WWW.KNIGA.SELUK.RU

БЕСПЛАТНАЯ ЭЛЕКТРОННАЯ БИБЛИОТЕКА - Книги, пособия, учебники, издания, публикации

 

Pages:   || 2 |

«Кафедра Автоматической электросвязи Специальность Радиотехника, электроника и телекоммуникация Допущен к защите Зав. кафедрой АЭС Чежимбаева К.С. к.т.н., доцент __20г. ...»

-- [ Страница 1 ] --

Некоммерческоеакционерноеобщество

«АЛМАТИНСКИЙ УНИВЕРСИТЕТ ЭНЕРГЕТИКИ И СВЯЗИ»

Кафедра Автоматической электросвязи

Специальность Радиотехника, электроника и телекоммуникация

Допущен к защите

Зав. кафедрой АЭС

Чежимбаева К.С. к.т.н., доцент

«_»_20г.

МАГИСТЕРСКАЯ ДИССЕРТАЦИЯ

пояснительная записка Тема Исследование безопасности транспортных протоколов телекоммуникационных сетей Магистрант _Толеужанов С.А.

подпись (Ф.И.О.) Руководитель диссертации _Илипбаева Л.Б.

подпись (Ф.И.О.) Рецензент подпись (Ф.И.О.) Нормаконтроль Абиров Д.А.

подпись (Ф.И.О.) Вычислительнаятехника _Туманбаева К.Х.

подпись (Ф.И.О.) Алматы, 2014 г Содержание Введение Аннотация 1 Анализ современного состояния информационной безопасности в телекоммцникационных сетях 1.1 Информационная безопасность транспортных протоколов 1.2 Процедуры для парирования сетевых угроз 1.3 Сравнение протоколов транспортного уровня 1.4 Удаленные сетевые атаки 1.5. Особенности удаленных атак 1.6. Классификация удаленных атак на распределенные вычислительные системы 1.7. Выводы.

2 Постановка задачи 2.1. Схема установки соединения протокола ТСР 2.2. Методика определения начального значения идентификатора ТСР 2.3 Атаки типа отказ в обслуживании SYN flood 2.4. Реализация удаленной атаки типа «Подмена доверенного субъекта соединения»

2.5. Измерение статистических параметров сети для осуществления атаки 3. Построение математической модели атаки 3.1 Формальная постановка задачи 3.2 Изучение этап разведки 3.3 Основные условия атаки 3.4 Вероятность успешности атаки при использовании различных статистических моделей 3.5 Возможные способы предотвращения атак 3.6 Выводы Заключение Список литературы Аннотация В данной магистерской диссертации представлена математическая модель атаки типа «подмена доверенного субъекта», позволяющее создание на ее основе средства для обнаружения сетевых атак.

Целью магистерской диссертации является повышение безопасности транспортных протоколов телекоммуникационных систем путем управления процедурами протокола.

Для достижения поставленной цели проведены атаки типа «угадывание идентификатора» и «прогнозирование идентификатора» протокола, исследована математическая модель атаки типа «подмена доверенного субъекта», выполнен сравнительный анализ протоколов TCP и SCTP, разработана имитационная модель СМО злоумышленника.





Бл магистрлік диссертацияда желілік кауіпті анытайтын дістерді ратын, «сенімді субъекті алмастыру» шабуылыны математикалы моделі крсетілген.

Магистрлік диссертацияны масаты хатттаманы рсімдерін басару арылы телекоммуникацияны транспортты хаттамаларды ауіпсіздігіен жасарту болып табылады.

Осы масаттарды жзеге асыру шін «идентификаторды табу» жне «идентификаторды болжау» шабуылдары жасалды, «сенімді субъекті алмастыру» шабуылыны математикалы моделі арастырылды, TCP жне SCTP хаттамаларыны салыстырмалы анализі жргізілді, шабуыл жасаушыны имитациалия моделі жасалынды.

Abstract

This master thesis presents a mathematical model of an attack such as "spoofing a trusted entity", which allows to create tools based on a detection of network attacks.

The purpose of the master's thesis is to improve the safety of transport protocols telecommunication systems by managing the protocol.

To achieve this goal carried out attacks like "guessing identifier" and "forecasting identifier" protocol investigated mathematical model of attack such as "spoofing a trusted entity", the comparative analysis of TCP and SCTP, designed simulation model of network attacker.

Транспортные протоколы выполняют основную роль в доставке и сборке пакетов в сфере информационного взаимодействия, во многих случаях используя плохозащищенные открытые служебные процедуры, алгоритмы и методики.

Использование открытых, в том числе и транспортных протоколов гарантирует совместимости информационных процессов в условленных протоколами границах.

Среди транспортных протоколов, широко используемых ведущими производителями телекоммуникационных оборудовании и программ, наибольшей популяностью, а также производительностью и надежностью, пользуется протокол Transmission Control Protocol (TCP). Однако, анализирую ежеквартальные отчеты компании Сisco, мирового лидера в сфере сетевых технологий, протокол TCP часто подвергается атакам.

Известны методы, которые направлены на улучшение производительности и безопасности протокола TCP. Вопросами производительности протоколов информационного взаимодействия, в том числе и протокола TCP, занимались Cui X., Cui L., Семенов Ю.А., Jacobson V., Huston G., Grieco A., Mascolo S., Charoenpanyasak S., и другие.

К сожалению, любые предлагаемые способы и методы повышения производительности обеспечиваются за счет снижения безопасности. Однако исследование количественных характеристик в известных работах отсутствует.

Таким образом, разработка методов повышения защищенности процессов в открытых телекоммуникационных системах и сетях является важной и актуальной задачей, не решенной в полной мере на сегодняшний день.

Целью проекта является повышение безопасности транспортных протоколов телекоммуникационных систем путем управления процедурами протокола.

Для достижения поставленной цели следует выполнить следующие задачи:





провести атаку типа «угадывание идентификатора»;

провести атаку типа «прогнозирование идентификатора» протокола;

исследовании математической модели атаки типа «подмена доверенного субъекта»

сделать сравнительный анализ протоколов TCP и SCTP;

разработка имитационной модели СМО злоумышленника.

Научная новизна магистерской диссертации заключается:

в анализе математической модели атаки типа «подмена доверенного субъекта»;

в разработке имитационной модели СМО злоумышленника в системе GPSS World;

модель оценки временных задержек сетевой архитектуры.

1 Анализ современного состояния информационной безопасности в телекоммцникационных сетях 1.1 Информационная безопасность транспортных протоколов Транспортные протоколы телекоммуникационных играют ключевую роль в передаче информации в современных компьютерных сетях. Протоколы транспортного уровня гарантировать правильную последовательность прихода данных, а также могут решать проблему негарантированной доставки сообщений. В стеке TCP/IP транспортные протоколы определяют, для какого именно приложения предназначены эти данные.

Протокол TCP (Transport Control Protocol)- «гарантированный»

транспортный механизм с предварительным установлением соединения, предлагающий приложению гарантрированный поток данных, дающий уверенность в безошибочности принятых данных, перезапрашивающий данные в случае утери и ликвидирующий дублирование данных. TCP позволяет регулировать нагрузку на сегмент сети, а также уменьшать время ожидания информации при отправления на большие расстояния. Также, протокол TCP гарантирует, что полученные данные были переданы точно в такой же последовательности.

UDP - протокол передачи датаграмм без установления соединения. Также его именуют протоколом «негарантированной» передачи, в смысле невозможности убедиться в доставке данных получателю, а также вероятного перемешивания пакетов. В приложениях, требующих надежной передачи информации, используется протокол TCP.

UDP традицинно используется в таких приложениях, как потоковое видео и компьютерные забавы, где позволяется потеря пакетов, а вторичный запрос усложнен или не оправдан, либо в приложениях вида запрос-ответ (к примеру, требования к DNS), где создание соединения занимает намного больше ресурсов, нежели повторная отправка.

Протокол TCP (Transmission Control Protocol) является одним из базовых протоколов транспортного уровня сети Internet. Работа с этим протоколом подразумевает создание непосредственного виртуального соединения, контроль ошибок, повторную пересылку поврежденных пакетов, четкую последовательность пересылки самих пакетов и разрыв соединения в конце сеанса. Нам интересен этот протокол именно потому, что такие известные протоколы прикладного уровня как FTP и TELNET реализованы на его базе.

Для опознавания TCP-пакета в его заголовке существует два 32-разрядных идентификатора, они же в свою очередь служат и счетчиками пакетов. Имеются Sequence Number и Acknowledgment Number и еще одно немаловажное поле Control Bits.

Это поле размером 6 бит может содержать следующие командные биты (слева направо):

URG: Urgent Pointer field significant ACK: Acknowledgment field significant SYN: Synchronize sequence numbers Чтобы улучшить систему безопасности телекоммуникационных сетей следует изучать типы удаленных атак. Наверно современные транспортные протоколы уже не соответствуют требованиям по безопасности, так как у этих протоколов на ряду с достоинствами идут и серьезные недостатки.

Современные атаки злоумышленников очень сложны в своем содержании и уже не похоже на атаки которые были во времена Arpanet. Так что следует задуматься об изменениях структуры, содержания и может даже о создании более безопасного протокола. Ведь наступает информационно-технический век, в котором все средства людей постепенно переходят в виртуальную среду.

1.2 Процедуры для парирования сетевых угроз Открытые транспортные протоколы выполнены по общеизвестным стандартам, и не создают проблем с совместимостью. Стандарты создает специальная комиссия Интернет-разработок (Internet Engineering Task Force, IETF). Чтобы протокол стал стандартом, требуется выполнение множества разнообразных условий. Поэтому используются те протоколы, которые проходят процедуру стандартизации. Однако при разработке протоколов TCP и UDP (User Datagram Protocol) не были учтены особенности современных информационных процессов и среды. Для парирования угроз можно выполнить следующие процедуры.

- Подправить протоколы до прикладного уровня. В основном этот метод используется в любой операционной системе. Но как всем известно – любое новое исправление может принести свои последствия и вероятно создаст новую уязвимость;

- Начать разработку новых протоколов и сделать замену существующих протоколов TCP и UDP. Например, можно использовать протоколы, которые более стойкие к сетевым атакам SCTP (Stream Control Transport Protocol) и DCCP (Datagram Congestion). Эти протоколы отвечают всем запросам, которые ставились разработчикам - Оптимизировать параметры стандартных протоколов. Стандарты дают возможность изменять ряд протокольных параметров (размер окна получателя, разнообразные опции протокола), что может быть использовано при реализации транспортного протокола под определенную ОС. Следует выделить статическую (изменение параметров, требующее перезагрузку ОС) и динамическую (изменение параметров во время работы системы) оптимизацию параметров протоколов.

Внутриуровневая оптимизация транспортного протокола – это повышение производительности и безопасности внутри транспортного уровня. Повышение эффективности работы протокола может быть реализовано за счет:

перехода с одного протокола на другой, если оба протокола позволяют решить задачу информационного взаимодействия с разной степенью эффективности (оптимизация выбора протокола);

улучшения работы алгоритмов протокола (оптимизация алгоритма);

уменьшения или увеличения времени, которое необходимо для перехода из одного состояния в другое (оптимизация события).

Использовать межуровневые связи протоколов информационного взаимодействия для гибкого и оперативного реагирования на изменяющиеся условия каждого из взаимодействующих уровней. [8] Связи между протоколами, которые принадлежат разным уровням стека TCP/IP, можно использовать для повышения эффективности телекоммуникационной системы, для чего следует воспользоваться одним из методов, приведенным ниже.

– Оптимизация двух и более уровней путем создания новых интерфейсов между ними. Новые интерфейсы будут использованы для обмена служебной информацией между уровнями (рис. 1.1) Рисунок 1.1 – Создание новых интерфейсов между уровнями – Оптимизация взаимодействия уровней путем централизации управления ими. Данный метод улучшает качество взаимодействия между уровнями, так как их поведением управляет единая служба (рис. 1.2).

Рисунок 1.2 – Взаимодействие нескольких уровней через единую точку – Создание новых протокольных элементов (компонентов).

