Вдобавок к этому по умолчанию необходим межсетевой экран, чтобы блокировать доступ к ТСР-порту 53 на любом корпоративном сервере. Еще одно правило межсетевого экрана должно разрешать проверенным вторичным серверам имен соединяться с ТСР-портом 53 и инициировать перенос зоны.
Компании должны максимально затруднить атакующим использование т е х н и к и обратного просмотра DNS. До тех пор, пока удобно использовать имена узлов, которые дают понять, какой из узлов для чего используется — такие имена, как database.CompanyX.com — очевидно, что это упрощает хакеру поиск нужно системы, достойной его атаки.
Другая техника сбора информации на основе обратного просмотра DNS содержит использование словаря и атаки грубой силы. Например, если вы собираетесь атаковать домен kevinmitnick.com, то словарная атака будет добавлять любое слово из него к имени домена в виде «слово».kevinmitnick.com, чтобы выявить другие узлы на этом домене. Обратная DNS-атака грубой силы гораздо сложнее, здесь на месте слова из словаря стоит последовательность букв и цифр, которая с каждой новой попыткой меняется на единицу или на новую букву. Чтобы заблокировать этот метод корпоративный DNS-сервер должен быть так сконфигурирован, чтобы устранить возможность публикации любого внутреннего имени узла. Внешний DNS-сервер может использоваться вместе с внутренним таким образом, чтобы внутренние имена узлов не могли «утечь» в другую сеть. В дополнение к этому, использование раздельных внутреннего и внешнего серверов имен помогает справиться с проблемой, упомянутой выше, касающейся имен узлов: внутренний DNS-сервер. защищенный от внешнего взгляда с помощью межсетевого экрана, может использовать такие имена узлов как databas, research и backup с небольшим риском.
Адриан смог получить ценную информацию о сети The New York Times, изучая заголовки электронных писем, получаемых из газеты, которые дали ему внутренние IP-адреса. Хакеры сознательно инициируют получение электронных писем, чтобы получить информацию такого рода, или просматривают общедоступные ленты новостей с электронными письмами с той же целью. Информация, появляющаяся в заголовке письма может дать знающему человеку немало полезной информации, например то, как происходит образование имен внутри компании, внутренние IP-адреса и путь, по которому прошло электронное письмо. Чтобы оградить себя от подобной утечки информации, компаниям рекомендуется так сконфигурировать их SMTP-серверы, чтобы отфильтровывать любую внутреннюю информацию — IP-адреса или сведения об узлах — из исходящих электронных писем, чтобы помешать ее распространению.
Главным оружием Адриана был «подарок» в виде неправильно сконфигурированных прокси-серверов. Использование такого прокси-сервера позволяет пользователю с внутреннего компьютера компании получать доступ к внешним Интернет-ресурсам. Исследователь изнутри делает запрос о конкретной Интернет-странице; запрос идет на прокси-сервер, который переправляет запрос от имени пользователя и присылает ему ответ.
Чтобы помешать хакеру получить информацию тем способом, каким это удалось Адриану, прокси-серверы должны быть сконфигурированы так, чтобы «слушать» только внутренний интерфейс. Его можно сконфигурировать и так, чтобы он «слышал» только разрешенный список внешних IP-адресов. Таким образом, ни один неавторизованный пользователь извне не сможет соединиться с сервером. Общая ошибка в конфигурации прокси-серверов заключается в том, что они «слушают» все интерфейсы сети, включая и внешние интерфейсы, соединенные с Интернетом. Вместо этого прокси-сервер должен быть сконфигурирован так, чтобы позволять доступ только определенному набору IP-адресов, который должен определяться организацией I A N A (Internet Assigned Numbers Authority) для частных сетей. Есть три блока частных IP-адресов:
От 10.0.0.0 до 10.255.255.255
От 172.16.0.0 до 172.31.255.255
От 192.168.0.0 до 192.168. 255.255
Хорошая идея — ограничение по портам, чтобы ограничить набор услуг, которые предоставляет прокси-сервер, например, ограничить исходящие соединения с HTTP (Интернет) или HTTPS (безопасный Интернет-доступ). Для более тщательного контроля некоторые прокси-серверы, использующие SSL, могут быть сконфигурированы так, чтобы проверять входящий трафик, и иметь возможность убедиться, что неавторизованный протокол не проникает через авторизованный порт. Предпринятые шаги помешают атакующему неадекватно использовать прокси-сервер для соединения с неразрешенными ему сервисами.
