مقاله در مورد برخی از روشهای نفوذ به شبکه وراههای مقابله باآن

بخشی از مقاله

در اين گفتار به دو روش بسيار مرسوم نفوذ به شبكه مي پردازيم ابتدا به بررسي روش نفوذ به شبكه از طريق روش Scan و سپس نفوذ به شبكه از طريق روش Trajanal backdoor مي پردازيم.
روش Scan هر نفوذگري با استفاده از يكسري اطلاعات ابتدايي بدست آمده از شبكه ي هدف همچون شماره هاي تلفن ، آدرس IP ، مامهاي Damain شبكه و ... ميتواند شبكه را به منظور يافتن شكافي قابل پويش مورد پويش (scan) قرار دهد.

و در روش Trojan or Backdoor نفوذگران بجاي اينكه زحمت حمله و شسكتن حريم امنيتي يك شبكه را به خود بدهند مستقيم تلاش مي كنند سيستم يك كاربر ناآشنا با مسائل امنيتي را با استفاده از نرم افزارهاي آلوده و مخربي چون Trojan‌و Backdoor ها آلوده نمايند. آنها با استفاده از اين حربه قادر خواهند بود بدون برجاي گذاشتن ردپايي مشخص از خود حملات بعدي را به راحتي از طريق ماشين قرباني سازماندهي و هدايت نمايند.

روش Scan :
در اين بخش قصد داريم با آشنايي با روشهاي مختلف Scan كه از جانب نفوذگران اجرا مي شود. از جمله Scan شبكه يافتن مودم هاي فعال (War-Dialing) ، Scan شبكه جهت بدست آوردن نقشه از شبكه موجود (Mapping Scan) ، Scan شبكه جهت يافتن پورت هاي باز موجود در شبكه (Port Scan)، Scan شبكه جهت يافتان آسيب پذيريهاي برجاي مانده در شبكه (Vulnerability Scan) و در انتهاي بخش نز Scan شبكه هاي بي سيم (War - Driving) را مورد بحث قرار مي دهيم و راههاي مقابله با اينگون پويشهاي شبكه را در انتهاي هر بخش شرح خواهيم داد.
Modem Scan (War – Dialing )
بطور كلي نفوذگران در اولين مرحله از پويش خود به سراغ مودمهاي فعال موجود در شبكه ميرود. نفوذگر با استفاده از اين تكنيك و ابزارهاي موجود همچون THC-Scan‌قادر خواهد بود كار شماره گيري شماره تلفن هاي شبكه جهت يافتن مودمهاي فعال و ناامن را اجرا نمايد. يك نفوذگر تنها زماني ميتواند از مودمهاي فعال پيدا شده نهايت استفاده را ببرد كه يك سرويس دهنده مودم همچون نرم افزارهاي PCAnywhere، Laplink و ... در سيستم مربوطه نصب شده باشد. اينگونه سرويس دهنده ها به كاربران راه دور خود اجازه ميدهند تا با يك سيستم ارتباط برقرار نموده و از آن براي دسترسي به فايل سيستم، اعمال تغييرات مورد نياز بر روي آن، اجراي برنامه هاي مورد نظر و يا حتي استفاده از منابع اشتراكي موجود در شبكه همچون فايلها، پرينتر و اسكنر استفاده نمايند.
نفوذگران در ابتداي كار پويش با استفاده از ابزاري همچون THC – Scan شروع به پويش شبكه

جهت يافتن مودهاي فعال و همچنين يافتن نوع سرويس دهنده آنها ميكنند و به عنوان مثال، به محض يافتن سرويس دهنده PCAnywhere بر روي مودم موجود كه هيچ كلمه عبوري نيز براي عبور تقاضا نمي كند كار پويش تمام شده محسوب شده و از آن به بعد نفوذگر تمركز خود را جهت دستيابي به سيستم ها و سرويس هاي مورد نظر در شبكه معطوف مي كند. در اين مرحله از