Создание новых протокольных элементов (компонентов) допускает возможность дублирования части или даже всех их функций затрагиваемых уровней, обеспечивая гибкость при оценке данных (рис. 1.3).

Рисунок 1.3 – Добавление новых элементов для улучшения работы стека Наиболее опасная уязвимость протокола TCP связана с приемом пакетов от злоумышленника, имеющих допустимый идентификатор. Следует выделить три основных варианта реализации атаки на протокол TCP:

– атака типа «угадывание», заключающаяся в том, что злоумышленник не имеет информации о текущем значении идентификатора TCP-пакета и генерирует пакеты с деструктивными данными по некоторому правилу (например, с одним и тем же идентификатором);

– атака типа «прогнозирование идентификатора», состоящая в прогнозировании идентификатора TCP-пакета путем экстраполяции значений идентификаторов последовательности TCP-пакетов;

– атака типа «повторная отправка пакета», заключающаяся в модификации пакета отправителя путем добавления в пакет деструктивных данных (установка флага RST, SYN, добавление своих данных в содержимое пакета).

Атака типа «прогнозирование идентификатора» гарантирует осуществление деструктивного воздействия за минимально возможное время.

Суть этой атаки состоит в следующем: злоумышленник исследует входящий поток пакетов на наличие TCP-соединения с определенными IP-адресами и номерами портов, определяет скорость передачи данных по этому соединению, и на основании данной информации создает пакет с деструктивными данными, экстраполируя номер идентификатора атакующего пакета. При попадании идентификатора атакующего пакета в диапазон значений идентификаторов пакетов, которые могут быть обработаны получателем, реализуется деструктивное воздействие.

Для защиты от этого типа атаки предлагается метод, заключающийся в разрушении детерминизма. Этого можно достичь путем рандомизации последовательности пакетов и управления процессом их сборки внутри транспортного уровня.

В работе исследуется новый метод формирования TCP-пакетов, отличающихся от стандартного тем, что идентификаторы последовательных пакетов рандомизируется по заданному правилу и модель СМО злоумышленника.

Известно существование условий, при которых атакующее действие злоумышленника будет гарантированно реализовано[4]:

передача данных происходит через открытый канал связи по протоколу TCP;

злоумышленник перехватывает пакеты полностью и без ошибок;

каждый последующий идентификатор пакета может быть получен из предыдущего по формуле где MSSi – размер i-го сегмента TCP, n – количество бит в заголовке пакета, выделенных под поле Sequence Number (SN), I1, I2, … IN – идентификаторы пакетов.

Отсюда следует необходимость защиты соединения от вмешательства злоумышленника. Для этого предлагается метод, заключающийся в оптимизации производительности и безопасности процесса информационного взаимодействия, состоящего в рандомизации последовательности пакетов и управления процессом их сборки.

Суть метода заключается в следующем: каждый идентификатор Ii, TCP-пакета заменяется на некоторые случайное число Ri, взятое из диапазона от 0 до 2n (IiRi). На стороне получателя производится обратное преобразование (RiIi). Это преобразование существенно осложняет задачу злоумышленнику по манипуляции соединением. Общий принцип реализации этого метода изображен на рисунке 1. Рисунок 1.4 – Схема реализации информационной системы, использующей метод рандомизации последовательности пакетов и управления При реализации предложенного метода злоумышленник не сможет прогнозировать диапазон доступных номеров пакета (атака типа «прогнозирование идентификатора»), и будет вынужден перехватывать последовательность пакетов от защищающейся стороны и вносить в эти пакеты деструктивные данные (атака типа «повторная отправка пакета»). Однако для осуществления данной атаки ему потребуется затратить некоторое время.

1.3 Сравнение протоколов транспортного уровня В качестве альтернативы протоколу TCP можно использовать протокол SCTP, который менее уязвимый к сетевым атакам.

SCTP – относительно новый протокол транспортного уровня для IP-сетей (аналогичный TCP и UDP), – был определен рабочей группой IETF Signaling Transport (SIGTRAN) в 2000 г. Хотя изначально SCTP предназначался для телефонной сигнализации, в роли транспортного он снимает ряд ограничений TCP и в то же время заимствует некоторые полезные свойства UDP.

Подобно TCP, SCTP обеспечивает надежный транспортный сервис, передавая данные по сети без ошибок и в нужной последовательности, и так же ориентирован на соединение. Это означает, что перед передачей данных устанавливается соединение, которое сохраняется вплоть до успешного ее завершения. SCTP является протоколом индивидуальной рассылки (unicast) и поддерживает обмен данными только между двумя конечными точками.

Рисунок 1.5 – Различие соединений двух транспортных протоколов Рассмотрим вкратце основные его особенности. Поддержка множественной адресации. Если в хосте установлено несколько сетевых интерфейсных карт, то он может иметь несколько IP-адресов, по которым к нему можно обращаться (multihoming – многодомность). В TCP понятие соединение (connection) относится к каналу между двумя конечными точками (в этом случае – сокет между интерфейсами двух хостов). SCTP вводит концепцию ассоциации (association), которая устанавливается между двумя хостами, однако потенциально поддерживает несколько интерфейсов на каждом хосте. Рисунок 1.5 иллюстрирует различие между соединением TCP и ассоциацией SCTP. В случае TCP каждый хост включает единственный сетевой интерфейс, и соединение создается только между ними. В приведенном примере для SCTP каждый хост имеет два сетевых интерфейса. Таким образом, существует два независимых пути: один от C0 к S0 и второй – от C1 к S1.

Протокол объединяет оба эти пути в ассоциацию.

Нужно отметить, что в текущей спецификации протокола многодомность не может использоваться для разделения нагрузки, а только лишь для целей избыточности. При нормальном режиме для получателя выбирается единственный адрес (в терминологии SCTP он называется основным), по которому и осуществляется вся передача данных. Для порций данных, транслируемых повторно, может быть указан альтернативный адрес с целью повысить вероятность доставки.

Для поддержки многодомности отправитель и получатель обмениваются списком адресов в процессе инициализации ассоциации (она будет рассмотрена ниже). Каждый узел должен обладать способностью получать сообщения от любого адреса, ассоциированного с другим узлом. В то же время для одной сессии используется единый номер порта для всего списка IP-адресов.

SCTP имеет встроенный механизм мониторинга путей в ассоциации. Если один из них оказывается неработоспособным, трафик направляется альтернативным маршрутом. Обработка отказа может также служить для управления сетевым соединением приложения. Например, возьмем ноутбук с интерфейсами Wi-Fi и Ethernet. Когда он подключен к доку, то в качестве сетевого соединения будет задействован высокоскоростной интерфейс Ethernet, но если это соединение прерывается (скажем, устройство отключается от дока), то связь будет восстановлена через беспроводной интерфейс. Таким образом, мониторинг путей обеспечивает высокую доступность и увеличивает надежность.

Многопотоковая передача данных.Ассоциация SCTP во многом подобна соединению TCP, однако SCTP может поддерживать несколько потоков внутри ассоциации. Это свойство явно выражено в самом названии протокола – Stream Control Transmission Protocol. Данные разбиваются на множество потоков, доставляемых получателю независимо. Каждому потоку присваивается номер, который кодируется внутри SCTP-пакетов, передающихся через ассоциацию.

Потеря сообщения в одном из потоков никак не сказывается на остальных.

Одним из примеров полезности многопотоковости может служить доставка мультимедийных документов, таких как Web-страницы, которые отсылаются в рамках единой сессии. Поскольку такие документы содержат объекты разных размеров и типов данных (к примеру, HTML-страницы и графические образы), многопотоковость позволяет передавать их не строго, а частично упорядоченными. В результате этого улучшается восприятие документа пользователем.

В то же время весь транспорт выполняется в рамках единой SCTPассоциации, так что все потоки являются объектами общего механизма управления потоком и перегрузками.

Сохранение границ сообщений. Еще одно отличие рассматриваемого протокола от TCP – сохранение границ сообщений. TCP ориентирован на поток байтов. Все байты, посланные по TCP-соединению, доставляются в строгом порядке. Это значит, что байт, отправленный первым, должен быть безопасно доставлен в пункт назначения прежде, чем второй байт может быть обработан, даже если он «ухитряется» прибыть раньше. Если за один шаг посылается некоторое количество байтов, а позже – еще, то вся последовательность будет принята в строгом порядке, но получатель не сможет определить, на каком шаге были отправлены те или иные байты.

Рисунок 1.6 – Различие сокетов двух транспортных протоколов В противоположность этому SCTP сохраняет границы сообщений, поскольку оперирует не отдельными байтами, а целым сообщением. Другими словами, если клиент посылает серверу сначала сообщение длиной 100 В, а затем второе длиной 50 В, то оба они будут прочитаны сервером двумя соответствующими операциями чтения (рис. 1.6).

SCTP обеспечивает надежную передачу сообщений, но не обязательно в строгом порядке. Эта особенность может быть полезна в приложениях, ориентированных на доставку сообщений, в которых запросы являются независимыми и порядок получения ответов неважен.

Особенности процедуры инициализации ассоциации. И в TCP, и в SCTP новое соединение устанавливается с помощью механизма квитирования. В TCP для этого используется трехэтапная процедура (рис. 1.6, а). Клиент посылает пакет SYN, на который сервер отвечает квитанцией SYN-ACK. Затем клиент подтверждает ее получение пакетом ACK. При этом может возникнуть следующая ситуация. Предположим, злоумышленник формирует пакет с фальшивым адресом источника и потом «затапливает» сервер пакетами SYN.

Сервер выделяет соответствующие ресурсы и затем «задыхается» под лавиной пакетов SYN и не может обслуживать новые запросы. Так организуется атака, известная как отказ в обслуживании (DoS).

Рисунок 1.7 - Различие установления соединения двух транспортных SCTP защищается от подобных атак с помощью четырехэтапной процедуры установки связи и ввода специальной записи состояния (cookie).

Рассмотрим этот механизм (рис. 1.7, б).

Клиент сообщает серверу о намерении установить соединение, посылая пакет INIT. При этом получателю не требуется сохранять никакой информации о состоянии или резервировать какие-либо ресурсы. Вместо этого он отвечает пакетом INIT-ACK, который включает cookie, содержащую всю информацию, требуемую отправителю для формирования своего состояния. Оба сообщения INIT и INIT-ACK содержат несколько параметров, необходимых для установки начального состояния:

список всех IP-адресов, которые станут частью ассоциации;

номер транспортной последовательности, используемый для обеспечения надежной доставки данных;

тег инициации, включаемый в каждый входящий пакет SCTP;

количество выходящих потоков, запрашиваемых каждым из узлов;

количество входящих потоков, которые способен поддерживать каждый из узлов.

После этого клиент возвращает пакет COOKIE-ECHO, который содержит запись cookie, посланную сервером, и может включать связанные с ним пользовательские сообщения DATA. На этом шаге сервер выделяет ресурсы для соединения и подтверждает это, отправляя клиенту пакет COOKIE-ACK (он также может содержать пользовательские сообщения DATA). Это в определенной мере компенсирует задержку, вызванную четырехэтапным механизмом квитирования.

Отключение соединения. Транспортным протоколам, ориентированным на соединение, необходим метод его поэтапного разрыва. Сравним, как это делается в случаях TCP и SCTP.

Рисунок 1.8 – Завершение сеанса двух транспортных протоколов Как видно из рис. 1.8, а, завершение сеанса TCP проходит в четыре этапа.

Разрывающий соединение узел посылает пакет FIN, сигнализируя, что у него нет больше данных для отправки. Однако другая сторона может продолжать передавать данные сколь угодно долго, и лишь затем ответить пакетами подтверждения ACK и окончания FIN. Такая ситуация известна как наполовину открытое соединение. Приложения нечасто используют это состояние, и поэтому разработчики SCTP решили удалить этот этап, заменив его более определенной завершающей последовательностью операций (рис. 1.8, б).

