Анализаторы протоколов.
Сети Ethernet завоевали огромную популярность благодаря хорошей пропускной способности, простоте установки и приемлемой стоимости сетевого оборудования.
Однако технология Ethernet не лишена существенных недостатков.
Основной из них состоит в незащищенности передаваемой информации. Компьютеры, подключенные к сети Ethernet, в состоянии перехватывать информацию, адресованную своим соседям. Причиной тому является принятый в сетях Ethernet так называемый широковещательный механизм обмена сообщениями
Локальное широковещание
В сети типа Ethernet подключенные к ней компьютеры, как правило, совместно используют один и тот же кабель, который служит средой для пересылки сообщений между ними.
Желающий передать какое-либо сообщение по общему каналу должен вначале удостовериться, что этот канал в данный момент времени свободен.
Начав передачу, компьютер прослушивает несущую частоту сигнала, определяя не произошло ли искажения сигнала в результате возникновения коллизий с другими компьютерами, которые ведут передачу своих данных одновременно с ним.
При наличии коллизии передача прерывается и компьютер «замолкает» на некоторый интервал времени, чтобы попытаться повторить передачу несколько позднее.
Если компьютер, подключенный к сети Ethernet. ничего не передает сам. он тем не менее продолжает «слушать» все сообщения, передаваемые по сети соседними компьютерами.
Заметив в заголовке поступившей порции данных свой сетевой адрес, компьютер копирует эту порцию в свою локальную память.
Существуют два основных способа объединения компьютеров в сеть Ethernet.
В первом случае компьютеры соединяются при помощи коаксиального кабеля.
Этот кабель подобно черной змейке вьется от компьютера к компьютеру, соединяясь с сетевыми адаптерами Т-образным разъемом. Такая топология на языке профессионалов называется сетью Ethernet 10Base2. Однако ее еще можно назвать сетью, в которой «все слышат всех».
Любой компьютер, подключенный к сети, способен перехватывать данные, посылаемые по этой сети другим компьютером.
Во втором случае каждый компьютер соединен кабелем типа «витая пара» с отдельным портом центрального коммутирующего устройства — концентратором или с коммутатором.
В таких сетях, которые называются сетями Ethernet lOBaseT, компьютеры поделены на группы, именуемые доменами коллизий.
Домены коллизий определяются портами концентратора или коммутатора, замкнутыми на общую шину.
В результате коллизии возникают не между всеми компьютерами сети. а по отдельности — между теми из них, которые входят в один и тот же домен коллизий, что повышает пропускную способность сети в целом.
В последнее время в крупных сетях стали появляться коммутаторы нового типа, которые не используют широковещание и не замыкают группы портов между собой.
Вместо этого все передаваемые по сети данные буферизуются в памяти и отправляются по мере возможности. Однако подобных сетей пока довольно мало — не более 10% от общего числа сетей типа Ethernet.
Таким образом, принятый в подавляющем большинстве Ethernet-сетей алгоритм передачи данных требует от каждого компьютера, подключенного к сети, непрерывного «прослушивания» всего без исключения сетевого трафика.
Предложенные алгоритмы доступа, при использовании которых компьютеры отключались бы от сети на время передачи «чужих» сообщений, так и остались нереализованными из-за свой чрезмерной сложности и малой эффективности.
Анализатор протоколов как он есть
Сетевой адаптер каждого компьютера в сети Ethernet, как правило .»слышит» все, о чем «толкуют» между собой его соседи по сегменту этой сети.
Но обрабатывает и помещает в свою локальную память он только те порции (так называемые кадры) данных, которые содержат уникальный адрес, присвоенный ему в сети.
В дополнение к этому подавляющее большинство современных Ethernet-адаптеров допускают функционирование в особом режиме, называемом беспорядочным (promiscuous), при использовании которого адаптер копирует в локальную память компьютера все без исключения передаваемые по сети кадры данных.
Специализированные программы, переводящие сетевой адаптер в беспорядочный режим и собирающие весь трафик сети для последующего анализа, называются анализаторами протоколов.
Последние широко применяются администраторами сетей для осуществления контроля за работой этих сетей и определения их перегруженных участков, отрицательно влияющих на скорость передачи данных.
