AboutPC
Главная 
Hi-Tech 
Интернет 
Безопасность 
Антиспам 
Железо 
КПК 
Мобильники 
Windows 
*nix 
Софт 
Игры 
Веб-дизайн 
Кодинг 
Заработок 
Юмор 
Отдыхай с PC 
Разное
:: о журнале
:: друзья
:: партнеры
:: авторам
:: читателям
:: веб-мастеру
:: copyright
:: рассылки
:: реклама
:: мыло
:: сайт

Раздел "Безопасность". Содержание:

Статьи:

Проведение DDoS атак с ICQ
Свободно распространяемые средства защиты: шанс или казус?
Компьютерный вирус отмечает 20-летний юбилей

Новости:

Стать хакером в два дня
ФБР присматривает за хакерами
Поклонники шоу "Секс в Большом Городе" стали жертвами почтового червя
Вирус Mimail.c
Panda Software: новое семейство антивирусных программ

 

Раздел "Безопасность". Статьи:

Проведение DDoS атак с ICQ

ICQ сервер можно использовать для проведения DDoS атак. Коэффициент увеличения трафика может достигать значения 100 и более. Это значит, что атакующий, имея канал 38 Kbps, может заставить ICQ сервер отправлять до 3,8 Mbps трафика.

Как известно, ICQ использует в качестве транспорта UDP протокол. Поле данных каждого пакета начинается с заголовка (для версии ICQ протокола 5):

Длина Содержание Наименование Описание

2 байта 05 00 VERSION Версия протокола
4 байта 00 00 00 00 ZERO Всегда нули
4 байта xx xx xx xx UIN Ваш UIN
4 байта xx xx xx xx SESSION_ID Для предотвращения обмана
2 байта xx xx COMMAND Комманда
2 байта xx xx SEQ_NUM1 Последовательность, начинающаяся со случайного числа
2 байта xx xx SEQ_NUM2 Стартует с 1 (!)
4 байта xx xx xx xx CHECKCODE
различные xx ... PARAMETERS Параметры

Все пакеты со стороны клиента кодируются, в тоже время со стороны сервера - нет.

SEQ_NUM1 - изначально принимает случайное значение, и с каждым следующим пакетом увеличивается на единицу (т.е. если первый пакет содержал SEQ_NUM1=123, то в следующем пакете будет SEQ_NUM1=124).

SEQ_NUM2 - стартует с единицы, и с каждым пакетом увеличивается на единицу (т.е. SEQ_NUM2 = 0 при отправке CMD_KEEP_ALIVE).

SESSION_ID - генерируется случайным образом и является постоянным для каждого пакета конкретной сессии, в противном случае пакет игнорируется сервером. Соответственно, пакеты отправляемые сервером имеют аналогичный SESSION_ID, чтобы не допустить подделки.


Теория атаки состоит в том, что ничто не запрещает нам подключится к серверу, как зарегистрированный пользователь, подделав свой IP адрес на адрес жертвы. Этим мы перенаправляем ответ сервера к жертве, и дело не только в недостатке UDP протокола, но и в последовательности диктуемой SEQ_NUM1 и SEQ_NUM2. Все эти факторы и положены в основу атаки.

Для тестирования возможности атаки была написана программа на perl, которая "тупо" отправляла пакеты, один за одним, с небольшой задержкой. Код не приводится, однако если кому-то он интересен, то пишите на email.

Вариант 1

Рассмотрим результаты:

% perl icqoff.pl icq.mirabilis.com 4000 yy.yy.yy.22 1027
(где yy.yy.yy.22 - IP жертвы, 1027 - port)

tcpdump атакующего:

xx.xx.xx.100.1027 > 205.188.153.103.4000: udp 80
xx.xx.xx.100.1027 > 205.188.153.103.4000: udp 28
xx.xx.xx.100.1027 > 205.188.153.103.4000: udp 57
xx.xx.xx.100.1027 > 205.188.153.103.4000: udp 53

tcpdump жертвы:

205.188.153.103.4000 > yy.yy.yy.22.1027: udp 21 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 41 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 21 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 166 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 72 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 117 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable
205.188.153.103.4000 > yy.yy.yy.22.1027: udp 21 (DF)
yy.yy.yy.22 > 205.188.153.103: icmp: yy.yy.yy.22 udp port 1027
unreachable

(примечание: длина пакетов указана без IP(20) UDP(8) )

Как видим, на полученные пакеты жертва отвечает сообщением ICMP unreachable, но сервер их игнорирует и продолжает совершать 11-12 попыток с задержкой в 6 секунд. В этих пакетах содержится информация об online (в данный момент) пользователях из контакт листа жертвы. После несложных математических вычислений видим, что соотношение запрос/ответ составляет 330/10110 байт, что близко к значению 1/30.