Протокол предусматривает, что коль скоро одной из сторон была начата процедура разрыва (послан пакет SHUTDOWN), то оба узла прекращают передачу данных по соединению. Им остается только подтвердить свои действия квитанциями SHUTDOWN-ACK и SHUTDOWN- COMPLETION.

Также добавим, что SCTP нашел свое место во всех основных ОС, включая GNU/Linux, BSD и Solaris. Для Microsoft Windows он существует в виде коммерческого пакета третьей стороны. Он также применяется другими протоколами, такими как SIP и SS7. Когда он станет общедоступным, приложения начнут использовать его как основной транспорт.

1.4 Удаленные сетевые атаки Под удаленной сетевой атакой понимают информационное разрушающее воздействие на распределенную вычислительную систему с целью получение информации или избавление конкуренции, программно осуществляемое по открытым каналам связи. В основном злоумышленниками осуществляются атаки на различные сайты банковской и социальных сетей.

В основном, для того, чтобы осуществить атаку на локально вычислительные системы, необходимо пройти три основных стадии:

- исследование вычислительной системы с выявлением изъянов в ней;

- разработка программной реализации атаки;

- осуществление атаки.

Однако прежде чем перейти непосредственно к рассмотрению, выбранного предмета исследования, т.е. безопасность транспортных протоколов телекоммуникационных сетей посмотрим, как обстоит дело с удаленными атаками на узлы глобальной сети сегодня, и обратимся к истории вопроса.

Удаленные атаки на узлы глобальной компьютерной сети ведут свою историю от 2 ноября 1988 года. Тогда выпускник Корнельского университета Роберт Моррис запустил свою программу, которая вышла из-под контроля создателя и начала быстро перемещаться по сети. За короткий срок вирус-червь заполнил многие узлы глобальной сети, загружая не защищенные операционные системы своими копиями, вызывая отказы в обслуживании и т.п.

В результате этого инцидента мир получил представление о возможности нарушения безопасности компьютерной сети Internet. Хотя до этого были произведены некоторые менее опасные атаки на компьютерные сети, после этого инцидента участились случаи хакерство. Особенно можно вспомнить легендарного хакера Кевина Митника, который взломал домашний компьютер Цитому Шимомуру, ведущего американского специалиста в области информационной безопасности, сотрудника Sun Microsystems. В домашнем компьютере, которого бы исходные коды новой операционной системы предназначенные для военных целей.

После анализа результатов взлома был образован ряд научноисследовательских организаций, которым предстояло отслеживать случаи сетевых атак и вырабатывать стандарты и методы по защите компьютеров и сетей. Наиболее широко популярны: CERT (Computer Emergency Response Team), институт SANS (SysAdmin, Audit, Network, Security), группа Shadow (Secondary Heuristic Analysis for Defensive Online Warfare), созданная в Военноморском флоте США для анализа нападений на информационные системы и др.

Многие разработанные ими методики и программные средства противодействия различным видам сетевых атак распространяются бесплатно.

В самой истории сети можно подчеркнуть данные о количестве зарегистрированных нападении число которых, конечно же, неполно, поскольку многие подвергнувшиеся атакам не сообщают об этом по ряду причин. Но даже, несмотря на это количество зарегистрированных преступлений в сфере компьютерной информации и, особенно, удаленных атак на различные узлы сети Internet, постоянно растет. Например, только в декабре прошлого года количество зарегистрированных атак, предпринятых на сервера, расположенные на территории США, составило 5383. Для сравнения можно привести общее количество атак на сервера в следующих странах (в порядке убывания): Германия — 1530, Бразилия —1512, Италия — 614; Польша — 508, Россия — 412, Канада — 341 и Швейцария — 293.

В последние годы книжные прилавки стали заполняться всевозможными книгами и журналами, в названии которых присутствует слово глобальная сеть.

Почти в каждой такой книге имеется теоретический материал, посвященный безопасности. Но большинство информации по этой теме ограничивается общими содержаниями и рекомендациями. Это вызвано несколькими факторами. Самым главным из них является то, что по известным причинам наша страна открыла окно в всемирную паутину совсем недавно, в связи с чем, мы еще не успели набрать достаточного опыта в обеспечении безопасности узлов такой глобальной компьютерной сети и отдельных пользователей этой сети.

По информационным сводкам можно узнать, что и нашей стране часто встречаются случаи атаки хакеров, которые преследуют определенные цели. К сожалению, Департамент Внутренних Дел Республики Казахстан, не предоставляет информацию по количеству зарегистрированных случаев сетевых атак. Однако в глобальной сети есть данные соседней страны. По данным МВД РФ, количество преступлений в сфере высоких технологий в г. удвоилось по сравнению с 20012г. и превысило 11 тыс. зарегистрированных случаев. Быстрые темпы роста в преступлений в информационном пространстве с использованием высоких технологий говорят о том, что преступники довольно быстро осваивают новые средства для совершения преступлений. Среди наиболее популярных нарушений в особенно выделяются несанкционированный сетевой доступ к информационным системам.

Объектами взлома в множество случаев становятся разные финансовоэкономические структуры: банки второго уровня, инвестиционные компании, фондовые биржи и т.д. Также стоит отметить, что, в основном, российские киберпреступники любят атаковать иностранные банки.

Однако исследования выданном направлении ведутся, и если не на книжных прилавках, то на специализированных серверах сети Internet можно найти информацию, отражающую различные аспекты безопасности в сети Internet. Например, на серверах: www.cnews.ru, www.hackzone.ru и www.bugtrack.ru публикуются информативные статьи, посвященные данной проблеме, российских и зарубежных специалистов в области сетевой безопасности. В 1997 году в издательстве НПО "Мир и семья-95" вышла книга И. Д. Медведовского, П. В. Семьянова и В.В.Платонова под названием "Атака через Internet". В этой книге, пожалуй, впервые в постсоветской литературе, дан подробный анализ возможных и существующих способов атак на узлы глобальной компьютерной сети Internet.

Исследуя зарубежные источники, можно выяснить, что они в последнее годы все скоординированным нападениям злоумышленников на государственные и частные сети одновременно из многих точек земного шара.

Такого рода нападения характеризуются одновременной посылкой миллионов пакетов от большинства бот-машин, большой напряженностью сетевого трафика и приводят, в конечном счете, как минимум, к отказу в обслуживании удаленного компьютера. Эти атаки трудно идентифицировать, поскольку отправка пакетов осуществляется с различных узлов глобальной сети, находящихся далеко друг от друга. Несколько злоумышленников могут одновременно вести атаку на два узла, в силу чего имеющимся системам обнаружения вторжения намного трудно идентифицировать пакеты, отправляемые в рамках скоординированного нападения. Более того, при слаженных вторжениях один из взломщиков может проводить разведку, в то время как другой осуществляет нападение. Реализация таких атак требует объединения большого числа атакующих пакетов, рассылаемых из нескольких узлов.

Ущерб, причиняемый подобными нападениями, по своим масштабам можно сравнить с разрушениями и потерями от террористических актов и природных катастроф. Поэтому на страницах газет и журналов все чаще можно встретить термин «виртуальный терроризм». Однако стоить отметить, что не только преступники используют атаки в личных целях, но и государства тоже частенько прикладывают руку к сетевым атакам военных узлов других стран.

Выживет ли сеть в ее нынешнем виде - вопрос открытый, но приходится признать, что новая эпоха уже наступила.

Перспектива не очень привлекательная, но рост числа кибератак и огромные суммы ущерба от него имеют еще одну, очень простую причину. По последним исследованиям, выполненным компанией Panda Software, более 66% пользователей в Европейском Союзе не имеют адекватной антивирусной защиты - либо у них вообще не установлено антивирусное программное обеспечение (ПО), либо программы не обновляются вовремя или неправильно настроены. В тех странах, где активно пользуются пиратским ПО, этот показатель еще хуже. По данным, полученным с помощью онлайн сканера Panda Active Scan, в процессе эпидемии Mydoom наибольшее в процентном отношении количество зараженных компьютеров пришлось на Россию и страны Восточной Европы и Средней Азии.

1.5. Особенности удаленных атак В последнее время с развитием локальных и глобальных сетей удаленные сетевые взломы заняли лидирующие места в рейтинге атак. Эти атаки лидируют не только по количеству попыток, но и. по вероятности успеха их применения. Поэтому обеспечение информационной безопасности распределенных вычислительных сетей с точки зрения противостояния удаленным сетевым атакам приобретает первостепенное значение.

Основной особенностью любой сетевой системы является то, что ее компоненты распределены в пространстве и связь между ними осуществляется физически при помощи сетевых соединений и программно при помощи механизмов сообщений. При этом все управляющие сообщениями данные, пересылаемые между объектами распределенной ВС, передаются« по сетевым соединениям в виде пакетов обмена.

Сетевые системы характерны тем, что, наряду с обычными (локальными) атаками, осуществляемыми в пределах одной компьютерной системы, к ним применим специфический вид атак, обусловленный распределенностью ресурсов и информации в пространстве.

Для удаленных атак характерны следующие признаки:

злоумышленник может находиться за тысячи километров от атакуемого объекта, нападению может подвергаться не только конкретный компьютер и содержащаяся в нем информация, а информация, передающаяся по сетевым соединениям, механизмы реализации удаленных атак на распределенные ВС инвариантны по отношению к особенностям конкретной системы, поскольку инфраструктура этих систем базовые протоколы, сети построены на основе одних и тех же принципов.

функционирования сети Internet, являются одновременно и причинами, делающими возможными осуществление той или иной удаленной атаки.

Рассмотрим более подробно те особенности сети, которые и приводят к возможности осуществления различных типов атак.

Глобальная сеть Internet представляет собой пространственно распределенную систему, где связь осуществляется не по физическим каналам, а через цепочку маршрутизаторов. Отсутствие выделенного и достаточно защищенного физического канала связи между субъектами соединения делает возможным осуществление программного "прослушивания" и перехвата передаваемых данных, а так же целого ряда других пассивных воздействий на систему.

Сетевые протоколы типа TCP/IP были изначально разработаны, для применения в открытом и доверительном сообществе пользователей, для обеспечения в первую очередь надежности связи, поэтому его текущая версия, как и другие протоколы этого семейства, унаследовали слабые, с точки зрения современных требований безопасности, места своих предшественников.

Описанию этих недостатков посвящено огромное количество материалов и в данной работе мы не будем акцентировать внимание на подробном их рассмотрении.

1.6. Классификация удаленных атак на распределенные вычислительные системы Если классифицировать все возможные типы атак в зависимости от цели, которую преследует злоумышленник, это, конечно же, позволит решить важный вопрос об уровне материальных потерь в случае вероятной успешности атаки и, этим образом, выделить приоритетные направления поиска способов защиты сети. Но с точки зрения разработки общего подхода к организации защиты от удаленных сетевых атак хотя бы некоторых типов, на. наш взгляд представляется полезной иная классификация - по способу организации атаки.

С точки зрения информационной безопасности, основным недостатком протоколов сетевого обмена семейства TCP/IP является, отсутствие встроенных функций защиты, что делает весьма вероятным осуществление множества как пассивных, так и активных атак.

Обычно выделяют четыре вида удаленных атак на распределенные ВС, различающиеся механизмами реализации, характерами и целями воздействия.

1.6.1. Анализ сетевого трафика Суть данного метода удаленной атаки является прослушивание открытый канал связи. Этот тип взлома доступен потому, что в телекоммуникационных сетях связи соединение между объектами осуществляется по сетевым подключениям, а не по выделенному физическому каналу связи. На сегодняшний день анализ сетевого трафик является не только одним из видов сетевых атак, но очень полезен в образовательной сфере. К тому же им пользуется сами администраторы хостов чтобы решить разного рода проблемы.

Рисунок 1.9 – Анализ сетевого трафика с помощью программы Wireshark Точнее все информационные данные и управляющие службы передаются в виде пакетов обмена. Этот способ прослушивания дает возможность полностью изучить график и логику работы вычислительной сети. Более того, можно получить информацию о событиях происходящих в системе, узнать служебные команды, которые пересылаются между хостами во время появления этих событий. Атака осуществляется методом перехвата и анализа пакетов взаимодействия на канальном уровне OSI. Также во время этой атаки перехватывается весь поток данных, которыми обмениваются хосты локально вычислительной сети.

