчивом и опасном окружении, являющемся следствием тех колоссальных преимуществ, которые обеспечиваются Internet? Это ключевой вопрос. Сразу же стоит сказать о том, что простого ответа на этот вопрос нет. Не существует никакой "серебряной пули". Любая компания, предоставляющая свой продукт или службу с обещаниями решить ваши "проблемы безопасности", дезинформирует потенциального покупателя.

Однако построение и использование защищенной сети абсолютно необходимо, если ваша организация хочет безопасно пользоваться всеми преимуществами Internet. Каждая организация является уникальной и имеет свои собственные причины для участия в электронной коммерции. Однако вполне очевидно, что стратегия обеспечения безопасности должна напрямую быть связана с преследуемыми целями. Вот пять самых важных элементов любой робастной стратегии обеспечения безопасности, каждый из которых базируется на остальных. Эти элементы формируют комплексный план, который нужно рассматривать в логической последовательности.

1. Политики. Имеется ли у вас четкая политика обеспечения безопасности, которая согласуется с целями, которые нужно достигнуть с помощью электронной коммерции? Распространена ли эта политика между служащими вашей организации? Без разработанной в письменной форме политики обеспечения безопасности у вас не будет целей, которых требуется достичь, или средства оценки связанной с этим деятельности. Как можно достигнуть цели, если неизвестны пути ее достижения?

2. Планы. Какова ваша стратегия реализации принятых политик? Имеется ли в вашем распоряжении комплексный план обеспечения безопасности существующей сети? Естественно, к наиболее важным вопросам относится не только перечень приложений и технологий, используемых в сети в настоящее время, но и то, какой сеть должна стать завтра. Например, предназначена ли ваша инфраструктура обеспечения безопасности для защиты и поддержки сетевых решений нового поколения, таких как IP-телефония, беспроводные сети и т.д.?

3. Продукты. Какие ключевые технологии и службы требуются для выполнения плана и достижения поставленных целей? Как они должны быть развернуты, чтобы обеспечивался требуемый уровень защиты, производительности, масштабируемости и качества обслуживания? Насколько важна поддержка клиентов? На подобные вопросы не так просто ответить. Зачастую для того, чтобы убедиться в выборе правильного решения, требуется детальный анализ предложений поставщиков.

4. Процессы. Как вы планируете управлять инфраструктурой по обеспечению безопасности? Какие показатели должны отслеживаться при анализе состояния подсистемы защиты? Если произошло нарушение безопасности, то как следует на него реагировать? Ясно, что для успешного выполнения плана очень важно обеспечить непрерывность процесса эксплуатации. Разворачиваемые технологии обеспечения безопасности должны подвергаться непрерывному мониторингу, тестированию и адаптации в сети.

5. Люди. Какие ресурсы требуются для успешной реализации плана обеспечения безопасности, развертывания программных продуктов и поддержки процессов? Нужно ли часть инфраструктуры передать для обслуживания сторонним организациям или самостоятельно осуществлять все управление? Очень важно определиться со специалистами, которые требуются для успешного управления сетью. Однако этот вопрос зачастую недооценивается, что приводит к существенным "скрытым" издержкам. Стоит подумать также об опытных в вопросах безопасности администраторах.

Как же сделать первый шаг? Часть усилий нужно направить на знакомство со своим противником. Исторически так сложилось, что вопросы обеспечения безопасности не были связаны с основными сетевыми технологиями. Однако эта ситуация непрерывно изменяется вместе с появлением обширных описаний каждой новой атаки. Очень важно, чтобы различные организации проясняли проблемы, с которыми им приходится сталкиваться. Познакомившись с Секретами хакеров, вы сможете сделать большой шаг вперед в понимании имеющихся изъянов и используемых механизмов. Полученные бесценные знания позволят успешно начать разработку стратегии обеспечения безопасности в вашей организации.

Дэвид Ж. Кинг (мл.) (David G. King, Jr.)

Президент компании Cisco Systems, Inc.

Благодарности

Эта книга не появилась бы без поддержки, участия и вклада многих людей.

Во-первых, хотелось бы высказать искреннюю благодарность нашим коллегам из компании Foundstone. Их огромные усилия и желание помочь в написании третьего издания этой книги, а также их ценные советы сложно переоценить. Большое спасибо Стефану Барнсу (Stephan Barnes) и Мелани Вудраф (Melanie Woodruff) за их значительный вклад в главу 9, "Хакинг удаленных соединений, PBX, Voicemail и виртуальных частных сетей". Спасибо Крису Абаду (Christopher Abad) и Маршаллу Бедои (Marshall Beddoe) за ценный материал для главы 8, "Хакинг UNIX". Большой благодарности заслуживают Йен-Минг Чен (Yen-Ming Chen) и Дэвид Вонг (David Wong) за большой вклад в написание глав 3, 10 и 14. Отдельное спасибо Клинтону Мажу (Clinton Mugge) и Эрику Биркгольцу (Erik Birkholz) за предоставление подробных сведений о терминальном сервере и обсуждение многих других вопросов.

Выражаем большую благодарность неутомимым редакторам и другим сотрудникам издательства Osborne/McGraw-Hill, кто принимал участие в работе над этим изданием, в том числе Джейн Браунлоу (Jane Brownlow), Эмме Аккер (Emma Acker) и Лиэнн Пикрелл (LeeAnn Pickrell).

