IDS/IPS (Intrusion Detection System/Intrusion Prevention System)

Systemy wykrywania i zapobiegania włamaniom) – urządzenia sieciowe zwiększające bezpieczeństwo sieci komputerowych przez wykrywanie (IDS) lub wykrywanie i blokowanie ataków (IPS) w czasie rzeczywistym. Systemy wykrywania włamań działają przez analizę ruchu sieciowego za pomocą dwóch metod:Analiza heurystyczna – polegająca na defragmentacji, łączeniu pakietów w strumienie danych, analizie nagłówków pakietów oraz analizie protokołów aplikacyjnych. Pozwala wytypować pakiety mogące doprowadzić do zdestabilizowania docelowej aplikacji w razie obecności w niej błędów implementacyjnych. Stosowane są różne nazwy handlowe – np. protocol analysis (np. IBM ISS) czy preprocessing (Snort). W większości systemów IDS analiza heurystyczna odbywa się równocześnie z normalizacją danych przed poddaniem ich analizie sygnaturowej.Analiza sygnaturowa – polegająca na wyszukiwaniu w pakietach ciągów danych charakterystycznych dla znanych ataków sieciowych. Kluczowym elementem jest baza sygnatur, budowana wraz z pojawianiem się nowych ataków i odpowiednio często aktualizowana.W zależności od lokalizacji sensora oraz zakresu analizowanych zdarzeń wyróżnia się następujące rodzaje systemów IDS:hostowe – HIDS (ang. Host-based IDS) – działają jako aplikacja w jednym, ochranianym systemie operacyjnym analizując zdarzenia pochodzące z logu systemowego oraz z lokalnych interfejsów sieciowych.sieciowe – NIDS (ang. Network IDS) – analizujące ruch sieciowy dla wszystkich systemów w segmencie sieci, do którego są podłączone. NIDS potrafi rozpoznawać ataki skierowane przeciwko systemom, które nie mają zainstalowanych HIDS. Równocześnie jednak ma ograniczone zdolności analizowania ruchu przesyłanego w kanałach SSL lub zdarzeń zachodzących lokalnie w systemie (np. brak pamięci, ataki lokalne z konsoli).Sieciowe systemy IPS mogą działać w następujących topologiach sieciowych:pasywna sonda – sonda podłączona do portu monitorującego przełącznika analizuje kopie wszystkich pakietów w danym segmencie sieci. Sonda w tej topologii ma ograniczone możliwości reagowania na ataki. Stosowane są dwie techniki blokowania ataków w topologii pasywnej – wysyłanie fałszywych pakietów TCP RST do obu stron komunikacji i zerwanie połączenia oraz dynamiczna rekonfiguracja zapory, z którą sonda może współpracować. W pierwszym przypadku blokowaniu może podlegać tylko ruch TCP, w drugim reakcja może być spóźniona.Inline – sonda umieszczona pomiędzy dwoma segmentami sieci, pozbawiona adresów IP i działająca w trybie przezroczystego mostu analizuje i bezpośrednio uczestniczy w przekazywaniu wszystkich pakietów w sieci. W tym trybie sonda ma możliwość blokowania 100% pakietów rozpoznanych jako niebezpieczne (fałszywe pakiety TCP RST nadal są wysyłane dla uniknięcia retransmisji). Działanie w tym trybie nakłada na oprogramowanie sondy znacznie wyższe wymagania co do wydajności i stabilności.