Таким образом, этот вид атаки можно отнести к пассивному наблюдению за процессом работы сети, которое осуществляется без обратной связи.. В результате злоумышленник может:

- осуществить перехват потока данных, т.е. реализовать несанкционированный доступ к информации, которой обмениваются сетевые клиенты, - определить логику событий и работы системы, и использовать в своих целях полученную информационную базу, в. том числе логин и пароль абонента, пересылаемые в незащищенном виде, для подготовки и реализации других подходящих атак на вычислительному систему.

Однако при таком стичении обстоятельств не будет возможности изменения передаваемых данных.

Сам по себе такой вид атак не наносит прямого ущерба, разве что может вызвать раздражение. Но оставлять такие попытки, без внимания не следует. Потому что IСМР- и ТСР-прослушивание является общепринятым методом исследования вычислительной сети перед непосредственной попыткой несанкционированного доступа. Учитывая тот факт, администратору сети следует во время выявлять факты прослушивания сети.

Основными методами выявления являются:

- использование сетевых утилит выявления вторжений как, например Kernel Security Checker - для защиты отдельного от прослушивания состояния сети узла можно успешно использовать службы UNIX, которые гарантировано выявляют и регистрируют попытки прослушивания.

1.6.2. Подмена доверенного объекта или субъекта Данный класс атак производится из-за недостатков протоколов семейства TCP/IP. Недостатками протокола является недостаточная идентификация и аутентификация удаленных объектов вычислительной сети Реализация данной атаки осуществляется с помощью передачи деструктивных пакетов с атакующего хоста на цель атаки от имени доверенного субъекта взаимодействия. То есть, по другому эта атака называется Man in the middle осуществляется во время тройного рукопожатия.

В основном, для адресации сообщений в распределенных вычислительных сетях употребляется сетевой адрес, который уникален для каждого объекта системы (на канальном уровне используется аппаратный адрес сетевого адаптера OSI, а на сетевом сетевой адрес IP). Однако, проблема в том что сетевой адрес подделывается довольно легко и в этом заключается основная причина существования таких атак.

Исследуемая атака может быть осуществлена, как при налаженном виртуальном канале, так и без него. В первом случае взлома заключается в присвоении злоумышленником права доверенного субъекта взаимодействия, законно подключившегося к объекту системы, что дает ему возможность обмениваться данными от имени доверенного субъекта.

Атака без установленного виртуального соединения осуществляется, в основном, в передаче различных служебных сообщений от имени сетевых управляющих устройств, например, от маршрутизаторов.

Данный класс атак является очень опасным, так как в случае вероятностного успеха, в зависимости от конкретного вида атаки, злоумышленник может нанести ущерб целостности и конфиденциальности информации и воздействовать на работу систему, вплоть до изменения ее конфигурации и разрушения.

1.6.3. Ложный объект распределенной вычислительной системы К этой классификации атак можно отнести удаленные сетевые атаки на DNS-сервера (Domain Name System. Действия этой службы выполняется специальными разработанными информационно-поисковыми серверами, которые соответствуют DNS протоколам. Злоумышленник внедряет в сеть и создает в ней ложный DNS-сервер, которые обеспечить ему перехват трафика атакуемого хоста. Более того, он может активно воздействовать на него отправляя измененные перехваченные данные.

Появление в сети ложного DNS-сервера осуществляется тремя различными методами:

- перехват DNS-запроса от атакуемого хоста;

- создания направленного «шторма» ложных DNS- ответов на атакуемый хост;

- осуществления обоих, описанных выше типов, методов атак на DNSсервер.

Осуществление данной удаленной сетевой атаки идет за счет несанкционированного использования протоколов управления сетью ради модификации исходных данных маршрутизаций. Также реализация состоит а периодической передаче на атакуемый хост заранее подготовленного неверного ответа без получения какого-либо поискового запроса.

1.6.4. Отказ в обслуживании или атаки DoS (Denial of Service) Атаки класса отказы в обслуживание является одним из популярных сетевых удаленных атак. Эти атаки нарушают и полностью блокирует обслуживание законных клиентов, вычислительных сетей, информационных систем и других ресурсов. Имея статус «молодой атаки» по сравненью с другими, именно этот вид атак является очень сложным и наносит огромный ущерб сетевым ресурсам. Этот метод атак основывается на использовании недостатков протокола TCP/IP. Одним из факторов, способствующие росту числа атак DoS является достаточно быстрое распространение и популярность систем Windows. Эта операционная система является заветной целью многих взломщиков. Кроме того, многие средства и программы для осуществления DoS очень просты и не требуют высокой технической квалификации.

Также в последние годы появился еще один вид атак типа отказа в обслуживании. Именуется он как DDoS (Distributed Denial of Service). В отличии от обычных DoS атак, DDoS атаки выполняются одновременно с нескольких зараженных компьютеров. Так в 2012 году группой хакеров Anonymous планировалось крупномасштабная атака на 13 корневых DNSсерверов для того чтобы довести до отказа в обслуживании всю всемирную паутину. Злоумышленниками был создан специальная утилита Ramp, которая предназначена для объединения нескольких мелких DNS-серверов. Удаленные сетевые атаки настолько популярны, что некоторые недовольные друг другом крупные компании выясняют отношение путем DDoS атак. К примеру можно отнести сетевую войну между компаниями Spamhaus и Cyberbunker.

Существует множество утилит и программ для осуществления подобного рода атак. Атака реализуется способом передачи на атакуемый хост бесконечного числа анонимных запросов на соединение от имени нескольких других хостов сети. Также осуществляется методом отправки с одного адресата такое количества запросов на атакуемый хост, какое может выдержит трафик, или же методом передачи на атакуемый объект некорректного и деструктивного, специально подобранного запроса.

Простым способом DoS-атаки является посылка тяжелых пингов на выбранными нами хост. Однако чтобы отказ в обслуживании состоялся, нужно достаточное количество виртуальных машин. Однако не применяя выше описанный метод, лучше написать программу на языке программирования для того чтобы одним кликом на кнопку начать загружать выбранный вами объект.

Рисунок 1.10 – Код основного цикла программы DoS-атак 1.7. Выводы.

Все предоставленные выше различные виды сетевых удаленных атак используют особенности и недостатки транспортных протоколов и реализацию используемых средств передачи данных в сети всемирной паутины.

Все описанные атаки пользуются обычными сетевыми решениями. К примеру, один из видов удаленной сетевой атаки под названием "анализ сетевого трафика" использует лишь тот момент, что связь между объектами вычислительной системы реализуется по сетевым коммутациям при помощи программного механизма обмена данных. При этом все управляющие сигналы и данные, отправляемые между хостами распределенной вычислительной сети, отправляются по каналам связи в виде пакетов обмена.

Такие удаленные сетевые атаки как "Подмена доверенного объекта или субъекта распределенной вычислительной системы" и "Ложный объект распределенной вычислительной - системы" появились из-за недостаточной, идентификации и аутентификации удаленных объектов и сетевых управляющих устройств. Самый популярный на сегодняшний день из типов удаленных атак — "Отказ в обслуживании". Стал известным, благодаря появлению современных систем защиты, которые не позволяют злоумышленника осуществлять проникновение на хосты жертв. Однако этот вид атаки также использует целый букет недостатков и ошибок вычислительных сетей: отсутствие методов аутентификации адреса отправителя запроса, отсутствие правил, ограничивающих число принимаемых запросов с одного хоста в определенную единицу времени, а также наличие багов в системе, используемой на удаленном хосте.

Несмотря на множество возможных удаленных атак на вычислительные сети, имеются способы и методы по предотвращению атак:

- постоянное использование антивирусных программ;

- административными способами, устранением ошибок в программном обеспечении системы;

- разнообразные программными и аппаратными средствами.

Многие попытки взлома можно записать и изучить способ их реализации.

Более того, разобрать механизм атаки и попытаться аннулировать недостатки системы сделавшие возможным их осуществление.

Однако, есть класс атак, предпосылки к осуществлению которых заложены в самой структуре сегмента сети и принципах ее работы.

Противодействовать такого рода атакам можно осуществить, лишь разработав и приняв новые сетевые протоколы. В данный момент специалистами по информационной безопасности ведутся работы по разработке новых протоколов обмена, которые будут защищать сетевое соединение и зашифровывать трафик. Однако новые протоколы не могут сменить стек протоколов TCP/IP и стать базовыми, так как для использования новых протоколов приведут к огромных расходам. Более того, заменив протоколы на новые, мы получим более новые типы атак, противостоять которому будет еще сложнее. Также мгновенный переход большинства пользователей на новые системы практически не реальны, так как в всемирной сети нет единого руководства и на осуществление этой идеи может занять годы. Причем за это время, скорее всего, будут организованы новые атаки, которые будут обходить новые средства безопасности.

Для осуществления безопасности сети, лучше всего подойти к решению проблем удаленных с позиции анализа каждого конкретного случая. То есть изучить механизм осуществление атак и недостатков методов сетевого обмена, сделавших возможным их осуществления Таким образом цель исследования останавливает нас на выборе атак типа «Подмена доверенного объекта или субъекта распределенной вычислительной системы», который требует некоторые предварительной подготовки и, в силу этого, позволяющей обнаружить ее непосредственно в момент проникновения.

2 Постановка задачи 2.1. Схема установки соединения протокола ТСР Учитывая тему диссертации в этой работе будет решена задача защиты от атак типа «Замена доверенного объекта распределенной вычислительной системы». Суть этой атаки заключается в том, что злоумышленник реализует обмен данными и служебными командами с жертвой от имени доверенного объекта сегмента сети. Чтобы защититься от этой хакерской атаки нужно рассмотреть схему организации данного диалога. Также следует изучить механизм атаки и недостатки используемых транспортных протоколов передачи данных, которые являются одним из многих факторов возникновения такого рода атак.

Протокол TCP (Transmission Control Protocol) – транспортный протокол, который считается базовым протоколов транспортного уровня глобальной сети.

Достоинствами этого протокола является установление логического соединения, виртуального канала исправление ошибок, которые могут случится в процессе отправления пакетов. По этому логическому соединению отправляются и принимаются пакеты с регистрацией их последовательности, реализуется управление потоком пакетов и повторные передачи искаженных пакетов, и в конце диалога канал разрывается. Также протокол TCP является единственным основным протоколом из стека TCP/IP, который имеет дополнительную систему идентификацию соединения и сообщений. Из-за этой функции протоколы прикладного уровня TELNET и FTP организованы на базе этого протокола. Удаленные атаки направлены в сторону TCP протокола, так как эти выше отмеченные службы занимаются предоставлением удаленного доступа на объекты глобальной сети [13,16].

Для обнаружения идентификации пакета TCP в заголовке TCP существуют два 32-разрядных идентификатора, которые являются счетчиками пакетов: Sequence Number и Acknowledgment Number. Кроме этих идентификаторов в заголовке TCP содержится поле, называемое Control Bit.

Это поле размером 6 бит содержать следующие командные биты (слева направо):

URG – поле указатель важности (Urgent Pointer field significant);

ACK – поле номера подтверждения (Acknowledgment field significant);

PSH - консультирует получателя передать данные, накопившиеся в приемном буфере, в приложение пользователя (Push Function);

RST – сброс буфера (Reset the connection);

SYN – синхронизация номеров последовательности (Synchronize sequence numbers);

FIN – указывает завершение сеанса (No more data from sender).

Как видно рисунка 2.1, если хосту А нужно связать с хостом В, первым делом хост А как бы здоровается и посылает на хост В такого рода сообщение:

Это говорит нам а том, что в переданном хостом А пакете установлен бит SYN (synchronize sequence number), а в поле Sequence Number установлено начальное 32-битное значение ISSa (Initial Sequence Number).

