Добавлен: 16.06.2023
Просмотров: 638
Скачиваний: 9
В порядке противодействия атакам, производители оборудования стараются прикрыть наиболее "узкие" места в своих маршрутизаторах (как правило, это процессор маршрутизации) различными средствами – специальными фильтрами (rACL), очередями, шейперами (SPD) и т.д.
Методы противодействия
Рассмотрим основные меры противодействия сетевым атакам. Их можно разделить на превентивные и реакционные, а также на пассивные и активные [5].
1.3 Предотвращение сетевых атак
DoS, как, впрочем, и любую другую сетевую атаку, проще предотвратить, чем бороться с его последствиями.
Предотвращение последствий
Суть метода состоит в том, чтобы загодя построить инфраструктуру, устойчивую к сетевым атакам и DoS-атакам вообще. Устойчивую – значит не прекращающую обслуживать пользователей (во всяком случае, большую их часть) даже под воздействием атаки. Как правило, подразумевается распределённая структура. В англоязычной литературе часто используется термин "content delivery network", а в военной терминологии это звучит как "рассредоточение и мобильность". Оба эти качества вносят вклад в трудноуязвимость такой системы.
Уклонение
В тех случаях, когда целью флуда является определённый вебсайт, DoS зачастую ориентируется на доменное имя этого сайта. Чтобы минимизировать ущерб, имеет смысл увести сайт-жертву на отдельный сервер путём изменения записи в DNS. Поскольку генерация DoS обычно автоматизирована, в некоторых частных случаях бывает возможно иным образом «поиграть» с DNS-записями, чтобы отвести или рассеять основной удар DoS -атаки и при этом оставить вебсайт доступным для пользователей.
4 Фильтрация
Фильтрация и блэкхолинг трафика на маршрутизаторах – пока самые распространённые методы противодействия. К сожалению, они работают не всегда. Правильно построенный флуд невозможно зафильтровать без вреда для валидного трафика. Фильтры и блэкхолинг следует вводить возможно ближе к источнику DoS-атаки. Межсетевые экраны и специализированные антифлудовые средства фильтрации – наиболее эффективная мера, но и наиболее дорогая. Снизить издержки можно, разделяя такие системы между многими клиентами (фильтрация по требованию).
Наращивание
Коль скоро DoS направлен на исчерпание ресурсов, самый примитивный способ противодействия DoS – наращивание своих ресурсов, чтобы противник не смог их исчерпать.
Во всяком случае, необходимо иметь запас мощности на маршрутизаторах если не для того, чтобы "держать удар", то хотя бы для того, чтобы ввести необходимые фильтры, которые иногда сильно сказываются на производительности.
Ответные меры
Весьма распространённой ошибкой при защите от сетевых атак (не только от DoS) является применение провайдерами активных ответных мер. Когда провайдер или владелец сайта является коммерческим предприятием, целью которого является извлечение прибыли, то меры противодействия сетевым атакам должны иметь ту же самую цель – способствовать увеличению дохода и сокращению издержек производства. Постановка таких задач, как наказание злоумышленника, защита от атак чужих ресурсов и прочих чисто идеалистических не может рассматриваться как приемлемый способ действий для сотрудников коммерческой компании [11].
Но попытки применения активных ответных мер, тем не менее, весьма часты. Это объясняется тем, что рядовые сотрудники компании забывают (или никогда и не знали) о коммерческих целях и руководствуются исключительно собственными убеждениями, понятиями о справедливости и т.д.
Раньше было всего два класса защитных средств, устанавливаемых на периметре, - межсетевые экраны (firewall) и системы обнаружения вторжений (IDS). Межсетевые экраны (далее МСЭ) пропускали трафик через себя, но не "заглядывали" внутрь пересылаемых данных, фокусируясь только на заголовке IP-пакета. Системы IDS (Intrusion Detection System), напротив, анализировали то, что упускалось из виду межсетевыми экранами, но не были способны блокировать атаки, так как трафик через них не проходил. Поэтому на стыке двух технологий родился новый класс защитных средств - системы предотвращения вторжений (IPS).
