BEZBEDNOST INFORMACIONIH SISTEMATCP i UDP napadi
Beograd, februar 2012
SADRAJ
Tema rada
.........................................................................................................................................................
2 Napadi i pretnje
................................................................................................................................................
3 Anatomija napada
.............................................................................................................................................
4
Sigurnost...........................................................................................................................................................
5 Rizik
.................................................................................................................................................................
6 TCP - Transmition Control Protocol
...............................................................................................................
7 Uspostavljanje veze
..........................................................................................................................................
8 Prekidanje veze
................................................................................................................................................
8 TCP SYN ili TCP ACK poplava napadi
..........................................................................................................
9 TCP sekvencijalni broj napada
.........................................................................................................................
9 TCP/IP otmica
................................................................................................................................................10
UDP User Datagram Protocol
.....................................................................................................................10
Usluge sa konekcijum i bez nje
......................................................................................................................11
Usluge bez konekcije
.....................................................................................................................................11
Napadi
............................................................................................................................................................11
Zakljuak
........................................................................................................................................................11
Literatura
........................................................................................................................................................11
1
TEMA ELABORATATema ovog elaborata su napadi koji koriste TCP i
UDP protokole. Generalno bezbednost informacionih sistema se svodi
na napade i odbrana na informacioni sistem. Da li je bezbednost
nekog informacionog sistema vie ili manje bitna o tome ne treba ni
raspravljati, jer bezbedni informacioni sistem je onaj gde je i naj
slabija taka u sistemu bezbedna i osigurana. Zbog ubrzanog razvoja
i sve veeg znaaja raunarskih i komunikacionih tehnologija
neophodnih za savremeno poslovanje, problem u sigurnosti mora se
posvetiti posebna panja. Sa uvoenjem raunara, pojavila se potreba i
za novim i automatizovanim alatima za zatitu datoteka i drugih
informacija. Opte ime za skup alata, procedura, pravila i reenja
ija je namena da umreeni sistem odbrane od napada, glasi sigurnost
raunarskih mrea (engl. computer network secyrity). Vrste napada:
TCP Napadi: 1. TCP SYN ili TCP ACK Poplava napad 2. TCP
Sekvencijalni broj napada 3. TCP/IP Otmica
UDP Napadi: 1. ICMP Napadi 2. Smurf napad 3. ICMP Tuneliranje U
daljem tekstu blie emo objasniti kakvi su ovo napadi i zato su
jedni od najopasnijih napada za informacioni sistem i/ili mreni
sistem.
2
Napadi i pretnjeDa bi se efikasno procenile sigurnosne potrebe
neke organizacije i da bi se odabrali razliiti proizvodi, pravila,
procedure i reenja, rukovodiocu u firmi koji je zaduen za sigurnost
potreban je simetrian nain definisanja zahteva u pogledu sigurnosti
i kategorizacije pristupa koji obezbeuju da se ti zahtevi
zadovolje. Jedan pristup da se razmotre tri aspekta sigurnosti
informacija: Napad na sigurnost (engl.security attack) Bilo koja
akcija ugroava sigurnost informacija; Sigurnosni mehanizam
(engl.security mechanism) Mehanizam koji treba da detektuje i
predupredi napad ili da sistem oporavi od napada; Sigurnosna usluga
(engl.security service) Usluga koja poveava sigurnost sistema za
obradu i prenos podataka, ona podrazumeva upotrebu jednog ili vie
sigurnosnih mehanizama. Presecanje tj.
prekidanje(engl.interruption) Predstavljla napad na raspoloivost.
Presecanjem se prekida tok informacija, onemoguuje se pruanje neke
usluge ili funkcionisanje nekog sistema. Ovakav napad je
aktivan.
Presretanje (engl. interception) predstavlja napad na
poverljivost, moe se definisati i kao prislukivanje saobraaja,
nadziranje njegovog intenziteta, uvod u osetljive informacije ili
slino. Teko se otkriva jer ne menja informaciju, ne utie na
unutranje tokove sistema. Ovakav tip napada je esto pripremna faza
za neku drugu vrstu napada.