В ответ на полученный от А запрос В отвечает:

ВA: SYN, АСК, ISSb, ACK(ISSa+1) Это переданное в сторону хоста А сообщение, состоит из бита SYN и АСК. В поле Sequence Number хостом В прикрепляется свое начальное значение счетчика – ISSb, а поле Acknowledgment Number содержит значение ISSa, полученное в первом пакете от хоста А и увеличенное на единицу.

Хост А, завершая диалог (handshake), передает:

АВ: АСК, ISSa+1, ACK(ISSb+1) В этом пакете установлен бит АСК, поле Sequence Number содержит ISSa+1, а поле Acknowledgment Number содержит значение ISSb+1. Посылкой этого пакета на хост В заканчивается трехступенчатый handshake, и связь между хостами А и В считается установленным.

После этого хост А может посылать, пакеты, с данными на хост В по созданному виртуальному каналу:

АВ: АСК, ISSa+1, ACK(ISSb+1); DATA Из описанной выше схемы создания соединения видно, что в существующей реализации TCP, единственными идентификаторами абонентов и TCP-соединения являются два 32-битных параметра Sequence Number и Acknowledgment Number. Из предыдущей ситуации мы видим, что на этапе установки соединения (когда хосты здороваются) опознавание пакетов осуществляется только по Sequence Number и Acknowledgment Number. Тут сразу становится ясно, что для формирования ложного TCP-пакета нам достаточно знать текущие значения идентификаторов для данного соединения ISSа и ISSb. Усугубляет картину еще и то, что FTP и TELNET вовсе не проверяют подлинность пакетов, полагая, что это сделает за них транспортный уровень. Отсюда вывод: внедрившись в процесс передачи данных на транспортном уровне можно послать пакет с любого хоста в сети Internet не зависимо от протокола (TELNET или FTP) от имени одного из участников данного соединения (например, от имени хоста А), и данный пакет будет воспринят как верный. К тому же, постольку поскольку FTP и TELNET не проверяют IP адрес отправителя, то ответ на ложный пакет придет по указанному в нем адресу.

2.2. Методика определения начального значения идентификатора ТСР Учитывая представленную выше схему организации рукопожатия, вероятны, по крайней мере, два метода осуществление атаки - вторгнуться в созданный диалог, выдав себя за одного из абонентов, или создать новый виртуальный канал от другого имени, то есть, от имени доверенного субъекта.

Какой бы способ не выбрал злоумышленник, ему придется столкнутся решением нескольких обязательных дел. Это – исключения из диалога хоста, от имени которого будет продолжаться и реализовываться диалог, угадывание идентификаторов служебных сообщений, способных поддержать диалог рукопожатия. И если первая из этих дел осуществляется достаточно легко, то над вторым действием злоумышленнику придется потрудиться. Так как проблема содержит у себя несколько других сложностей.

Предположим, что злоумышленник находится в том же сегменте сети, что и атакуемый хост. Дело за малым, ставится сниффер, который направляется весь трафик через свой хост и смотрит за клиентами, подключающимися к серверу. Конечно же злоумышленника интересует только пакеты со значениями ISSa и ISSb. Можно даже не интересоваться содержанием поля DATA, т.е.

анализировать только заголовки. Итак, злоумышленник собирает информацию, ищет зависимость и составляет формулу и начинает атаку.

Первая из этих проблем - правила формирования идентификаторов пакетов. В случае, когда злоумышленник вмешивается в уже установленное соединение, это - правила формирования ISSa и ISSb. Если злоумышленник сам организовывает подключение от имени доверенного объекта, то ему достаточно знать лишь методы формирования ISSb.

Во многих операционных системах используется алгоритм генерации начального значения идентификатора TCP-соединения, который зависит от времени. Например, в ОС Windows NT 4.0 значение ISN увеличивается на примерно каждую миллисекунду, то есть для Windows NT справедлива следующая формула:

где msec — текущее время в миллисекундах.

Таким образом, атакующий имеет принципиальную возможность определить с той или иной степенью точности вид функции, описывающей закон получения ISN. Например, можно предложить следующий обобщенный вид функции, описывающий время зависимый закон получения ISN:

где mcsec — время в микросекундах.

На этом и сговоримся. Закон вычисления ISN зависит от времени и представляет функцию [11]. Вид же самой функции F можно получить проанализировав исходный код ядра. Придется импровизировать, представим ОС "черным ящиком" и проведем серию тестов запрос-ответ, причем фиксируя время между запросом и ответом на него, а также время между запросами.. В результате получится такая таблица значений где ISN (i) - значение ISN, полученное в момент времени i T(i) - время от начала эксперимента (время начала возьмем за 0).

Проанализировав результаты наблюдений, можно составить функцию ISN(t) = F(t). С ее помощью уже можно получив ответ, предсказать значение ISN через определенный промежуток времени.

Предположим, что злоумышленник находится в другом сегменте сети и проанализировать трафик ему не удастся. Для начала атаки ему требуется определить ISN - Initial Sequence Number, т.е. как операционные системы формирует начальное значение. По документации протокола TCP рекомендуется увеличивать значение этого 32-битного счетчика на 1 каждые микросекунды, но на практике это далеко не так.

Верно ли обобщение о линейности от времени закона формирования ISN идентификаторов? Так, первое сообщение о TCP предполагало генерацию ISN увеличением счетчика на единицу каждые 4 миллисекунды. Многие современные операционные системы используют этот принцип до сих пор.

После известной атаки Кевина Митника, ставшей побудительным мотивом данной работы, создатели операционных систем сделали попытку отказаться от алгоритма, предложенного в документациях. Например, в некоторых операционных системах семейства BSD счетчик каждую секунду увеличивается на некоторую константу, случайным образом, выбираемую при каждой загрузке системы, и, повторно, увеличивается еще на одну константу, при каждом открытии, соединения. Заметим, что такая схема не вносит существенных корректив в сделанные выше предположения о характере закона формирования ISN [6].

Современные ядра ОС Linux используют более сложный, алгоритм формирования ISN. К текущему значению счетчика каждые четыре миллисекунды прибавляется единица, но при каждом установлении нового соединения, ISN устанавливается равным «Счетчику»+Р (мой_адрес, мой_порт, удаленный_адрес, удаленный_порт), где F - некоторая функция, установление вида которой, как считается, невозможно для внешнего наблюдателя [10,16].

Если, как это часто бывает, в качестве F выбирается одностороння криптографическая хэш-функция, а в качестве одного из параметров некоторое случайное число, то установить закон формирования ISN, действительно, может оказаться довольно сложной проблемой. Пример вида этой функции представлен на ниже приведенном рисунке.

Рисунок 2.2 - Зависимость ISN от времени в ОС Linux 2.4. Отметим так же попытку компании Microsoft сделать генерацию ISN «более случайной», реализованную в ОС Windows NT 4.0 Service Pack 4 и постигшую разработчиков неудачу. Генерируемые этим алгоритмом ISN оказывались иногда совпадающими с идентификаторами других соединений, что приводило к сбоям в сети и вынудило компанию вернуться линейному закону формирования ISN уже в ОС Windows NT 4.0 Service Pack 5. Этот же закон без изменений появился и в Windows Рисунок 2.3 – Зависимость ISN от времени в ОС Windows NT Итак, для получения закона изменения ISN от параметра mcsec исследователь должен рассматривать сетевую ОС как "черный ящик", к которому применяется метод тестирования "запрос - ответ": на исследуемую сетевую ОС передается серия обычных запросов на создание TCP-соединения и принимается соответствующее количество ответов с текущими значениями ISN операционной системы в каждый момент времени. При этом замеряются временные интервалы (в микросекундах) между запросом и ответом на него и время, прошедшее между запросами. В результате исследователем будет получена следующая таблица дискретных отсчетов ISN и соответствующих им моментов времени в mcsec.

Аппроксимируя данные дискретных значений непрерывной функцией одним из известных математических методов (наименьших квадратов, например), получим непрерывную функцию, приближенно описывающую изменение ISN на данном временном промежутке (от 0 до tn), при этом, чем выше точность исходных данных, тем точнее приближение:

Эта формула в общем случае позволяет по предыдущему значению ISN;

зная функцию изменения ISN от времени, экстраполировать, следующее значение ISN. Теперь» атакующий может, получив в ответ на ТСР-запрос текущее значение ISN для ОС в данный момент времени, математически предсказать следующее возможное значение ISN через некоторый промежуток времени.

Применение описанной выше методики получения формулы ISN(t) в случае нахождения в одном сегменте с ОС позволило определить это 32-битное значение (от 0 до 232-1) по его предыдущему значению для ОС Windows NT — с точностью до 10, а для ОС Linux 1.2.8 — с точностью примерно до 100. [3] В общем случае, определив вид функций для вычисления ISN в операционных системах на сервере и предполагаемом клиенте, атакующий начинает следить за ОС сервера, ожидая подключения предполагаемого клиента. В тот момент времени, когда подключение произошло, атакующий может подсчитать возможный диапазон значений ISN, которыми обменялись при создании ТСР-канала данные хосты. Так как атакующий может вычислить значения ISN только приближенно, то ему не избежать подбора. Однако если не проводить описанный выше анализ, то для перебора всех возможных значений ISSa и ISSb понадобилось бы послать 264 пакетов, что нереально. В случае использования описанного выше анализа в зависимости от полученной степени точности и удаления атакующего от хостов потребуется послать значительно меньшее число пакетов. Например, если удалось вычислить значения ISN на операционных системах с точностью до 100, то атакующему для подмены одного из абонентов TCP-соединения достаточно послать всего 10000 пакетов.

Согласившись, не без оснований, с линейным характером зависимости ISN от времени, опишем уже упомянутую проблему исключения вероятности вмешательства в диалог доверенного хоста, от имени которого ведет диалог интервент.

2.3 Атаки типа отказ в обслуживании SYN flood Влияние этой уязвимости зависит от производителя и от приложения, но в некоторых случаях оно оценивается как критическое. При эксплуатации уязвимости у злоумышленника появляется возможность создания условий для отказа в обслуживании (DDoS) существующим TCP подключениям, что приводит к преждевременному завершению сеанса. Завершения сеанса воздействует на уровне приложения, а характер и степень опасности зависят от протокола приложения [1].

Пограничный межсетевой протокол (BGP), оценивают как потенциально наиболее подверженный этой уязвимости. BGP основывается на устойчивом TCP сеансе между двумя сетевыми узлами. Сброс подключения может привести к недоступности узла в течение времени, необходимого для восстановления таблиц маршрутизации и перестройки маршрута. Перестройка маршрута может привести к недоступности маршрута, если он происходит слишком часто в течение короткого промежутка времени. Однако даже при успешной атаке, воздействие на BGP, вероятно, будет уменьшено в случае использования TCP MD5 сигнатур и антиспуфинговых мероприятий, поскольку они успешно смягчают воздействие уязвимости.

Имеется потенциальная опасность воздействия уязвимости на другие протоколы приложений типа DNS и SSL в случае зональных передач и транзакций электронной коммерции соответственно, но продолжительность таких сеансов относительно небольшая, и они могут быть без проблем перезапущены. В случае с SSL может быть затруднение с определением исходного IP адреса.

Возможна также инъекция данных, но это не демонстрировалось и кажется довольно проблематичным.

Проблема, описанная в этом уведомлении - возможность сброса установленного TCP подключения с помощью посылки соответствующих TCP пакетов с набором флагов RST или SYN.

Пакеты должны иметь IP адреса источника и назначения, соответствующие установленному подключению и те же самые TCP порты источника и назначения.

Хотя DDoS атака, использующая обработанные TCP пакеты является известным слабым местом в TCP протоколе, но до недавнего времени она считалась практически неосуществимой. Причиной этого является проверка порядкового номера RST или SYN пакета (32-разрядное число), а вероятность правильного определения этого номера равна 1/2^32.

Исследователем осуществления RST атаки был Пауль Ватсон. Он заметил, что вероятность правильного определения нужного порядкового номера пакета гораздо выше, чем 1/2^32. Это происходит из-за того, что протокол принимает любой порядковый номер в некотором диапазоне (TCP window size) от требуемого числа, что делает реальным выполнение такого вида нападения.

