Защита от хакеров корпоративных сетей. Коллектив авторов

Cipher ([email protected])

      678-464-0377

      FAX: [phone]

      PO Box 211206

      Montgomery, AL 36121

      US

      DOMAIN CREATED : 2000-11-12 23:57:56

      DOMAIN EXPIRES : 2002-11-12 23:57:56

      NAMESERVERS:

      DNS1.ENOM.COM

      DNS2.ENOM.COM

      DNS3.ENOM.COM

      DNS4.ENOM.COM

      Из примера видно, как можно узнать регистрационные сведения владельца домена Cipherpunks.com: его имя, адрес, контактные номера телефонов и факса.

      С точки зрения безопасности, база данных Whois – находка для злоумышленника, потому что она содержит информацию, которая может быть использована для атаки на сервер и установления контроля над доменами. Например, названия серверов доменных имен.

      В последнее время регулярно наблюдаются попытки злоумышленников использовать почтовые адреса лиц, зарегистрировавших домен. Для этого, в случае одновременного администрирования одного домена несколькими людьми, могут быть применены методы социотехники. Наиболее часто добытые таким способом сведения используются для распространения спама. Такие компании, как Network Solutions, даже продают подобную информацию фирмам «направленного маркетинга» (метод маркетинга, при котором компании рассылают образцы своей продукции потенциальным заказчикам), прославившимся распространением спама. Эти фирмы в буквальном смысле слова захламляют почтовый ящик жертвы различным мусором. То, как это происходит, описано в статье Newsbytes «ICANN To Gauge Privacy Concerns Over 'Whois' Database», доступной в Интернете по адресу www.newsbytes.com/news/01/166711.html.

      База данных Whois сетевых сервисов

      В базе данных Whois сетевых сервисов содержится информация по управлению сетью. Она позволяет персоналу, занятому обслуживанием сети и обеспечением ее безопасности, решать возникающие проблемы. В базе данных Whois хранятся контактные номера телефонов и факсов, а в отдельных случаях названия компаний, арендующих сетевые ресурсы. Проанализируйте следующую информацию из базы Whois сетевых сервисов:

      elliptic@ellipse:~$ whois -h whois.arin.net 66.38.151.10

      GT Group Telecom Services Corp. (NETBLK-GROUPTELECOM-BLK-

      3) GROUPTELECOM-BLK-3

      66.38.128.0 – 66.38.255.255

      Security Focus (NETBLK-GT-66-38-151-0) GT-66-38-151-0

      66.38.151.0 – 66.38.151.63

      To single out one record, look it up with “!xxx”, where xxx

      is the handle, shown in parenthesis following the name,

      which comes first.

      The ARIN Registration Services Host contains ONLY Internet

      Network Information: Networks, ASN’s, and related POC’s.

      Please use the whois server at rs.internic.net for DOMAIN

      related Information and whois.nic.mil for NIPRNET

      Information.

      Как можно заметить, адреса Интернет от 66.38.151.0 до 66.38.151.63 закреплены за SecurityFocus. Кроме того, эти адреса принадлежат GT Group Telecom.

      Подобная информация позволяет злоумышленникам очертить границы будущего нападения. Если злоумышленник захочет скомпрометировать хост сети SecurityFocus, ему нужно только выбрать хост сетевого сегмента, поддерживаемый ARIN. А затем, используя скомпрометированный хост сети, выбрать другие хосты той же самой или другой сети.

Служба имен доменов

      Служба имен доменов (DNS) – еще одно средство в арсенале злоупотреблений злоумышленника для сбора информации в процессе подготовки атаки на сеть. Люди, принимая решение об использовании DNS на каждом хосте Интернета, часто даже не подозревают о той удавке, которую они накидывают себе на шею. Не обсуждая недостатки протокола, которые приводят к подобным последствиям, сконцентрируемся на злоупотреблениях DNS.

      Источник уязвимостей был обнаружен в широко распространенной программе разрешения имен в Интернете BIND. Служба доменных имен в сети Интернет или BIND (Berkley Internet Name Domain – программа