Главная Коллекция "Otherreferats" Программирование, компьютеры и кибернетика Разработка алгоритмов динамического масштабирования вычислительных сетей

Разработка алгоритмов динамического масштабирования вычислительных сетей

Функционирование современных вычислительных сетей, их защита от деструктивных программных воздействий при некорректной фрагментации пакетов сообщений. Алгоритмизация задачи обнаружения компьютерных атак в масштабируемой информационно-вычислительной сети.

Рубрика Программирование, компьютеры и кибернетика
Вид дипломная работа
Язык русский
Дата добавления 21.12.2012
Размер файла 6,7 M

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Страница:

Размещено на http://www.allbest.ru/

105

Содержание

Перечень условных обозначений

Введение

1. Анализ условий функционирования современных вычислительных сетей

1.1 Анализ средств построения динамически масштабируемых вычислительных сетей

1.2 Возможности злоумышленников по вскрытию информации о ВС

1.3 Атаки, основанные на IP-Фрагментации и защита от них

1.4 Постановка задачи на поиск новых технических решений, выводы

Выводы по разделу

2. Анализ алгоритмов защиты ИВС от деструктивных программных воздействий, связанных с некорректной фрагментацией пакетов сообщений

2.1 Атаки на информационно-вычислительно сети

2.2 Способ защиты от компьютерных атак

2.3 Коррекция целей по обнаружению атак

2.4 Марковская модель управления взаимодействием системы связи и компьютерной разведки телекоммуникаций

Выводы по разделу

3. Алгоритмизация задачи обнаружения компьютерных атак в масштабируемой информационно-вычислительной сети

3.1 Разработка алгоритма защиты масштабируемых информационно-вычислительных сетей

3.2 Анализ реализации технического результата путем создания макета программного комплекса и проведения эксперимента

4. Экономическое обоснование научно-технического проекта

4.1 Концепция экономического обоснования разработки научно-технического продукта

4.2 Определение стоимости разработки системы

4.3 Оценка эффективности

Выводы по разделу

5. Интеллектуальная собственность

Заключение

Список литературы

Перечень условных обозначений

ВС - вычислительная сеть

СУ - система управления

ИВС - информационно-вычислительные сети

СПД - сети передачи данных

ПО - программное обеспечение

ОС - операционная система

НСИ - несанкционированный сбор информации

БД - база данных

ССОП - сеть связи общего пользования

СЗИ - средство защиты информации

НДВ - недекларированная возможность

ТКС - телекоммуникационная система

ССОП - сеть связи общего пользования

ИБ - информационная безопасность

VPN - Virtual Private Network (виртуальная частная сеть)

СПРУ - Система принятия решения на управление

ЕСЭ - Единая сеть электросвязи

СС - Система связи

ПДВ - Предпринятые деструктивные воздействия

Введение

В настоящее время мир стоит на пути перехода к информационному обществу, в котором производство и потребление информации являются важнейшим видом деятельности, информация признается наиболее значимым ресурсом, а информационная среда наряду с социальной и экологической становится новой средой обитания человека.

Современный этап развития (ВС) предполагает их цифровизацию, интеграцию и глобализацию, которые приводят к неизбежности применения широкого диапазона открытых протоколов информационного обмена (сетевого взаимодействия), а также технологий и оборудования преимущественно иностранных разработок (в том числе и средств защиты), имеющих уязвимости и недекларированные возможности.

Естественным в условиях интеграции Единой сети электросвязи РФ и международных телекоммуникаций, бурного развития технологий является рост количества угроз информационной безопасности распределенным вычислительным сетям (ВС) различных организаций, органов государственной власти, силовых и других ведомств. Существенно возрастают потенциальные возможности террористических организаций, отдельных злоумышленников по идентификации элементов ВС и вскрытию ее структуры. Например, концепция «сетецентричной войны» США предполагает использование (ВС) как арены боевых действий. В то же время существующие методы и средства защиты предполагают лишь разграничение доступа и обнаружение вторжений в локальные сегменты сетей, т. е. осуществляется попытка установить границы на уровне локальных сегментов, а информация о построении и развитии ВС остается незащищенной в виду незащищенности технологической информации (информации развития) ВС и отображения процессов ее обработки на информационном поле противодействующей стороны. Информацией развития ВС являются топология и алгоритмы функционирования ВС и ее элементов, используемое оборудование и программное обеспечение, схемы информационных потоков и роль отдельных сегментов. Более того, иерархия элементов и узлов ВС отражает структуру системы управления (СУ), в интересах которой она создается. Это связано с тем, что элементы ВС и процессы управления обладают характерными признаками. Наиболее ярким примером этого является возможность с помощью перехвата и анализа информационных потоков распределенной ВС получить их схему, отражающую в свою очередь структуру ВС, а значит и структуру ее СУ.