پويش حتي اگر نفوذگر با مودمي مواجه شود كه سرويس دهنده آن براي ورود او كلمه عبور تقاضا كند اقدام بعدي او حدس زدن كلمه عبور و ورود به زور ( Brute Force) به آن سيستم ميباشد كه او براي اين كار ميتواند از ابزارهاي خودكاري همچون THC Login Hacker براي تشخيص كلمه عبور استفاده نمايد.
مقابله در برابر حملات War – Dialing

• توصيه مؤكد آنست كه به هيچ وجه اجازه استفاده پراكنده و شخصي از مودم را به هيچ كس در شبكه نداده و در صورت ضرورت استفاده از آن، آنرا به صورت متمركز و تحت نظارت دقيق و مستقيم مدير شبكه قرار دهيد تا بصورت مستمر امكان نظارت و بازرسي چنين ارتباطاتي وجود داشته باشد.
• تنظيم خطوط تلفن مي بايست مبتني بر سياست هاي تعيين شده باشد.
• از ابزارهاي پويش همچون THC – Scan‌ براي شناسايي مودمهاي فعال و سرويس دهنده هاي آسيب پذير و قابل نفوذ آنها استفاده نماييد.
• بررسي فيزيكي تمام سيستم هاي موجود در شبكه جهت يافتن مودمهاي فعال و خطوط تلفني مرتبط با آنها را بصورت ادواري اجرا نماييد.
• بررسي شماره هايي كه در طول ماه با آنها ارتباط برقرار شده و يافتن تماسها و ارتباطات مشكوك و نامشخص را براي شناسايي متخلفين اجرا نماييد.
پويش جهت يافتن توپولوژي شبكه (Maooing Scan)
در حاليكه يك War – Dialer غالباً براي پويش مودم هاي فعال شبكه سودمند مي باشد بسياري از تكنيك هاي ديگر Scan بر روي پويش ماشينهاي متصل به يك شبكه (اينترنت يا شبكه داخلي) با آدرس IP مشخص قابل اجرا مي باشند.
غالباً در پويش از نوع يافتن توپولوژي شبكه نفوذگر سعي ميكند اطلاعات فني و دقيق تري از شبكه هدف بدست آورد. در اين روش پويش او تلاش ميكند تا ساختار و توپولوژي شبكه را ترسيم نموده و معماري شبكه را از نظر سرويس دهنده ها، روترها، فايروال ها، سوئيچ ها ، IDS ها و ديگر تجهيزات موجود در شبكه تعيين نمايد.

نفوذگر غالباً براي اجراي اين نوع پويش از فرامين و ابزار برشمرده شده در زير استفاد

ه مي نمايد:
• پيدا كردن سيستم هاي فعال شبكه با استفاده از دستور Ping (ICMO Echo Requestc) به آدرس IP هاي بدست آمده از شبكه اين امكان را براي نفوذگر فراهم مي كند تا سيستمها از لحاظ فعال بودن مورد آزمايش قرار دهد.
• استفاده از فرمان Traceroute يا Tracert نيز يكي از روشهاي تشخيص نقشه و توپولوژي شبكه توسط نفوذگر ميباشد. او با دريافت پيام Exceeded ICMP Time ميتواند هويت روتروهاي موجود در مسير را تشخيص داده و با مسيريابي بسته تا رسيدن به مقصد مورد نظر، نقشه اي كلي از شبكه را استخراج نمايد.
• اگر چه با استفاده از فرامين Ping‌و Trancroute و تحليل بازگشتي توپولوژي شبكه قابل استخراج ميباشد ولي نياز به صرف وقت فراوان دارد . براي رفع مشكل فوق مي توان از نرم افزارهاي موجود از جمله نرم افزار Cheops كه به صورت خودكار اقدام به نقشه برداري و تعيين سيستم هاي فعال در شبكه مي نمايد استفاده نمود.