IPS (Intrusion Prevention System) оказались настолько популярными, что многие производители стали рекламировать свои классические IDS как системы предотвращения атак, то есть IPS. Не меняя сути своих продуктов, но подставив букву P вместо D, эти поставщики открыли для себя новые рынки и новых клиентов. Но признаками настоящей системы IPS эти решения не обладали. Во-первых, IPS функционирует в режиме inline (пропускает трафик через себя) на скорости канала. Другими словами, решение не становится "бутылочным горлышком" и не снижает скорость передачи данных. Во-вторых, система IPS обеспечивает сборку передаваемых пакетов в правильном порядке и анализирует эти пакеты с целью обнаружения следов несанкционированной активности. В-третьих, во время анализа используются различные методы обнаружения атак: сигнатурный и поведенческий, а также идентификация аномалий в протоколах. Наконец, в-четвертых, система IPS в состоянии блокировать вредоносный трафик (но не путем разрыва соединения с помощью команды RESET протокола TCP). Таким образом, чтобы получить систему IPS из IDS, надо сделать не один шаг (заменить букву в названии), а целых четыре - добавить новые технологии и изменить принципы работы решения.
Глава 2 Программное обеспечение для анализа сетевого трафика.
2.1 Описание ПО для анализа сетевого трафика
Анализ трафика является процессом, важность которого известна любому ИТ-профессионалу, не зависимо от того, работает ли он в небольшой компании или в крупной корпорации. Ведь явление и исправления проблем с сетью — это настоящее искусство, которое напрямую зависит как от инстинкта самого специалиста, так и от глубины и качества оперируемых им данных. И анализатор трафика является именно тем инструментом, который эти данные предоставляет вам. Выбранное с умом решение для анализа сетевого трафика может не только помочь выяснить, как пакеты отправляются, принимаются и насколько сохранно передаются по сети, но и позволит сделать намного-намного больше.
Сейчас на рынке представлено большое количество вариаций программного обеспечения для анализа сетевого трафика. Причем некоторые из них способны звать ностальгические воспоминания у специалистов «старой школы»; они используют терминальный шрифт и интерфейс командной строки, и на первый взгляд кажутся сложными в использовании. Другие решения, наоборот, — выделяются простотой установки и ориентированы на аудиторию с визуальным восприятием (они буквально перенасыщены различными графиками). Ценовой диапазон этих решений также весьма существенно отличается — от бесплатных до решений с весьма дорогой корпоративной лицензией.
Для того, чтобы в зависимости от своих задач и предпочтений смогли брать лучшее решение для анализа сетевого трафика, представляем список из наиболее интересных из доступных сейчас на рынке программных продуктов для анализа трафика, а также краткий обзор встроенной в них функциональности для извлечения, обработки и визуального предоставления различной сетевой информации. Часть этих функций у всех приведенных в этом обзоре решений для анализа сетевого трафика схожая — они позволяют с тем или иным уровнем детализации увидеть отправленные и полученные сетевые пакеты, — но практически все из них имеют некоторые характерные особенности, которые делают их уникальными при использовании в определенных ситуациях или сетевых средах. В конце концов, к анализу сетевого трафика прибегают тогда, когда у нас появилась сетевая проблема, но мы не можем быстро свести ее к определенной машине, устройству или протоколу, и приходится проводить более глубокий поиск.
2.2 SolarWinds Network Bandwidth Analyzer
Данное решение позиционируется производителем как программный пакет из двух продуктов — Network Performance Monitor (базовое решение) и NetFlow Traffic Analyzer (модульное расширение). Как заявляется, они имеют схожие, но все же отличающиеся функциональные возможности для анализа сетевого трафика, дополняющие друг друга при совместном использовании сразу двух продуктов.
Network Performance Monitor (рис.1), как следует из названия, осуществляет мониторинг производительности сети и станет для вас заманчивым бором, если хотите получить общее представление о том, что происходит в сети. Покупая это решение, платите за возможность контролировать общую работоспособность сети: опираясь на огромное количество статистических данных, таких как скорость и надежность передачи данных и пакетов, в большинстве случаев сможете быстро идентифицировать неисправности в работе сети. А продвинутые интеллектуальные возможности программы по явлению потенциальных проблем и широкие возможности по визуальному представлению результатов в виде таблиц и графиков с четкими предупреждениями о возможных проблемах, еще больше облегчат эту работу.