Несмотря на значительные результаты теоретических и прикладных исследований в области защиты информации в информационно-вычислительных системах, в частности криптографическими методами, резервированием, методами контроля межсетевого взаимодействия и т. п., недостаточно проработанной остается проблема защиты распределенных ВС, использующих сети связи общего пользования.

Учитывая, что во многих случаях объекты ВС оснащаются разнотипными вычислительными средствами, существующие методы обеспечения информационной безопасности с помощью шлюзов («защитных оболочек») не всегда эффективны и легко подвержены деструктивным воздействиям типа «отказ в обслуживании». Это связано с тем, что элементы распределенных ВС легко обнаруживаются при помощи анализа информационных потоков, циркулирующих в каналах связи телекоммуникационных систем.

Одним из основных требований к современной компьютерной сети является требование к их масштабируемости, предполагающее способность сети быть достаточно большой и сложной без снижения требуемого уровня ее производительности, безопасности и управляемости.

Масштабируемость компьютерных сетей обеспечивается возможностью их наращивания и объединения при наличии эффективных средств поддержки информационно-компьютерной безопасности и сетевого управления.

В связи с разновидностью сетей, промежуточный канал может иметь различные MTU, максимальный размер фрейма, который может быть передан, и для того, что IP-пакеты могли передавать по сетям любых типов, предусмотрена фрагментация, которая при необходимости передать пакет в следующую сеть разбивает слишком длинные для конкретного типа составляющей сети сообщения на более короткие пакеты с созданием соответствующих служебных полей, нужных для последующей сборки фрагментов в исходное сообщение. Динамическое масштабирование используется т.к сеть связи общего пользования живет своей жизнью и структура нашего объекта фактически все время меняется, в него могут включаться разные фрагменты ССОП и соответственно с разными МТУ.

. Отмеченное выше позволяет выделить сложившееся противоречие между требованием по повышению эффективности защиты распределенных ВС от деструктивных воздействий типа «отказ в обслуживании» и существующим уровнем теоретических и практических исследований в этой области.

Данное противоречие позволяет констатировать проблему, заключающуюся в разработке механизмов контроля корректности сборки пакетов.

Выявленное противоречие и существующая проблема обусловили выбор темы данного исследования: «Разработка алгоритмов динамического масштабирования вычислительных сетей» и ее актуальность.

1. Анализ условий функционирования современных вычислительных сетей

1.1 Анализ средств построения динамически масштабируемых вычислительных сетей

Основная идея введения сетевого уровня состоит в следующем. Сеть в общем случае рассматривается как совокупность нескольких сетей и называется сетью или интерсетью (internetwork или internet). Сети, входящие в сеть, называются подсетями (subnet), составляющими сетями или просто сетями (рис. 1).

Рис. 1. Архитектура сети

Подсети соединяются между собой маршрутизаторами. Компонентами сети могут являться как локальные, так и глобальные сети. Внутренняя структура каждой сети на рисунке не показана, так как она не имеет значения при рассмотрении сетевого протокола. Все узлы в пределах одной подсети взаимодействуют, используя единую для них технологию. Так, в сеть, показанную на рисунке, входит несколько сетей разных технологий: локальные сети Ethernet, Fast Ethernet, Token Ring, FDDI и глобальные сети frame relay, X.25, ISDN. Каждая из этих технологий достаточна для того, чтобы организовать взаимодействие всех узлов в своей подсети, но не способна построить информационную связь между произвольно выбранными узлами, принадлежащими разным подсетям, например между узлом А и узлом В на рис. 1. Следовательно, для организации взаимодействия между любой произвольной парой узлов этой «большой» сети требуются дополнительные средства. Такие средства и предоставляет сетевой уровень.

Хотя многие технологии локальных сетей (Ethernet, Token Ring, FDDI, Fast Ethernet и др.) используют одну и ту же систему адресации узлов на основе МАС-адресов, существует немало технологий (X.25, АТМ, frame relay), в которых применяются другие схемы адресации. Адреса, присвоенные узлам в соответствии с технологиями подсетей, называют локальными. Чтобы сетевой уровень мог выполнить свою задачу, ему необходима собственная система адресации, не зависящая от способов адресации узлов в отдельных подсетях, которая позволила бы на сетевом уровне универсальным и однозначным способами идентифицировать любой узел сети.

Естественным способом формирования сетевого адреса является уникальная нумерация всех подсетей сети и нумерация всех узлов в пределах каждой подсети. Таким образом, сетевой адрес представляет собой пару: номер сети (подсети) и номер узла.