Любой протокол приложения, основывающийся на долговременном TCP соединении и для которого известны TCP порты и IP адреса источника и назначения будет уязвим, по крайней мере, к DDoS атаке.

В TCP протоколе также используется число, называемое номером подтверждения и используемое для указания порядкового номера следующего ожидаемого пакета. Пакеты реассемблируются только в том случае, если разброс их порядковых номеров происходит в пределах диапазона номера подтверждения. Номер подтверждения не используется в RST пакете, потому что при сбросе не ожидается возвратный пакет. (Если быть более точными, то последнее утверждение правильно только для RST пакетов без флага ACK, используемых для указания на закрытие TCP порта. RST/ACK пакет используется для приостановления активного соединения в случае ошибки, и в нем заключен номер подтверждения) Размеры TCP window определяются в процессе синхронизации соединения и при этом обычно устанавливаются наиболее высокие значения TCP window, что в некоторых случаях, обеспечивает улучшение производительности. Значения установленные производителем по умолчанию тоже влияют на выборку. В любом случае, чем больше размер TCP window, тем выше вероятность, что случайно выбранный порядковый номер TCP будет лежать в пределах области TCP window. Это и является основой для атаки.

TCP подключение определяется IP адресами и портами источника и назначения. Злоумышленник пытающийся разорвать существующее соединение должен правильно подобрать все эти значения. И хотя порт источника меняется, однако в представленном исследовании показано, что процесс выбора исходного порта включает в себя предсказуемые элементы, поэтому атака становиться реально осуществимой.

Протоколы прикладных программ, на которые оказывается критическое воздействие:

зависящие от долговременных TCP подключений имеющие известные или легко определяемые IP адреса назначения имеющие простой для предположения TCP порт источника Как было отмечено выше, BGP использует долговременные TCP подключения, а IP адрес источника и порт источника иногда доступны в BGP зеркале или в ресурсных записях DNS. Использование команды "trace route“ может предоставить информацию об IP адресах сетевых узлов. Таким образом, данная уязвимость имеет критическое воздействие на BGP.

Такие DDoS атаки могут быть выполнены как с одной машины, так и множественными системами (для формирования распределенной DDoS атаки).

Ниже представлены следующие шаги необходимые при отсутствии исправлений у производителя:

внедрение IP защиты (IPSEC), шифрующей трафик на сетевом уровне (при этом становится недоступной TCP информация) уменьшение размера TCP window (хотя это увеличивает потери трафика и последовательную ретрансляцию) запрет оглашения информации о TCP порте источника Необходимо отметить, что IPSEC предоставляет секретность информации и службы аутентификации на сетевом уровне и может поддерживать проверку подлинности конечных точек соединения также как и шифрование трафика между ними. Однако в нашем случае IPSEC будет отклонять RST и SYN пакеты, которые не являются частью безопасного потока IP пакетов.

Для изменения заданного по умолчанию значения размера TCP window в некоторых Unix системах, вы можете использовать программу “sysctl”. В случае Microsoft Windows NT /2000/XP/2003, заданный по умолчанию размер TCP window может быть изменен, путем модификации значения ключа реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameter Как было отмечено выше, следует с осторожностью изменять значение TCP window, т.к. это может привести к большой потере производительности.

Ниже приведены действия, которые помогут смягчить проблему в случае с BGP:

выполнить входную и выходную фильтрацию. Это необходимо для проверки того, что входящий и исходящий трафик имеет IP адрес источника, ожидаемый на интерфейсе маршрутизатора / брандмауэра принимающего трафик.

выполнить TCP MD5 Signature Option для подсчета контрольной суммы TCP пакетов, несущих данные BGP приложения.

ограничить количество информации доступной через BGP зеркала и ресурсные записи DNS.

2.4. Реализация удаленной атаки типа «Подмена доверенного субъекта соединения»

Упростим задачу злоумышлинника и рассмотрим только вариант атаки, представляющий из себя осуществления нового, а не проникновение уже в установленное соединение TCP. Этот путь не изменит предыдущие подходы, но значительно упростит математическую модель нападения.

В соответствии с общепринятой терминологии условимся называть доверенным по отношению к данному хосту сетевой компьютер, доступ на который пользователю с данного хоста возможен без его аутентификации и идентификации с помощью удаленной службы. Как нам известно, что в ОС UNIX существует файл rhosts, в котором находится список имен и IP- адресов доверенных хостов.

Для того чтобы получить удаленный доступ к ним пользователь должен воспользоваться утилитами, которые входят в удаленную службу. Если использовать удаленные программы доверенного хоста клиенту предоставляется удаленный доступ без требовании стандартных процедур таких как идентификация и аутентификация, суть которых заключается в проверке его логина и пароля. В этом случае только IP-адрес хоста, с помощью которого организовал удаленный сетевой доступ, будет аутентифицирующей информацией для удаленной службы. Известно, что все программы удаленной службы сделаны на основе протокола TCP. Rsh является одним из приложении удаленной службы с помощью которого можно осуществить данную атаку.

Приложение rsh дает возможность давать команды shell удаленному хосту.

Достаточно просто отправить запрос для отправки команды, но необязательно получать ответ на этот запрос. Единственной сложностью является то, при атаке удаленных служб, нужно отправлять пакеты от доверенного хоста и добавить IP-адрес доверенного хоста. Так что ответы будут передаваться не хост атакующего, а хост жертвы. Схему такой удаленной атаки на rsh-сервер была впервые описана известным Р.Т. Моррисом [9]. Следующая схема основана на предоставленных выше особенностях и недостатков идентификации пакетов в реализации протокола TCP.

Допустим что хост B доверят хосту A, а Х – вычислительная машина злоумышленника.

В первую очередь хост X должен от своего имени открыть законное соединение TCP с хостом B на любой порт TCP, чтобы получить текущее значение ISSb. Этот этап разведки, очень важный для успеха всей операции, который будет рассмотрен отдельно, потому не представленный на рисунке 2.4.

Далее злоумышленник от имени хоста А отсылает хосту В запрос на открытие виртуального канала, при этом одновременно блокируя, организацию DOS-атаки, хост А:

X ("А")В: SYN, ISSx Получив этот запрос, В анализирует IP-адрес отправителя и решает, что пакет пришел с хоста А. и в ответ посылает на А новое значение ISNb.

ВA: SYN, АСК, ISNb', ACK(ISSx+1) Поскольку хост А усилиями X к этому моменту заблокирован, этот пакет от В с просьбой о подтверждении необходимости соединения им получен не будет, RST-пакет в адрес В послан не будет, разрыва соединения не произойдет. X также никогда не получит это сообщение предыдущее значение ISNb и схему для получения ISNb, может послать пакет на В:

X(«А»)В: АСК, ISSx+1, ACK(ISNb+1) Отметим, что для того, чтобы послать этот пакет, вероятно, потребуется перебрать некоторое количество возможных значений ACK(ISSb+1), но не потребуется подбор ISSx+1, так как этот параметр соединения TCP был послан с хоста X на В в первом пакете.

Рукопожатие на этом завершено и соединение, таким образом, установлено. Однако и. после установки соединения необходимость в посылке серии пакетов с различными ISNb’ не отпадает, поскольку истинное ISN атакующий, по прежнему, только предполагает. Число пакетов в серии будет тем же, что и при установке соединения, а сами пакеты будут содержать данные. Таким образом, при реализации данной атаки на атакуемый хост необходимо подряд послать как минимум две серии пакетов с различными номерами ISN (Initial Sequence Number). Количество пакетов в серии определяется используемой на атакуемом хосте операционной системой.

2.5. Измерение статистических параметров сети для осуществления атаки Следующая, из выше перечисленных проблем, соответствует необходимости с вероятной точностью узнать текущее идентификационные значение ISSb, которые были сформированы согласно с установленным законом, в начале нападения. Более того, имеется основание предположить что, в сети не все будет гладко и фактору случайных задержек пакетов в сети имеет место быть. Даже несмотря на то, что правила формирование ISN имеет линейный характер относительно ко времени. Несмотря на то, что злоумышленник желает сделать атаку на выбранный хост и остаться инкогнито.

Регулярные посылки пакетов SYN, отправленные от имени злоумышленника для создания соединения и определение идентификационных номеров могут оставить следы. Так что для эксперимента лучше будет если, определить задержки пакетов и узнать характеристики сети до нападение. Также не исключено, что активная посылка пакета SYN может вывести на некоторое время хост жертвы. Лучшим решением в данной ситуации будет отказаться завала пакетами SYN, а пакетов ICMP echo request более известной как утилитой ping; несмотря на то, что они значительно длиннее пакета SYN.

После изучения выбранного сегмента сети перед началом атаки и получения информации о характере распределения вероятности задержки пакетов можно приступить к следующему этапу. Заняться изучением данных о текущем значении ISN, прогноз его значения на момент начала атаки и уточнение закона формирования ISN на время атаки.

На рисунке 2.5 приведена схема разведки. Основными параметрами здесь являются N1 и N2 - измеренные значения ISN в моменты времени t=0 этапа разведки, а колебания задержек 1 и 2 разведочных пакетов определяют колебания предположительно нужного ISSb относительно истинного и равного N на момент начала атаки Т.

3 Построение математической модели атаки 3.1 Формальная постановка задачи Пусть атака, включая этап разведки, строится так, как это представлено на рис. 3.1. и рис.3.2.

Рисунок 3.1 – Временной график развития атаки Определение 1. Будем называть разведкой (подготовкой к атаке) посылку хостом X на хост В последовательности пакетов с целью определения вероятностной характеристики значения идентификационного номера, присваиваемого хостом В сообщению, в момент Т- времени начала планируемой атаки.

Определение 2. Будем называть началом атаки посылку в момент времени Т хостом X на хост В от имени хоста А запроса на открытие соединения.

Определение 3. Будем называть атакой отправку хостом X на хост В двух последовательных, размером К, серий пакетов в моменты времени T1 и Т1+u соответственно (T1T, u0). Причем, номера пакетов в серии соответствуют предполагаемому номеру пакета, начавшего атаку. Будем далее обозначать через -множество номеров пакетов в сериях.

Определение 4. Будем называть атаку успешной при выполнении условий:

1. в каждой серии пакетов, посылаемых во время атаки, содержится пакет с номером, связанным с номером пакета, начавшим атаку;

2. пакет, с номером, связанным с номером пакета, начавшим атаку, во второй серии пришел на хост В после аналогичного пакета в первой серии, но раньше некоторого предельного времени.

Пусть F(t) - функция распределения длительности задержки пакета в сети, т.е., вероятность того, что время1 доставки пакета от отправителя до получателя не больше t. Очевидно, что F(t)=0 для t0.

Ясно, что для успеха атаки, необходимо, чтобы первая серия пакетов, отправленная в момент времени T1, пришла на хост В не позже, чем в ; вторая серия пакетов, отправленная в момент времени T1+u, пришла не ранее; чем через х (момент прихода первой серии пакетов на атакуемый Пусть Pk - вероятность того,» что пакет с нужным, идентификационным номером содержится в посылаемых сериях пакетов, т.е., во множестве, и пусть Р - вероятность успеха атаки, т.е., вероятность того, что обе серии пакетов пришли в нужное время и каждая из них с указанной вероятностью содержит пакет с нужным идентификационным номером.

3.2 Изучение этапа разведки Рассмотрим, чем обеспечена вероятность того что, каждая серия содержит пакет с нужным идентификационным номером. Будем считать, что присвоение идентификационных номеров пакетам осуществляется хостом В последовательно в соответствии с некоторой линейной функцией времени. Для аппроксимации этой функции используем метод двух пробных сигналов, посылаемых в моменты времени t1 и t2. Пусть сама атака осуществляется в момент времени Тат. Без ограничения общности, примем за начало отсчета времени t1=0. Обозначим за t - момент посылки второго тестового пакета и за Т - начало атаки.