Izmena (engl.modification) Predstavlja napad na integritet, po
svojoj prirodi to je aktivan napad. Ukoliko se deava na prenosnom
putu moe se definisati kao ovek u sredini man in the middle napad
se moe obavljati unutar nekog informatikog sistema i u tom sluaju
se radi o izmeni podataka, pristupnih prava, naina funkcionisanja
programa ili sistema i slino. Iako menja podatke ili sistem, esto
ostaje neprimeen izvesno vreme, kako zbog nepanje, tako i zbog
sloenosti tehnika koje koriste. 3
Fabrikovanje (engl.fabrication) predstavlja napad na
autentinost. Napada izvodi ovaj aktivni napad tako to generie lane
podatke, lani saobraaj ili izdaje neovlatene komande. Veoma esto
koristi i lano predstavljanje korisnika, usluge, servera, web
strane ili nekog drugog dela sistema.
Anatomija napadaAko razumemo osnovni pristup koji napadai
koriste da osvoje neki sistem ili mreu, lake emo moi da preduzmemo
odbrambene mere jer emo znati ta je primenjeno i protiv ega.
Osnovni koraci napadaeve metodologije ilustrovani su slikom 5 i
ukratko opisani.
[1] Ispitaj i proceni (engl. survey and assess). Prvi korak koji
napada obino preduzima jeste istraivanje potencijalne mete i
identifikovanje i procena njenih karakteristika. Te karakteristike
mogu biti podrani servisi, protokoli sa moguim ranjivostima i
ulaznim takama. Napada koristi informacije prikupljene na ovaj nain
kako bi napravio plan za poetni napad. [2] Eksploatii i prodri
(engl. exploit and penetrate). Nakon to je istraio potencijalnu
metu, napada pokuava da eksploatie ranjivost i da prodre u mreu ili
sistem. Ako su mrea ili umreeni raunar (najee server) potpuno
osigurani, aplikacija postaje sledea ulazna taka za napadaa najlaki
nain da napada upadne u sistem jeste da koristi isti ulaz koji
koriste i legitimni korisnici. Na primer, moe se koristiti stranica
za prijavljivanje ili stranica koja ne zahteva proveru identiteta
(engl. authentication). [3] Poveaj privilegije (engl. escalate
privileges). Nakon to napada uspe da ugrozi aplikaciju ili mreu na
primer, ubacivanjem (engl. injecting) koda u aplikaciju ili
uspostavljanjem legitimne sesije na operativnom sistemu odmah e
pokuati da povea svoja prava. Posebno e pokuati da preuzme
administratorske privilegije tj. da ue u grupu korisnika koji imaju
sva prava nad sistemom. Definisanje najmanjeg nunog skupa prava i
usluga koji je neophodno 4
obezbediti korisnicima aplikacije je primarna odbrana protiv
napada poveanjem privilegija. [4] Odri pristup (engl. maintain
access). Kada prvi put uspe da pristupi sistemu, napada preduzima
korake da olaka budue napade i da prikrije tragove. est nain
olakavanja buduih pristupa jeste postavljanje programa sa zadnjim
vratima (engl. back-door) ili korienje postojeih naloga koji nisu
strogo zatieni. Prikrivanje tragova esto ukljuuje brisanje
dnevnikih datoteka (engl. log files) i skrivanje napadaevih alata.
Uzevi u obzir da su jedan od objekata koje napada eli da modifikuje
kako bi prikrio traove, dnevnike datoteke treba da budu osigurane i
da se redovno analiziraju. Analiza dnevnikih datoteka esto moe
otkriti rane znakove pokuaja upada u sistem, i to pre nego to
nastane teta. [5] Odbij uslugu (engl. deny service). Napadai koji
ne mogu da pristupe sistemu ili raunarskoj mrei i da ostvare svoj
cilj, esto preduzimaju napad koji prouzrokuje odbijanje usluge
(engl. Denial of Service attack, DoS), kako bi spreili druge da
koriste aplikaciju. Za druge napadae, DoS napad je cilj od samog
poetka.