Вариант 2

В предыдущей реализации мы добились далеко не максимального значения трафика, так как атакующий использовал ICQ в контакт листе которой было всего 8 записей.

xx.xx.xx.100.1027 > 205.188.153.103.4000: udp 57

Можно использовать ICQ в контакт листе которой 100 записей, а тем более в него можно занести "специальных пользователей" которые все время в online.

xx.xx.xx.100.1027 > 205.188.153.103.4000: udp 425

Это ведет к тому, что коэффициент увеличивается не линейно

1: 205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
2: 205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
3: 205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
.
.
.
18: 205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
19: 205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)
20: 205.188.153.103.4000 > yy.yy.yy.22.1027: udp 382 (DF)

... и еще 10 раз, каждый раз по 20 пакетов...


В этом случае значение коэффициента достигает 130, что еще раз указывает на его не линейную зависимость от длины контакт листа.


Другие варианты

Для увеличения трафика можно отправлять запросы "поиск пользователя" (CMD_SEARCH_UIN, CMD_SEARCH_USER), различные сообщения (CMD_SEND_MESSAGE) и т.д. Причем различные запросы можно отправлять параллельно.

Описаный выше принцип может применться не только для атак, но и для массовой регистрации UIN'ов в короткий промежуток времени.

автор:
сайт:hack.com.ua
мыло:

 

 

 Наверх

Свободно распространяемые средства защиты: шанс или казус?

По мере того, как в компьютерной отрасли появляются все новые и новые средства защиты систем и сетей, пользователи начинают проявлять все больший интерес к свободно распространяемому программному обеспечению, стремясь понять, превосходят ли его потенциальные преимущества возможные недостатки.

Хотя свободно распространяемые системы защиты существуют уже давно, они никогда не использовались столь широко, как операционная система Linux и Web-сервер Apache. Джон Пескаторе, директор компании Gartner по исследованиям, связанным с безопасностью в Internet, отметил, что среди применяемых систем защиты на долю свободно распространяемых средств сейчас приходится 3-5%, но к 2007 году этот показатель может возрасти до 10-15%.

Основной причиной такого потенциала является качество многочисленных свободно распространяемых пакетов защиты. <Поддержка некоторых общеупотребительных средств защиты осуществляется на достаточно высоком уровне, и многие разработчики предлагают для них новый инструментарий и шаблоны. В определенном смысле такие решения конкурируют с коммерческим инструментарием>, - заметил Юджин Спаффорд, директор Центра обучения и исследований в области информационной безопасности университета Пурди.

К свободно распространяемым программным продуктам относятся бесплатные инструментальные средства, которые можно загрузить из Internet, пакеты, для которых производители предлагают коммерческие услуги поддержки, а также дополнительный инструментарий, поставляемый вместе с коммерческими продуктами.

К наиболее популярным инструментам относятся Netfilter и iptables; системы обнаружения вторжений, например, Snort, Snare и Tripwire; сканеры уязвимых мест в системах защиты, такие как Kerberos; межсетевые экраны, в частности, T.Rex.

Некоторые предприятия даже начали использовать свободно распространяемые системы защиты для обеспечения безопасности своей критически важной инфраструктуры.

Растущий интерес

ИТ-специалисты в той или иной степени используют свободно распространяемые средства защиты уже около 15 лет. Сейчас все больший интерес к таким инструментам проявляют крупные компании, консультанты по вопросам защиты и поставщики услуг, которые могут адаптировать подобное программное обеспечение к нуждам конкретных пользователей. Например, EDS начала использовать свободно распространяемый инструментарий защиты компании Astaro для обеспечения безопасности компонента переднего плана Web-сайтов нескольких кредитных союзов, предлагающих возможности обработки транзакций.

Интеграторы систем информационной безопасности признают, что пользователей привлекает невысокая цена свободно распространяемых средств. Например, Ричард Майр, управляющий директор R2R Informations und Kommunikations, отметил, что его компания уже долгие годы предлагает свой коммерческий межсетевой экран. Однако собранные данные показывают, что 75% клиентов компании отдают предпочтение свободно распространяемым аналогам. Компания Guardent предлагает подписку на услуги Internet-защиты стоимостью 1,5 тыс. долл. в месяц, основу которой составляет ее Security Defense Appliance. Это решение объединяет в себе коммерческие компоненты, такие как межсетевой экран PIX компании Cisco Systems, и свободно распространяемые компоненты, в том числе iptables, Nessus и Snort. Аналогичная услуга, опирающаяся исключительно на коммерческие продукты, может стоить около 10 тыс. долл.

В то же время, компания C2Net Software, которую недавно приобрела Red Hat, разработала свой коммерческий сервер Stronghold Secure Web Server на базе Apache и OpenSSL - свободно распространяемого инструментария, реализующего протоколы защиты на уровне сокетов и на транспортном уровне, а также содержащего криптографическую библиотеку общего назначения.