Szyfrowanie w sieciach wlan

Jeżeli planujemy korzystać z sieci bezprzewodowej, musimy ją tak skonfigurować, aby tylko wybrane osoby miały do niej dostęp. W innym wypadku staniemy się ofiarami bardzo powszechnych włamań, ktoś niepożądany może podkraść nasze hasła, czytać nasze e-maile, podkradać pieniądze z naszego internetowego konta w banku.Szyfrowanie WEPWEP jest nadal dostępną metodą zabezpieczeń sieci w celu obsługi starszych urządzeń, jednak nie jest zalecana. Na początku trzeba wygenerować cztery różne klucze szyfrowania. W przypadku standardowego szyfrowania 64-bitowego, które może być zastosowane na wszystkich urządzeniach Wi-Fi, każdy z kluczy to dziesięciocyfrowa liczba szesnastkowa. W większości nowych AP znajduje się program, który umożliwia generowanie tych czterech kluczy na podstawie wprowadzonej frazy będącej pewną sekwencją liter lub wyrazów, takich jak na przykład: „Ala ma kota" lub „sierotka ma rysia". Dla danej karty sieciowej oraz punktu dostępu ta sama fraza zawsze spowoduje wygenerowanie tych samych czterech kluczy szyfrowania( oczywiście można też generować samemu klucz szyfrowania w postaci znaków zapisanych w kodzie szesnastkowym ). Można spotkać także urządzenia, które generują z frazy tylko jeden klucz. Następnie użytkownik musi dystrybuować te cztery klucze (lub jeden klucz, jeśli w danej instalacji sieciowej potrzebny jest tylko jeden klucz) do wszystkich bezprzewodowych kart sieciowych, które będą się łączyć z punktem dostępu. Proces ten, czyli dystrybucja kluczy jest krytyczną operacją dotyczącą bezpieczeństwa sieci Wi-Fi. Gdy wszystkie punkty dostępu oraz wszystkie bezprzewodowe karty sieciowe znajdujące się w sieci mają już wprowadzone wszystkie cztery klucze, to można włączyć mechanizm szyfrowania WEP. Od tej chwili cały ruch sieciowy między punktem dostępu a bezprzewodowymi kartami sieciowymi będzie szyfrowany. Po uruchomieniu szyfrowania WEP nie trzeba już wykonywać żadnych innych operacji związanych z tym mechanizmem, aż do chwili podjęcia decyzji o zmianie kluczy. Najlepiej zmieniać klucze jak najczęściej, ponieważ jak przedstawimy niżej, szyfrowanie WEP jest bardzo słabym zabezpieczeniem, a częsta zmiana kluczy może trochę to bezpieczeństwo podnieść.Szyfrowanie WPAWPA zostało wprowadzone jako następca szyfrowania WEP, bezpieczniejsze i pozbawione wad poprzednika. Jedynym minusem tego zabezpieczenia jest dosyć spore obciążanie sieci. WPA dzieli się na dwa rodzaje: Personal - opiera się na kluczu PSK (Pre-Shared Key) długości od 8 do 63 znaków oraz Enterprise - korzystający z serwera RADIUS. Niestety szyfrowanie WPA nie jest dostępne w każdym AP, jeśli jednak twój Punkt Dostępowy oraz karty klienckie je obsługują i dla bezpieczeństwa sieci zrobisz wszystko - użyj właśnie WPA. Należy wspomnieć też o WPA2, które poza inną metodą szyfrowania (AES-CCMP) nie różni się niczym w porównaniu do WPA (RC4/TKIP). Nie zaleca sie używania protokołu WEP. Bezpieczniejszy jest protokół WPA2. Jeśli protokoły WPA i WPA2 nie działają, zaleca się uaktualnienie karty sieciowej do karty obsługującej jeden z tych protokołów.

Zapora sieciowa

Zapora sieciowa to jeden ze sposobów zabezpieczania sieci i systemów przed intruzami. Termin ten może odnosić się zarówno do dedykowanego sprzętu komputerowego wraz ze specjalnym oprogramowaniem, jak i do samego oprogramowania blokującego niepowołany dostęp do komputera, na którego straży stoi. Pełni rolę połączenia ochrony sprzętowej i programowej sieci wewnętrznej LAN przed dostępem z zewnątrz tzn. sieci publicznych, Internetu, chroni też przed nieuprawnionym wypływem danych z sieci lokalnej na zewnątrz. Często jest to komputer wyposażony w system operacyjny (np. Linux, BSD) z odpowiednim oprogramowaniem. Do jego podstawowych zadań należy filtrowanie połączeń wchodzących i wychodzących oraz tym samym odmawianie żądań dostępu uznanych za niebezpieczne.Najczęściej używanymi technikami obrony są:1. Filtrowanie pakietów, czyli sprawdzanie pochodzenia pakietów i akceptowanie pożądanych (np. SPI).2. Stosowanie algorytmów identyfikacji użytkownika (hasła, cyfrowe certyfikaty).3. Zabezpieczanie programów obsługujących niektóre protokoły (np. FTP, TELNET).Bardzo ważną funkcją zapory sieciowej jest monitorowanie ruchu sieciowego i zapisywanie najważniejszych zdarzeń do dziennika (logu). Umożliwia to administratorowi wczesne dokonywanie zmian konfiguracji. Poprawnie skonfigurowany firewall powinien odeprzeć wszelkie znane typy ataków. Na zaporze można zdefiniować strefę ograniczonego zaufania – podsieć, która izoluje od wewnętrznej sieci lokalne serwery udostępniające usługi na zewnątrz.

