Metody ataków na sieci komputerowe

1. Skanowanie sieci - sondowanie atakowanego systemu poprzez przegląd jego adresów sieciowych oraz portów sieciowych. Skanowanie adresów sieciowych polega na przeglądaniu kolejnych adresów IP z złożonego zakresu w celu wytypowania ofiary lub też poznania topologii atakowanej sieci. Z reguły można poznać topologie części sieci niechronionej, listę serwisów TCP/UDP uruchomionych na identyfikowanym serwisie, architekturę systemu (x86, Sparc, Alpha itp.), typ systemu operacyjnego. Najprostsze skanowanie (i najłatwiej blokowane) można przeprowadzić za pomocą protokołu ICMP (Internet Message Protocol - internetowy protokół komunikatów kontrolnych) typu 8, czyli wysyłany jest popularny Ping (ICMP echo_request), a istniejący host powinien odpowiedzieć ICMP typu 0 (ICMP echo_replay), jeśli istnieje lub nie są zablokowane odpowiedzi, w hoście lub pośredniczącym urządzeniu. Skanowanie portów sieciowych polega na przeglądaniu kolejnych portów sieciowych systemu komputerowego w celu uzyskania informacji na temat, jakie porty są otwarte i jakie usługi są realizowane przez dany system komputerowy. Jest to pomocne przy określaniu usług TCP (Transmission Control Protocol) i UDP (User Datagram Protocol) działających na wybranym za cel komputerze; typu systemu operacyjnego, z którego korzysta wybrany za cel komputer; konkretnych aplikacji lub wersji świadczonych usług. Wiedza zdobyta w ten sposób może również pomóc określeniu typu urządzeń systemu zabezpieczeń. Skanowanie można zrealizować w prosty sposób poprzez badanie rezultatów funkcji connect().
2. Phishing i pharming - w branży komputerowej, oszukańcze pozyskanie poufnej informacji osobistej, jak hasła czy szczegóły karty kredytowej, przez udawanie osoby godnej zaufania, której te informacje są pilnie potrzebne. Jest to rodzaj ataku opartego na inżynierii społecznej. Termin został ukuty w połowie lat 90. przez crackerów próbujących wykraść konta w serwisie AOL (America On Line). Atakujący udawał członka zespołu AOL i wysłał wiadomość do potencjalnej ofiary. Wiadomość zawierała prośbę o ujawnienie hasła, np. dla "zweryfikowania konta" lub "potwierdzenia informacji w rachunku". Gdy ofiara podawała hasło, napastnik uzyskiwał dostęp do konta i wykorzystywał je w przestępczym celu, np. do wysyłania spamu. Termin phishing jest niekiedy tłumaczony jako password harvesting fishing (łowienie haseł). Inni utrzymują, że termin pochodzi od nazwiska Briana Phisha, który miał być pierwszą osobą stosującą techniki psychologiczne do wykradania numerów kart kredytowych, jeszcze w latach 80. Jeszcze inni uważają, że Brian Phish był jedynie fikcyjną postacią, za pomocą której spamerzy wzajemnie się rozpoznawali. Dzisiaj przestępcy sieciowi wykorzystują techniki phishingu w celach zarobkowych.  
3. Pharming zaawansowana forma phishingu, polega na fałszowaniu adresów IP przypisanych nazwom domen i wprowadzaniu takich informacji do serwerów DNS. W rezultacie jeśli np. klient banku wpisze w przeglądarce adres domenowy witryny banku, połączy się z nie prawdziwą witryną banku, lecz ze stroną podstawioną przez złodzieja. Taka fałszywa strona najczęściej wygląda identycznie jak prawdziwa (nawet posiada informacje i ostrzeżenia o możliwości próby wyłudzenia danych), a nieświadomy niczego użytkownik sieci bez wahania podaje swój login i hasło dostępu. Ataki typu pharming są o tyle niebezpieczne, że nie wymagają zmuszenia ofiary do jakichkolwiek działań mających pomóc złodziejowi. W metodzie tej nie wysyła się do ofiary fałszywych e-maili, zatem ofierze trudno cokolwiek podejrzewać. Cały atak koncentruje się na serwerach DNS (choć może być przeprowadzony na lokalny komputer), z których korzystają potencjalne ofiary.
   
