Существуют различные сетевые атаки и различные способы защитить себя от злоумышленников. В этом уроке мы сосредоточимся на том, что такое сетевые атаки, кибератаки.
Итак, какие бывают типы сетевых атак (кибератак)?
Атаки типа «отказ в обслуживании» (DoS)
Атака типа «отказ в обслуживании» (DoS) — это тип кибератаки, целью которого является сделать систему жертвы непригодной для использования. Существуют различные типы DoS-атак в зависимости от их типа:
- Уязвимость DoS-атаки
- DoS-атаки с переполнением полосы пропускания
- DoS-атаки с переполнением соединений
Уязвимость DoS-атаки осуществляются для того, чтобы вывести систему из строя путем определения и фокусировки ее уязвимых частей.
Цель DoS-атак с переполнением пропускной способности — забить систему-жертву слишком большим количеством запросов, трафика и т. д.
Наконец, DoS-атаки с переполнением соединений осуществляются при слишком большом количестве открытых соединений наполовину или полностью. Через некоторое время система не может ответить на эти запросы.
Существует также расширенная версия DoS Attacks. Это DDoS-атаки (распределенные DoS-атаки). С помощью DDOS-атак злоумышленник атакует со многих устройств на устройство-жертву. Таким образом, трудно обнаружить источник этих атак.
Кстати, давайте также определим важный термин — ботнет . Ботнет — это частный компьютер, зараженный любым вредоносным программным обеспечением, и поэтому он контролируется без ведома жертвы для совершения злонамеренных атак на других. DDoS-атаки (распределенные DoS-атаки) осуществляются через такие системы.
Существуют разные названия для определенных типов DoS-атак. Эти:
- Атака TCP SYN Flood
- Пинг смерти
- Атака слезы
- Смурфинг
Атака TCP SYN Flood
Атака TCP SYN Flood — это атака, при которой злоумышленник отправляет слишком много запросов на подключение к цели, и если он получает ответ, злоумышленник никогда не отвечает. Ожидание тайм-аута и слишком много запросов заполняют системные очереди жертвы.
Чтобы защитить вашу систему от TCP SYN Flood, вы можете использовать брандмауэр, который блокирует входящие пакеты SYN. Еще одно упреждающее решение — увеличение размера очереди соединений и уменьшение значения времени ожидания соединения.
Пинг смерти
Ping of Death — это тип атаки, при котором жертве отправляется пакет ping, превышающий максимальное значение 65535. И прежде чем отправить это, злоумышленник фрагментирует пакет, потому что этот размер не разрешен. На другом конце жертва пересобирает этот пакет, и его буфер выходит из строя.
Чтобы защитить вашу систему от Ping of Death, вы можете использовать брандмауэр, а на брандмауэре вы можете проверять фрагментированные пакеты, если их размер нормальный или нет.
Teardrop Attack
Teardrop Attack — это атака, которая выполняется с использованием частей смещения длины пакета и фрагментации. Злоумышленник отправляет фрагментированные пакеты, такие как ping of death. Цель не может восстановить этот пакет из-за ошибки, связанной с фрагментацией TCP/IP. Пакеты перекрываются, и система дает сбой.
Смурфинг
Смурфинг — это тип атак, которые выполняются с использованием слишком большого количества эха ICMP (Ping) и направлены на истощение системных ресурсов. С помощью Smurfing злоумышленники ведут себя как доверенный IP-адрес жертвы и отправляют множество эхо-сообщений ICMP на широковещательный адрес. Все устройства в этом широковещательном домене отправляют ICMP-ответ на этот ECMP-эхо. Таким образом, за короткое время увеличивается трафик системы и исчерпываются ресурсы.
Кибератаки типа «человек посередине»
Атаки «человек посередине» (MiTM) являются одним из наиболее широко используемых типов атак для современных кибератак. Это также известно как подслушивание (Snooping). В атаке «Человек посередине» участвуют три игрока. Эти игроки:
- Клиент (Жертва)
- Сервер (пункт назначения, к которому подключается клиент)
- Атакующий («Человек» посередине)
При обычном общении клиент подключается к серверу, и происходит трафик данных. Но при атаке «человек посередине» злоумышленник встает между клиентом и сервером. Злоумышленник достигает этого с помощью различных методов, и из-за этого жертва не знает, что происходит. Он/она думает, что связь все еще идет к месту назначения. Но после успешной атаки «человек посередине» трафик данных поступает на устройство злоумышленника, а не в точное место назначения.
Атаки «человек посередине» в основном используются для кражи ценной информации о жертвах. Это могут быть важные пароли, банковские реквизиты или любая другая секретная информация. Атаки «человек посередине» могут выполняться на разных уровнях известной модели OSI.