И наконец, большое спасибо всем читателям первого и второго изданий, которые участвовали в постоянном обсуждении вопросов, рассмотренных в этой книге.

Введение

Основной противник - неведение

"Оцените своих противников, иначе они первыми выявят ваши слабые места".

Антисфен, афинский философ, 440 лет до нашей эры

С давних пор мы обращаемся к старшему поколению за знаниями и опытом; напутствия и советы старших товарищей позволяют предотвращать неисчислимые болезни и несчастья, сваливающиеся на нас. Однако в современном эзотерическом и непрерывно изменяющемся мире компьютерной безопасности несколько "мудрецов" могут без проблем прогуляться по корпоративному пространству. Сегодня электронные солдаты не могут даже вооружиться "картой дорог", не говоря уже о ведении боя против этих неприметных и хитрых противников.

Для того чтобы улучшить защиту и быть способным бороться с противником, вы должны знать его в лицо, проявлять к нему интерес и учиться у него. Хакеры обладают достаточно мощными ресурсами и сплоченностью, так что их нельзя игнорировать. Взломщики непрерывно совершенствуются и изобретают новые приемы. Зачастую хакеры бродят по киберпространству как привидения, их очень трудно обнаружить. Подобно вирусам, они видоизменяются и адаптируются, чтобы выжить. А это значительно затрудняет их изучение.

Современный мир представляет собой хаотическое электронное поле сражения. На каждом витке развития общества технологии и компьютеры все прочнее входят в обычную жизнь, делая ее более простой и эффективной. Однако все это продолжается лишь до тех пор, пока скрыт один секрет. В проводах, по которым в Internet снуют миллиарды электронов, содержится большая тайна, которую мы лишь сейчас начинаем разгадывать и раскрывать - мир хакера. Прочитав книгу Секреты хакеров, проследив за приемами взломщиков и научившись им, вы сможете приблизиться к пониманию сути атак, механизмов их осуществления, а также узнать, на достижение каких целей они направлены и какие мотивы лежат в их основе. Сегодня нет ничего другого, что способно больше пригодиться профессионалу в вопросах безопасности.

Снимите шоры

Хакеры смогут обнаружить ваш компьютер в Internet в течение тридцати минут. Ежедневно злонамеренные хакеры прочесывают электронное пространство в поисках слабых мест и легких жертв. В окружающем мире существует множество целей, поскольку лишь немногие компании заботятся о безопасности, а еще меньше способны снизить подобный риск. Знаете ли вы о том, что ежегодно становится известно более чем о 819 изъянах? Со многими ли из них вы знакомы?

Совсем немногим известно о этом "темном" мире, и лишь недавно тактика хакеров начала так открыто обсуждаться, как в данной книге. В традиционном сражении всегда должен присутствовать видимый противник, к которому можно прикоснуться. Такой противник должен придерживаться определенных норм и принципов. Совсем другими качествами характеризуется современный электронный мир. Как профессионалы в вопросах безопасности, мы решили оценить масштаб атак, помочь компаниям восстановиться после нападения и предложить конкретные шаги по повышению защищенности компьютерных систем. Однако каким образом можно защититься без знания своего противника?

В последующих главах этой книги приведены совсем не вымышленные истории, рассказанные участниками драм и трагедий. Здесь содержится описание реальных технологий и методов, применяемых в реальном электронном сражении, в которое мы все оказались вовлечены. Противник уже у двери. Его не видит никто, за исключением лишь нескольких экспертов в области обеспечения безопасности. На этих страницах приведены советы этих экспертов. Откройте для себя принципы мышления и мотивы своего противника, изучите его побуждения, его методы. Однако еще более важно, чтобы вы научились бороться с ними.

Что нового в третьем издании

Электронный мир развивается намного быстрее, чем мы думаем. Новые средства, приемы и методологии хакеров появляются каждый час. Так что их накопление и перевод на английский язык представляет собой далеко не самую легкую задачу. Как и в предыдущих изданиях, мы приложили немало усилий, чтобы отобрать все самые новые приемы и технологии.

Огромное количество нового материала

Вот перечень нового материала третьего издания.

1. Новые атаки на беспроводные сети 802.11.

2. Анализ червя Code Red.

3. Новые атаки на систему Windows, в частности Windows 2000 и Windows XP/.NET Server.

4. Существенно обновленные методологии хакинга в сфере электронной коммерции.

5. Описание всех новых средств и методов реализации распределенных атак DDoS (Distributed Denial of Service - отказ в обслуживании).

6. Новые изъяны строки форматирования в системе Windows и UNIX, которые во многих случаях можно использовать вместо атак с переполнением буфера.

7. Новый раздел "Типичная ситуация" в начале каждой части, в котором описываются самые последние атаки.

8. Обновленный материал об атаках на системы Windows 9x, Millenium Edition (ME), Windows NT/2000/XP/.NET Server, UNIX, Linux, NetWare и другие платформы с соответствующими контрмерами.

9. Пересмотренная и обновленная глава о хакинге удаленных соединений с новым материалом о хакинге сетей PBX, систем голосовой почты и обновленный раздел о сетях VPN.