Данные, которые поступают на сетевой уровень и которые необходимо передать через сеть, снабжаются заголовком сетевого уровня. Данные вместе с заголовком образуют пакет. Заголовок пакета сетевого уровня имеет унифицированный формат, не зависящий от форматов кадров канального уровня тех сетей, которые могут входить в объединенную сеть, и несет наряду с другой служебной информацией данные о номере сети, которой предназначается этот пакет. Сетевой уровень определяет маршрут и перемещает пакет между подсетями.

При передаче пакета из одной подсети в другую пакет сетевого уровня, инкапсулированный в прибывший канальный кадр первой подсети, освобождается от заголовков этого кадра и окружается заголовками кадра канального уровня следующей подсети. Информацией, на основе которой делается эта замена, являются служебные поля пакета сетевого уровня. В поле адреса назначения нового кадра указывается локальный адрес следующего маршрутизатора.

Основным полем заголовка сетевого уровня является номер сети-адресата. В рассмотренных нами ранее протоколах локальных сетей такого поля в кадрах предусмотрено не было - предполагалось, что все узлы принадлежат одной сети. Явная нумерация сетей позволяет протоколам сетевого уровня составлять точную карту межсетевых связей и выбирать рациональные маршруты при любой их топологии, в том числе альтернативные маршруты, если они имеются, что не умеют делать мосты и коммутаторы.

Кроме номера сети заголовок сетевого уровня должен содержать и другую информацию, необходимую для успешного перехода пакета из сети одного типа в сеть другого типа. К такой информации может относиться, например:

номер фрагмента пакета, необходимый для успешного проведения операций сборки-разборки фрагментов при соединении сетей с разными максимальными размерами пакетов;

время жизни пакета, указывающее, как долго он путешествует по интерсети, это время может использоваться для уничтожения «заблудившихся» пакетов;

качество услуги - критерий выбора маршрута при межсетевых передачах - например, узел-отправитель может потребовать передать пакет с максимальной надежностью, возможно, в ущерб времени доставки.

Когда две или более сети организуют совместную транспортную службу, то такой режим взаимодействия обычно называют межсетевым взаимодействием (internetworking).

Важнейшей задачей сетевого уровня является маршрутизация - передача пакетов между двумя конечными узлами в сети.

рассмотрим процесс маршрутизации на примере.

Допустим (см. рис. 2.), хосты А и В находятся в сети 1, сеть 1 соединяется с сетью 2 с помощью маршрутизатора G1. К сети 2 подключен маршрутизатор G2, соединяющий ее с сетью 3, в которой находится хост С.

Рис. 2. Пример маршрутизации

Таблица маршрутов хоста А выглядит, например, так:

Сеть 1 А

Прочие сети G1

Это означает, что дейтаграммы, адресованные узлам сети 1, отправляет сам хост А (так как это его локальная сеть), а дейтаграммы, адресованные в любую другую сеть (это называется маршрут по умолчанию), хост А отправляет маршрутизатору G1, чтобы тот занялся их дальнейшей судьбой.

Предположим, хост А посылает дейтаграмму хосту В. В этом случае, поскольку адрес В принадлежит той же сети, что и А, из таблицы маршрутов хоста А определяется, что доставка осуществляется непосредственно самим хостом А.

Если хост А отправляет дейтаграмму хосту С, то он определяет по IP-адреcу C, что хост С не принадлежит к сети 1. Согласно таблице маршрутов А, все дейтаграммы с пунктами назначения, не принадлежащими сети 1, отправляются на маршрутизатор G1 (это называется маршрут по умолчанию). При этом хост А не знает, что маршрутизатор G1 будет делать с его дейтаграммой и каков будет ее дальнейший маршрут - это забота исключительно G1. G1 в свою очередь по своей таблице маршрутов определяет, что все дейтаграммы, адресованные в сеть 3, должны быть пересланы на маршрутизатор G2. Это может быть как явно указано в таблице, находящейся на G1, в виде

Сеть 3 G2,

так и указано в виде маршрута по умолчанию.

На этом функции G1 заканчиваются, дальнейший путь дейтаграммы ему неизвестен и его не интересует. Маршрутизатор G2, получив дейтаграмму, определяет, что она адресована в одну из сетей (№3), к которым он присоединен непосредственно, и доставляет дейтаграмму на хост С.

Фрагментация IP-пакетов

Протокол IP позволяет выполнять фрагментацию пакетов, поступающих на входные порты маршрутизаторов.

