Материал: Проникновения в операционную среду компьютера. модели злоумышленного удаленного доступа. Радько Н.М., Язов Ю.К

4.4.2. Подмена доверенного объекта сети. Перехват tcp-сессии (ip-hijacking)

Для проведения данной атаки хакер должен иметь доступ к машине, находящейся на пути сетевого потока и обладать достаточными правами на ней для генерации и перехвата IP-пакетов. При передаче данных постоянно используются два 32-битных поля-счетчика (оба поля находятся в IP-заголовке). Исходя из их значения, сервер и клиент проверяют корректность передачи пакетов. Существует возможность ввести соединение в десинхронизированное состояние, когда присылаемые сервером значения счетчиков не будут совпадать с ожидаемым значением клиента, и наоборот [6,29,48]. В данном случае злоумышленник, прослушивая линию, может взять на себя функции посредника, генерируя корректные пакеты отдельно для клиента и сервера и перехватывая их ответы. Метод позволяет полностью обойти такие системы защиты, как, например, одноразовые пароли, поскольку злоумышленник начинает работу уже после того, как произойдет авторизация пользователя.

Этапы реализации данной атаки и типы пересылаемых пакетов приведены на рис. 4.17.

Рис. 4.17. Этапы реализации подмены доверенного объекта (IP-hijacking)

Смоделируем данную атаку с помощью сети Петри-Маркова. Обозначения элементов этой сети приведены ниже, s_i — позиции, t_j — переходы:

s₁ — A и B готовы,

s₂ — С готов к перехвату трафика,

t₁ — обмен A и B пакетами для установления соединения, перехват S-SYN и C-ACK,

s₃ — пакет S-SYN, C-ACK перехвачен,

t₂ — отправка RST от имени B,

s₄ — соединение A-B закрыто для A,

t₃ — отправка A S-SYN2 для B, перехват S-SYN2,

s₅ — C-SYN2 обработан A,

t₄ — отправка C-SYN2 от имени B,

s₆ — S-SYN2 перехвачен, возникновение ACK-бури между A и B

t₅ — отправка S-ACK2 от имени B,

s₇ — S-ACK2 прият, соединение с правами B установлено,

t₆ — обмен модифицированными данными с B по ACK, с A по ACK-2,

s ₈ — результат.

Вид данной сети представлен на рис. 4.18.

Рис. 4.18. Вид сети Петри-Маркова для атаки «подмена доверенного объекта сети. Перехват TCP-сессии»

В этой сети позиции не имеют инцидентных дуг, поэтому вероятности перемещения из них в переходы равны единице.

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Для данной сети Петри-Маркова имеет место следующая система интегро-дифференциальных уравнений [60,62]:

(4.14)

Полагаем, что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (4.2) при i1,…,6; j1,...,4.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

₁₃₂₄₃₅₄₆₅₇₆,

(4.15)

где ₃₂₄₃₅₄₆₅0,1 c,

₁₁0,2 с ‑ средние времена пересылки и обработки пакетов SYN и ACK;

₂₁13,5 с ‑ среднее время запуска и настройки злоумышленником программы для реализации атаки.

Таким образом, среднее время перехода по всей сети 14,5 с, и зависимость вероятности реализации атаки от времени приобретает вид, представленный на рис. 4.19.

P(t)1e_t/14,5

P(t)

Рис. 4.19. Зависимость вероятности реализации атаки «угон TCP-сессии» от времени

Рассмотрим вероятностные характеристики реализации данной атаки с учетом применения мер противодействия.

1. Выявление ACK-бурь. С помощью специальных средств контроля за сетью возможно выявлять возникающие ACK-бури — бесконечный обмен ACK-пакетами атакуемого хоста и сервера при десинхронизации соединения, который, однако, в силу особенностей сетевых технологий длится обычно не более секунды из-за потери пакетов [33]. Таким образом, если система контроля зафиксирует ACK-бурю до ее затухания, используемая злоумышленником TCP-сессия будет прервана до того как злоумышленнику удастся начать обмен модифицированными данными, и ₇₆→0.

2. Криптозащита (шифрование пакетов). В случае шифрования трафика злоумышленнику не удастся за приемлемое время проанализировать содержимое перехваченных пакетов или надлежащим образом модифицировать их. Для данной сети шифрование пакетов влечет стремление среднего времени ₇₆ перехода d₇₆ (а, следовательно, и времени прохождения по всей сети) к бесконечности.

4.5. Моделирование процессов реализации внедрения ложного dns-сервера

4.5.1. Внедрение ложного dns-сервера

Основой данной атаки является то, что злоумышленник перехватывает запрос атакуемого хоста к настоящему DNS-серверу. Благодаря этому он решает задачу подбора номера порта, с которого отправлен запрос. Перед ним ставится задача определить идентификатор запроса, однако в большинстве систем этот идентификатор либо равен единице, либо имеет близкий порядок. Поэтому, отправив несколько ответов с разными идентификаторами, злоумышленник может рассчитывать на успех атаки.