مقابله جهت يافتن توپولوژي شبكه
• تنها قابليت Ping را بر روي سرورهاي عمومي كه در محيط DMZ قرار گرفته اند فعال نمايند تا ساير شبكه هاي مرتبط با شبكه شما توانايي تشخيص اتصال هاي فعال براي برقرار نمودن ارتباط را داشته باشند.
• غير از سرورهاي عمومي لازم است قابليت (ICMP)Ping را بر روي تمام سيستم هاي داخلي غير فعال نماييد.
• روترهاي مرزي با قابليت Packet Filter در شبكه را بگونه اي تنظيم نماييد كه بسته هاي ICMP ورودي به شبكه را بلوكه و حذف نمايند و علاوه بر آن بسته هاي خروجي ICMP‌از نوع Time Exceeded را نيز بلوكه نمايند. با اعمال اين سياست مي توانيد نرم افزارهايي همچون Traceroute , Cheops را از كارايي ساقط نماييد.


پويش جهت يافتن پورت هاي باز (Port Scan)
در مرحله قبل نفوذگر ماشينهاي فعال شبكه و همچنين توپولوژي تقريبي آن را از شناسايي نموده و اكنون ميخواهد بداند هر سيستم موجود در شبكه چه وظيفه اي برعهده دارد و چه خدماتي را ارائه ميدهد و علاوه بر آن هر كدام از خدمات و سرويسهاي ارائه شده به چه نحو در اختيار كارب

ران قرار مي گيرد.
اگر پورت هاي TCP/IP را به عنوان دربهاي ورودي يك سيستم فرض كنيم عمل پويش پورت يا همان Port Scan به منزله درب زدن است تا ببينيم آيا پراسس فعالي پشت درب هست يا خير.
تمام ابزارهاي پويش پورت مي توانند فهرست مشخصي از شماره پورتها را پويش نموده و باز يا بسته بودن آنها را مورد بررسي قرار دهند.

برخي از نرم افزارهاي معروف پويش پورت عبارتند از Nmap، Srtobe ، Ultrascan ، SuperScan كه از تمام ابزارهاي موجود نرم افزار Nimap بعنوان بهترين و كاملترين ابزار پويش پورت محسوب ميشود و اين ابزار از مكانيزمهاي متنوعي براي بررسي پورت هاي فعال استفاده مي نمايد كه در نوع خود بي نظير مي باشند.

مقابله با پويش پورت هاي شبكه
• حذف تمام سرويس هاي غير ضروي موجود بر روي سيستم ها.
• حذف برنامه هايي همچون كامپايلرها، مفسرها و ... كه شرايط نفوذ و اجراي حمله را براي نفوذگر راحتتر مي نمايند.
• جستجو و يافتن پورتهاي باز شبكه با استفاده از ابزار Nmap كه بهترين گزينه براي اجراي اين فرآيند پويش از نوع Polite مي باشد. اگر چه اين نوع پويش بسيار كند عمل مي نمايد ولي مطمئن تر و دقيقتر از ساير گزينه ها در بررسي پورتهاي فعال عمل مي نمايد.
• استفاده از فايروالهاي Stateful Inspection‌و Proxy جهت ثبت دقيق ارتباطات برقرار شده.
• هنگام استفاده از ابزارهاي پويش لازم است بر كارائي شبكه نظارت نموده و بطور مرتب سيستم هدف را تست نماييد تا در زمان اجراي فرآيند پويش، Crash‌ نكرده باشد.

پويش نقاط آسيب پذير (Vulnerability Scan)
دانستن اينكه يك پورت بر روي يك سيستم باز است يا خير هيچ سودي براي نفوذگر ندارد مگر آنكه نقطه ضعف پراسسي كه به آن شماره پورت مشخص گوش ميدهد را پيدا كند.
نفوذگر با استفاده از ابزارهاي موجود در اين گروه و با ارسال داده هاي نامتعارف به پراسس در حال شنود نقطه ضعف آنرا در مواجهه با اين داده ها بدست آورده و از همين حربه براي ضربه زدن به ماشين هدف استفاده ميكند.
برخي از نرم افزارها و سيستم عامل هاي موجود با نقاط ضعف عديده اي به بازار عرضه مي شوند و زمانيكه در دسترش عموم قرار مي گيرند خبرگان به سرعت نقاط ضعف آنها را استخراج و منتشر مي نمايند كه متعاقب آن Patch مربوط به آن عرضه مي شود ولي چون بسياري از كاربران از اين موضوع بي خبرند كماكان از نسخه اي داراي اشكال استفاده مي كنند.
معمولاً نفوذگر از نرم افزارهايي براي پويش نقاط آسيب پذير استفاده ميكند كه يك پايگاه داده نسبتاً كامل از نقاط ضعف بنيادي سيستم عامل ها و نرم افزارهاي معروف را در اختيار دارند و چون در مرحله پويش پورت با استفاده از Nmap نوع سيستم عامل ماشين هدف را تشخيص داده ، با استفاده از پايگاه داده موجود به دنبال اشكالات و نقاط ضعف بنيادي سيستم مربوطه مي گردد.
ابزارهاي كشف نقاط آسيب پذير داراي اجزاء برشمرده شده زير مي باشند :
• پايگاه داده اي از نقاط آسيب پذير سيستم ها و در كنار آن نحوه تست اين نقاط.
• واسط گرافيكي كاربر (GUI)

