Типовые признаки компьютерных атак

Любой метод атаки характеризуется некоторой совокупностью признаков. К типовым признакам атак можно отнести следующие:

1) Повтор определенных событий, действий. Например, обращение к портам (сканирование), подбор пароля, повтор запросов на установление соединения, приводящее к переполнению очереди или буфера;

2) Непредвиденные параметры в сетевых пакетах

· непредвиденные атрибуты адреса (например, немаршрутизируемые или зарезервированные IP-адреса, значение в поле порта источника или назначения равно нулю, запрос нестандартных серверов);

· непредвиденные параметры флагов сетевых пакетов (например, при установленном флаге ACK номер подтверждения равен нулю; в пакете два взаимоисключающих флага SYN+FIN; наличие только флага FIN; использование сочетания флагов SYN+RST и RST+FIN);

· непредвиденные атрибуты времени или даты;

3) Несоответствующие параметры сетевого трафика

· параметры входящего трафика (например, входящие извне в локальную сеть пакеты, имеющие адрес источника, соответствующий диапазону адресов внутренней сети);

· параметры исходящего трафика (например, исходящие из локальной сети пакеты, имеющие адрес источника, соответствующий диапазону адресов внешней сети);

· несоответствующие текущей ситуации команды (неправильные запросы или ответы);

· аномалии сетевого трафика (например, изменение коэффициента загрузки, размера пакета, среднего количества фрагментированных пакетов);

4) Несоответствующие атрибуты функционирования системы

· аномальные системные характеристики (усиленная загрузка CPU, интенсивное обращение к ОЗУ или дисковой памяти, файлам);

· несоответствие характеристик работы пользователей их профилям (отклонение от время пиковых и минимальных нагрузок, от длительности типичного сеанса работы, от обычного времени входа и выхода из системы).

Основные варианты реализации компьютерных атак

Реализация атак может быть осуществлено при непосредственном или сетевом входе в систему. Поэтому выделяют два основных варианта реализации атак:

1) системный – при котором предполагается, что нарушитель уже имеет учетную запись в атакуемой системе с некоторыми (обычно невысокими) привилегиями или существует возможность входа в систему под анонимным пользователем. При этом атака реализуется посредством входа нарушителя в систему под этой учетной записью и получения дополнительных административных полномочий. В результате проведения атаки осуществляется несанкционированный доступ к информации на объекте (хосте). В частности такой вариант атак возможно осуществить с помощью программы GetAdmin.

2 ) сетевой – при котором подразумевается, что нарушитель пытается дистанционно проникнуть в систему через сеть. Такое проникновение возможно при нахождении компьютера нарушителя в одном сегменте сети, в разных сегментах, при удаленном доступе к атакуемому объекту (например, с использованием коммутируемых или выделенных модемных соединений). В результате таких атак, у нарушителя может появиться возможность удаленного управления компьютером через сеть, доступа к информационным ресурсам атакованного объекта, изменение его режима функционирования, в том числе и отказ в обслуживании. В качестве программ, которые позволяют реализовать сетевой вариант атак, могут быть использованы программы NetBus или BackOrifice.

Для реализации атак могут использоваться определенные команды (последовательности команд) в интерфейсе командной строки, сценарии, программы, или автономные агенты, установленные на одном или распределенные по нескольким узлам (компьютерам) сети.

Дата добавления: 2014-01-13