Yazov_ITKS

Наконец, на этапе ликвидации следов атаки осу-

ществляется попытка уничтожения следов атаки. При этом удаляются соответствующие записи из всех возможных журналов аудита, в том числе записи о факте сбора информации. Для успешного скрытия следов атаки применяются самые разнообразные приемы (см. рис. 3.9), при этом в последнее время распространились способы, основанные на использование вредоносных программ, способствующих скрытному проведению атак, такие как:

бекдоры (backdoors) – программы, устанавливающие потайной ход на компьютере пользователя, что позволяет удаленно проникать в его операционную среду и управлять таким компьютером;

боты (bots) – программы, устанавливаемые на компьютеры пользователей в интересах использования инфицированных компьютеров для атак на другие компьютеры;

руткиты (rootkits) – программы, специально созданные для скрытия других вредоносных программ и т.д.

Каждая атака описывается на том или ином формальном языке. Такое описание называют сигнатурой атаки. В общем случае под сигнатурой атаки следует понимать формализованное описание атаки, включающее описание действий нарушителя, применяемых им команд и функций, особенностей протоколов межсетевого взаимодействия, уязвимостей системного и прикладного программного обеспечения, последствий и оставляемых следов деструктивных действий, используемое для обнаружения и распознавания атаки.

Все современные системы обнаружения атак располагают базами данных сигнатур сетевых атак, для заполнения которых разработаны специальные языки описания

231

атак, такие как Snort, P-BEST, N-Code, ASD, STATL, RUSSEL, NASL и др. Различают языки, учитывающие и не учитывающие динамику реализации атаки.

Типичный представитель языков описания атак, не учитывающих динамику реализации атаки, разработан для системы обнаружения атак Snort. Каждая сигнатура в ней разделена на две части:

заголовок;

тело сигнатуры.

Заголовок сигнатуры включает в себя информацию о типе протокола, а также сетевые адреса и номера портов отправителя и получателя, по отношению к которому реализуется атака. Тело сигнатуры размещается в скобках и конкретизирует условия, при которых реализуется атака.

Пример сигнатуры, идентифицирующей одну из атак на WEB-сервер с использованием протокола межсетевого взаимодействия HTTP, приведен на рис. 3.10.

аlert tcp $EXTERNAL_NET any -> $HTTP_SERVERS 80 (msg: "WEB-ATTACKS nmap command attempt"; flags: A; content: "nmap%20"; nocase; sid:1361; rev:1; classtype: web-application-attack;)

Рис. 3.10. Пример сигнатуры атаки на web-сервер

сиспользованием программы nmap

Вначале заголовка сигнатуры определяется ее тип. Описание типов сигнатур представлено в табл. 3.7.

232

Кроме указания типа сигнатуры в заголовке определяется также тип протокола, к которому относится данная сигнатура – «TCP», «UDP», «ICMP», «IP» или др. Заголовок сигнатуры также содержит список IP-адресов и номеров портов, по отношению к которым будет выполняться сигнатура. IP-адрес записывается в формате CIDR (см. раздел 1.3). При необходимости указания нескольких IP-адресов они могут быть определены в виде списка

(например, [194.170.3.0/24, 192.168.3.0/24]). При отсут-

ствии необходимости указания конкретного перечня IPадресов или номеров портов, используется служебное слово «any», подразумевающее «любой» IP-адрес или номер порта.

В случае необходимости определения диапазона номеров портов используется символ «:», например выражение «1:1024» определяет диапазон номеров портов с 1

до 1024.

233

В заголовке сигнатуры также определяется направление передачи пакета данных, с использованием знаков « -> », « <- », « <> ». Знак « -> » указывает, что анализируется только трафик, который поступил от отправителя с любым IP-адресом и номером порта к получателю c IPадресами 194.170.3.0/24 и номером порта 80. Знак « <- » соответствует обратному направлению трафика. Знак « <> » применяется в случае, если анализируется трафик, который передается в обоих направлениях.

Тело сигнатуры конкретизирует фрагмент пакета данных, к которому будет применена сигнатура, а также задает вспомогательные параметры. Тело сигнатуры размещается между открывающей и закрывающей скобкой. Все параметры, содержащиеся в теле сигнатуры, имеют следующий формат: «имя параметра : значение;».

В приведенном примере сигнатуры указывается, что должно выводиться сообщение об атаке на web-сервер (web-атаке), если нарушитель использует порт № 80 (порт протокола HTTP), программу nmap, в пакете установлен флаг ответа на запрос ACK (флаг А), в тексте имеется команда на использование программы nmap, при этом игнорируется регистр ее записи (nocase), указывается идентификационный номер атаки (1361), используемая версия языка описания (версия 1) и тип атаки.

Типичным представителем языка описания атак,

учитывающего динамику их реализации, является язык

STATL, который разработан в университете г. СантаБарбара и применяется в таких системах обнаружения атак, как STAT, USTAT и NETSTAT.

Описываемая на этом языке атака рассматривается как множество состояний и переходов системы обнаружения. При этом для описания состояния используются переменные, определяющие объекты и события, представ-

234

ленные в сигнатуре атаки. Переходы ассоциируются с новыми событиями в системе, влияющими на исполнение сценария атаки (например, запуск приложения, открытие TCP-соединения). Пространство переходов ограничено событиями, характерными для сигнатур (например, открытие TCP-соединения на специфичный порт).

Краткая характеристика некоторых наиболее известных типовых атак в ИТКС, функционирующих с использованием стека протоколов TCP/IP, приведена в табл. 3.8.

235

Таблица 3.8

Характеристика некоторых типовых сетевых атак в информационно-телекоммуникационных системах

236

237

Осуществляется запрос на соединение по определенному порту, ответные пакеты перехватываются.

2 вариант: перехват «полуоткрытых» соединений – пакетов с флагом ACK по нескольким портам

238

239

240