Сетевые сканеры и защита от них

Итак, при соответствующем уровне "невидимости" нашего руткита на хосте-жертве (сокрытие процессов, открытых портов и т.п.) - путем сокрытия порта мы можем повысить его прозрачность и для постороннего взгляда извне - получаем практически пожизненный шел (пока кому-нить не вздумается переставить систему), или нас не выдаст какой-нибудь IDS, обнаруживший подозрительный трафик на неизвестный порт с условием того что он еще и закрыт.

Заключение

В течение работы над этим проектом я прочел достаточное количество литературы, чтобы предложить способы защиты для нашей корпоративной сети от посягательств как из глобальной сети Интернет, так и из локальной сети.

Как обезопасить себя от прослушивания сети?

Поскольку прослушивание сети в лучшем случае может вызвать раздражение, то очень важно выявлять все попытки таких действий. Например, в зависимости от принятой в организации политики обеспечения безопасности можно также заблокировать прохождение пакетов, передаваемых при ping-прослушивании.

Выявление факта прослушивания:

ICMP- и TCP-прослушивание является общепринятым методом исследования сети перед непосредственной попыткой проникновения в сеть. Поэтому выявление факта прослушивания очень важно с точки зрения возможности получения информации о потенциальном месте пронкновения и источнике угрозы. Один из основных методов выявления прослушивания состоит в использовании сетевой прораммы выявления вторжений, такой как NFR (Network Fight Recorder), или программы, установленной на исследуемом взломщиком узле. Что касается защиты на уровне отдельного узла, для этого можно с успехом применять утилиты UNIX, которые позволяют выявлять и регистрировать попытки прослушивания. Если, просматривая файл журнала, созданный такой утилитой, вы обнаружите ICMP-запросы ECHO, исходящие из одной и той же сети или от одного и того же узла, это, скорее всего, означает, что вас прослушивают. К сожалению, найти аналогичные утилиты в среде Windows достаточно сложно. Одним из немногих пакетов, заслуживающих внимания, является Genius 3.1. Эта прорамма не позволяет регистрировать попытки прослушивания, но она успешно обнаруживает их.

Меры безопасности

Во-первых, рекомендуется очень внимательно оценить насколько важен для данной организации обмен данными по протоколу ICMP между узлами корпоративной сети и Internet. В большинстве нет никакой необходимости разрешать обмен данными между узлами сети Internet и пользователями. Даже если нельзя полностью заблокировать протокол ICMP, обязательно нужно заблокировать те типы сообщений, которые не нужны для работы. Разрешив неограниченный доступ протокола ICMP во внутреннюю сеть, тем самым мы даём возможность взломщику реализовать нападение типа DoS. Вобщем, одним из самых лучших методов защиты является блокирование ICMP-запросов тех типов, которые способствуют разглашению информации о сети за её пределами. Как минимум на пограничном маршрутизаторе необходимо заблокировать прохождение во внутреннюю сеть пакетов TIMESTAMP(тип - 13) и ADDRESS MASK(тип - 17). Например, если в качестве пограничного маршрутизатора используется маршрутизатор Cisco, запретите ему отвечать на указанные запросы, добавив следующие строки в список управления доступом.

access-list 101 deny icmp any any 13 ! timedtamp request

access-list 101 deny icmp any any 17 ! address mask request

C помощью ICMP- или TCP-прослушивания взломщик может установить, какие компьютеры исследуемой сети подключены к Internet. Обслуживающие порты могут находиться в состоянии ожидмния запроса или в работающем состоянии. Определение портов, находящихся в состоянии ожидания запроса, - этап, имеющий определяющее для взломщика значение для последующего выяснения типа используемой ОС, а так же работающих на компьютере прикладных программ. Активные службы, находящееся в состоянии ожидании, могут предостовить взломщику возможность получить несанкционированный доступ. Это чаще происходит в том случае, если система безопасности не настроена должным образом или в программном обеспечении имеются хорошё извечтные изъяны.

За последние несколько лет средства сканирования портов были значительно усовершенствованы, так что нужно быть осторожным и всеми силами пытаться обезопасить себя от сканирования.

Размещено на Allbest.ru