Следует различать фрагментацию сообщений в узле-отправителе и динамическую фрагментацию сообщений в транзитных узлах сети - маршрутизаторах. Практически во всех стеках протоколов есть протоколы, которые отвечают за фрагментацию сообщений прикладного уровня на такие части, которые укладываются в кадры канального уровня. В стеке TCP/IP эту задачу решает протокол TCP, который разбивает поток байтов, передаваемый ему с прикладного уровня на сообщения нужного размера (например, на 1460 байт для протокола Ethernet). Поэтому протокол IP в узле-отправителе не использует свои возможности по фрагментации пакетов.

А вот при необходимости передать пакет в следующую сеть, для которой размер пакета является слишком большим, IP-фрагментация становится необходимой. В функции уровня IP входит разбиение слишком длинного для конкретного типа составляющей сети сообщения на более короткие пакеты с созданием соответствующих служебных полей, нужных для последующей сборки фрагментов в исходное сообщение.

В большинстве типов локальных и глобальных сетей значения MTU, то есть максимальный размер поля данных, в которое должен инкапсулировать свой пакет протокол IP, значительно отличается. Сети Ethernet имеют значение MTU, равное 1500 байт, сети FDDI - 4096 байт, а сети Х.25 чаще всего работают с MTU в 128 байт.

IP-пакет может быть помечен как не фрагментируемый. Любой пакет, помеченный таким образом, не может быть фрагментирован модулем IP ни при каких условиях. Если же пакет, помеченный как не фрагментируемый, не может достигнуть получателя без фрагментации, то этот пакет просто уничтожается, а узлу-отправителю посылается соответствующее ICMP-сообщение.

Протокол IP допускает возможность использования в пределах отдельной подсети ее собственных средств фрагментирования, невидимых для протокола IP. Например, технология АТМ делит поступающие IP-пакеты на ячейки с полем данных в 48 байт с помощью своего уровня сегментирования, а затем собирает ячейки в исходные пакеты на выходе из сети. Но такие технологии, как АТМ более перспективны, т.к. создают регулярный поток заявок на входы обслуживающих приборов - узлов сети.

Процедуры фрагментации и сборки протокола IP рассчитаны на то, чтобы пакет мог быть разбит на практически любое количество частей, которые впоследствии могли бы быть вновь собраны. Получатель фрагмента использует поле идентификации для того, чтобы не перепутать фрагменты различных пакетов. Модуль IP, отправляющий пакет, устанавливает в поле идентификации значение, которое должно быть уникальным для данной пары отправитель - получатель, а также время, в течение которого пакет может быть активным в сети.

Поле смещения фрагмента сообщает получателю положение фрагмента в исходном пакете. Смещение фрагмента и длина определяют часть исходного пакета, принесенную этим фрагментом. Флаг «more fragments» показывает появление последнего фрагмента. Модуль протокола IP, отправляющий неразбитый на фрагменты пакет, устанавливает в нуль флаг «more fragments» и смещение во фрагменте.

Чтобы разделить на фрагменты большой пакет, модуль протокола IP, установленный, например, на маршрутизаторе, создает несколько новых пакетов и копирует содержимое полей IP-заголовка из большого пакета в IP-заголовки всех новых пакетов. Данные из исходного пакета делятся на соответствующее число частей, размер каждой из которых, кроме самой последней, обязательно должен быть кратным 8 байт. Размер последней части данных равен полученному остатку.

Каждая из полученных частей данных помещается в новый пакет. Когда происходит фрагментация, то некоторые параметры IP-заголовка копируются в заголовки всех фрагментов, а другие остаются лишь в заголовке первого фрагмента. Процесс фрагментации может изменить значения данных, расположенных в поле параметров, и значение контрольной суммы заголовка, изменить значение флага «more fragments» и смещение фрагмента, изменить длину IP-заголовка и общую длину пакета, В заголовок каждого пакета заносятся соответствующие значения в поле смещения «fragment offset», а в поле общей длины пакета помещается длина каждого пакета. Первый фрагмент будет иметь в поле «fragment offset» нулевое значение. Во всех пакетах, кроме последнего, флаг «more fragments» устанавливается в единицу, а в последнем фрагменте - в нуль.

Чтобы собрать фрагменты пакета, модуль протокола IP (например, модуль на хост - компьютере) объединяет IP-пакеты, имеющие одинаковые значения в полях идентификатора, отправителя, получателя и протокола. Таким образом, отправитель должен выбрать идентификатор таким образом, чтобы он был уникален для данной пары отправитель-получатель, для данного протокола и в течение того времени, пока данный пакет (или любой его фрагмент) может существовать в IP-сети.