По словам консультанта по вопросам защиты Пола Робичаукса из компании Robichaux & Associates, организации, которые предъявляют особые требования к защите, определяемые законодательством, например, работающие в области здравоохранения и финансов, вряд ли станут использовать свободно распространяемый инструментарий. Вместо этого, они, скорее всего, будут по-прежнему зависеть от производителей, на которых они могут возложить ответственность за нарушение защиты. Робичаукс считает, что свободно распространяемые системы защиты чаще будут использоваться консалтинговыми и сервисными фирмами, которые уже знают эти инструментальные средства и доверяют им, а также компаниями, чьи отделы ИТ уже опробовали такие решения.

Марк Кокс, директор по разработке группы OpenSSL компании Red Hat добавил: <Организации, работающие на Unix-платформах, таких как Linux и Solaris, скорее всего, будут выбирать инструменты типа Nessus, Snare и Snort, поскольку их история разработки и использования аналогична Unix>.

Свободно распространяемые средства защиты: за и против

Сравним свободно распространяемые и коммерческие инструментальные средства по затратам, качеству и технической поддержке.

Затраты. Одно из основных преимуществ свободно распространяемых инструментальных средств - их меньшая по сравнению с коммерческими продуктами стоимость. Такие системы распространяются бесплатно или по очень низким ценам, а, кроме того, они либо вообще не предусматривают лицензионных выплат, либо выплаты эти значительно меньше, чем для коммерческих продуктов. Однако некоторые пользователи на собственном опыте убедились, что утверждение <вы получаете то, за что заплатили> в полной мере применимо к свободно распространяемому инструментарию.

Однако Бадди Бакстер, технический менеджер EDS по инфраструктурным решениям для кредитных союзов, полагает, что если продукт стоит дороже, это вовсе не означает, что он будет в большей степени защищен. По его словам, EDS может установить систему защиты на основе программного инструментария Astaro, которая будет стоить вчетверо дешевле коммерческого продукта компании Check Point Software Technologies.

Качество. Директор по технологиям компании Guardent Джерри Бреди подтвердил, что некоторые свободно распространяемые инструментальные средства защиты не хуже (а то и лучше) их коммерческих аналогов. Например, по его словам, сканер уязвимых мест защиты Nessus обеспечивает лучшие возможности распределенной обработки, удаленного запуска и планирования, чем многие коммерческие продукты. <Благодаря использованию свободно распространяемой методологии вы можете в большей степени сосредотачиваться на тех вещах, которые действительно важны. Для Nessus вопросы распространения намного менее приоритетны, чем вопросы качества кода>, - подчеркнул он.

Однако ему возражает Маркус Ранум, эксперт по вопросам защиты и глава компании NFR Security: <Не думаю, что программы имеют высокое качество уже потому, что распространяются свободно. На самом деле, качественным продукт делает именно его целенаправленная разработка. А открытость этого никак не гарантирует>.

С ним согласен и Спаффорд: <Надежность продукта определяется в первую очередь его качеством и поддержкой. Был ли он хорошо спроектирован? Придерживались ли его разработчики четкой дисциплины и не добавили ли к нему чересчур много функций? Многое свободно распространяемое программное обеспечение создается людьми, не имеющими надлежащего опыта, инструментальных средств, времени или ресурсов для того, чтобы сделать это настолько тщательно, как того требует действительно высоко надежная среда>.

Сторонники свободно распространяемых решений утверждают, что открытый код изучает очень много специалистов, поэтому они способны обнаружить проблемы намного быстрее, чем ограниченный круг разработчиков, создающих коммерческий продукт той или иной компании. <Поисками и исправлением ошибок в общедоступном программном обеспечении могут заниматься намного больше людей>, - сказал Майк Куртис, директор по исследованиям компании Redsiren Technologies, предоставляющей услуги обеспечения информационной безопасности.

Кроме того, как заметил Куртис, разработчики свободно распространяемых программ могут быстрее реагировать на обнаруженные изъяны в защите, чем коммерческие компании просто в силу меньшей загруженности и отсутствия бюрократических препон. <Разработчики свободно распространяемых решений в большей степени заинтересованы в том, чтобы исправить обнаруженные ошибки, чем добавить новые возможности для следующей версии>, - считает он.

Однако с ним не согласен Ранум: <Исходя из собственного опыта, могу подтвердить, что очень немногие специалисты действительно тщательно изучают код. Они, как правило, просто просматривают файлы с описанием. Созданный мною первый открытый пакет инструментальных средств для межсетевого экрана в той или иной степени использовали около 2 тыс. сайтов, но лишь десять человек сообщили о нем свое мнение или прислали заплаты, исправляющие ошибки. Так что я бы не стал уповать на открытость программного обеспечения>, - сказал он.