SigurnostSigurnost je proces odravanja prihvatljivog nivoa
rizika. Znai, sigurnost je proces, a ne zavrno stanje, tj. nije
konani proizvod sigurnost se ne moe kupiti kao proizvod ili usluga,
ve da je to proces u kome se koriste razliiti proizvodi i usluge,
procedure i pravila, ali i da postoje drugi bitni elementi kao to
su edukacija, podizanje svesti i stalno praenje stanja u ovoj
oblasti. Dakle, uz razliite metode zatite, treba imati u vidu i
ljudski faktor, sa svim slabostima. Ostvarivanje sigurnosti takoe
podrazumeva odravanje sistema u stanju prihvatljivog rizika, tj.
kompromis izmeu potrebnih ulaganja i smanjenja mogunosti tete koje
se tim ulaganjem postie. Poverljivost, celovitost (integritet) i
raspoloivost ine takozvano veliko trojstvo sigurnosti. Na engleskom
jeziku, skraenica za ova tri termina je CIA (Confidentiality,
Integrity, Availability), to se poklapa sa akronimom koji se
koristi za najpoznatiju ameriku obavetajnu agenciju.
Poverljivost (engl. confidetiality). Koncept poverljivosti
obuhvata pokuaje da se sprei namerno ili nenamerno neovlaeno
okrivanje sadraja poruka. Poverljivost se moe izgubiti 5
na mnogo naina, kao to su namerno otkrivanje privatnih podataka
u vlasnitvu kompanije ili, recimo, pogrenoim definisanjem i
sprovoenjem prava pristupa mrei. Integritet (celovitost, engl.
integrity). U okviru sigurnosti informacija, koncept integriteta
obezbeuje sledee: podatke ne smeju menjati neovlaena lica ili
procesi, ovlaena lica ili procesi ne smeju obavljati neovlaene
promene podataka, podaci su interno i eksterno konsistentni, tj.
interni podaci su meusobno konsistentni u svim podcelinama tj.
delovima, kao i sa realnim svetom, tj. spoljnim okruenjem.
Raspoloivost (engl. availability). U okviru sigurnosti informacija,
koncept raspoloivosti obezbeuje da odgovarajue osoblje pouzdano i
pravovremeno moe da pristupa podacima ili raunarskim resursima.
Drugim reima, raspoloivost garantuje da su sistemi podignuti i da
rade kao to je predvieno. Osim toga, ovaj koncept garantuje da
funkcioniu sigurnosne usluge koje zahtevaju strunjaci za sigurnost.
Jedna od najefikasnijih i najrairenijih strategija je slojevita
zatita, koja se na formiranju zatitnih slojeva (ili prstenova) oko
sistema. Korisnik sistema koji prolazi kroz slojeve zatite mora
zadovoljiti dodatne sigurnosne mehanizme koji zadravaju napadaa ili
minimiziraju njegovu mogunost pristupa kritinim resursima.
RizikRizik je, u kontekstu raunarskih sistema i mrea, mera
opasnosti, tj, mogunost da nastane oteenje ili gubitak neke
informacije, hardvera, intelektualne svojine, prestia ili ugleda.
Rizik se obino izraava jednainom Rizik = Pretnja x Ranjivost x
Vrednost imovine
Pretnja jeste protivnik, situacija ili splet okolnosti sa
mogunou ili naperama da se eksploatie ranjivost. Pretnje se mogu
podeliti na pasivne i aktivne. Ranjivost predstavlja slabost u
nekoj vrednosti, resursu ili imovini koja moe biti iskoriena.