В результате посылки пробных сигналов, хост X получает информацию об идентификационных номерах, присвоенных этим сигналам. Обозначим их за N1 и N2 соответственно. Обозначим за 1 и 2 - запаздывания этих сигналов в сети при их передаче хосту В. Тогда, в силу предположения о линейной зависимости присвоенного пакету идентификационного номера от момента его прихода, получаем, что запросу, посланному в момент начала атаки Т, будет присвоен номер, определяемый формулой В то же время, прогнозируемое хостом X значение этого номера:

Рассмотрим условия, при которых «разведка» может дать достоверные результаты, а именно начало атаки состоится после получения ответов на оба тестовых запроса:

N2N1 – это требование равносильно тому, что второй пробный пакет пришел на хост В позже первого, т.е.:

Обозначим область значений (1,2), удовлетворяющую условию (2.3) и (2.4) и очевидному условию 10, 20 через S0.Нетрудно видеть, что Качество результата «разведки» будем характеризовать близостью фактического значения идентификационного номера к прогнозируемому. Для этого рассмотрим неравенство При выполнении условий принадлежности (1,2) множеству S0. В силу (3.1) и (3.2) эта система неравенств имеет вид:

Решение этой системы неравенств дается формулами:

Основываясь на этих результатах, можно сформулировать Теорему 1. Пусть запаздывания в сети являются независимыми случайными величинами с функцией распределения F(). Тогда функция,определяется зависимостью:

Замечание. Как в (3.9), так и в неравенствах (3.8), не учитывается цело численность присваиваемых идентификационных номеров. Это, однако, вполне допустимо, учитывая то что, как правило, эти номера имеют достаточно большие величины.

3.3 Основные условия атаки Оценив вероятность того, что серия атакующих пакетов содержит пакет с нужным идентификационным номером, сформулируем Теорему 2. Вероятность успеха атаки определяется формулой:

Доказательство. Действительно, пусть Рk(s) - вероятность того, нужный идентификационный номер равен s. Тогда вероятность того, что этот пакет удовлетворит условию b определения (3.4):

где: х - момент прихода пакета с s-м идентификационным номером из первой атакующей серии, у- время прихода пакета с нужным номером во второй серии, dF() - плотность вероятности того, что время доставки пакетов серии не превысило.

Таким образом, вероятность успешной атаки, в предположении, что нужный идентификационный номер имеет s-й пакет, равна идентификационный номер.

Следствие 4. Доказательство:

При u=0 (т.е. вторая серия пакетов посылается одновременно с первой) из теоремы 2 получим:

Следствие 4. Доказательство:

Учитывая, что F(t)=0 при t0:. Далее по теореме 2 получаем:

3.4 Вероятность успешности атаки при использовании различных статистических моделей Для практического применения результатов проведенных исследований необходимо конкретизировать вид функции распределения вероятности F().

Она может оказаться в классе экспоненциальных, фрактальных, равномерных и других законов. В приведенных далее результатах проводившихся численных экспериментов, использовался, как правило, экспоненциальный закон распределения F(t).

Итак, пусть где - среднее время задержки пакета в сети - некоторый статистический параметр сети.

Используя результат, сформулированный теоремой 2, получим выражение для определения вероятности успеха атаки, в сети с выбранными таким образом характеристиками.

Теорема 3. При экспоненциальном законе распределения вероятности F().

Доказательство:

Один из возможных вариантов зависимости вероятности успеха атаки от интервала между отправками первой и второй серий атакующих пакетов параметра, которым имеет возможность манипулировать хакер, приведен на следующем рисунке. Эксперемент проведен для случая =5 и.

Таблица 3. Рисунок 3.2 – Зависимость вероятности атаки от интервала между Исследуем, насколько вероятность успеха атаки злоумышленника зависит от параметра, загруженности сети при экспоненциальном законе распределения задержек пакетов в сети Таблица 3. Рисунок 3.3 - Зависимость вероятности атаки от интервала между Таблица 3. Рисунок 3.4 - Зависимость вероятности атаки от интервала между Таблица 3. P(u) 0,5 0,816 0,932 0,974 0,988 0,99 0,98 0,95 0,865 0, Рисунок 3.5 - Зависимость вероятности атаки от интервала между Судя по выше представленным графикам, успешность атаки злоумышленника не сильно зависит от среднего времени задержки пакета в сети.

Теперь рассмотрим более сложную для злоумышленника ситуацию.

Известно, что общее время атаки злоумышленника определяется с одной стороны, риском выйти за пределами предполагаемого коридора изменения идентификационных номеров пакетов, разрешающих поддерживать обмен информациями, а с другой стороны - риск потерять требуемый пакет, из-за ограниченного временными коридорами, отведенного злоумышленнику для атаки. Это позволяет рассмотреть случай экстремальной для злоумышленника ситуации, когда - сумме двух случайных величин, распределенных по экспоненциальному закону. Тогда вероятность успеха атаки злоумышленника:

Таким образом, область интегрирования представлена на рисунке 3. Если в качестве P(u,1,2) выбрать вероятность, вычисленную по области интегрирования, то вероятность успеха будет В такой сложной для злоумышленника ситуации, атака будет успешной лишь при меньших значениях промежутка времени между атакующими действиями. Таким образом вероятность успешности будет намного ниже.

Рисунок 3.7 - Зависимость вероятность успеха атаки I(u) при Если сделать нереальное предположение о равномерном характере распределения статистических характеристик сети, то злоумышленник имеет, так же как и в предыдущем случае, довольно меньшие шансы на успех операции атаки.

Таким образом подставив, в формулу, получим:

График зависимости вероятности Р(u) удачной атаки от интервала времени между отправкой первой и второй серий пакетов и, которым может управлять злоумышленника, представлен на следующем рисунке 3.8.

Рисунок 3.8 - Зависимость вероятность успеха атаки P(u) при b=0.4, u= Представленный график показывает нам, что такой характер распределения времени задержки в сети дает злоумышленнику довольно маленькие шансы на успешность взлома и ставит его в существенно жесткие временные рамки при осуществлении атаки.

Судя по последним результатам, можно увидеть что для злоумышленника очень важны надежные разведывательные сведения.

Так как приведенная формальная модель достаточно сложная после подстановки в выражения подобранных распределений, а ее анализ не прозрачен, проведем численный эксперимент над формальной моделью и рассмотрим результаты.

В качестве параметров эксперимента возьмем N1=1000, N2=5000, t=9, T=10. Все обозначения параметров отвечают принятым в данной работе и были введены в начале этой главы. В этом случае, как и предполагали, с ростом мощности, увеличивается шансы существования пакета с нужным идентификационным номером в серии.

Рисунок 3.9 – Зависимость вероятности успеха атаки от мощности Итак, если ограничивать N*-N с обеих сторон, то вероятность существования пакета с нужным номером идентификации содержится в серии из N пакетов при заданных границах промежутка номеров, можем получить из суждений:

где - минимальный идентификационный номер пакет вы серии N – длина серии пакетов Тогда для параметров эксперимента N1=1000, N2=5000, t=9, T=10 и статистическая характеристика сети, параметр выбранного распределения =10, вероятность существования пакета с требуемым идентификационным номером в пределе представленных номеров Sequence Number=5453-5553 при длине серии N=100, достаточно высока. Это можем увидеть в следующем представленном рисунке.

Рисунок 3.10 – Зависимость вероятности успеха атаки от мощности Так как злоумышленнику требуется время для разведки ситуации для успешной атаки. Предположим вариант с уменьшением времени на разведку. В качестве параметров эксперимента возьмем: N1=1000, N2=5000, t=3, T=10, =10, N=100.

Рисунок 3.11 – Зависимость вероятности успеха атаки от мощности Как и предполагалось с уменьшением времени разведки ситуации в компьютерной сети приводит к тому, что вероятность успешного взлома в несколько раз уменьшается Теперь предположим кратное увеличение времени на разведку и на момент посылки атакующего пакета. Этот факт должен гарантировать что вероятность успеха атаки будет высоким. Однако не следует забывать о приводившихся ранее рассуждениях об ограниченности времени атаки.

В качестве параметров эксперимента возьмем: N1=1000, N2=5000, t=30, T=31, =10, N= Рисунок 3.12 - Зависимость вероятности успеха атаки от мощности Также проведем эксперимент с уменьшением времени между концом разведки и моментом начало атаки. В качестве параметров эксперимента возьмем: N1=1000, N2=5000, t=2, T=3, =10, N=100. В этом случае, судя по графику, видно, что уменьшение времени разведки и уменьшение времени начало атаки не принесли бы успеха злоумышленнику.

Рисунок 3.13 - Зависимость вероятности успеха атаки от мощности Такая же картина наблюдается и при другом сочетании времени разведки и времени момента атаки. В качестве параметров эксперимента возьмем:

N1=1000, N2=5000, t=9, T=31, =10, N= Рисунок 3.14 - Зависимость вероятности успеха атаки от мощности Изменение других параметров эксперимента также влияют на результат.

В следующем случае изменение каснутся измеренных значений ISN. В качестве параметров выберем: N1=1000, N2=3000, t=9, T=31, =10, N=100.

Рисунок 3.15 - Зависимость вероятности успеха атаки от мощности Следующий эксперимент проведен с достаточно увеличенным значениями ISN, параметры: N1=1000, N2=51000, t=9, T=10, =10, N=100.

Рисунок 3.16 - Зависимость вероятности успеха атаки от мощности Из выше представленных графиков следует вывод – чем больше времени уделяется на разведку и на момент начало атаки, тем выше вероятность успешности атаки у злоумышленника. Также следует иметь ввиду номера измеренных значений ISN. Однако чем больше времени уделяется разведке ситуаций, тем больше вероятность того, что злоумышленник оставит свой конфиденциальные данные по которым можно будет вычислить адрес интервента.

Из представленных выше формальных рассуждений следуют достаточно важные актуальные практические выводы:

- для успешности атаки злоумышленник должен выполнять действия по определенным методам и алгоритмам, которые однозначно ориентируется параметрами атакуемой системы, т.е сегмента компьютерной сети. Это дает возможность найти момент начала атаки.

- для успешности атаки характеристики и поведение атакуемого сегмента телекоммуникационной сети должно быть простым и предсказуемым. Таким образом, сделав поведение и характеристики сегмента сети сложным и слабо прогнозируемым, можно снизить вероятность успеха атаки злоумышленника при любых действиях.



Pages:   || 2 |
 
Похожие работы:

«S/2009/344 Организация Объединенных Наций 1 Совет Безопасности Distr.: General 7 July 2009 Russian Original: English Двадцать первый очередной доклад Генерального секретаря об Операции Организации Объединенных Наций в Кот-д’Ивуаре I. Введение 1. Настоящий доклад представляется во исполнение резолюции 1865 (2009), в которой Совет Безопасности продлил мандат Операции Организации Объединенных Наций в Кот-д’Ивуаре (ОООНКИ) и французских сил операции Единорог до 31 июля 2009 года и просил меня...»

«Е. А. Клочкова ОХРАНА ТРУДА НА ЖЕЛЕЗНОДОРОЖНОМ ТРАНСПОРТЕ Утверждено Департаментом кадров и учебных заведений МПС России в качестве учебника для студентов техникумов и колледжей железнодорожного транспорта Москва 2004 УДК 658.345:656.2 ББК 65.9(2)248 К509 Клочкова Е.А. Охрана труда на железнодорожном транспорте: Учебник К509 для техникумов и колледжей ж.-д. трансп. — М.: Маршрут, 2004. — 412 с. ISBN 5-89035-114-1 В учебнике рассмотрены проблемы охраны труда и производственной безопасности...»

«Материалы сайта www.mednet.ru Строго соблюдайте меры по предотвращению воздействия веществ, про которые известно, что они могут вызвать развитие злокачественной опухоли. Следуйте всем инструкциям по охране здоровья и соблюдения мер безопасности при работе с такими веществами. Выполняйте советы Службы национальной радиационной защиты. Профилактика воздействия канцерогенов в производственной и окружающей средах явилась результатом выявления значительного числа естественных и искусственных...»