Многие сторонники закрытых исходных текстов считают, что для поиска ошибок в программе важнее качество, а не число изучающих ее людей. Они утверждают, что эксперты по программному обеспечению компании-производителя, работающие над своими продуктами, выполняют работу более качественно, чем те, кто изучает свободно распространяемые пакеты.

К его мнению присоединяется и Спаффорд. <Во многих компонентах свободно распространяемого программного обеспечения были найдены ошибки после того, как их долгие годы использовали и изучали сотни тысяч раз. Ошибки не были обнаружены просто потому, что те, кто просматривал этот код, не имели необходимых навыков, позволяющих это сделать. Во многих случаях пользователи изучают код, чтобы адаптировать его к своим нуждам, а не для того, чтобы детально его проанализировать>, - заметил он.

Поддержка. Сторонники коммерческого программного обеспечения утверждают, что их производители, в отличие от организаций, занимающихся свободно распространяемыми решениями, предлагают клиентам услуги поддержки и другие ресурсы, которыми можно воспользоваться в случае каких-либо проблем. Однако такой подход позволяет усилить позиции и тем, кто предлагает услуги поддержки пользователям свободно распространяемого программного обеспечения защиты.

<Служба поддержки дает более надежные гарантии клиенту и позволяет оказать ему помощь. Вы можете определить соглашение об уровне обслуживания и предоставить производителю возможность самому выбирать нужный инструментарий и помогать клиентам адаптироваться к изменениям в технологии>, - заметил Бреди.

Другие вопросы. Некоторые сторонники закрытых исходных текстов считают, что из-за доступности свободно распространяемого кода хакерам намного проще разобраться, каким образом можно преодолеть такую защиту. Однако апологеты свободно распространяемых решений утверждают, что это не так, поскольку хакерам по силам взломать защиту, организованную с помощью коммерческих продуктов. В то же время, они отмечают, что свободно распространяемые инструментальные средства защиты проще настроить, поскольку имеются их исходные тексты.

Известные свободно распространяемые проекты

Рассмотрим некоторые важные свободно распространяемые инструментальные средства защиты.

Kerberos

Технология аутентификации и шифрования Kerberos (http://www.mit.edu/kerberos/www) была разработана в Массачусетском технологическом институте и <выпущена в свет> в 1987 году. С того момента эта технология превратилась в стандарт, которым занимается рабочая группа Common Authentication Technology Working Group, сформированная при Internet Engineering Task Force.

Свободно распространяемые версии Kerberos предлагаются для платформ Macintosh, Unix и Windows. Коммерческие реализации созданы Microsoft, Oracle, Qualcomm и рядом других компаний. Microsoft вызвала критику специалистов, работающих на этом рынке, интегрировав в Windows 2000 версию Kerberos, не в полной мере соответствующую стандарту.

Snort

Snort (www.snort.org) считается одним из наиболее популярных свободно распространяемых инструментальных средств защиты. По оценкам Марти Реуша, ведущего разработчика Snort, данным приложением пользуется от 250-500 тыс. человек. Это программное обеспечение имеет группу активных сторонников и весьма детальную документацию.

Snort - упрощенная система обнаружения сетевых вторжений, способная выполнять в реальном времени анализ трафика и пакетов, зарегистрированных в IP-сетях. Выпущенная в 1998 году, Snort помогает выявить потенциальные нарушения защиты, выполняя протокольный анализ пакетов, а также поиск с сопоставлением по шаблону в информационном наполнении. Эта система способна выявлять работу зондов и обнаруживать различные нарушения защиты, такие как переполнение буфера, скрытое сканирование портов и атаки с использованием общего интерфейса шлюзов.

Snort работает на различных платформах, в том числе на FreeBSD, Linux, MacOS, Solaris и Windows.

Snare

System Intrusion Analysis and Reporting Environment представляет собой размещаемую на хосте систему обнаружения вторжений, предназначенную для систем с Linux. Альянс InterSect Alliance (www.intersectalliance.com), который объединяет консультантов, специализирующихся на вопросах защиты, разработала и выпустила Snare в ноябре 2001 года.

Snare использует технологию динамически загружаемых модулей для взаимодействия с ядром Linux во время исполнения. За счет использования только тех модулей, которые необходимы для выполнения конкретной задачи, Snare снижает нагрузку на хостовую систему. А поскольку Snare загружается динамически, пользователям не нужно перезагружать систему или перекомпилировать ядро, как это бывает с некоторыми усовершенствованиями Linux.

Tripwire

Спаффорд из университета Пурди и тогдашний студент Джин Ким разработали систему обнаружения вторжений Tripwire Academic Source, которую с момента ее выпуска в 1992 году загрузили более миллиона пользователей. Компания Tripwire (www.tripwire.com), которую основал Ким, позже полностью переделала эту программу, превратив ее в коммерческий продукт с закрытыми исходными текстами. Tripwire предлагает бесплатную версию для Linux, но продает коммерческие версии для платформ Unix и Windows NT.

