Коллектив авторов - Защита от хакеров корпоративных сетей

Более простым способом, предоставляющим стопроцентную точность, является создание ложного сетевого соединения с адреса, который не находится в локальной сети. Затем мы сможем при помощи сети наблюдать на наличие DNS-запросов, пытающихся разрешить ложный адрес и тем самым, выдавая хост, осуществляющих прослушивание сетевого трафика.

Второй метод для обнаружения хоста, прослушивающего сеть, заключается в отслеживании изменения задержек отклика хоста на сетевой трафик (например, ping). Несмотря на то что данный метод склонен к числу сбойных ситуаций (таких как, например, когда задержка хоста вызвана нормальной операцией), он может помочь в определении, прослушивает ли хост сетевой трафик или нет. В данном методе также можно первоначально зондировать и брать пробы времени отклика. Далее генерируется большое количество сетевого трафика, специально созданного для того, чтобы заинтересовать хост, который прослушивает сетевой трафик на наличие информации аутентификации. В заключение снова берутся пробы задержки хоста для определения, изменились ли они существенно.

Иногда ошибка драйвера операционной системы может помочь нам определить хосты, работающие в «безразличном» режиме. Аргентинская компания исследований безопасности CORE-SDI обнаружила ошибку в обыкновенном Linux Ethernet-драйвере. Они обнаружили, что когда хост работает в «безразличном» режиме, операционная система не может осуществить проверку Ethernet-адреса, для того чтобы убедиться, что пакет был направлен на один из его интерфейсов. Вместо этого данная проверка была произведена на уровне IP, и пакет был принят, так как если бы он был направлен на один из интерфейсов хоста. Обычно пакеты, не соответствующие Ethernet-адресу хоста, отбрасываются на аппаратном уровне; однако в «безразличном» режиме этого не происходит. Мы можем определить, находится ли хост в «безразличном» режиме, посылая ICMP ping-пакет хосту с правильным IP-адресом хоста, но неправильным Ethernet-адресом. Если хост ответил на этот ping-запрос, то он определенно работает в «безразличном» режиме.

AntiSniff является инструментом, написанным бостонской группой хакеров, известных как LOpht. Они объединили несколько методов, описанных выше, в инструмент, который эффективно выявляет хост, работающий в «безразличном» режиме (promiscuous mode). Пятнадцатидневная пробная версия данного инструмента (для Windows-систем) может быть получена на их Web-сайте, расположенном на at www.securitysoftwaretech.com/antisniff.

UNIX-версия доступна для бесплатного некоммерческого использования. Ознакомьтесь с лицензией для определения ограничений на использование этой версии.

Необходимо помнить, что AntiSniff находит некоторые анализаторы сетевого трафика, а не все. Некоторые анализаторы являются полностью «невидимыми», в то время как другие были пропатчены для противодействия AntiSniff\'у.

Sniffing — прослушивание сетевого трафика на наличие полезной информации. Прослушивание сетевого трафика может использоваться для воровства информации аутентификации (пароли), сообщений электронной почты, просмотра использования Web и, как правило, узнавания всего, что цель делает в сети. Протоколы, подвергающиеся прослушиванию для перехвата паролей, – Telnet, РОРЗ, IMAP, HTTP и NetBIOS.

Существует множество популярных пакетов программ для прослушивания сетевого трафика – Ethereal, Sniffer Pro, NetMon, AiroPeek, TCPDump, dsniff, и Ettercap. Некоторые из них коммерческие, а некоторые доступны бесплатно. Для перехвата паролей наиболее подходит dsniff. Он также является одним из бесплатных и имеет модули для прослушивания трафика электронной почты и Web-трафика. Carnivore является специализированным анализатором сетевого трафика и используется для обеспечения правопорядка, имеет больше опций фильтрации, чем многие другие (и не является доступным для обычного круга людей).

Традиционно большинство локальных сетей посылают трафик всем присоединенным узлам. В настоящее время во многих сетях используются коммутаторы, которые являются сетевыми устройствами, разработанными для улучшения производительности. Они также могут препятствовать прослушиванию сетевого трафика, ибо разработаны таким образом, чтобы не посылать трафик узлам, которые не должны его получать. Существуют «трюки» для преодоления этого, например MAC flooding, ARP spoofing или манипуляции с маршрутизаторами. Данные методы разработаны для того, чтобы дать возможность анализатору сетевого трафика прослушивать трафик. MAC flooding и манипуляции с маршрутизаторами осуществляются путем воздействия непосредственно на сетевое оборудование. ARP spoofing осуществляется путем воздействия на таблицу ARP-машины, которая будет прослушиваться. Некоторые рассмотренные пакеты программ для прослушивания сетевого трафика имеют инструменты для осуществления указанных «трюков».

Каждая операционная система, кроме старших версий Windows, имеет свой программный интерфейс приложения (API) для перехвата сетевого трафика. Существует бесплатное программное обеспечение драйвера для версий Windows, не имеющих данной функциональности. Написание программ для перехвата сетевого трафика во многих случаях может быть осуществлено с легкостью, несмотря на то что вам необходимы соответствующие привилегии для их использования. Однако в действительности декодирование трафика, перехваченного вашей программой, будет намного сложнее. Вообще, шифрование – один из путей защититься от прослушивания сетевого трафика. Шифрование сетевого трафика защищает от прослушивания только в том случае, если применено правильно. Однако многие схемы шифрования полагаются на то, что конечный пользователь сделает правильный выбор касательно сообщения об ошибке. Это оставляет брешь для MITM-атак, которые могут вызывать ошибку, но ошибки часто игнорируются. Пакет dsniff включает некоторые инструменты для реализации MITM (в данном случае «monkey-in-the-middle») атаки.

Существует несколько методов обнаружения анализаторов сетевого трафика, если они работают поверх неспециальных операционных систем. Они включают: просмотр DNS-запросов для поддельного IP-адреса, проверку ответов на пакеты с неправильными MAC-адресами и др. Данные методы не дают стопроцентной гарантии, так как возможно написание совершенно пассивного анализатора сетевого трафика.