نفوذ هکرها را چگونه بشناسیم
تشخیص نفوذ، عبارت است از پردازه تشخیص تلاشهایی که برای دسترسی غیرمجاز به یک شبکه یا کاهش کارایی آن انجام میشوند. در تشخیص نفوذ باید ابتدا درک صحیحی از چگونگی انجام حملات پیدا کرد. سپس بنابر درک بهدست آمده، روشی دو مرحله ای را برای متوقف کردن حملات برگزید. اول این که مطمئن شوید که الگوی عمومی فعالیتهای خطرناک تشخیص داده شده است. دوم این که اطمینان حاصل کنید که با حوادث مشخصی که در طبقه بندی مشترک حملات نمیگنجند، به سرعت رفتار میشود.
به همین دلیل است که بیشتر سیستمهای تشخیص نفوذ (IDS) به مکانیزمهایی برای بهروزرسانی نرمافزارشان متکی هستند که برای جلوگیری از تهدیدات شبکه به اندازه کافی سریع هستند. البته تشخیص نفوذ به تنهایی کافی نیست و باید مسیر حمله را تا هکر دنبال کرد تا بتوان بهشیوه مناسبی با وی نیز برخورد کرد.
انواع حملات شبکه ای با توجه به طریقه حمله
یک نفوذ به شبکه معمولا یک حمله قلمداد میشود. حملات شبکه ای را میتوان بسته به چگونگی انجام آن به دو گروه اصلی تقسیم کرد. یک حمله شبکهای را میتوان با هدف نفوذگر از حمله توصیف و مشخص کرد. این اهداف معمولا از کار انداختن سرویس (DOS) یا Denial of Service یا دسترسی غیرمجاز به منابع شبکه است.
1- حملات از کار انداختن سرویس
در این نوع حملات، هکر استفاده از سرویس ارائه شده توسط ارائه کننده خدمات برای کاربرانش را مختل میکند. در این حملات حجم بالایی از درخواست ارائه خدمات به سرور فرستاده میشود تا امکان خدمات رسانی را از آن بگیرد. در واقع سرور به پاسخگویی به درخواستهای بی شمار هکر مشغول میشود و از پاسخگویی به کاربران واقعی باز میماند.
2- حملات دسترسی به شبکه
در این نوع از حملات، نفوذگر امکان دسترسی غیرمجاز به منابع شبکه را پیدا میکند و از این امکان برای انجام فعالیتهای غیرمجاز و حتی غیرقانونی استفاده میکند. برای مثال از شبکه به عنوان مبدا حملات DOS خود استفاده میکند تا درصورت شناسایی مبدا، خود گرفتار نشود. دسترسی به شبکه را میتوان به دو گروه تقسیم کرد.
الف دسترسی به داده: در این نوع دسترسی ، نفوذگر به داده موجود بر روی اجزاء شبکه دسترسی غیرمجاز پیدا میکند. حمله کننده میتواند یک کاربر داخلی یا یک فرد خارج از مجموعه باشد. دادههای ممتاز و مهم معمولا تنها در اختیار بعضی کاربران شبکه قرار میگیرد و سایرین حق دسترسی به آنها را ندارند. در واقع سایرین امتیاز کافی را جهت دسترسی به اطلاعات محرمانه ندارند، اما میتوان با افزایش امتیاز به شکل غیر مجاز به اطلاعات محرمانه دسترسی پیدا کرد. این روش به تعدیل امتیاز یاPrivilege Escalation مشهور است.
ب- دسترسی به سیستم: این نوع حمله خطرناکتر و بدتر است و طی آن حمله کننده به منابع سیستم و دستگاهها دسترسی پیدا میکند. این دسترسی میتواند شامل اجرای برنامهها روی سیستم و بهکارگیری منابع آن برای اجرای دستورات حمله کننده باشد. همچنین حمله کننده میتواند به تجهیزات شبکه مانند دوربینها ، پرینترها و وسایل ذخیره سازی دسترسی پیدا کند. حملات اسب ترواها، Brute Force و یا استفاده از ابزارهایی برای تشخیص نقاط ضعف یک نرمافزار نصب شده روی سیستم از جمله نمونههای قابل ذکر از این نوع حملات هستند.