Nessus

Nessus (http://www.nessus.org) - сканер уязвимых мест в защите, позволяющий выполнять проверку защиты Web-сайта удаленным образом. Разработчики Nessus выпустили этот инструментарий в апреле 1998 года. Nessus поддерживает серверы, которые удовлетворяют требованиям POSIX и работают с клиентами Java, Win32 и X11.

Saint

Security Administrators Integrated Network Tool - сканер уязвимых мест защиты (см. рис. 1), который работает с большинством разновидностей Unix, включая Linux. Сканер создан на базе свободно распространяемого инструментария для анализа дефектов защиты Satan (Security Administrator's Tool for Analyzing Networks). Компания Saint (www.saintcorporation.com) отказалась от более старых версий сканера, но продает новейший его вариант, а также SAINTwriter для генерации настраиваемых отчетов и SAINTexpress для автоматического обновления сигнатур дефектов защиты.

Netfilter и iptables

Группа разработчиков свободно распространяемого программного обеспечения подготовила Netfilter и iptables для интеграции в ядро Linux 2.4. Netfilter (www.netwilter.org) дает пользователям возможность отслеживать обратные связи, ассоциированные с вторжением в сеть, тем самым позволяет выявлять тот факт, что система подвергается атаке. С помощью iptables (www.iptables.org) пользователи могут определять действия, которые должна предпринять система в случае обнаружения атаки.

T.Rex

T.Rex (www.opensourcefirewall.org) - это свободно распространяемый программный межсетевой экран, который компания Freemont Avenue Software выпустила в 2000 году. Он работает на платформах AIX, Linux и Solaris, и сейчас его применяют около 31 тыс. пользователей.

Перспективы

Широкому применению свободно распространяемых систем защиты мешает целый ряд сложностей и проблем.

Боязнь открытых текстов

Некоторые компании опасаются приобретать свободно распространяемое программное обеспечение, поскольку оно разработано не в одной определенной компании и не поддерживается программными средствами, которые они привыкли приобретать. В силу этого, как прогнозирует Девид Московиц, директор по технологиям консалтинговой компании Productivity Solutions, многие свободно распространяемые средства начинают использоваться лишь после того, как его по собственной инициативе опробуют ИТ-специалисты и постепенно внедрят его на предприятии.

Страх <черного хода>

Поскольку исходные тексты открыты, некоторые компании опасаются, что хакеры будут создавать <черные ходы> в свободно распространяемом инструментарии, через которые они смогут проникать в системы. Робичаукс по этому поводу заметил: <Это одно из самых серьезных препятствий на пути широкого распространения открытого программного обеспечения. Однако вовсе не значит, что такое опасение обоснованно и имеет под собой реальную почву. Тем не менее, некоторые компании требуют, чтобы все свободно распространяемое программное обеспечение, используемое в их подразделениях, было создано <с нуля>, без каких-либо готовых или загруженных пакетов>.

Сертификация

Сертификация продукта уполномоченными государственными организациями может дать серьезный импульс к его широкому применению. Правительство США требует, чтобы системы защиты и другие продукты, связанные с информационными технологиями, проходили проверку на соответствие Federal Information Processing Standard, осуществляемую Национальным институтом по стандартам и технологии (NIST), прежде чем американским госучреждениям можно будет их приобрести.

Стоимость тестирования на соответствие может варьироваться от десятков до сотен тысяч долларов. Все это может помешать организациям, создающим свободно распространяемое обеспечение (и имеющими, как правило, весьма скромный бюджет), сертифицировать свои технологии. Фактически, как отметила Аннабел Ли, директор программы NIST Cryptographic Module Validation Program, ей не известен ни один свободно распространяемый продукт, прошедший сертификацию.

Удобство использования и управления

Производители свободно распространяемого программного обеспечения, как правило, первостепенное внимание уделяют функциональности, а не удобству использования и управления. Как следствие, такие приложения иногда сложно развертывать и ими нелегко управлять. Например, как отметил Реуш, <установка Snort и управление этой системой может оказаться довольно трудным, особенно, если у вас нет достаточного опыта в написании инструментальных средств для Unix>.

Пескаторе так объяснил сложившуюся ситуацию: <В случае со свободно распространяемыми инструментальными средствами большая часть знаний накапливается в головах людей, их использующих, в то время как производители коммерческих решений вынуждены помещать эти знания в продукт. Я не думаю, что когда-либо свободно распространяемые инструментальные средства защиты станут массовыми. Большинство людей предпочитают более простой подход>.

Все это формирует небольшой, но быстро растущий рынок для интеграторов систем защиты и поставщиков услуг, таких как Guardent, Redsiren и Silico Defense. Эти компании могут предлагать инструментарий управления и, тем самым, скрыть от пользователей сложность свободно распространяемых продуктов, а также предоставлять гарантированный уровень обслуживания и поддержки.

