Útok na firewall

Útočná metodologie uvažuje čtyři řůzné úrovně útoku na FW. První úroveň spočívá v pokusu o nenápadné získání informací, které mouhou posloužit v další vlně útoku.Druhá úroveň útoku představuje již patrný bezprostřední sběr informací,ale ještě ne aktivní pokus o průnik do sítě. Třetí úroveň útoku se pokouší zdolat FW a narušit za ním lokalizované klienty, přičemž toto úsilí je inicializováno z klienta vně napadené sítě. Čtvrtá úroveň útoku pak představuje pokus narušit bezpečnostní software FW, jeho konfiguraci nebo operační systém z klienta uvnitř atakované sítě.

1. První úroveň útoku. Jde o pokus získat informace o cílové síti,napadení z vnějších zdrolů tak aby se o tom cílová organizace nedozvěděla.Prvním krokem je zkontrolovat vstup do databáse na Network Information Centre (NIC).Použijeme telnet do rs.internic.net a pak zadáme příkaz whois.To nám poskytne informace o adresách a lokalitách. Bude nám to také naznač2. ovat složitost cílových skupin sítě.Jestliže administrativní kontakt je shodný se zónou a technickým kontaktem, pak to může znamenat,že síťové skupiny mohou být v Internetu malé a relativně nové.Jestliže cílové organizace nemají svůj vlastní nameserver, pak je organizace asi malá a relativně krátkou dobu připojená do Internetu.Příkaz whois vylistuje primární a sekundární nameservery spolu s doménovým jménem. Poznámka:(lze použít i www přes ) Dalším krokem v této první úrovni je použití příkazu nslookup abychom získali maximum informací o cílové organizaci.Připojíme se raději k sekundárnímu nameserveru než k primárnímu a pokuste se o tak zvaný zóne transfer.Jestliže je zóne transfer povolen, budeme mít velice cenné informace o vnitřní cílivé síti. Tak lze zjistit poč3. et stanic a topologii cílové sítě. Zóne transwer je však ve většině sítí zakázán.Příkazem nslookup můžeme zjistit spoustu dalších informací, např. po použití příkazu set type=MX můžeme zjistit konfiguraci pošty a IP adresy poštovní serverů atd. Posledním krokem této úrovně je hledání veřejně přístupných informací o cílové organizaci. Velkým zdrojem informací mohou být výroč4. ní zprávy a obchodní publikace, spojení s jinými organizacemi atd. Tyto informace mohou být užiteč5. né ze kterých kanálů útočit.

2. Druhá úroveň útoku. Sondování již může být objeveno cílovou organizací.Prvním krokem je pokus přenos DNS zóny z primárního name serveru, ač8. koli většina organizací přenoszóny zakazuje, jak bylo řeč9. eno výše.Ten kdo na FW útoč10. í musí v dalším kroku vyhledat sítě a v nich konkrétní uzly. Zabere to hodně č11. asu, zvlášť pokud je síť za FW rozhlehlá.Tento krok lze i při nedostatku č12. asu přeskoč13. it Pro vyhledávání existují dvě metody. PING POKUS PŘIPOJIT SE NA TCP PORT 25. Směrovač14. e mohou ztratit ICMP pakety, proto je žádoucí abychom posílali nejméně tři pakety na každou adresu. Osobně doporuč15. uji pět paketů. Připojení na TCP port je pomalejší,protože spojení č16. eká na time-out jestliže je adresa nedostupná.Každý uzel který odpoví,je pak potenciálním bodem vstupu do vnitřní sítě. Tímto způsobem si vytvoříme seznam potenciálních uzlů (cílů) a měli bychom zjistit,jaké služby na nich běží. Předpokládá to uskuteč17. nění připojení na každý TCP port na každé cílové stanici.

3. Třetí úroveň útok a proniknutí. Tato metodologie předpokládá,že v tomto okamžiku máme k dispozici seznam uzlů a služeb vnitřní sítě z FW,teprve potom můžeme zahájit útok. Existují dva druhy útoků: a) získání přístupu do shellu FW (dokonce se můžeme stát správci systému), b) použití vzdálených služeb,které jsou k dispozici prostřednictvým FW a které změní kritické konfigurač19. ní soubory nebo modifikují služby, které běží na FW. Na FW č20. asto běží služba (např.mail démon),která není dostateč21. ně zabezpeč22. ená. Tyto služby se stanou prvním cílem útoku.Mnoho FW má slabinuv syslogd, jiné dovolují spojení telnetem z adres IP externích sítí. Ještě lepší je když na FW je velký poč23. et neaktivních úč24. tů,které měli být dávno vymazány. Dokonce i když je FW odolný proti proniknutí z externích lokalit, vnitřní uzly a uzly v demilitarizované zóně (DMZ) jsou č25. asto přístupné z vnější sítě. Už takto kvalifikované útoky mohou způsobit nefunkč26. nost napadené sítě. A to nám přeci jde.Po té jsme uskuteč27.

nili veškeré útoky proti FW, je nutno obrátit pozornost na uzly v cílové síti. Zkusíme telnet popř. rlogin posíme se získat přístup do shellu. Další možností získání přístupu je využít slabiny v NFS,NIS a sendmailu. Velkou službu nám udělají hackerské nástroje,které jsou dostupné na mnoha FTP serverech. Proniknutí do jednoho uzlu interní sítě akceleruje proces proniknutí do celé vnitřní sítě. Je tomu tak proto,že uzly v TCP/IP nemají mezi sebou zabezpeč28. ené vztahy.

4. Modifikace FW. Jde o napadení FW s cílem modifikovat FW,povolit volný přístup a jednoduchý přístup do vnitřní sítě.Nainstalujeme program "sniffer" do segmentu sítě, kde je FW který č30. eká na přihlášení administrátora. Některé hackerské programy:SATAN-program pro pátrání po bezpeč31. nostních chybách ve www serverech. CRACK-louskač32. hesel. ROOTKIT-Nástroj pro privilegovaný přístup do systému UNIX (LINUX). TAP-Analyzuje packety. WINNUKE-Dálkově resetuje www servery pod Win NT.

Tak to by snad na ty firevaly stačilo.Na konec uvádím program sniffer o kterém jsem se zmínil výše. Je napsán v jazyce C.