После установки и конфигурации прокси-сервера его необходимо проверить на наличие лазеек. Никогда нельзя быть уверенным в собственной неуязвимости, пока не будет проведена тщательная проверка. Прокси-серверы могут быть бесплатно перегружены из Интернета.
Еще один момент: поскольку, устанавливая пакет того или иного программного обеспечения, пользователь может в какой-то момент неосознанно установить и ПО для прокси-сервера, компания должна взять себе за правило тщательно проверять все свои компьютеры на неавторизованную установку прокси-серверов, которые могут быть установлены неосознанно. С этой целью вы можете использовать любимое средство Адриана — Proxy Hunter — для проверки собственной сети. Запомните, что неправильно сконфигурированный прокси-сервер может быть лучшим другом хакера.
Подавляющее большинство хакерских атак может быть остановлено при помощи обычных мер безопасности и стандартных проверок. Опасность случайной установки открытого прокси-сервера слишком часто недооценивается и представляет собой главную уязвимость в большинстве организаций.
По-моему, сказано более, чем достаточно, не правда ли?
ПОСЛЕСЛОВИЕ
Люди с оригинальным мышлением, глубокие философы, какой бы деятельностью они ни занимались, видят мир (или, по крайней мере, его часть) более ясно, чем остальные, и они заслуживают поддержки.
С такими, как Адриан Ламо. имеет смысл сотрудничать конструктивно. Он может сделать много хорошего. Я буду следить за его развитием с удовольствием.
Глава 6.
Мудрость и глупость проверок безопасности
Системы безопасности должны побеждать каждый раз, а атакующему достаточно и одной победы.
Дастин Дюкс
Начальник тюрьмы приглашает экспертов для того, чтобы проверить процедуры безопасности в его учреждении, заботясь о наличии любой бреши, которая позволит заключенному ускользнуть. Все компании думают в том же направлении, что и приводит их в фирмы, занимающиеся обеспечением безопасности, с просьбой проверить защищенность их Интернет-сайта и компьютерных сетей от вторжения хакеров, которые будут пытаться найти путь к важной информации, или местам ограниченного доступа, или же брешей в системах безопасности, которые могли бы поставить компанию на грань риска.
Для людей, занимающихся безопасностью, это носит специальное название «тесты проникновения», или, на профессиональном жаргоне «pen tests». Фирмы, занимающиеся безопасностью, которые проводят эти тесты, часто берут к себе на работу (вот уж сюрприз!) бывших хакеров. И основатели этих фирм часто являются людьми с таким хакерским прошлым, что предпочитают держать его в тайне от своих клиентов. В том, что профессионалы в области безопасности приходят из хакерской среды, есть глубокий смысл, поскольку настоящий хакер хорошо знает, как все традиционные, так и нетрадиционные ходы, которые компании непреднамеренно оставляют открытыми в свои внутренние «святая святых». Многие из этих бывших хакеров знают «с младых ногтей», что термин «безопасность» в большинстве случаев употребляется неправильно.
Любую компанию, которая заказывает «pen test» и ожидает результатов, чтобы убедиться в том, что их система нетронута и не имеет брешей, ожидает сильное разочарование. Профессионалы в бизнесе проведения проверок безопасности часто отыскивают одни и те же старые ошибки: компании просто не прилагают достаточно усилий к тому, чтобы достойно защитить свою ценную информацию и компьютерные системы.
Причина, по которой компании и государственные агентства проводят проверку безопасности, заключается в стремлении узнать истинное положение вещей в данный момент времени. Более того, они могут ощутить прогресс после устранения найденных уязвимостей. Тест проникновения в некотором смысле аналогичен электрокардиограмме. На следующий день после проверки хакер может проникнуть в сеть, используя новые обнаруженные им бреши в ПО, хотя проверка безопасности прошла «на ура».
Поэтому проверять безопасность в надежде, что она подтвердит правильность действий компании по защите ценной информации, просто глупо. Результат скорее всего докажет обратное, что и демонстрируют следующие истории — одна о консалтинговой компании, другая — о биотехнической фирме.
ОДНОЙ ХОЛОДНОЙ ЗИМОЙ