Смоделируем данную атаку с помощью сети Петри-Маркова. Обозначения элементов этой сети приведены ниже, s_i — позиции, t_j — переходы:

s₁ — злоумышленник готов к проведению атаки и ожидает запроса от атакуемого хоста к DNS-серверу,

s₂ — атакуемый хост готов,

t₁ — ожидание передачи запроса атакуемого хоста к DNS-серверу,

s₃ — требуемый запрос перехвачен,

t₂ — анализ запроса и формирование ответа,

s₄ — необходимый ответ сформирован,

t₃ — отправка ответа атакуемому хосту,

s₅ — ответ отправлен,

t₄ — прием атакуемым хостом ложного ответа и изменение его таблицы имен,

s₆ — соединение атакуемого хоста с ложным сервером осуществлено.

Вид данной сети представлен на рис. 4.20.

Рис. 4.20. Вид сети Петри-Маркова процесса реализации внутрисегментного внедрения ложного DNS-сервера

На этой сети позиции не имеют инцидентные дуги, поэтому вероятности перемещения из них в переходы равны единице.

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Для сети Петри-Маркова процесса реализации внутрисегментного внедрения ложного DNS-сервера имеет место следующая система интегро-дифференциальных уравнений [60,62]:

(4.16)

Полагаем, что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (4.2) при i1,…,7; j1,...,5.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

₁₃₂₄₃₅₄₆₅₇₆,

(4.17)

где исходные параметры атаки принимают следующие значения:

₂₁15,5 с — среднее время запуска и настройки злоумышленником программы для реализации атаки,

₂₁₃₂0,1 c,

₄₃0,2 с — средние времена соответственно пересылки и обработки пакетов.

Таким образом, среднее время перехода по всей сети 16,25 с, а зависимость вероятности реализации атаки от времени приобретает вид, представленный на рис. 4.21.

P(t)1e_t/16,25

P(t)

Рис. 4.21. Зависимость вероятности реализации внутрисегментного внедрения ложного DNS-сервера от времени

4.5.2. Межсегментное внедрение ложного dns-сервера

При реализации данной атаки злоумышленник не имеет возможности перехватить запрос атакуемого хоста к настоящему DNS-серверу. Перед ним ставится задача определить номер порта, с которого отправлен запрос и идентификатор запроса, однако в большинстве систем этот идентификатор либо равен единице, либо имеет близкий порядок. Поэтому, отправив несколько ответов с разными идентификаторами и номерами порта, злоумышленник может рассчитывать на успех атаки.

Смоделируем данную атаку с помощью сети Петри-Маркова. Обозначения элементов этой сети приведены ниже, s_i — позиции, t_j — переходы:

s₁ — атакуемый хост готов,

t₁ — ожидание передачи запроса атакуемого хоста к DNS-серверу,

s₂ — атакуемый хост отправил запрос к DNS-серверу и ожидает ответа,

s₃ — злоумышленник сформировал и отправляет атакуемому хосту ложные DNS-ответы,

t₂ — прием атакуемым хостом ложного ответа и изменение его таблицы имен,

s₄ — соединение атакуемого хоста с ложным сервером осуществлено.

Вид данной сети представлен на рис. 4.22.

Рис. 4.22. Вид сети Петри-Маркова процесса реализации межсегментного внедрения ложного DNS-сервера

Элементы матрицы, определяющие логические функции срабатывания сети, могут быть записаны (без учета направленности дуг графа) следующим образом:

Для данной сети Петри-Маркова имеет место следующая система интегро-дифференциальных уравнений [60,62]:

(4.18)

Полагаем, что плотности распределения вероятностей являются экспоненциальными зависимостями и имеют вид (4.2) при i1,…,4; j1,...,2.

Применяя пуассоновское приближение, получаем среднее время перемещения по сети Петри-Маркова из начальной позиции до конечного перехода и вероятность этого перемещения:

₁₁₁₃₂,

(4.19)

где исходные параметры атаки принимают следующие значения:

₂₁15,5 с — среднее время запуска и настройки злоумышленником программы для реализации атаки,

₁₁₂₂0,2 c, ₃₂1 с — средние времена соответственно пересылки и обработки пакетов.

Таким образом, среднее время перехода по всей сети 17,53 с, и зависимость вероятности реализации этапа от времени приобретает вид, представленный на рис. 4.23.

P(t)1e_t/17,53

P(t)

Рис. 4.23. Зависимость вероятности реализации межсегментного внедрения ложного DNS-сервера от времени