|
Опытный хакер
почти наверняка знает сигнатурные файлы большинства
IDS-сенсоров и может использовать это знание для того, чтобы
обмануть систему защиты. В качестве простейшего примера
давайте рассмотрим какую-нибудь атаку, которая содержит
текст «Hacked bu hAxOr». Автоматический фильтр будет искать
текст «hAxOr». Если хакер знает сигнатурные файлы, то он
будет посылать в вашу сеть пакеты с одной этой строкой. Это
не будет настоящей атакой, но может одурачить IDS. Получая
множество пакетов с угрожающей строкой, сенсор будет
выдавать сигнал тревоги на каждый из них, создавая таким
образом в сети огромную бессмысленную активность. Атакующий
может извлечь из нее выгоду двояким путем. Он может просто
затопить IDS таким большим числом пакетов, что тот не сможет
их анализировать или же в обилии тревог может незамеченной
пройти и реальная атака.
Для того чтобы избежать этих проблем, надо немного
видоизменить сигнатуру на «by hAxOr», таким образом исключая
возможность подобного типа атак. Надо подчеркнуть, что мы
привели очень упрощенный пример написания специальных
сигнатур. На самом деле анализ атак и выработка
противодействия им происходят гораздо сложнее. Лучший способ
научиться делать это - хорошенько изучить уже написанные и
включенные в систему. В случае NFR есть много примеров
N-Code, которые поставляются вместе с ПО, и еще больше может
быть найдено в Интернете. Есть очень подробное руководство
по использованию N-Code, которое предоставляет детальное
объяснение всех особенностей и возможностей N-Code.
Snort, с другой стороны, как мы уже отмечали, использует
текстовый файл с некоторыми правилами. Вот как выглядит
такой файл.
alert tcp
$HOME_NET 21 -> !$HOME_NET any
(msg:»FTP-Bad-login»;flags:PA; content:»530 Login
incorrect»;) alert tcp !$HOME_NET any -> $HOME_NET 21
(msg:»FTP-shosts»;flags:PA; content:».shosts»;) alert tcp
!$HOME_NET any -> $HOME_NET 21
(msg:»FTP-user-root»;flags:PA; content:»user root |0d|»;)
alert tcp !$HOME_NET any -> $HOME_NET 21
(msg:»FTP-user-warez»;flags:PA; content:»user warez |0d|»;)
alert tcp !$HOME_NET any -> $HOME_NET 21 (msg:»IDS213
-FTP-Password Retrieval»; content:»passwd»; flags: AP;)
alert icmp !$HOME_NET any -> $HOME_NET any (msg:»IDS118 -
MISC-Traceroute ICMP»;ttl:1;itype:8;)
Читать дальше... |