Ochrona elementów infrastruktury sieciowej przed niepowołanym dostępem

Zmiana hasła na routerze
Pierwszą czynnością jaką powinniśmy wykonać zabezpieczając naszą sieć WiFi to zmiana domyślnego loginu i hasła punktu dostępowego. Na nic zdadzą się wszystkie inne zabezpieczenia, jeśli każdy będzie mógł zalogować się na naszym routerze i przejąć nad nim kontrolę. Listę domyślnych haseł routerów można znaleźć w internecie.

Zarządzanie tylko przez kabel
Bardzo dobrym pomysłem jest wyłączenie możliwości logowania się na access point przez sieć bezprzewodową. Taką możliwość daje większość dostępnych na rynku urządzeń. Ograniczenie dostępu do zarządzania urządzeniem tylko dla użytkowników podłączonych kablem, może zaoszczędzić nam sporo kłopotów.

Moc nadawania
Przydatną opcją wielu routerów, jest możliwość ograniczenia ich mocy nadawania. W przypadku niewielkiego mieszkania, nie ma potrzeby aby sieć WiFi była dostępna dla wszystkich sąsiadów. Warto zmniejszyć siłę nadajnika WiFi, tak abyśmy tylko my byli w jej zasięgu. Moc nadawania trzeba dobrać metodą prób i błędów, stopniowo zmniejszając wartość od największej do najmniejszej.

Umiejscowienie routera
Choć może się to wydać dziwne, to jednak miejsce w jakim znajduje się nasz punkt dostępowy, może mieć wpływ na dostęp dla intruzów. Wiąże się to także z mocą nadawania. Warto w miarę możliwości instalować punkt dostępowy centralnie w środku mieszkania oraz ograniczać moc nadawania, tak aby jego zasięg obejmował jedynie mieszkanie. Umiejscowienie urządzenia na skrajnej ścianie, może zapewnić zasięg naszej sieci WiFi dla sąsiadów, lub ludzi z ulicy.

Szyfrowanie danych
Szyfrowanie danych dla bezprzewodowych sieci WiFi to jedno z najważniejszych zabezpieczeń, którego nie można pominąć. Brak szyfrowania sprawia, że nasze dane (loginy, hasła, numery kart) są przesyłane w sieci, w sposób umożliwiający ich łatwe przechwycenie przez osoby trzecie. Należy koniecznie włączyć szyfrowanie sieci mechanizmem WPA2, który na dzień dzisiejszy jest uznawany za bezpieczny. Nie należy mylić mechanizmów WPA2 z WPA, który jest mniej bezpieczny. W przypadku starszych urządzeń, nie wspierających WPA2, jesteśmy skazani na zabezpieczenie WEP, należy jednak mieć świadomość, że jest to zabezpieczenie bardzo łatwe do złamania i należy rozważyć zmianę naszego punktu dostępowego oraz kart sieciowych na wspierające algorytm WPA2.

Stosowanie silnych haseł
Nawet najlepsze algorytmy szyfrujące i wyrafinowane zabezpieczenia nie zabezpieczą naszej sieci, jeśli będziemy stosować banalne hasła. Złamanie prostych haseł możliwe jest dzięki metodzie zwaną brute force. Polega ona na automatycznym sprawdzaniu wszystkich haseł aż do skutku. Jedynym zabezpieczeniem jest stosowanie długich i skomplikowanych haseł. Zarówno hasło do logowania na router jak i hasło szyfrowania WPA, powinno zawierać co najmniej 12 znaków (a może być o wiele dłuższe) zawierających litery małe i duże, cyfry oraz znaki specjalne. Warto też pamiętać o zmianie haseł raz na jakiś czas.