Очевидно, что модуль протокола IP, отправляющий пакеты, должен иметь таблицу идентификаторов, где каждая запись соотносится с каждым отдельным получателем, с которым осуществлялась связь, и указывает последнее значение максимального времени жизни пакета в IP-сети. Однако, поскольку поле идентификатора допускает 65 536 различных значений, некоторые хосты могут использовать просто уникальные идентификаторы, не зависящие от адреса получателя.

В некоторых случаях целесообразно, чтобы идентификаторы IP-пакетов выбирались протоколами более высокого, чем IP, уровня. Например, в протоколе TCP предусмотрена повторная передача ТСР-сегментов, по каким-либо причинам не дошедшим до адресата. Вероятность правильного приема увеличивалась бы, если бы при повторной передаче идентификатор для IP-пакета был бы тем же, что и в исходном IP-пакете, поскольку его фрагменты могли бы использоваться для сборки правильного ТСР - сегмента.

Процедура объединения заключается в помещении данных из каждого фрагмента в позицию, указанную в заголовке пакета в поле «fragment offset».

Каждый модуль IP должен быть способен передать пакет из 68 байт без дальнейшей фрагментации. Это связано с тем, что IP-заголовок может включать до 60 байт, а минимальный фрагмент данных - 8 байт. Каждый получатель должен быть в состоянии принять пакет из 576 байт в качестве единого куска либо в виде фрагментов, подлежащих сборке.

Если бит флага запрета фрагментации (Don't Fragment, DF) установлен, то фрагментация данного пакета запрещена, даже если в этом случае он будет потерян. Данное средство может использоваться для предотвращения фрагментации в тех случаях, когда хост - получатель не имеет достаточных ресурсов для сборки фрагментов.

Работа протокола IP по фрагментации пакетов в хостах и маршрутизаторах иллюстрируется на рис. 3.

Рис.3. Фрагментация IP-пакетов при передаче между сетями с разным максимальным размером пакетов: К1 и 01 - канальный и физический уровень сети 1; К2 и Ф2 - канальный и физический уровень сети 2

Пусть компьютер 1 связан с сетью, имеющей значение MTU в 4096 байт, например с сетью FDDI, При поступлении на IP-уровень компьютера 1 сообщения от транспортного уровня размером в 5600 байт протокол IP делит его на два IP-пакета, устанавливая в первом пакете признак фрагментации и присваивая пакету уникальный идентификатор, например 486, В первом пакете величина поля смещения равна 0, а во втором - 2800. Признак фрагментации во втором пакете равен нулю, что показывает, что это последний фрагмент пакета. Общая величина IP-пакета составляет 2800 плюс 20 (размер IP-заголовка), то есть 2820 байт, что умещается в поле данных кадра FDDI. Далее модуль IP компьютера 1 передает эти пакеты своему сетевому интерфейсу (образуемому протоколами канального уровня К 1 и физического уровня Ф1), Сетевой интерфейс отправляет кадры следующему маршрутизатору.

После того, как кадры пройдут уровень сетевого интерфейса маршрутизатора (К1 и Ф1) и освободятся от заголовков FDDI, модуль IP по сетевому адресу определяет, что прибывшие два пакета нужно передать в сеть 2, которая является сетью Ethernet и имеет значение MTU, равное 1500. Следовательно, прибывшие IP-пакеты необходимо фрагментировать. Маршрутизатор извлекает поле данных из каждого пакета и делит его еще пополам, чтобы каждая часть уместилась в поле данных кадра Ethernet. Затем он формирует новые IP-пакеты, каждый из которых имеет длину 1400 + 20 - 1420 байт, что меньше 1500 байт, поэтому они нормально помещаются в поле данных кадров Ethernet.

В результате в компьютер 2 по сети Ethernet приходят четыре IP-пакета с общим идентификатором 486, что позволяет протоколу IP, работающему в компьютере 2, правильно собрать исходное сообщение. Если пакеты пришли не в том порядке, в котором были посланы, то смещение укажет правильный порядок их объединения.

Отметим, что IP-маршрутизаторы не собирают фрагменты пакетов в более крупные пакеты, даже если на пути встречается сеть, допускающая такое укрупнение. Это связано с тем, что отдельные фрагменты сообщения могут перемещаться по интерсети по различным маршрутам, поэтому нет гарантии, что все фрагменты проходят через какой-либо промежуточный маршрутизатор на их пути.

При приходе первого фрагмента пакета узел назначения запускает таймер, который определяет максимально допустимое время ожидания прихода остальных фрагментов этого пакета. Таймер устанавливается на максимальное из двух значений: первоначальное установочное время ожидания и время жизни, указанное в принятом фрагменте. Таким образом, первоначальная установка таймера является нижней границей для времени ожидания при сбое. Если таймер истекает раньше прибытия последнего фрагмента, то все ресурсы сборки, связанные с данным пакетом, освобождаются, все полученные к этому моменту фрагменты пакета отбрасываются, а в узел, пославший исходный пакет, направляется сообщение об ошибке с помощью протокола ICMP.