Astaro стремится создать полную инфраструктуру защиты, которая объединяет многочисленные свободно распространяемые технологии в единый, простой в использовании интерфейс. Эрнст Келтинг, президент американского отделения Astaro, подчеркнул: <Пользователи не хотят работать с программным обеспечением, для которого не предлагаются услуги поддержки. Мы берем на себя эту нагрузку и освобождаем клиентов от возможных трудностей>.

Заключение

Симон Перри, вице-президент по системам защиты компании Computer Associates, считает, что уровень использования свободно распространяемых средств защиты будет расти, хотя и не в крупных корпорациях. По его словам, организации, которые разрабатывают свободно распространяемое программное обеспечение, не имеют достаточных ресурсов или инструментальных средств управления, необходимых для интеграции, требуемой для обеспечения защиты при использовании множества различных платформ, как это происходит в крупных компаниях.

Интересной тенденцией на рынке свободно распространяемых систем защиты может стать разработка бизнес-моделей, которые объединяют открытые тексты со специализированным аппаратным обеспечением, коммерческими инструментальными средствами переднего плана и/или гарантиями уровня обслуживания. Например, Бреди отметил, что производители могли бы объединить свои знания аппаратной оптимизации со свободно распространяемой технологией для создания таких продуктов, как сетевые приставки, поддерживающие защищенные быстрые соединения.

Кокс подчеркнул, что <темпы внедрения свободно распространяемых исходных текстов будут расти, поскольку модель разработки поддерживает быстро меняющуюся структуру Internet и защиты. Оперативной реакции на требования к функциональности, новые атаки и исправление ошибок трудно добиваться в среде с закрытыми исходными текстами>.

Тем не менее, Пескаторе считает, что доля доходов от всех продуктов защиты, получаемая от продажи коммерческих услуг поддержки свободно распространяемых инструментальных средств к 2007 году вырастет с 1% всего лишь до 2%. В частности, это объясняется тем, что многие компании будут использовать бесплатный инструментарий, а не коммерческие пакеты с открытыми исходными текстами.

Одна из опасностей, связанных с инструментарием, распространяемым в исходных текстах, связана с тем, что пользователи могут поддаться ложному чувству полной безопасности, рассчитывая на то, что этот код анализировало множество специалистов. По мнению Дэна Гира, разработчика Kerberos и директора по технологии компании @Stake, предлагающей услуги по организации защиты, <предоставление продукта в исходных текстах не означает, что в нем нет ошибок, просто вероятность наличия ошибки в таком продукте несколько меньше. Но это не панацея>.

автор:Джордж Лоутон
сайт:infocity.kiev.ua
мыло:glawton@glawton.com

 

 

 Наверх

Компьютерный вирус отмечает 20-летний юбилей

Сегодня исполняется 20 лет с того момента, когда возникло понятие "компьютерный вирус". Именно тогда калифорнийский студент Фред Коэн провел контролируемый эксперимент по созданию программы, которая была способна к саморазмножению и распространению по сетям.

Фред Коэн стал автором термина "компьютерный вирус". Он провел целую серию экспериментов в 1983 году, когда еще был студентом Университета Южной Калифорнии.

Но на самом деле вовсе не он, как думают многие, выпустил джинна из бутылки. Как ни странно, эта сомнительная честь принадлежит пакистанцам, братьям Амджад, которые открыли свой собственный компьютерный магазин, где торговали написанными ими программами.

Они столкнулись с тем, что их программы незаконно копировались и распространялись. И тогда они написали первый код, небольшую программку под названием BRAIN, которую они незаметно вставляли в свои произведения, и которая активизировалась при попытке копирования. Именно она стала реальным прообразом всего семейства вирусов, которые причиняют столько неприятностей сейчас.

Между тем эксперт научного отдела ВВС Марк Уорд считает, что то математическое определение, которое дал Фред Коэн программе-вирусу еще в 1984 году, не устарело и по-прежнему имеет значение для современных борцов с этой компьютерной заразой.

"Разумеется, имеет, потому что созданная им программа-прототип под выразительным акронимом VD применяла ту же тактику распространения, что и все нынешние вирусы. Она создавала свои копии и скрытно находила выходы для них в компьютерную сеть. На самом деле тогда еще не существовало Интернета в его нынешнем виде, поэтому нынешние вирусы используют иной код, но сам принцип был заложен именно тогда", - говорит Марк Уорд.

Однако, если глубже заглянуть в историю этого вопроса, то мы попадаем в 1949 год, когда один из основателей теории компьютеров и вычислительной техники Джон фон Ньюманн написал статью под заглавием "Теория и организации сложных автоматов", в которой он впервые постулировал возможность создания компьютерной программы, которая способна к размножению.