В зависимости от типа воздействия мы можем разделить атаки «человек посередине» на две части. Эти типы атак «человек посередине»:
- Пассивные атаки «человек посередине» (Passive MiTM)
- Активные атаки «человек посередине» (Active MiTM)
В пассивных атаках «человек посередине» злоумышленник только прослушивает трафик между жертвой и другим концом. Злоумышленник прослушивает, захватывает и записывает трафик между этими двумя концами, но не вносит никаких изменений в пакеты. Пакеты снова передаются без изменений между этими двумя концами, но с большой проблемой. Проблема в неавторизованном лице, злоумышленник знает всю связь между этими двумя концами.
В активных атаках «человек посередине» злоумышленник снова прослушивает, захватывает и записывает трафик между двумя конечными точками. Но здесь есть еще одна большая проблема. Злоумышленник повреждает целостность данных, он манипулирует пакетами. Модифицированные и измененные пакеты отправляются на каждый конец. Таким образом, активные атаки «человек посередине» более опасны, чем пассивные атаки «человек посередине». С помощью этих атак злоумышленник заставляет любую жертву делать то, что хотят злоумышленники, с манипулируемыми пакетами.
Также есть несколько разных названий для конкретных MiTM-атак. Эти:
- Перехват сеанса
- Повтор атак
- IP-спуфинг
- ARP-сподинг
Перехват сеанса Кибератаки
Перехват сеанса — это старый тип кибератаки, с помощью которого злоумышленник получает трафик между двумя жертвами, перехватывая сеанс между ними. В этом типе атак получатель и отправитель общаются напрямую с другим концом. Но на самом деле их трафик идет к злоумышленнику.
Воспроизведение кибератак
Повторные кибератаки — это атаки, с помощью которых злоумышленник подслушивает трафик между двумя точками, перехватывает трафик и отправляет запросы, поскольку он/она является законным пользователем. Делая это, злоумышленник получает запрошенные данные из пункта назначения. Источник запроса и получатель ответа не знают об этом процессе. Злоумышленник получает всю запрашиваемую информацию.
Например, если вы запрашиваете платеж с вашими учетными данными, и если ваши данные перехватываются хакером с помощью повторной атаки, злоумышленник может имитировать ваш запрос и отправить его по назначению, поскольку он/она является законным пользователем. В пункте назначения ваш запрос будет обработан, и запрошенные вами деньги будут отправлены на счет злоумышленника.
IP-спуфинг
IP Spoofing — это процесс обмана жертвы с помощью доверенных IP — пакетов. Здесь злоумышленник отправляет модифицированный IP-пакет с доверенным IP-адресом источника на хост-жертву. Хост принимает этот пакет, потому что он предполагает, что он исходит с безопасного конца. После этого трафик от жертвы идет к злоумышленнику вместо реального доверенного адресата.
Злоумышленники используют IP-спуфинг, имея доверенный диапазон IP-адресов. Эти IP-адреса находятся в вашем диапазоне IP-адресов. Имея такие IP-адреса, легко войти в вашу сеть. Таким образом, они регистрируются так же, как и в вашей сети, они могут изменять конфигурацию, они могут отправлять электронные письма, они могут делать все, что угодно, как и любой другой пользователь в этой сети. IP-спуфинг — очень опасная атака.
Чтобы защитить сеть вашей компании от IP-спуфинга, вы можете использовать списки доступа. С помощью Access-list вы можете ограничить входящий трафик извне. Но что, если эта атака осуществляется изнутри? Таким образом, списки доступа не могут быть определенным решением для IP-спуфинга.
ARP-спуфинг
Как вы знаете, ARP — это протокол, который связывает IP-адреса с MAC-адресами. С процессами ARP на уровне 2 OSI устройства в сети узнают свои MAC-адреса друг друга и создают таблицы ARP, которые включают сопоставления IP-ARP. После этого процесса обучения связь осуществляется через эту таблицу ARP вместо того, чтобы спрашивать «Что такое MAC-адрес xxxx IP? » вопрос каждый раз.
При спуфинге ARP злоумышленник связывает свой собственный MAC-адрес с доверенным IP-адресом в этой сети. Делая это, злоумышленник манипулирует таблицей ARP. Когда хост-жертва хочет отправить пакет на этот IP-адрес в соответствии с записями таблицы ARP, он отправляет трафик злоумышленнику. С точки зрения жертвы все кажется нормальным. Таблица ARP кажется безопасной, и она отправляет пакет в соответствии с таблицей ARP. Он не знает, что связывание IP-MAC в таблице ARP отправит свой трафик на вредоносное устройство злоумышленника.