4. Sniffing - (sniff w języku angielskim znaczy "wąchać, wyczuwać w powietrzu" np. niebezpieczeństwo) podsłuchiwanie transmisji w sieci. Ten atak pasywny polega na monitorowaniu i rejestrowaniu identyfikatorów i haseł używanych w trakcie logowania się autoryzowanych użytkowników do sieci chronionych w celu uzyskania dostępu do systemów zabezpieczających. Najprostsze sniffery przechwytują nazwy użytkowników i hasła, najbardziej złożone zapisują cały ruch sieciowy. Napisano wiele takich programów; wiele z nich dostępnych jest w Internecie za darmo. Osoba używająca takiego programu ma dostęp do wszystkich informacji zawartych w danych, które są przesyłane w jej zasięgu.
5. DoS oraz DDoS - (Distributed Denial of Service) - jest nowym atakiem wykorzystującym starą technikę ataku DoS. Sieć tego ataku składa się z kilku komponentów: Attacker (atakujący, zwany też klientem) - maszyna, z której rozpoczyna się atak; Master (zwany również Handler) - serwer, na który włamał się atakujący i umieścił odpowiednie oprogramowanie pozwalające na kontrolowanie demonów: każdy master może obsługiwać wiele demonów; Demon (zwany również agentem) - serwer, na który włamał się atakujący i zainstalował oprogramowanie do generowania potoku pakietów (packet stream); Demon oczekuje na rozkazy od swojego mastera, natomiast master od atakującego. Niektóre implementacje dopuszczają zmianę swojego mastera. Czyli atakujący wysyła rozkaz do masterów, które z kolei przekazują go do podległych sobie demonów, które generują potok pakietów. W ten sposób atakujący z jednego miejsca może rozpocząć atak, w którym biorą udział setki różnych hostów sieciowych. Im więcej hostów składa się na sieć DDOS, tym atak jest skuteczniejszy. Obecnie rozwiązania typu IDS czy Firewall mają trudności z wykrywaniem takich ataków. Można, co prawda tworzyć na podstawie analizy charakterystyki tych narzędzi, ale ponieważ kod źródłowy jest dostępny, to z pewnością pociągnie za sobą wiele modyfikacji oraz powstanie nowych narzędzi. Przykładowy schemat ataku typu DDOS:
   
6. Spam - nie chciane i nie pożądane wiadomości które zawierają różnego rodzaju wirusy komputerowe
7. Malware - bardzo szeroka i ogólnie pojmowana gama programów / skryptów / implementacji, które to działają całkowicie lub częściowo w sposób szkodliwy / wadliwy (z założenia; intencji autora oprogramowania) / złośliwy, utrudniając tym samym życie użytkownikowi komputera (m. in. zagrażając jego bezpieczeństwu i poufności w sieci). W systemie mogą znaleźć się w sposób jawny (za zgodą użytkownika) bądź też w sposób niejawny (bez uprzedniej akceptacji czy przyzwolenia).
   
8. Backdor -tylna furtka, tylne drzwi) - aplikacja, która umożliwia swojemu autorowi wielokrotny nie autoryzwany dostęp do zdalnego systemu po uprzednim zdobyciu na nim praw administratora (bądź adekwatnie od sytuacji, przydzielenie odpowiednich praw "złośliwej aplikacji"). Mogą to być np. konta użytkownika z uprawnieniami administratora. Jednym ze sposobów wprowadzenia tylnego wejścia do systemu jest utworzenie konta lub procesu umożliwiającego uruchomienie innych programów z uprawnieniami super użytkownika. Liczba możliwych tylnych wejść dla każdej platformy jest praktycznie nieograniczona. Zastąpienie jednej z usług konkretnym programem czy też podstawienia shella z uprawnieniami super użytkownika umożliwi przejęcie kontroli nad systemem. Ogólnie możemy wyróżnić dwa typy backdoorów: pierwszy - zwany jest popularnie boczną furtką - oznacza to, że twórca danego rozwiązania umieścił w nim dodatkową możliwość wejścia - najczęściej z pominięciem wbudowanych mechanizmów ochronnych, takich jak np. autoryzacja użytkownika.
   