Эта идея долгое время пребывала в сфере математической теории. Но вот уже в начале 70-х годов ее подобрали писатели-фантасты. В романе Тома Браннера "На гребне ударной волны" действуют боевые роботы, которые заражаются зловредными программами, которые проникают в их квантовые мозги через третье измерение.

Были и другие примеры уже литературного бытования этой идеи. Но она вплоть до конца 80-х годов считалась мало кому интересной теорией. И только с широким распространением Интернета, уже с начала 90-х годов опасность вирусов была осознана сначала специалистами, затем пользователями, а уж потом журналистами и широкой публикой. Об этом сообщает ВВС.

автор:
сайт:www.inauka.ru
мыло:info@inauka.ru

 

 

 Наверх

Раздел "Безопасность". Новости:

Стать хакером в два дня

В конце октября учебный центр NTC корпорации ЮНИ и компания Domina Security организовали двухдневный практический семинар, участники которого прошли интенсивный шестнадцатичасовой курс Ethical Hacking Hans-On.

70% семинарских занятий было посвящено решению практических задач. Уникальный для России материал курса позволил слушателям, опробовать свои силы в хакерском деле, всесторонне рассмотреть традиционные аспекты интернет-безопасности и поэтапно освоить несколько техник компьютерного взлома как в среде Microsoft Windows, так и в среде Linux. Полученные в ходе занятий навыки позволят специалистам в области защиты информационных систем лучше понимать суть проблем, возникающих в результате деятельности хакеров, устанавливать, в чем кроится причина этих проблем, каковы вероятные последствия взлома и как их можно предотвратить. Помимо этого, прошедшие обучение специалисты смогут использовать приобретенные знания при построении собственной системы информационной безопасности - самостоятельно проводить поиск и устранять обнаруженные дыры в системном и прикладном программном обеспечении, а также тестировать веб-сервера и корпоративные сети на предмет взлома.

Первый опыт сотрудничества учебного центра NTC и Domina Security - двух компаний, предоставляющих образовательные услуги в области защиты информации, оказался весьма успешным. Курс Ethical Hacking Hans-On получил массу положительных откликов от участников семинара, представляющих различные организации Москвы, Нижнего Новгорода и Набережных Челнов, и будет включен в портфель учебных курсов, предлагаемых NTC.

автор:
сайт:www.setevoi.ru
мыло:

 

 

 Наверх

ФБР присматривает за хакерами

Как правительство США воспринимает все большую инеграцию с мировой сетью работы и быта? Достаточно серьезно - для угрозы взлома, чтобы отвести значительную роль в новых правилах, управляющих исследованиями национальной безопасности ФБР, выпущенными Министром юстиции и генеральным прокурором США Джоном Ашкрофтом на этой неделе.

Ашкрофт выпустил новую версию "Рекомендаций для Исследований Национальной безопасности ФБР". Новые инструкции, заявленные как ответ на 11 сентября, разрешают Бюро участвовать в "активном сборе сведений при угрозе национальной безопасности".

Подобно прежним правилам, новые полномочия позволяют Министру юстиции и генеральному прокурору определять что-либо как угрозу национальной безопасности по своему усмотрению. Но несколько потенциальных угроз жестко вписаны в новые правила: терроризм, шпионаж, саботаж, политическое убийство, и "хакинг". Последний определен как "использование или попытка использования Сети, в интересах иностранных властей. Сюда относятся сканирование, зондирование, или получение несанкционированного доступа к компьютерам США".

автор:
сайт:www.proext.com
мыло:info@proext.com

 

 

 Наверх

Поклонники шоу "Секс в Большом Городе" стали жертвами почтового червя

Телезрители, мечтающие  попасть на телевидение в шоу "Секс и Город", стали жертвами нового компьютерного вируса. Инфицированное послание утверждает, что содержит скринсэйверы из вырезанных в шоу слишком "пикантных" моментов.

Черви Torvil.А и Torvil.В распространяются через email с довольно разнообразным набором используемых в теме и теле сообщения фраз, включая: "Real outtakes from Sex in the City!! Adult content!!! Use with parental advisory =)".

Имена знаменитостей и известные широкому кругу людей события далеко не в первый раз используются, чтобы соблазнить пользователя на запуск вируса. Уже встречались послания-паразиты упоминающие Анну Курникову, Бритни Спирс и Шакиру, не говоря уж о Хэлли Берри и Джулиии Робертс.

автор:
сайт:www.proext.com
мыло:info@proext.com

 

 

 Наверх

Вирус Mimail.c

Vnunet.com (см. www.vnunet.com/News/1146971 ) пишет, а ITUnion подтверждает (после получения сообщений э-почты от читателей) распространение в Интернете деструктивного варианта почтового вируса MiMail. В сообщении есть намек на "сексуальное" фото некоторой подружки как бы автора сообщения, но вместо фотографии получатель принимает файл exe с вирусом W32/Mimail.c@MM (он же Mimail.c), опасной формой известного вируса W32MiMail@MM.