Модульное расширение NetFlow Traffic Analyzer больше сконцентрировано на анализе самого трафика. В то время, как функциональность базового программного решения Network Performance Monitor больше предназначена для получения общего представления о производительности сети, в NetFlow Traffic Analyzer фокус внимания направлен на более детальный анализ процессов, происходящих в сети. В частности, эта часть программного пакета позволит проанализировать перегрузки или аномальные скачки полосы пропускания и предоставит статистику, отсортированную по пользователям, протоколам или приложениям. Обратите внимание, что данная программа доступна только для среды Windows.
Рис.1 Анализатор трафика Network Performance Monitor
2.3 Wireshark
WireShark (рис.2) является относительно ном инструментом в большой семье решений для сетевой диагностики, но за это время он уже успел завоевать себе признание и уважение со стороны ИТ-профессионалов. С анализом трафика WireShark справляется превосходно, прекрасно выполняя для вас свою работу. Разработчики смогли найти золотую середину между исходными данными и визуальным представлением этих данных, поэтому в WireShark не найдется перекосов в ту или иную сторону, которым грешат большинство других решений для анализа сетевого трафика. WireShark прост, совместим и портативен. Используя WireShark, получается именно то, что ожидаете, и получаете это быстро.
WireShark имеет прекрасный пользовательский интерфейс, множество опций для фильтрации и сортировки, и, что многие из нас смогут оценить по достоинству, анализ трафика WireShark прекрасно работает с любым из трех самых популярных семейств операционных систем — *NIX, Windows и macOS. Добавьте ко всему вышеперечисленному тот факт, что WireShark — программный продукт с открытым исходным кодом и распространяется бесплатно, и получите прекрасный инструмент для проведения быстрой диагностики сети.
Рис.2 Анализатор трафика WireShark
2.3 Tcpdump
Анализатор трафика tcpdump глядит как некий древний инструмент, и, если уж быть до конца откровенными, с точки зрения функциональности работает он также. Несмотря на то, что со своей работой он справляется и справляется хорошо, причем используя для этого минимум системных ресурсов, насколько это вообще возможно, многим современным специалистам будет сложно разобраться в огромном количестве «сухих» таблиц с данными. Но бывают в жизни ситуации, когда использование столь обрезанных и неприхотливых к ресурсам решений может быть полезно. В некоторых средах или на еле работающих ПК минимализм может оказаться единственным приемлемым вариантом.
Изначально программное решение tcpdump разработано для среды *NIX, но на данный момент он также работает с несколькими портами Windows. Он обладает всей базовой функциональностью, которую ожидаете увидеть в любом анализаторе трафика — захват, запись и т.д., — но требовать чего-то большего от него не стоит.
Рис.3 Анализатор трафика tcpdump
2.4 Kismet
Анализатор трафика Kismet — еще один пример программного обеспечения с открытым исходным кодом, заточенного для решения конкретных задач. Kismet не просто анализирует сетевой трафик, он предоставляет вам гораздо более расширенные функциональные возможности. К примеру, он способен проводить анализ трафика скрытых сетей и даже беспроводных сетей, которые не транслируют свой идентификатор SSID! Подобный инструмент для анализа трафика может быть чрезвычайно полезен, когда в беспроводной сети есть что-то, вызывающее проблемы, но быстро найти их источник не можете. Kismet поможет вам обнаружить неавторизированную сеть или точку доступа, которая работает, но имеет не совсем правильные настройки.
Многие из нас знают не понаслышке, что задача становится более сложной, когда дело доходит до анализа трафика беспроводных сетей, поэтому наличие под рукой такого специализированного инструмента, как Kismet, не только желательно, но и, зачастую, необходимо. Анализатор трафика Kismet станет прекрасным бором для вас, если постоянно имеете дело с большим количеством беспроводного трафика и беспроводных устройств, и нуждаетесь в хорошем инструменте для анализа трафика беспроводной сети. Kismet доступен для сред * NIX, Windows под Cygwin и macOS.