MTU

Максимальный блок передачи (maximum transmission unit, MTU). Большинство типов сетей определяют верхний предел.

Если IP хочет отослать датаграмму, которая больше чем MTU канального уровня, осуществляется фрагментация (fragmentation), при этом датаграмма разбивается на меньшие части (фрагменты). Каждый фрагмент должен быть меньше чем MTU.

На рисунке 4 приведен список некоторых типичных значений MTU. Здесь приведены MTU для каналов точка-точка (таких как SLIP или PPP), однако они не являются физической характеристикой среды передачи. Это логическое ограничение, при соблюдении которого обеспечивается адекватное время отклика при диалоговом использовании.

Рисунок 4 Типичные значения максимальных блоков передачи (MTU).

Транспортный MTU

Когда общаются два компьютера в одной и той же сети, важным является MTU для этой сети. Однако, когда общаются два компьютера в разных сетях, каждый промежуточный канал может иметь различные MTU. В данном случае важным является не MTU двух сетей, к которым подключены компьютеры, а наименьший MTU любого канала данных, находящегося между двумя компьютерами. он называется транспортным MTU (path MTU).

Когда IP датаграмма фрагментирована, она не собирается вновь до тех пор, пока не достигнет конечного пункта назначения. (Для некоторых других сетевых протоколов процесс повторной сборки отличается от описанного выше, при этом повторная сборка осуществляется на маршрутизаторе следующей пересылки, а не в конечном пункте назначения.) На уровне IP сборка осуществляется в конечном пункте назначения. Это сделано для того, чтобы сделать фрагментацию и повторную сборку прозрачной для транспортных уровней (TCP и UDP), хотя это может вести к некоторой потере производительности. Существует вероятность, что фрагмент датаграммы будет снова фрагментирован (возможно даже несколько раз). Информации, которая содержится в IP заголовке вполне достаточно для фрагментации и повторной сборки.

1.2 Возможности злоумышленников по вскрытию информации о ВС

Условимся называть процесс вскрытия злоумышленником информации о ВС несанкционированным сбором информации.

Под несанкционированным сбором информации (НСИ) следует понимать противоправную деятельность, направленную на поиск, сбор, и анализ информации об объектах ВС и обрабатываемой в них информации.

Целью НСИ является добывание сведений о составе, структуре и алгоритмах функционирования объектов ВС, обрабатываемой в них информации, производителях, типах и версиях используемого сетевого оборудования, уязвимостях его узлов, используемых СЗИ, информации об идентификаторах и паролях пользователей, квалификации персонала и среде общения объекта ВС.

Рис. 5 Направления, пути и способы (средства) несанкционированного сбора информации.

Информация, добываемая в процессе НСИ, может продаваться третьим лицам или использоваться для дальнейших воздействий (например, удаленных атак или НСД) на объект. Зачастую сбор информации об объекте ВС рассматривается как один из этапов реализации атаки на объект.

На рис. 5 представлены основные направления, пути и способы (средства) НСИ. Как видно из рисунка НСИ может осуществляться с непосредственным обращением к объекту и без него.

Анализ с непосредственным обращением к объекту может происходить двумя путями: путем внутреннего и внешнего анализа. Внутренний анализ объекта ВС - сложная задача, но и возможностей по добыванию информации дает намного больше, тогда как внешний анализ более прост, но сам он зачастую также рассматривается как подготовительный этап для осуществления дальнейших воздействий.

Внешний анализ объекта ВС также происходит с использованием общедоступных утилит, сервисов и специализированного ПО, под которыми подразумеваются, например:

простейшие утилиты и сервисы, такие как ping, traceroute, fingerprint, telnet и т. д.;

сетевые сканеры и сканеры уязвимостей, начиная от простейших и легкодоступных типа nmap, продолжая мощными дорогими продуктами от крупных производителей, типа Xspider, Nessus и Internet Security Scanner, и заканчивая специально разрабатываемыми. Таким образом, злоумышленнику становится доступной информация о роли объекта в общей структуре ВС, используемом сетевом оборудовании, ПО, СЗИ, сетевых сервисах и их уязвимостях.