По сведениям антивирусной команды быстрого реагирования Anti-Virus Emergency Response Team (Avert) компании McAfee данный вирус не пользуется уязвимостями MS02-015 и MHTML (MS03-014) операционных систем Microsoft Windows, а имеет собственный движок SMTP для формирования вторичных сообщений и рассылки себя во вложениях zip или upx.

Симптом заражения: необычная активность компьютера из-за массовой рассылки вторичных зараженных сообщений. Эти сообщения имеют вложенный архив Photos.zip и рассылаются по списку почтовых адресов из созданного самим вирусом файла eml.tmp (каталог WinDir). Обычно формируется сообщение с темой:

Re[2]: our private photos [plus additional spaces then random characters].

и вложением:

photos.zip (12 958 байт), причем внутри архива находится файл photos.jpg.exe (12 832 байт).

Текст сообщения:

Hello Dear!,

Finally, i've found possibility to right u, my lovely girl :)

All our photos which i've made at the beach (even when u're withou ur bh:))

photos are great! This evening i'll come and we'll make the best SEX :)

Right now enjoy the photos.

Kiss, James.

Естественно, нужно немедленно удалить такое сообщение и не забыть об очистке папки Удаленные. Честно говоря, мы даже не стали проверять, если ли действительно заявленные фотографии в зараженном сообщении (и читателям не советуем).

автор:
сайт:www.itunion.ru
мыло:

 

 

 Наверх

Panda Software: новое семейство антивирусных программ

Компания Panda Software Russia, эксклюзивный представитель испанской Panda Software, представила новое семейство программ для борьбы с вирусами и спамом. Новые продукты адресованы как индивидуальным пользователям, так и компаниям. Российская презентация прошла в рамках мировой премьеры.

Компания Panda Software довольно мало известна в России. По словам директора Panda Software Russia Константина Архипова, у компании всего 10 тыс. зарегистрированных пользователей, поровну – корпоративных и частных клиентов. В настоящий момент продукты компании занимают только 5% российского рынка. Однако весь этот год оборот компании растет на 10% ежемесячно, так что в течение ближайших двух лет Panda намерена укрепить свои позиции и расширить рыночную долю до 15-20%.

Программа Titanium Antivirus 2004 предназначена для домашних пользователей. Это ПО борется с вирусами, червями и троянами, а также защищает компьютер от других неприятностей, проникающих через интернет, - программ-«дозвонщиков», компьютерных мистификаций, программ-«шуток». Titanium Antivirus находит и удаляет вирусы, содержащиеся внутри входящих и исходящих почтовых сообщений, а также в просмотренных и загруженных пользователем из Сети файлах, находит и устраняет бреши в системе безопасности. Вирусные базы обновляются ежедневно. Розничная цена Panda Titanium Antivirus 2004 - $39,95 за коробочную версию с годовым обслуживанием. Шестимесячная версия в DVD-боксе стоит $22,95.

Для «продвинутых» пользователей и компаний малого бизнеса предназначен другой новый продукт - Platinum Internet Security. В числе его функций - персональный межсетевой экран последнего поколения, блокировка спама, технология защиты от программ-«шпионов», обнаружение и устранение брешей в программном обеспечении, которые могут быть использованы вирусами для проникновения на компьютер и последующего автоматического запуска. Средняя розничная цена Panda Platinum Internet Security составляет $79,95 за версию с годовым обслуживанием. Версия в DVD-боксах $43, 95.

Компания также представила решение, предлагающее первую линию защиты от вирусов, - GateDefender. По словам Константина Архипова, это решение умеет уничтожать вирусы еще до того, как они попадут в сеть. GateDefender обладает широкими возможностями масштабирования и выравнивания нагрузки, позволяющими адаптировать его к потребностям сети любого размера. GateDefender может быть установлен как «незаметный» прокси-сервер, не требуя перенаправления сетевого трафика. GateDefender защищает сети всех типов, независимо от платформ (Unix, Win32, Macintosh или Linux). GateDefender обеспечивает защиту наиболее часто используемых протоколов: SMTP, HTTP, POP3, FTP, NNTP, IMAP4 и SOCKS, фильтрацию контента, предотвращая попадание потенциально опасных файлов в систему еще до их проверки; предусмотрено полностью автоматическое ежедневное обновление для защиты от новых вирусов. Существует две модели GateDefender: однопроцессорный 7100 и двухпроцессорный 7200.

Помимо этих трех ключевых продуктов, Panda Software представила решение для защиты рабочих станций и серверов от всех типов вирусов, троянцев и червей BusinesSecure, а также систему защиты для корпоративных сетей EnterpriSecure.

автор:
сайт:www.cnews.ru
мыло:news@cnews.ru

 

 

 Наверх

 
design: ФуксЪ