Metody ataków na sieci komputerowe

1. Skanowanie sieci - sondowanie atakowanego systemu poprzez przegląd jego adresów sieciowych oraz portów sieciowych. Skanowanie adresów sieciowych polega na przeglądaniu kolejnych adresów IP z złożonego zakresu w celu wytypowania ofiary lub też poznania topologii atakowanej sieci. Z reguły można poznać topologie części sieci niechronionej, listę serwisów TCP/UDP uruchomionych na identyfikowanym serwisie, architekturę systemu (x86, Sparc, Alpha itp.), typ systemu operacyjnego. Najprostsze skanowanie (i najłatwiej blokowane) można przeprowadzić za pomocą protokołu ICMP (Internet Message Protocol - internetowy protokół komunikatów kontrolnych) typu 8, czyli wysyłany jest popularny Ping (ICMP echo_request), a istniejący host powinien odpowiedzieć ICMP typu 0 (ICMP echo_replay), jeśli istnieje lub nie są zablokowane odpowiedzi, w hoście lub pośredniczącym urządzeniu. Skanowanie portów sieciowych polega na przeglądaniu kolejnych portów sieciowych systemu komputerowego w celu uzyskania informacji na temat, jakie porty są otwarte i jakie usługi są realizowane przez dany system komputerowy. Jest to pomocne przy określaniu usług TCP (Transmission Control Protocol) i UDP (User Datagram Protocol) działających na wybranym za cel komputerze; typu systemu operacyjnego, z którego korzysta wybrany za cel komputer; konkretnych aplikacji lub wersji świadczonych usług. Wiedza zdobyta w ten sposób może również pomóc określeniu typu urządzeń systemu zabezpieczeń. Skanowanie można zrealizować w prosty sposób poprzez badanie rezultatów funkcji connect().
2. Phishing i pharming - w branży komputerowej, oszukańcze pozyskanie poufnej informacji osobistej, jak hasła czy szczegóły karty kredytowej, przez udawanie osoby godnej zaufania, której te informacje są pilnie potrzebne. Jest to rodzaj ataku opartego na inżynierii społecznej. Termin został ukuty w połowie lat 90. przez crackerów próbujących wykraść konta w serwisie AOL (America On Line). Atakujący udawał członka zespołu AOL i wysłał wiadomość do potencjalnej ofiary. Wiadomość zawierała prośbę o ujawnienie hasła, np. dla "zweryfikowania konta" lub "potwierdzenia informacji w rachunku". Gdy ofiara podawała hasło, napastnik uzyskiwał dostęp do konta i wykorzystywał je w przestępczym celu, np. do wysyłania spamu. Termin phishing jest niekiedy tłumaczony jako password harvesting fishing (łowienie haseł). Inni utrzymują, że termin pochodzi od nazwiska Briana Phisha, który miał być pierwszą osobą stosującą techniki psychologiczne do wykradania numerów kart kredytowych, jeszcze w latach 80. Jeszcze inni uważają, że Brian Phish był jedynie fikcyjną postacią, za pomocą której spamerzy wzajemnie się rozpoznawali. Dzisiaj przestępcy sieciowi wykorzystują techniki phishingu w celach zarobkowych.  
3. Pharming zaawansowana forma phishingu, polega na fałszowaniu adresów IP przypisanych nazwom domen i wprowadzaniu takich informacji do serwerów DNS. W rezultacie jeśli np. klient banku wpisze w przeglądarce adres domenowy witryny banku, połączy się z nie prawdziwą witryną banku, lecz ze stroną podstawioną przez złodzieja. Taka fałszywa strona najczęściej wygląda identycznie jak prawdziwa (nawet posiada informacje i ostrzeżenia o możliwości próby wyłudzenia danych), a nieświadomy niczego użytkownik sieci bez wahania podaje swój login i hasło dostępu. Ataki typu pharming są o tyle niebezpieczne, że nie wymagają zmuszenia ofiary do jakichkolwiek działań mających pomóc złodziejowi. W metodzie tej nie wysyła się do ofiary fałszywych e-maili, zatem ofierze trudno cokolwiek podejrzewać. Cały atak koncentruje się na serwerach DNS (choć może być przeprowadzony na lokalny komputer), z których korzystają potencjalne ofiary.
   
