Типові віддалені атаки на ІТС ДСНС

	Позначення загроз	Тип та визначення загроз	Джерело загроз	Наслідки	Реаліза-ція загроз (табл.7)
				Конф.	Ціл.	Дост.	Спост.
1.	Аналіз мережевого інформаційного потоку мережі Інтернет	Шляхом аналізу мережевого інформаційного потоку одержують паролі і ідентифікатори користувачів мережі Інтернет (виробляється аналіз протоколів FTP, TELNET).	Апаратура, програми, люди			+	+	9,10,12, 17,25
2.	Хибний ARP-сервер у мережі Інтернет	Шляхом надсилання хибної ARP-відповіді на запит, система, що атакує, повідомляє про себе хостом, що шукається та надалі активно контролює і впливає на мережевий транзитний потік «обманутого» хоста (атакуючий хост повинен знаходитися всередині сегменту мережі).	Апаратура, програми, люди		+	+	+	7,9,10,12, 17,18,21-27
3.	Хибний DNS-сервер у мережі Інтернет	Існує можливість здійснення в мережі, що використовує протокол DNS, типової віддаленої атаки "Хибний об'єкт РОМ"	Апаратура, програми, люди		+	+	+	7,9,10,12, 17,18,21-27
3.1.	Впровадження в мережу Інтернет хибного DNS-сервера шляхом перехоплення DNS-запиту	Перехоплюється DNS-запит, витягується з нього номер UDP-порту відправника запиту, значення ID ідентифікатора DNS-запиту і шукане ім'я, а потім надсилається хибна DNS-відповідь на витягнутий з DNS-запиту UDP-порт, у якому вказується у якості шуканої IP-адреси дійсна IP-адреса хибного DNS-сервера. Це дозволяє надалі цілком перехопити транзитний потік між хостом, що атакується, та сервером та активно впливати на нього.	Апаратура, програми, люди		+	+	+	7,9,10,12, 17,18,21-27
3.2.	Впровадження в мережу Інтернет хибного сервера шляхом створення направленого "шторму" хибних DNS-відповідей на хост, що атакується	Вибирається хост, що цікавить, маршрут до якого потрібно змінити так, щоб він проходив через хибний сервер, - хост атакуючого. Це досягається постійною передачею (направленим "штормом") атакуючим хибних DNS-відповідей на хост, що атакується, від імені дійсного DNS-сервера на відповідні UDP-порти. Після звернення на ім'я до хосту від його імені у мережу передається DNS-запит, що атакуючий не одержує, тому що на хост відразу ж надходить хибна DNS-відповідь, що і сприймається ОС хоста, що атакується, як дійсна відповідь від DNS-сервера. У результаті з'являється можливість роботи в мережі Інтернет хибного сервера.	Апаратура, програми, люди		+	+	+	7,9,10, 12,17,1821-27
3.3.	Впровадження в мережу Інтернет хибного сервера шляхом перехоплення DNS-запиту або створення направленого "шторму" хибних DNS-відповідей на DNS-сервер, що атакується	При відповіді на запит від DNS-сервера атакуючий направляє хибну DNS-відповідь, у кеш-таблиці сервера з'явиться відповідний запис з хибними відомостями і надалі всі хости, що звернулися до даного DNS-сервера, будуть дезінформовані та при звертанні до хосту, маршрут до якого атакуючий змінив, зв'язок з ним буде здійснюватися через хост атакуючого.	Апаратура, програми, люди		+	+	+	7,9,10,12, 17,18,21-27
4.	Нав'язування хосту хибного маршруту з використанням протоколу ICMP з метою створення в мережі Інтернет хибного маршрутиза-тора	Готується хибне ICMP Redirect Host повідомлення, у якому вказується кінцева IP-адреса маршруту (адреса хосту, маршрут до якого буде змінено) і IP-адреса хибного маршрутизатора. Далі це повідомлення передається на хост, що атакується, від імені маршрутизатора. Для цього в IP-заголовку у полі адреси відправника вказується IP-адреса маршрутизатора. Це надає можливості змінити маршрут передачі повідомлень і одержати контроль над транзитним потоком між хостом, що атакується, та сервером, що цікавить атакуючого.	Апаратура, програми, люди		+	+	+	7,9,10,12, 17,18,21-27
5.	Підміна одного із суб'єктів TCP-з'єднання в мережі Інтернет (hijacking)	Підбираються відповідні поточні значення ідентифікаторів TCP-пакету для даного TCP-з'єднання, відсилається пакет з будь-якого хоста в мережі Інтернет від імені одного з учасників даного з'єднання і цей пакет буде сприйнято як вірний у відповідь на отриманий хибний пакет, FTP- сервер чи TELNET-сервер відправляє відповідь на зазначену у хибному пакеті дійсну IP-адресу атакуючого. Після цього атакуючий починає роботу з FTP- чи TELNET-сервером зі своєї IP-адреси, маючи права легально підключеного користувача, який, у свою чергу, втрачає зв'язок із сервером через неузгодженість лічильників.	Апаратура, програми, люди		+	+	+	7,9,10,12, 17,18,21-27
6.	Порушення працездатності хоста в мережі Інтернет при використанні направленого "шторму" хибних TCP-запитів на створення з'єднання або при переповненні черги запитів	Передача на хост, що атакується, великої кількості хибних TCP-запитів для створення з'єднання від імені будь-якого хоста в мережі.	Апаратура, програми, люди		+		+	7,9,10,25,

4. ПОБУДОВА МОДЕЛІ ПОРУШНИКА

4.1. Загальна модель порушника

Порушник - це особа, яка помилково, внаслідок необізнаності, цілеспрямовано, за злим наміром або без нього, використовуючи різні можливості, методи та засоби здійснила спробу виконати операції, які призвели або можуть призвести до порушення властивостей інформації, що визначені політикою безпеки.

Модель порушника відображає його практичні та потенційні можливості, апріорні знання, час та місце дії тощо.

Під час розробки моделі порушника визначаються:

Ø припущення щодо категорії осіб, до яких може належати порушник;

Ø припущення щодо мотивів дій порушника (цілей, які він переслідує);

Ø припущення щодо рівня кваліфікації та обізнаності порушника та його технічної оснащеності;

Ø обмеження та припущення щодо характеру можливих дій порушника.

Таблиця 1.

Дата добавления: 2015-07-11