• موتور پويش (Scanning Engine)
• پايگاه داده اي از نقاط ضعف موجود بر روي يك سيستم كه در پويش جاري كشف شده است.
• بخش گزارش گيري و ثبت نتايج پويش.
ابزارهاي پويش نقاط آسيب پذير فقط در خدمت نفوذ گر نمي باشند بلكه بهعنوان ابزاري قدرتمند براي مديران شبكه نيز محسوب ميشوند.
برخي از ابزارهاي موجود براي اجراي اين فرايند امنيتي عبارتند از :
SATAN , SAINT , SARA , VLAD the scanner , Nessus كه از بين تمام اين ابزارها Nessus داراي مشخصات متمايزي ميباشد كه حتي برخي از نسخه هاي تجاري نيز از آن بي بهره اند.

مقابله با پويش نقاط آسيب پذير
• بستن تمام پورتهاي باز و بلااستفاه ميباشد.
• بطور مرتب در گروههاي خبري به دنبال نقاط آسيب پذير تازه كشف شده و نحوه مقابله با آنها گشته و جهت پيشگيري سريعاً سيستم هاي خود را با آخرين patch‌هاي ارائه شده مقاوم نماييد.
• استفاده ادواري از Nessus جهت شناسائي نقاط آسيب پذير بر جاي مانده در شبكه و رفع سريع آنها.
• جهت شناسائي تمام آسيب پذيريهاي تازه كشف شده ابزار Nessus نياز به بهنگام سازي مداوم دارد.
Wireless Scan (War –Driving )
اين نوع پويش به عنوان يكي از تكنيكها و روشهاي پويش در شبكه هاي بي سيم محسوب شده كه به علت وسعت محدوده اجرا و همچنين سهولت اجرا، همواره به عنوان يكي از خطرناكترين تهديددات براي شبكه هاي بي سيم مطرح بوده و ميباشد . فرد نفوذگر با در دست داشتن يك Laptop يا حتي يك PDA كه ابزارهايي همچون NetStumbler ، WEP Crack و يا AirSnort بر روي آن نصب شده، توانايي پويش شبكه هاي LAN و استراق سمع از آنها را به راحتي و حتي خارج از محدوده شبكه دارا ميباشد.

مقابله با War – Driving
• بكارگيري ايمن ترين استاندارد موجود (802.1x يا 802 . 11n ) و ايزوله نمودن شبكه داخلي از شبكه بي سيم با استفاده از VLAN و سوئيچ هايي كه اين قابليت را ارائه ميدهند.
• نظارت بر عملكرد تجهيزات (Access Point)AP ، تهيه ليستي از نقاط دسترسي مجاز و اجراي AAA جهت كنترل دسترسي به منابع موجود.
• استفاده از VPN ، گواهينامه ديجيتالي و پروتكل هاي امنيتي براي برقرار نمودن ارتباطات خارجي و داخلي و استفاده از قويترين تكنيك هاي رمزنگاري براي انتقال ايمن داده.
• غير فعال نمودن سرويس DHCP و استفاده از ابزار WirelessIDS و Passive Analyzer .
• مجهز نمودن ساختمان شبكه جهت جلوگيري از خروج امواج بي سيم از محدوده مجاز .
روش Trojan & Backdoor
Trojan ها