«Контроллер PS3 Общее руководство по эксплуатации с дополнительными конфигурациями контроллера Руководство по эксплуатации P/N 7179921_01 -RussianИздано 12/12 Для заказа запчастей и технической помощи обращаться в центр поддержки пользователей отделочного оборудования по телефону (800) 433-9319. Настоящий документ может быть изменен без предварительного уведомления. Самые последние издания находятся по адресу http://emanuals.nordson.com/finishing. NORDSON CORPORATION AMHERST, OHIO USA Контроллер...»

«Министерство природных ресурсов и экологии Российской Федерации Департамент государственной политики и регулирования в сфере охраны окружающей среды и экологической безопасности ФГУ ГОСУДАРСТВЕННЫЙ ПРИРОДНЫЙ ЗАПОВЕДНИК БОГДИНСКО–БАСКУНЧАКСКИЙ УТВЕРЖДАЮ Директор ФГУ ГПЗ Богдинско-Баскунчакский Глаголев С.Б. _2010 г. Тема: Изучение естественного хода процессов, протекающих в природе, и выявление взаимосвязей между отдельными частями природного комплекса. Летопись природы Книга 2009 год Графиков и...»

«374 Материалы секции 13 Секция 13 Баллистика, аэродинамика летательных аппаратов и управление космическими полетами ПИЛОТИРУЕМЫЕ МЕЖПЛАНЕТНЫЕ ПОЛЁТЫ И УПРАВЛЕНИЕ ИМИ В.А. Соловьёв, В.Е. Любинский РКК Энергия им. академика С.П. Королёва vladimir.soloviev@sfoc.ru, valery.lubinsky@rsce.ru Существующий уровень и перспективы развития космической техники делают возможным, начиная примерно через два-три десятилетия, выполнение пилотируемых полётов в пределах Солнечной системы с целью исследования...»

«II Московский Форум ДЕРМАТОВЕНЕРОЛОГИЯ И КОСМЕТОЛОГИЯ: СИНТЕЗ НАУКИ И ПРАКТИКИ. Тезисы докладов. 17—19 октября 2012 г., Москва. © Коллектив авторов, 2012 ТЕЗИСЫ ДОКЛАДОВ СОВРЕМЕННЫЕ ТЕНДЕНЦИИ В ЛЕЧЕНИИ АКНЕ Матушевская Е.В., кафедра дерматовенерологии и косметологии, ИПК ФМБА России, д.м.н., профессор Проблеме терапии акне уделяется огромное значение в зарубежной и отечественной дерматологии. Последние исследования показывают, что в лечении акне наиболее эффективными являются комбинации...»

«ПРАВИТЕЛЬСТВО САНКТ-ПЕТЕРБУРГА ДОКЛАД об экологической ситуации в Санкт-Петербурге в 2012 году САНКТ-ПЕТЕРБУРГ 2013 Стр. 1 УДК 504.03 (021)(СПб) Авторский коллектив: Борисов Н.А., Врубель Н.В., Головина Н.М., Голубев Д.А., Горский Г.А., Григорьев А.С., Григорьев А.И., Двинянина О.В., Жуков И.А., Запорожец А.И., Каретникова Т.И., Ковалёва Т.В., Кокина Т.Н., Коробейникова М.А., Крапивко Н.А., Крутой Д.М., Купцова Н.М., Макарова Ю.Ю., Маленчук В.Ф., Мезенко А.Н., Мельцер А.В., Миляев В.Б.,...»

«Предисловие Путеводитель по 1 документации 2 Обзор продукта SIMATIC 3 Монтаж и подключение Системы управления C7-636 Специальные свойства 4 C7-636 5 Обслуживание Руководство Технические данные Данное руководство является составной частью пакета документов с номером для заказа: 6ES7636-1EA00-8BA Это руководство имеет номер для заказа: 6ES7636-1AA00-8BA Издание 12/ A5E00270832- Указания по технике безопасности Данное руководство содержит указания, которые Вы должны соблюдать, чтобы обеспечить...»

«УФМС РОССИИ ПО РЕСПУБЛИКЕ САХА (ЯКУТИЯ) ДОКЛАД О РЕЗУЛЬТАТАХ И ОСНОВНЫХ НАПРАВЛЕНИЯХ ДЕЯТЕЛЬНОСТИ УФМС РОССИИ ПО РЕСПУБЛИКЕ САХА (ЯКУТИЯ) НА 2012 ГОД И ПЛАНОВЫЙ ПЕРИОД 2013-2015 г.г. Якутск 2012 2 ДРОНД УФМС России по Республике Саха (Якутия) – 2012 г. СОДЕРЖАНИЕ РАЗДЕЛ 1.1. ОСНОВНЫЕ РЕЗУЛЬТАТЫ ДЕЯТЕЛЬНОСТИ УФМС РОССИИ ПО РЕСПУБЛИКЕ САХА (ЯКУТИЯ) В ОТЧЕТНОМ ФИНАНСОВОМ ГОДУ.. Раздел 1.1. Основные результаты деятельности УФМС России по Республике Саха (Якутия) в отчетном финансовом году. Цель №...»

«Олег Валецкий Применение самодельных взрывных устройств и методы борьбы против них по опыту армии США Аналитический доклад Москва - 2013 Центр стратегических оценок и прогнозов Олег Валецкий Применение самодельных взрывных устройств и методы борьбы против них по опыту армии США Аналитический доклад Москва 2013 2 УДК 358.2 ББК 68 В 15 В 15 Валецкий О.В. Применение самодельных взрывных устройств и методы борьбы против них. Аналитический доклад, 2013 г. – М: АНО ЦСОиП, 57 с. В книге на основе...»

«МИНИСТЕРСТВО ПРИРОДНЫХ РЕСУРСОВ РОССИЙСКОЙ ФЕДЕРАЦИИ ФЕДЕРАЛЬНОЕ АГЕНТСТВО ЛЕСНОГО ХОЗЯЙСТВА ПРИКАЗ от 29 декабря 2007 г. N 523 ОБ УТВЕРЖДЕНИИ МЕТОДИЧЕСКИХ ДОКУМЕНТОВ В соответствии с пунктом 8 Правил санитарной безопасности в лесах, утвержденных Постановлением Правительства Российской Федерации от 29 июня 2007 г. N 414, приказываю: Утвердить методические документы: Руководство по проектированию, организации и ведению лесопатологического мониторинга (Приложение 1); Руководство по проведению...»

«Вопросы комплексной безопасности и противодействия терроризму АКТУАЛЬНЫЕ ПРОБЛЕМЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В УСЛОВИЯХ ПРОТИВОСТОЯНИЯ ТЕРРОРИЗМУ К.и.н., доцент А.М.Гаджиев (Махачкалинский филиал Краснодарского университета МВД России) Информационная безопасность была нормативно закреплена в качестве самостоятельной составляющей безопасности Российской Федерации в 1992 году 1. За прошедшие более 20 лет многое сделано для наполнения этого термина конкретным содержанием, определения...»

«КГБ был, есть и будет. ФСБ РФ при Барсукове (1995-1996) //Эксмо, Алгоритм, Москва, 2005 ISBN: 5-699-08241-7 FB2: Ego ego1978@mail.ru, 2006-12-24, version 1.01 UUID: 0817A8AD-FCE3-4AF8-9FA4-F575188D6EE0 PDF: fb2pdf-j.20111230, 13.01.2012 Евгений Стригин КГБ был, есть и будет. ФСБ РФ при Барсукове (1995-1996) (КГБ был, есть и будет #3) В третьей книге уникального издания о КГБ рассказывается о событиях, которые происходили в нашей стране в 1995-1996 гг. Автор, в прошлом профессиональный чекист,...»

«ИНФОРМАЦИОННАЯ ПОЛИТИКА В МЕГАПОЛИСЕ АЛЕВТИНА ШЕВЧЕНКО ИНФОРМАЦИОННОЕ ПРОСТРАНСТВО МЕГАПОЛИСА – МЕТАМОДЕЛЬ КОММУНИКАТИВНЫХ ОТНОШЕНИЙ Статья посвящена вопросам взаимодействия органов власти и общественного мнения как части крупной политологической проблемы информационной безопасности критически важных структур. Анализ информационных политик ряда российских городов-миллионников по признаку организации прямых и обратных информационнокоммуникативных связей выявил несколько типовых моделей, что...»

«Проект ИУВР-Фергана ОТЧЕТ О СЕМИНАРЕ ОПЫТ И ВОПРОСЫ УЧАСТИЯ СТЕЙКХОЛДЕРОВ В РУКОВОДСТВЕ ВОДОЙ В ЗОНЕ ПИЛОТНЫХ КАНАЛОВ (ВОЗ, ПИТЬЕВОЕ ВОДОСНАБЖЕНИЕ, МЕЛИОРАЦИЯ, СТИМУЛИРОВАНИЕ ВОДОСБЕРЕЖЕНИЯ И СОБИРАЕМОСТИ ПЛАТЫ ЗА УСЛУГИ УК) по позиции: А1.1 Завершение (в возможной степени) гидрографизации и вовлечение других стейкхолдеров на трех пилотных каналах Со-директор проекта ИУВР-Фергана от ИВМИ Х. Мантритилаке Со-директор проекта ИУВР-Фергана от НИЦ МКВК, проф. В.А. Духовный Региональный координатор...»

«1 на территории Курской области в 2008 году Содержание Список сокращений 2 Предисловие 3 Часть 1. Природные ресурсы Курской области 5 1. Климатические ресурсы 5 2. Минерально-сырьевые ресурсы 14 3. Земельные ресурсы 21 4. Водные ресурсы 24 4.1 Поверхностные воды 24 4.2 Подземные воды 26 5. Лесные ресурсы 6. Биологические ресурсы Часть 2. Особо охраняемые объекты и территории 1.Особо охраняемые природные территории (ООПТ) 2. Объекты культурного наследия 3. Красная книга Курской области Часть 3....»

«Правительство Оренбургской области Научно исследовательский институт истории и этнографии Южного Урала Оренбургского государственного университета Оренбургская областная универсальная научная библиотека им. Н. К. Крупской Ассамблея народов Оренбургской области РОЛЬ ЖЕНЩИНЫ В ПОЛИЭТНИЧНОМ ПРОСТРАНСТВЕ РЕГИОНА (к 100 летию Оренбургского мусульманского женского общества) Материалы круглого стола г. Оренбург, 2013 1 Роль женщины в полиэтничном пространстве региона УДК 39(470.56) ББК...»

«S/2008/444 Организация Объединенных Наций Совет Безопасности Distr.: General 8 July 2008 Russian Original: English Доклад Генерального секретаря о Миссии Организации Объединенных Наций в Центральноафриканской Республике и Чаде I. Введение 1. Настоящий доклад представляется во исполнение резолюции 1778 (2007) Совета Безопасности, в которой Совет просил меня представлять ему каждые три месяца доклад об обстановке в плане безопасности и о гуманитарной ситуации в восточной части Чада,...»

«Уголовное право. Уголовный процесс. Криминалистика УДК 343.13 НАЗНАЧЕНИЕ И ПРОИЗВОДСТВО СУДЕБНЫХ ЭКСПЕРТИЗ В ХОДЕ РАССЛЕДОВАНИЯ ПРЕСТУПЛЕНИЙ ЭКСТРЕМИСТСКОЙ НАПРАВЛЕННОСТИ У. Н. Ахмедов Воронежский институт ФСИН России Поступила в редакцию 15 марта 2010 г. Аннотация: преступления экстремистской направленности представляют большую общественную опасность и являются угрозой национальной безопасности Российской Федерации. Поэтому первоочередная задача правоохранительных органов — борьба с...»






 
© 2014 www.kniga.seluk.ru - «Бесплатная электронная библиотека - Книги, пособия, учебники, издания, публикации»

Материалы этого сайта размещены для ознакомления, все права принадлежат их авторам.
Если Вы не согласны с тем, что Ваш материал размещён на этом сайте, пожалуйста, напишите нам, мы в течении 1-2 рабочих дней удалим его.