9. Spoofing - polega na podszywaniu się pod inny autoryzowany komputer. Cel pozostaje ten sam, oszukanie systemów zabezpieczających. Tradycyjnie, podszywanie oznaczało działanie atakującego, polegające na przeprowadzeniu procesu autoryzacji z jednego komputera do drugiego poprzez sfałszowanie pakietów z "zaufanego" hosta. Ostatnio podszywaniem określa się dowolną metodę łamania zabezpieczeń autoryzacyjnych opartych na adresie lub nazwie hosta. Rodzajami spoofingu jest: ARP spoofing, DNS spoofing, IP spoofing, Route spoofing, Non-blind i Blind spoofing.
   
10. MAC Foolding - ("zalewanie" adresami MAC) - skuteczność tej metody opiera się na założeniu, że lista zawarta w pamięci switcha, przechowująca adresy kart sieciowych (MAC) komputerów w sieci lokalnej, ma skończoną objętość. Lista ta jest uaktualniana za każdym razem, gdy w sieci pojawi się nowy komputer (lub zostanie wymieniona sama karta sieciowa). Jeżeli atakującemu uda się przepełnić tę listę, switch "głupieje" i zaczyna się zachowywać jak zwykły koncentrator (hub), rozsyłając pakiety do wszystkich komputerów w sieci, a taką komunikację bez problemu można podsłuchać. Realizacja tej metody sprowadza się do uruchomienia w sieci skryptu, który będzie "zalewał" switch pakietami o różnych adresach MAC. Metoda ta ma kilka poważnych wad. Po pierwsze jest łatwa do zauważenia i namierzenia - w zalewanej sieci bardzo łatwo zaobserwować gwałtowny wzrost ruchu sieciowego. Po drugie dla niektórych przełączników nie skutkuje, gdyż każdy port switcha obsługuje niezależnie przyporządkowany mu fragment listy adresów MAC - w rezultacie można najwyżej "zalać" jeden port, a to nic nie daje. Po trzecie "zalewanie" trzeba prowadzić nieprzerwanie, gdyż przełączniki co jakiś czas automatycznie aktualizują swoją listę adresów MAC, co w razie przerwania MAC floodingu spowoduje ustawienie prawdziwych adresów.
    
11. MAC Duplicating -
12. Buffer overflow - (b0f - przepełnienie bufora) - to klasyczna metoda dla exploita, który wysyła programowi więcej danych niż ten oczekiwał dostać. Po takiej operacji następuje przepełnienie buffora danego programu i jego wyłożenie, a ponieważ bufor otrzymał więcej danych aniżeli mógł pomieścić, dane poza buforem zostają "zamazane" nowymi danymi. Sedno ataku polega na tym, aby nadpisać adres powrotu z funkcji nowym innym adresem, który to będzie wskazywał na kod atakującego (tzw. shellcode), który to znajduje się w pamięci oraz wykona dla atakującego określone czynności, m. in. zwiększenie uprawnień w systemie (więcej o samym ataku typu BO przeczytasz w artykule "Odkrywanie przepełnień bufora"). Buffer Overflow jest najczęściej spotykanym błędem, który występuje podczas sprawdzania bezpieczeństwa programu oraz najbardziej popularną metodą ataku w Internecie (więcej informacji można uzyskać z artykułu "Blokowanie b0f dzięki libsafe"). Dochodzi do niego, ponieważ autorzy swoich programów nie korzystają z bezpiecznych funkcji, tj. nie sprawdzają rozmiaru kopiowanych danych z bufora.
    
13. Przejęcie sesji - Sesja to w informatyce obiekt, zapamiętujący przez pewien czas na serwerze szczegóły dotyczące połączenia z klientem. Cechą charakterystyczną sesji jest to, że przypisane do niej dane mają przeważnie charakter chwilowy, ulotny (w przeciwieństwie np. do preferencji przypisywanych do konta klienta).