К сожалению, анализаторы протоколов используются и злоумышленниками, которые с их помощью могут наладить перехват чужих паролей и другой конфиденциальной информации.
Надо Отметить, что анализаторы протоколов представляют серьезную опасность. Само присутствие в сети анализатора протоколов указывает на то, что в ее защитных механизмах имеется брешь. Установить анализатор протоколов мог посторонний человек, который проник в сеть извне (например, если сеть имеет выход в Internet).
Но это могло быть и делом рук «доморощенного» злоумышленника, имеющего легальный доступ к сети. В любом случае к сложившейся ситуации следует отнестись со всей серьезностью. Специалисты в области компьютерной безопасности относят атаки на компьютеры при помощи анализаторов протоколов к так называемым атакам второго уровня.
Это означает, что компьютерный взломщик уже сумел проникнуть сквозь защитные барьеры сети и теперь стремится развить свой успех. При помощи анализатора протоколов он может по пытаться перехватить регистрационные имена и пароли пользователей, их секретные финансовые данные (например, номера кредитных карточек) и конфиденциальные сообщения (к примеру, электронную почту).
Имея в своем распоряжении достаточные ресурсы, компьютерный взломщик в принципе может перехватывать всю информацию, передаваемую по сети.
Анализаторы протоколов существуют для любой платформы. Но даже если окажется, что для какой-то платформы анализатор протоколов пока еще не написан, с угрозой, которую представляет атака на компьютерную систему при помощи анализатора протоколов, по-прежнему приходится считаться.
Дело в том, что анализаторы протоколов подвергают анализу не конкретный компьютер, а протоколы. Поэтому анализатор протоколов может «свить» себе гнездо в любом узле сети и оттуда осуществлять перехват сетевого трафика, который в результате широковещательных передач попадает в каждый компьютер, подключенный к сети.
Наиболее частыми целями атак компьютерных взломщиков, которые те осуществляют посредством использования анализаторов протоколов, являются университеты. Хотя бы из-за огромного количества различных регистрационных имен и паролей, которые могут быть украдены в ходе такой атаки. Использование анализатора протоколов на практике не является такой уж легкой задачей, как это может показаться.
Чтобы добиться пользы от анализатора протоколов компь ютерный взломщик должен обладать достаточными знаниями в области сетевых технологий. Просто установить и запустить анализатор протоколов на исполнение нельзя, поскольку даже в небольшой локальной сети из пяти компьютеров за час трафик составляет тысячи и тысячи пакетов. И следовательно, за короткое время выходные данные анализатора протоколов заполнят «жесткий» диск «под завязку».
Поэтому компьютерный взломщик обычно настраивает анализатор протоколов так, чтобы он перехватывал только первые 200-300 байт каждого пакета, передаваемого по сети. Обычно именно в заголовке пакета размещается информация о регистрационном имени и пароле пользователя, которые, как правило, больше всего интересуют взломщика.
Тем не менее, если в распоряжении взломщика достаточно пространства на «же стком» диске, то увеличение объема перехватываемого им трафика пойдет ему только на пользу и позволит дополнительно узнать много интересного.
На серверах в сети Internet выложено множество анализаторов протоколов, которые отличаются лишь набором доступных функций. Поиск по запросам «protocol analyzer» и «sniffer» на сервере softseek дает ссылки на добрый десяток программных пакетов.
Для компьютеров, работающих под управлением операционных систем Windows, одними из лучших являются анализаторы протоколов Lan Explorer компании Intellimax и NetXRay компании Network Associates. NetXRay (в переводе с английского — «Сетевой рентген») обладает обширным набором функций, которые позволяют делать моментальный снимок «внутренностей» сети Ethernet, определять, какие ее узлы и сегменты несут наибольшую нагрузку, составлять отчеты и строить диаграммы на основе полученных данных. Бесплатная версия NetXRay доступна в Internet по адресу http:// nai / asp_set / products / tnv / snitierbasicJntro.asp.