4. Sniffing - (sniff w języku angielskim znaczy "wąchać, wyczuwać w powietrzu" np. niebezpieczeństwo) podsłuchiwanie transmisji w sieci. Ten atak pasywny polega na monitorowaniu i rejestrowaniu identyfikatorów i haseł używanych w trakcie logowania się autoryzowanych użytkowników do sieci chronionych w celu uzyskania dostępu do systemów zabezpieczających. Najprostsze sniffery przechwytują nazwy użytkowników i hasła, najbardziej złożone zapisują cały ruch sieciowy. Napisano wiele takich programów; wiele z nich dostępnych jest w Internecie za darmo. Osoba używająca takiego programu ma dostęp do wszystkich informacji zawartych w danych, które są przesyłane w jej zasięgu.
5. DoS oraz DDoS - (Distributed Denial of Service) - jest nowym atakiem wykorzystującym starą technikę ataku DoS. Sieć tego ataku składa się z kilku komponentów: Attacker (atakujący, zwany też klientem) - maszyna, z której rozpoczyna się atak; Master (zwany również Handler) - serwer, na który włamał się atakujący i umieścił odpowiednie oprogramowanie pozwalające na kontrolowanie demonów: każdy master może obsługiwać wiele demonów; Demon (zwany również agentem) - serwer, na który włamał się atakujący i zainstalował oprogramowanie do generowania potoku pakietów (packet stream); Demon oczekuje na rozkazy od swojego mastera, natomiast master od atakującego. Niektóre implementacje dopuszczają zmianę swojego mastera. Czyli atakujący wysyła rozkaz do masterów, które z kolei przekazują go do podległych sobie demonów, które generują potok pakietów. W ten sposób atakujący z jednego miejsca może rozpocząć atak, w którym biorą udział setki różnych hostów sieciowych. Im więcej hostów składa się na sieć DDOS, tym atak jest skuteczniejszy. Obecnie rozwiązania typu IDS czy Firewall mają trudności z wykrywaniem takich ataków. Można, co prawda tworzyć na podstawie analizy charakterystyki tych narzędzi, ale ponieważ kod źródłowy jest dostępny, to z pewnością pociągnie za sobą wiele modyfikacji oraz powstanie nowych narzędzi. Przykładowy schemat ataku typu DDOS:
   
6. Spam - nie chciane i nie pożądane wiadomości które zawierają różnego rodzaju wirusy komputerowe
7. Malware - bardzo szeroka i ogólnie pojmowana gama programów / skryptów / implementacji, które to działają całkowicie lub częściowo w sposób szkodliwy / wadliwy (z założenia; intencji autora oprogramowania) / złośliwy, utrudniając tym samym życie użytkownikowi komputera (m. in. zagrażając jego bezpieczeństwu i poufności w sieci). W systemie mogą znaleźć się w sposób jawny (za zgodą użytkownika) bądź też w sposób niejawny (bez uprzedniej akceptacji czy przyzwolenia).
   
8. Backdor -tylna furtka, tylne drzwi) - aplikacja, która umożliwia swojemu autorowi wielokrotny nie autoryzwany dostęp do zdalnego systemu po uprzednim zdobyciu na nim praw administratora (bądź adekwatnie od sytuacji, przydzielenie odpowiednich praw "złośliwej aplikacji"). Mogą to być np. konta użytkownika z uprawnieniami administratora. Jednym ze sposobów wprowadzenia tylnego wejścia do systemu jest utworzenie konta lub procesu umożliwiającego uruchomienie innych programów z uprawnieniami super użytkownika. Liczba możliwych tylnych wejść dla każdej platformy jest praktycznie nieograniczona. Zastąpienie jednej z usług konkretnym programem czy też podstawienia shella z uprawnieniami super użytkownika umożliwi przejęcie kontroli nad systemem. Ogólnie możemy wyróżnić dwa typy backdoorów: pierwszy - zwany jest popularnie boczną furtką - oznacza to, że twórca danego rozwiązania umieścił w nim dodatkową możliwość wejścia - najczęściej z pominięciem wbudowanych mechanizmów ochronnych, takich jak np. autoryzacja użytkownika.
   