فعالیت مهمیکه معمولا پیش از حملات DoS و دسترسی به شبکه انجام میشود، شناسایی یا
reconnaissance است. یک حمله کننده از این فاز جهت شناسایی حفرههای امنیتی و نقاط ضعف شبکه استفاده میکند. این کار میتواند به کمک بعضی ابزارها آماده انجام پذیرد که به بررسی پورتهای رایانههای موجود روی شبکه میپردازند و آمادگی آنها را برای انجام حملات مختلف روی آنها بررسی میکنند.
انواع حملات شبکه ای با توجه به حمله کننده
حملات شبکه ای را میتوان با توجه به حمله کننده به چهار گروه تقسیم کرد :
1- حملات انجام شده توسط کاربر مورد اعتماد (داخلی): این حمله یکی از مهمترین و خطرناکترین نوع حملات است، چون از یک طرف کاربر به منابع مختلف شبکه دسترسی دارد و از طرف دیگر سیاستهای امنیتی معمولا محدودیتهای کافی درباره این کاربران اعمال نمیکنند.
2- حملات انجام شده توسط افراد غیر معتمد (خارجی): این معمولترین نوع حمله است که یک کاربر خارجی که مورد اعتماد نیست شبکه را مورد حمله قرار میدهد. این افراد معمولا سخت ترین راه را پیش رو دارند، زیرا بیشتر سیاستهای امنیتی درباره این افراد تنظیم شدهاند.
3- حملات انجام شده توسط هکرهای بی تجربه: بسیاری از ابزارهای حمله و نفوذ روی اینترنت وجود دارند. در واقع بسیاری از افراد میتوانند بدون تجربه خاصی و تنها با استفاده از ابزارهای آماده برای شبکه ایجاد مشکل کنند.
4- حملات انجام شده توسط کاربران مجرب: هکرهای با تجربه و حرفهای در نوشتن انواع کدهای خطرناک متبحرند. آنها از شبکه و پروتکلهای آن و همچنین از انواع سیستمهای عامل آگاهی کامل دارند. معمولا این افراد ابزارهایی تولید میکنند که توسط گروه اول بهکار گرفته میشوند. آنها معمولا پیش از هر حمله، آگاهی کافی درباره قربانی خود کسب میکنند.
پردازه تشخیص نفوذ
تابهحال با انواع حملات آشنا شدیم. حال باید چگونگی شناسایی حملات و جلوگیری از آنها را بشناسیم. امروزه دو روش اصلی برای تشخیص نفوذ به شبکهها مورد استفاده قرار میگیرد:
1 - IDSمبتنی بر خلاف قاعده آماری
2 - IDS مبتنی بر امضا یا تطبیق الگو
روش اول مبتنی بر تعیین آستانه انواع فعالیتها روی شبکه است، مثلا چند بار یک دستور مشخص توسط یک کاربر در یک تماس با یک میزبان (host) اجرا میشود. لذا در صورت بروز یک نفوذ امکان تشخیص آن به علت خلاف معمول بودن آن وجود دارد. اما بسیاری از حملات به گونهای هستند که نمیتوان بهراحتی و با کمک این روش آنها را تشخیص داد.
در واقع روشی که در بیشتر سیستمهای موفق تشخیص نفوذ به کار گرفته میشود،IDS مبتنی بر امضا یا تطبیق الگو است. منظور از امضا مجموعه قواعدی است که یک حمله در حال انجام را تشخیص میدهد. دستگاهی که قرار است نفوذ را تشخیص دهد با مجموعهای از قواعد بارگذاری میشود. هر امضا دارای اطلاعاتی است که نشان میدهد در دادههای در حال عبور باید به دنبال چه فعالیتهایی گشت. هرگاه ترافیک در حال عبور با الگوی موجود در امضا تطبیق کند، پیغام اخطار تولید میشود و مدیر شبکه را از وقوع یک نفوذ آگاه میکند. در بسیاری از موارد IDS علاوه بر آگاه کردن مدیر شبکه، با کمک یک فایروال و انجام عملیات کنترل دسترسی با نفوذ بیشتر هکر مقابله میکند. اما بهترین روش برای تشخیص نفوذ، استفاده از ترکیبی از دو روش فوق است.
بهروز کمالیان
تازه ها
گوناگون
پیشنهاد سردبیر
در تپش این هفته، ماجرای فریب و تعرض در پوشش عرفانهای دروغین و رمالی را بررسی کردیم
پشت پرده اتاقهای دود و طلسـم