Анализатор протоколов Lan Explorer («Анализатор ЛВС») не уступает по своей функциональности NetXRay, имеет очень хороший пользовательский интерфейс, удобен и прост в использовании. Пробная 15-дневная версия Lan Explorer доступна по адресу http:// intellimax / ftpsites.htm.
Анализатор протоколов Network Monitor также входит в состав операционной системы Windows NT Server корпорации Microsoft. Для его установки следует в Панели управления (Control Panel) дважды щелкнуть на пиктограмме Сеть (Network), затем перейти на закладку Службы (Services), нажать клавишу Добавить… (Add…) и в появившемся диалоговом окне выбрать Network Monitor Tools and Agent. После установки анализатор протоколов можно запустить из меню Программы (Programs) в разделе Администрирование (Administrative Tools).
Как защититься от анализатора протоколов
Оговоримся сразу — в советах касательно того, как защищаться от анализатора протоколов, нуждаются только те, кто желает дать отпор компьютерным взломщикам, использующим анализаторы протоколов для организации атак на компьютерные системы, подключенные к сети. В руках сетевого администратора анализатор протоколов является весьма полезным инструментом, который помогает ему находить и устранять неисправности, избавляться от узких мест, снижающих пропускную способность сети, и своевременно обнаруживать проникновение в нее компьютерных взломщиков.
А посоветовать можно следующее. Во-первых, попытаться обзавестись сетевым адаптером, который принципиально не может функционировать в беспорядочном режиме. Такие адаптеры в природе существуют. Некоторые из них не поддерживают беспорядочный режим на аппаратном уровне (таких меньшинство), а остальные просто снабжаются драйвером. который не допускает работу в беспорядочном режиме, хотя этот режим и реализован аппаратно. Чтобы отыскать адаптер, не имеющий беспорядочного режима, достаточно связаться со службой технической поддержки любой компании, торгующей анализаторами протоколов, и выяснить, с какими адаптерами их программные пакеты не работают. Во-вторых, учитывая, что спецификация РС99, подготовленная в недрах корпораций Microsoft и Intel, требует безусловного наличия в сетевой карте беспорядочного режима, приобрести современный сетевой интеллектуальный коммутатор, который буферизует передаваемое по сети сообщение в памяти и отправляет его по мере возможности точно по адресу. Тем самым надобность в «прослушивании» адаптером всего трафика для того, чтобы выуживать из него сообщения, адресатом которых является данный компьютер, отпадает.
В-третьих, не допускать несанкционированного внедрения анализаторов протоколов на компьютеры сети. Здесь следует применять средства из арсенала, который используется для борьбы с программными закладками и в частности — с троянскими программами (установка брандмауэров) В-четвертых, шифровать весь трафик сети. Имеется широкий спектр программных пакетов, которые позволяют делать это достаточно эффективно и надежно. Например, возможность шифрования почтовых паролей предоставляется надстройкой над почтовым протоколом POP (Post Office Protocol) — протоколом APOP (Authentication POP). При работе с APOP по сети каждый раз передается новая шифрованная комбинация, которая не позволяет злоумышленнику извлечь какую-либо практическую пользу из информации, перехва ченной с помощью анализатора протоколов. Проблема только в том, что сегодня не все почтовые серверы и клиенты поддерживают APOP.
Другой продукт под названием Secure Shell, или сокращенно — SSL, был изначально разработан финской компанией SSH Communications Security (http:// ssh.fi) и в настоящее время имеет множество реализаций, доступных бесплатно через Internet. SSL представляет собой защищенный протокол для осуществления безопасной передачи сообщений по компьютерной сети с помощью шифрования.
Особую известность приобрели программные пакеты, предназначенные для защиты передаваемых по сети данных путем шифрования и объединенные присутствием в их названии аббревиатуры PGP, что означает Pretty Good Privacy. Сведения об этих пакетах можно отыскать в Internet по адресу http:// nai / asp_set / products / ins / intro.asp. К сожалению, имеющаяся на данном сервере бесплатно распространяемая версия программы шифрования из этой серии доступна только для жителей США и Канады, а также для счастливых москвичей, ставших обладателями пиратских компакт-дисков, на которых ее время от времени можно случайно встретить. •