Ranjivost je posledica loeg projektovanja, implementacije ili
zagaenja 6
TCP - Transmition Control ProtocolTCP protokol je protokol koji
pripada sloju 4OSI referentnog modela. ima za ulogu da obezbezbedi
pouzdan transfer podataka u IP okruenju. Izmeu ostalih servisa koje
nudi, neki su: pouzdanost, efikasna kontrola toka podataka,
operisanje u ful-dupleksu (istovremeno slanje i primanje podataka)
i multipleksiranje koje omoguava istovremen rad niza procesa sa
viih slojeva putem jedne konekcije. TCP vri transver podataka kao
nestrukturisan niz bajtova koji se identifikuju sekvencom. Ovaj
protokol grupie bajtove u segmente dodeli im broj sekvence,
aplikacijama dodeli broj porta i prosledi ih IP protokolu. TCP
obezbeuje pouzdanost tako to pokrene algoritmi koji pre razmene
podataka prvo uspostave konekciju izmeu korisnika, a potom
obezbeuje i niz mehanizama kao to je slanje ACK broja. Strana koja
prima podatke alje broj sekvence bajta koje je primio, u sluaju da
destinacija ne poalje ACK da je primio odreenu sekvencu bajtova u
odreenom vremenskom intervalu ona biva naknadno ponovo poslata.
Mehanizmi pouzdanosti kod TCP-a omoguuju ureajima da se nose sa
gubicima, kanjenjima, dupliciranjem ili pogrenim isitavanjem
paketa. Time-out mehanizam omoguuje ureaju da detektuje izgubljene
pakete i da zahteva njihovu ponovnu transimsiju.
7
Polja:
Izvorini port - dodeljen broj (32 bita) ~ 65000, identifikuje
aplikaciju koja je inicijator komunikacije Odredini port - port
koji identifikuje serversku aplikaciju Broj segmenta (SEQ) - redni
broj segmenta u odnosu na poetni (broj bajta u odnosu na
inicijalni) Broj sledeeg bajta (ACK) - redni broj bajta poslat
predajnoj strani koji oekuje da primi Duina - Duina zaglavlja
Rezervisana polja URG, ACK, PSH, RST, SYN, FIN predstavljaju
kontrolne bite Veliina dinamikog prozora - broj okteta koje je
mogue slati bez potvrde o njihovom prijemu eksuma - Provera bitskih
greaka, komplement sume TCP zaglavlja Pokaziva prioriteta (URG) -
pokazuje vanost poruke koja se alje Opcije - Opciona informacija
Podatak - ako postoji opciona informacija, bitovi poevi sa 192
predstavljaju povratak, inae od 160. bita
Uspostavljanje veze Komunikacija izmeu aplikacija uz pomo TCP
protokola se odvija tako to se prvo izmeu klijenta i servera
uspostavi veza (usluga sa konekciojm), za razliku od komunikacije
UDP protokolom koji je ne zahteva. Konekcija se uspostavlja tako to
se izmeu prijemne i predajne strane iz tri puta razmene poruke sa
podeenim odgovarajuim kontrolnim bitima. 1. Predajna strana A alje
poruku sa podeenim kontrolnim bitom SYN=1 (engl. SYNchronize
Sequence Number), ostali su podeeni na 0, pri emu nasumino izabere
redni broj segmenta (SEQA). 2. Prijemna strana B odgovara porukom
sa kontrolnim bitima SYN i ACK=1, svoj broj segmenta bira takoer
nasumino (SEQB), a za ACK broj uzima ACK=( SEQA)+1, ovim je
uspostavljena veza na liniji od predajne ka prijemnoj strani. 3.
Slanjem poruke sa podeenim kontrolnim bitom SYN=1 od pijemne
strane, ona zahteva da predajna strana potvrdi uspostavljanje veze
od prijmne ka predajnoj strani. to ona i ini tako to odgovara
porukom sa podeenim kontrolnim bitom ACK=1 (engl. ACKnowledgment
number ), dok uz to uzima vrednost ACK broja ACK=( SEQB)+1. Ovim je
uspostavljena obostrana konekcija izmeu klijenta i servera.