Фрагментация позволяет злоумышленнику скрывать также факт сканирования узла сети. В известно сканере nmap существует опция -f, которая разбивает 20 - байтовые заголовки tcp на несколько фрагментов, что скрывает обнаружение сканирования, например:

#nmap -f -sS -p 53 host1.local

в результате, происходит фрагментированое соединение SYN с 53 портом хоста host1.local. Рассмотрим результаты, которые выдает tcpdump:

truncated-tcp 14 (frag 2301:14@0+)

host2.local > host1.local (frag 2301:6@14)

truncated-tcp 14 (frag 1321:14@0+)

host2.local > host1.local (frag 1321:6@14)

truncated-tcp 14 (frag 4191:14@0+)

host2.local > host1.local (frag 4191:6@14)

проанализируем данные результаты: в первой строке фрагмент с 14 байтами усеченных данных tcp (truncated-tcp), так как минимальный размер заголовка tcp 20 байт, то размер в результате говорит о том что он неполный. В следующей строке дополнительно посылаются еще 6 байт заголовка tcp (формируя таким образом 20 байтовый заголовок tcp), большинство систем обнаружения вторжений не сумеет определить факт сканирования.

Уязвимости аппаратного и программного обеспечения являются ошибками или недочетами, появляющимися на этапе разработки продукта, либо на этапе его конфигурации. Сообщения об уязвимостях операционных систем и программного обеспечения сетевого оборудования, позволяющих брать под контроль узлы и целые сегменты ВС появляются едва ли не каждый день, а неудачная конфигурация маршрутизатора позволяет злоумышленнику с легкостью перехватывать и анализировать трафик, подменять доверенные объекты и обходить средства защиты с целью проникновения в локальный сегмент ВС. Никогда нельзя быть уверенным на 100% что все возможные уязвимости вашего ПО или оборудования ликвидированы существующими патчами, заплатками или модулями.

Сканирование узлов объекта ВС также осуществляется после осуществления НСД и внедрения специально разработанных или существующих сетевых сканеров и сканеров уязвимостей. Такое программное обеспечение позволяет идентифицировать типы узлов, их оборудования, функционирующих на них операционных систем, сетевых служб и открытых портов; установленное на узлах ПО и СЗИ, а также их уязвимости.

1.3 Атаки, основанные на IP-Фрагментации и защита от них

Атака крошечными фрагментами (Tiny Fragment Attack)

В случае, когда на вход фильтрующего маршрутизатора поступает фрагментированная датаграмма, маршрутизатор производит досмотр только первого фрагмента датаграммы (первый фрагмент определяется по значению поля IP-заголовка Fragment Offset=0). Если первый фрагмент не удовлетворяет условиям пропуска, он уничтожается. Остальные фрагменты можно безболезненно пропустить, не затрачивая на них вычислительные ресурсы фильтра, поскольку без первого фрагмента датаграмма все равно не может быть собрана на узле назначения.

При конфигурировании фильтра перед сетевым администратором часто стоит задача: разрешить соединения с TCP-сервисами Интернет, инициируемые компьютерами внутренней сети, но запретить установление соединений внутренних компьютеров с внешними по инициативе последних. Для решения поставленной задачи фильтр конфигурируется на запрет пропуска TCP-сегментов, поступающих из внешней сети и имеющих установленный бит SYN в отсутствии бита ACK; сегменты без этого бита беспрепятственно пропускаются в охраняемую сеть, покольку они могут относиться к соединению, уже установленному ранее по инициативе внутреннего компьютера.

Рассмотрим, как злоумышленник может использовать фрагментацию, чтобы обойти это ограничение, то есть, передать SYN-сегмент из внешней сети во внутреннюю.

Злоумышленник формирует искусственно фрагментированную датаграмму с TCP-сегментом, при этом первый фрагмент датаграммы имеет минимальный размер поля данных -- 8 октетов (напомним, что размеры фрагментов указываются в 8-октетных блоках). В поле данных датаграммы находится TCP-сегмент, начинающийся с TCP-заголовка. В первых 8 октетах TCP-заголовка находятся номера портов отправителя и получателя и поле Sequence Number, но значения флагов не попадут в первый фрагмент. Следовательно, фильтр пропустит первый фрагмент датаграммы, а остальные фрагменты он проверять не будет. Таким образом, датаграмма с SYN-сегментом будет успешно доставлена на узел назначения и после сборки передана модулю TCP.

На рис. 6. пример датаграммы из 2 фрагментов (IP-заголовки выделены серым). В поле данных первого фрагмента находится 8 октетов TCP-заголовка. В поле данных второго фрагмента помещена остальная часть TCP-заголовка с флагом SYN.