9. Spoofing - polega na podszywaniu się pod inny autoryzowany komputer. Cel pozostaje ten sam, oszukanie systemów zabezpieczających. Tradycyjnie, podszywanie oznaczało działanie atakującego, polegające na przeprowadzeniu procesu autoryzacji z jednego komputera do drugiego poprzez sfałszowanie pakietów z "zaufanego" hosta. Ostatnio podszywaniem określa się dowolną metodę łamania zabezpieczeń autoryzacyjnych opartych na adresie lub nazwie hosta. Rodzajami spoofingu jest: ARP spoofing, DNS spoofing, IP spoofing, Route spoofing, Non-blind i Blind spoofing.
   
10. MAC Foolding - ("zalewanie" adresami MAC) - skuteczność tej metody opiera się na założeniu, że lista zawarta w pamięci switcha, przechowująca adresy kart sieciowych (MAC) komputerów w sieci lokalnej, ma skończoną objętość. Lista ta jest uaktualniana za każdym razem, gdy w sieci pojawi się nowy komputer (lub zostanie wymieniona sama karta sieciowa). Jeżeli atakującemu uda się przepełnić tę listę, switch "głupieje" i zaczyna się zachowywać jak zwykły koncentrator (hub), rozsyłając pakiety do wszystkich komputerów w sieci, a taką komunikację bez problemu można podsłuchać. Realizacja tej metody sprowadza się do uruchomienia w sieci skryptu, który będzie "zalewał" switch pakietami o różnych adresach MAC. Metoda ta ma kilka poważnych wad. Po pierwsze jest łatwa do zauważenia i namierzenia - w zalewanej sieci bardzo łatwo zaobserwować gwałtowny wzrost ruchu sieciowego. Po drugie dla niektórych przełączników nie skutkuje, gdyż każdy port switcha obsługuje niezależnie przyporządkowany mu fragment listy adresów MAC - w rezultacie można najwyżej "zalać" jeden port, a to nic nie daje. Po trzecie "zalewanie" trzeba prowadzić nieprzerwanie, gdyż przełączniki co jakiś czas automatycznie aktualizują swoją listę adresów MAC, co w razie przerwania MAC floodingu spowoduje ustawienie prawdziwych adresów.
    
11. MAC Duplicating -
12. Buffer overflow - (b0f - przepełnienie bufora) - to klasyczna metoda dla exploita, który wysyła programowi więcej danych niż ten oczekiwał dostać. Po takiej operacji następuje przepełnienie buffora danego programu i jego wyłożenie, a ponieważ bufor otrzymał więcej danych aniżeli mógł pomieścić, dane poza buforem zostają "zamazane" nowymi danymi. Sedno ataku polega na tym, aby nadpisać adres powrotu z funkcji nowym innym adresem, który to będzie wskazywał na kod atakującego (tzw. shellcode), który to znajduje się w pamięci oraz wykona dla atakującego określone czynności, m. in. zwiększenie uprawnień w systemie (więcej o samym ataku typu BO przeczytasz w artykule "Odkrywanie przepełnień bufora"). Buffer Overflow jest najczęściej spotykanym błędem, który występuje podczas sprawdzania bezpieczeństwa programu oraz najbardziej popularną metodą ataku w Internecie (więcej informacji można uzyskać z artykułu "Blokowanie b0f dzięki libsafe"). Dochodzi do niego, ponieważ autorzy swoich programów nie korzystają z bezpiecznych funkcji, tj. nie sprawdzają rozmiaru kopiowanych danych z bufora.
    
13. Przejęcie sesji - Sesja to w informatyce obiekt, zapamiętujący przez pewien czas na serwerze szczegóły dotyczące połączenia z klientem. Cechą charakterystyczną sesji jest to, że przypisane do niej dane mają przeważnie charakter chwilowy, ulotny (w przeciwieństwie np. do preferencji przypisywanych do konta klienta).