Prekidanje veze Pri zavretku slanja podataka, server alje poruku
sa podeenim kontrolnim bitom FIN=1 (engl. FINish). Veza od servera
ka klijentu se prekida time to klijent na slanje ovakve poruke
odgovara sa porukom sa podeenim kontrolnim bitom ACK=1 (potvrda o
prijemu). Ukoliko i klijent eli zatvoriti konekciju on isto tako
alje poruku sa podeenim bitom FIN=1. Konano obostrano prekidanjr
veze se potvruje od strane servera koji odgovara sa porukom u ijem
je zaglavlju podeen bit ACK=1. 8
TCP NapadiTCP Napadi rade koristei sinhrone veze. Sinhronizacija
je ranjiva na napade. I to je danas verovatno najei vid napada.
Sinhronizacija ili rukovanje je proces koji inicira TCP vezu. Ovo
rukovanje naroito osetljivo na DoS napade koji se pominju kao TCP
SYN poplava napadi. Protokol je takoe podloan pristupu i
modifikaciji
TCP SYN ili TCP ACK poplava napadi TCP SYN se takoe naziva TCP
ACK poplava napad. Svrha ovog napada je da odbije uslugu. Napad
poinje kao normalna TCP konekcija, klijent i server meusobno
menjaju informacije preko TCP paketa. Slika jasno pokazuja kako se
napad izvrava.
Primeujemoi da klijent nastavlja da alje ACK serveru, ovaj ACK
paket zahteva konekciju od strane servera, i server na tu konekciju
odgovara. Klijent bi trebao da odgovori na tu konekciju i da prikae
da je konekcija uspeno uspostavljena. Kod ovog napada klijent
kontinualno alje i prima ACK pakete ali ne otvara sesiju, a server
otvara sesiju i eka poslednji paket u sekvenci. To uzrokuje da se
server napuni sesijama i da odbije druge klijente da mu pristupe.
Ovaj napad je praktino nezaustaviv u bilo kom okruenju bez podrke
provajdera. Noviji ruteri mogu da spree ove napade, u stvari oni
otvaraju sesije i posle vremenskog intervala koji je odreen
automatski ih zatvaraju. Ova vrsta napada se ne moe detektovati,
napada moe koristiti i ne ispravnu IP adresu, ali TCP e ipak
odgovoriti svakom zahtevu, bez obzira na IP adresu. TCP
Sekvencijalni broj napada TCP Sekvencijalnom broju napada e se
dogoditi kada napada kontrolie jedan kraj TCP sesije. Ovaj napad je
uspean kada napada izbacuje sa mree napadnutog u toku trajanja
sesije. Svaki put kada je TCP poruka poslata, bilo server ili
klijent generiu broj sekvence. U TCP sekvencijalnom broju napada
napada presree i odgovara na broj sekvence i menja pravi sistem sa
svojim. U ovom sluaju napada otima sesiju i sebi obezbeuje pristup
privilegovanoj sesiji na rtvinom sistemu. rtva moe dobiti poruku sa
grekom, da je diskonektovana sa sistema, ili moda uspostavi novu
sesiju. U ovom sluaju napda dobija vezu i pristup datotekama sa
legitimnog sistema. Slabost je u TCP protokolu, malo toga moe da se
uradi da bi se
9
ovakav napad spreio. Jedini nain da se ovakav napad sprei je da
znate kada se to javlja. Meta ovakvih napada je esto mrea ili
server.
TCP/IP OtmicaTCP/IP Otmica se naziva aktivno njukanje, to
ukljuije da napada ima pristup host-u tj. Domainu. Napada koristi
istu IP adresu. To se dogaa brzo i dozvoljava napadau pristup
sesijama i svim informacijama kao da je to pravi korisnik. Server e
odgovoriti kao da je napada, korisnik. Ova slika pokazuje kako se
otima IP.
Otmica IP adresa predstavlja najveu opasnost zato to otmiar
koristi privilegije kao i pravi korisnik i stoga bi mogao
pristupiti svim informacijama na serveru.
UDP - User Datagram ProtocolUDP protokol je je jednostavan
protokol koji obezbeuje osnovne funkcije transportnog sloja OSI
modela. Definisao ga je Dejvid Patrik Rid 1980. godine.