يك Trojan (تروجان) يك برنامه آلوده به كد اجرايي مخرب با ظاهري فريبنده ميباشد. اينگونه برنامه ها پس از آنكه بدست خود كاربر بر روي سيستم اجرا شدند يك سرويس دهنده كنترل و هدايت آن سيستم را در اختيار نفوذگر قرار مي دهند. از آن به بعد نفوذگر است كه تصميم مي گيرد با آن سيستم چه به كند، داده هاي حياتي همچون كلمات عبور را بدزدد، فايلهاي موجود را از بين ببرد و يا اينكه از آن براي حملات آتي خود استفاده نمايد.
امروزه اكثر Trojan ها پس از اجرا بر روي سيستم قرباني بصورت پنهان (Invisible ) عمل نموده و خود را بگونه اي نصب مي كنند كه پس از هر بار ورود كاربر به سيستم، آنها نيز بطور خودكار فعال شده و بدون هيچگونه اختلالي كه باعث شود كاربر از وجود آنها مطلع گردد به اجراي اهداف تخريبي و كنترل شده نفوذگر مي پردازند.
تروجان ها را برحسب نوع عملكردشان عمدتاً به هشت گروه زير طبقه بندي مي كنند:
1. (RAT) Remote Access Trojans : اين نوع تروجان دسترسي كامل به سيستم قرباني را از راه دور براي نفوذگر فراهم مي كند و نفوذگر هر عملي را كه بخواهد ميتواند با استفاده از اين تروجان انجام دهد.
2. Password Sending Trojan : اين نوع تروجان كلمات عبور مربوط به اجراي برنامه اي كه نيازمندبه عمل Login باشد رابي كم وكاست براي نفوذگرارسال مي كند.
3. Key loggers : اين نوع تروجان تمام كليدهاي فشرده شده در سيستم قرباني را ثبت و براي نفوذگر ارسال مي كند.
4. Destructive : اين نوع تروجان وظيفه حذف و نابود كردن فايلهاي موجود بر روي سيستم قرباني را عهده دار مي باشد.
5. FTP Trojan : از قديمي ترين نوع تروجان بوده و تنها كاري كه انجام مي دهد گشودن پورت 21 و اجازه ارتباط مهاجمان با سيستم قرباني مي باشد.
6. Software Detection Kikkers : اين نوع تروجان نرم افزارهاي كشف كننده ابزارهاي مخرب همچون ابزارهاي ضدجاسوسي، ضد ويروس، فايروال را هدف قرار داده و از عملكرد صحيح آنها جلوگيري مي كند. هدف اصلي اين نوع تروجان دسترسي راحت و بدون دغدغه نفوذگر به سيستم قرباني مي باشد.


Backdoor ها
اين نرم افزار به نفوذگر اين امكان را مي دهد تا بدون هيچگونه احراز هويتي به سيستم مورد نظر خود وارد شده و رخنه نفوذ به چنين سيستمي را

براي خود دائمي نمايد. از آنجا كه در برخي از سيستمها روشهاي بسيار پيشرفته براي احراز هويت كاربران و مبادله داده ها بصورت رمزنگاري شده اجرا مي شود، تنها نصب يك نرم افزار Backdoor به راحتي مي تواند تمام اين تكنيكهاي پيشرفته را د

ور زده و از پيش پاي نفوذگر بردارد. Netcat نمونه اي از اين نوع نرم افزار براي پلت فرم يونيكس بوده كه با اجراي آن بر روي سيستم قرباني يك راه بسيار ساده براي مبادله داده بين نفوذگر و قرباني ايجاد مي شود.
بطور كلي دلايل اصلي نفوذگران براي استفاده از Backdoor را مي توان اينگونه برشمرد : 1) در صورت تغيير Account كاربر باز راه نفوذ براي نفوذگر مهيا مي باشد. 2) با خارج شدن كاربر از سيستم و Logoff نمودن باز دسترسي به آن سيستم و نفوذ آن براي نفوذگر فراهم مي باشد، به عبارت ديگر اينگونه ابزارها همواره راه نوفذ دائم و مطمئني را براي نفوذگر به سيستم هاي مورد نظر او فراهم مي نمايند.