Рис. 6. Фрагментированный TCP-сегмент

Описанный выше прием проникновения сквозь фильтр называется «Tiny Fragment Attack» (RFC-1858). Использование его в других случаях (для обхода других условий фильтрации) не имеет смысла, так как все остальные «интересные» поля в заголовке TCP и других протоколов находятся в первых 8 октетах заголовка и, следовательно, не могут быть перемещены во второй фрагмент.

Для защиты от этой атаки фильтрующему маршрутизатору, естественно, не следует инспектировать содержимое не первых фрагментов датаграмм -- это было бы равносильно сборке датаграмм на промежуточном узле, что быстро поглотит все вычислительные ресурсы маршрутизатора. Достаточно реализовать один из двух следующих подходов:

Страница:


Подобные документы

  • Разработка алгоритмов динамического масштабирования вычислительных сетей

    Анализ средств построения динамически масштабируемых ВС. Разработка алгоритма, обеспечивающего устойчивость функционирования информационно-вычислительных сетей в условиях воздействий компьютерных атак, использующих фрагментированные пакеты сообщений.

    дипломная работа [3,8 M], добавлен 21.12.2012

  • Разработка алгоритмов динамического масштабирования вычислительных систем

    Исследование структуры типовой вычислительной сети. Модель процесса вскрытия вычислительной сети и взаимосвязь основных его этапов. Конфликт в информационной сфере между субъектом и объектом познания. Описания алгоритмов динамического масштабирования.

    дипломная работа [2,9 M], добавлен 21.12.2012

  • Организация защиты ИВС предприятия на основе нескольких технологий

    Анализ современных информационно-вычислительных сетей предприятия. Построение модели незащищенной информационно-вычислительной сети предприятия. Виды удаленных и локальные атак. Анализ сетевого трафика. Методы защиты информационно-вычислительной сети.

    курсовая работа [640,2 K], добавлен 26.06.2011

  • Персональные компьютеры и вычислительные сети. Дифференциальное исчисление

    Классификация вычислительных сетей. Основные причины широкого распространения локальных вычислительных сетей. Топология вычислительной сети. Обоснование дифференциального и интегрального исчисления. Характеристика основных правил дифференцирования.

    контрольная работа [292,0 K], добавлен 21.12.2010

  • Локальные вычислительные сети

    Классификация вычислительных сетей. Функции локальных вычислительных сетей: распределение данных, информационных и технических ресурсов, программ, обмен сообщениями по электронной почте. Построение сети, адресация и маршрутизаторы, топология сетей.

    доклад [23,2 K], добавлен 09.11.2009

  • Компьютерные сети

    Классификация компьютерных сетей. Назначение компьютерной сети. Основные виды вычислительных сетей. Локальная и глобальная вычислительные сети. Способы построения сетей. Одноранговые сети. Проводные и беспроводные каналы. Протоколы передачи данных.

    курсовая работа [36,0 K], добавлен 18.10.2008

  • Сетевое программное обеспечение. Настройка локальных компьютерных сетей

    Особенности, отличия, топология и функционирование локальных компьютерных сетей. Программное обеспечение информационно-вычислительных сетей. Основные протоколы передачи данных, их установка и настройка. Аутентификация и авторизация; система Kerberos.

    курсовая работа [67,7 K], добавлен 20.07.2015

  • Разработка алгоритмов безопасной маршрутизации пакетов сообщений через глобальную информационную сеть

    Анализ проблемы обеспечения информационной безопасности при работе в сетях; обоснование необходимости разработки алгоритмов безопасной маршрутизации пакетов сообщений в глобальной информационной сети. Алгоритмизация задач безопасной маршрутизации пакетов.

    дипломная работа [1,0 M], добавлен 21.12.2012

  • Применение нейронных сетей для обнаружения сетевых атак

    Способы применения технологий нейронных сетей в системах обнаружения вторжений. Экспертные системы обнаружения сетевых атак. Искусственные сети, генетические алгоритмы. Преимущества и недостатки систем обнаружения вторжений на основе нейронных сетей.

    контрольная работа [135,5 K], добавлен 30.11.2015

  • Алгоритмы обеспечения структурной скрытности распределенной информационно-вычислительной сети

    Типовая структура информационно-вычислительной сети. Функции, процедуры, механизмы и средства защиты ИВС. Технология виртуальных частных сетей. Разработка алгоритмов управления интенсивностью информационного обмена удаленных сегментов распределенной ИВС.

    дипломная работа [2,1 M], добавлен 21.12.2012

Работы в архивах красиво оформлены согласно требованиям ВУЗов и содержат рисунки, диаграммы, формулы и т.д.
PPT, PPTX и PDF-файлы представлены только в архивах.
Рекомендуем скачать работу.

© 2000 — 2023, ООО «Олбест» Все права защищены