10
OSI referentni model ili referentni model za otvoreno
povezivanje sistema (engl. Open Systems Interconnection Basic
Reference Model) je najkorieniji apstraktni opis arhitekture mree.
Opisuje interakciju ureaja (hardware-a), programa, servisa
(software-a) i protokola pri mrenim komunikacijama. Koriste ga
proizvoai pri projektovanju mrea, kao i strunjaci pri izuavanju
mrea. OSI model deli arhitekturu mree u sedam logikih nivoa, daje
spisak funkcija, servisa i protokola koji funkcioniu na svakom od
nivoa. Usluge sa konekcijom i bez nje Programi na krajnjim
sistemima koriste usluge Interneta za meusobno slanje poruka, a
sastavni delovi Interneta obezbeuju sredstava za njihov transport.
TCP/IP mrea obezbeuje dve vrste usluga aplikacijama krajnjih
sistema, a to su
usluge sa konekcijom usluge bez konekcije
Usluga bez konekcije Kod usluge bez konekcije ne postoji
procedura sinhronizacije, kada jedna strana aplikacija eli da
poalje paket drugoj strani program za slanje paketa to i uini.
Budui da nema procedure sinhronizacije, dobija se na brzini, ali se
gubi na pouzdanosti, nema kontrole toka ni zaguenja. Internetska
usluga bez konekcije. Karakteristike UDP se koristi za razmenu
paketa poruka (datagrama) izmeu raunara. Za razliku od protokola
TCP, ovaj protokol ne podrazumeva stalnu vezu nego se paketi bacaju
odredinom raunaru, bez odravanja veze i provere greaka. Na taj
nain, ovaj protokol ne garantuje isporuku paketa niti isti redosled
isporuke paketa kao pri slanju. Zbog ovih osobina UDP protokol je
brz i koristi se za aplikacije kojima je vana brzina a prispee
paketa i odravanje redosleda nije od velike vanosti, koristi ga
veliki broj aplikacija, naroito multimedijalne aplikacije poput
internet telefonije i video konferencije. Koriste ga protokoli RTP,
VoIP, DNS, serveri za raunarske igre itd. Napadi UDP Napadi su ili
odravanje UDP protokola ili preoptereenih UDP servisa kako bi se
preokrenuli u DoS. Jedan od najpoznatijih UDP napada je ping smrti.
Kako god, UDP napad nije orijentisani i ne zahtevaju
sinhronizaciju, pogodni su za presretanje i ne proveravaju
validnost IP adrese. Najei UDP napad je UDP poplava. UDP poplava
preoptereuje server, servise i mreu, i dovodi do zaguenja
informacija i samim tim zatvaranja.
Ostali napadi Pored pomenutih TCP i UDP napada mogu se nabrojati
jo i: ICMP napadi, Smurf(trumf) napadi, ICMP Tunelovanje, DoS
Napadi, Back Door Attacks (napadi koji koriste zadnja vrata),
Spoofing aljivi napadi idr.
11
ZakljuakOsnovna stvar koja se esto ponavlja u predmetima kao to
su bezbednost informacionog sistema i zatita informacionog sistema
je da: NI JEDAN SISTEM NIJE SIGURAN, sigurnost se ne moe kupiti, to
je proces koji traje. Ako sigurnost u informacionim sistemima
uporedimo sa sigurnou nekog trezora, jer i u trezoru su stvari do
kojih ne elimo da neko drugi doe, moemo to uporediti na sledei
nain: Banka ili trezor, da bi zatitili svoju imovinu oni: imaju
alarm, osigurani su kod osiguravajueg drutva, imaju obezbeenje,
kamere, paninu dugmad, povremeno se organizuje obuka za ljude itd.
Tako isto i kod informacionih sistema, treba nam Firewall,
Anti-Spy, Routeri, ljudski kadar koji e to sve da kontrolie i
nadgleda, fizika i hardverska zatita, to znai da nam mrea mora biti
fiziki sigurna od pristupa hakera ili crackera i dr.
____________________________ Radomir Ivankovistrukovni inenjer
elektrotehnike i raunarstva
12
