10. Перехват трафика. Spoofing и атаки типа Man-in-the-Middle¶
Введение¶
DoS и DDoS в первую очередь направлены на нарушение доступности информационных систем.
Однако для злоумышленника интерес представляет не только возможность вывести систему из строя. Не менее опасной является возможность: - увидеть передаваемую информацию; - получить учетные данные; - узнать содержание сетевого обмена; - изменить передаваемые данные; - перенаправить пользователя на другой ресурс; - выдать себя за другое устройство или пользователя.
Именно такие угрозы связаны с перехватом сетевого трафика, spoofing и атаками Man-in-the-Middle.
Упрощенно различие можно представить следующим образом:
DoS / DDoS
↓
Нарушение доступности
Перехват трафика
↓
Нарушение конфиденциальности
Spoofing
↓
Подмена идентификатора или источника
Man-in-the-Middle
↓
Перехват + возможное изменение обмена
Эти атаки особенно опасны в сетях, где отсутствуют шифрование, аутентификация участников и надежная защита сетевой инфраструктуры.
Что такое сетевой трафик¶
Сетевой трафик — это поток данных, передаваемых между устройствами компьютерной сети.
Например:
В процессе взаимодействия передаются различные данные: - веб-запросы; - ответы серверов; - сообщения; - файлы; - DNS-запросы; - служебная информация; - данные приложений; - сведения о сетевых соединениях.
Сетевой трафик состоит из множества пакетов.
Упрощенно пакет можно представить как:
+-------------------------+
| Заголовок пакета |
+-------------------------+
| Данные |
+-------------------------+
В заголовках могут содержаться различные служебные сведения: - адрес отправителя; - адрес получателя; - информация о протоколе; - номера портов; - параметры соединения.
Содержимое данных зависит от используемого протокола.
Что такое перехват трафика¶
Перехват трафика — получение и анализ сетевых данных, передаваемых между устройствами.
Сам по себе перехват не всегда является атакой.
Например, сетевой администратор может анализировать трафик для: - поиска неисправностей; - диагностики сети; - обнаружения подозрительной активности; - расследования инцидентов; - контроля производительности.
Но если перехват выполняется без разрешения, он может стать нарушением конфиденциальности.
Например:
При обычном обмене пользователь рассчитывает, что данные попадут именно к серверу.
Если третья сторона получает возможность наблюдать этот обмен:
происходит перехват трафика.
Пассивный и активный перехват¶
Перехват можно условно разделить на пассивный и активный.
Пассивный перехват¶
При пассивном перехвате злоумышленник наблюдает за трафиком, не изменяя его.
Целью может быть получение: - информации о соединениях; - адресов устройств; - сведений о протоколах; - незашифрованных данных; - метаданных.
Активный перехват¶
При активном воздействии злоумышленник не только наблюдает трафик, но и пытается изменить взаимодействие.
Например:
В результате пользователь и сервер могут получать данные, которые были изменены посредником.
Активный перехват значительно опаснее пассивного.
Почему незашифрованный трафик опасен¶
Пользователь передает серверу:
Если данные передаются в незашифрованном виде, тот, кто получил доступ к трафику, потенциально может увидеть их содержимое.
Схема:
Поэтому передача конфиденциальной информации по незащищенному соединению является серьезным риском.
Шифрование трафика¶
Один из основных способов защиты — шифрование.
При шифровании исходные данные преобразуются таким образом, чтобы их содержимое нельзя было нормально прочитать без необходимых ключей.
Упрощенно:
Исходные данные
|
v
Шифрование
|
v
Зашифрованные данные
|
v
Сеть
|
v
Расшифрование
|
v
Исходные данные
Если злоумышленник перехватит зашифрованный трафик, наличие самого трафика еще не означает возможность прочитать его содержимое.
HTTPS как пример защиты¶
При использовании HTTPS обмен между браузером и веб-сервером защищается механизмами TLS.
Упрощенно:
HTTPS обеспечивает защиту содержимого соединения от простого просмотра третьими лицами.
Кроме того, TLS позволяет браузеру проверить подлинность сервера с помощью сертификата.
Это особенно важно для защиты от атак типа Man-in-the-Middle.
Что такое метаданные¶
Даже если содержимое трафика зашифровано, некоторые сведения могут оставаться доступными для анализа.
Например: - IP-адреса; - время соединения; - объем переданных данных; - направление трафика; - факт установления соединения; - используемые сетевые параметры.
Такая информация называется метаданными.
Упрощенно:
Поэтому шифрование значительно повышает безопасность, но не означает, что сеть полностью скрывает все сведения о взаимодействии.
Что такое Spoofing¶
Spoofing — это подмена или имитация определенного идентификатора, адреса или другого признака с целью выдать себя за другой объект.
В компьютерных сетях существует несколько разновидностей spoofing.
Например: - IP spoofing; - MAC spoofing; - ARP spoofing; - DNS spoofing; - подмена адреса электронной почты; - подмена идентификаторов различных сетевых объектов.
Основная идея:
IP Spoofing¶
IP spoofing — подмена исходного IP-адреса в сетевом трафике.
Например, устройство имеет адрес:
Но в определенной ситуации злоумышленник может сформировать пакет таким образом, чтобы в качестве источника был указан другой адрес.
Упрощенно:
Получатель видит указанный адрес, но он не обязательно соответствует реальному отправителю.
Для чего может использоваться IP spoofing¶
Подмена IP-адреса может использоваться в различных сценариях.
Например: - сокрытие реального источника некоторых пакетов; - определенные виды сетевых атак; - отраженные атаки; - обход некоторых примитивных правил фильтрации; - создание ложного представления об источнике трафика.
Важно понимать:
IP-адрес сам по себе не является надежным доказательством личности устройства или пользователя.
Это одна из причин, по которой нельзя строить всю систему безопасности исключительно на доверии к IP-адресам.
MAC Spoofing¶
MAC-адрес — аппаратный идентификатор сетевого интерфейса, используемый на канальном уровне.
Упрощенно:
В некоторых ситуациях программное обеспечение может изменить MAC-адрес, используемый сетевым интерфейсом.
Это называется MAC spoofing.
Например:
Поэтому MAC-адрес также нельзя считать абсолютным доказательством личности устройства.
ARP и доверие внутри локальной сети¶
Для понимания ARP spoofing необходимо знать принцип работы протокола ARP.
ARP (Address Resolution Protocol) используется в IPv4-сетях для определения MAC-адреса устройства по известному IPv4-адресу.
Например:
Устройство может отправить ARP-запрос:
Устройство с соответствующим адресом отвечает.
После этого информация может быть сохранена в ARP-кэше.
ARP Spoofing¶
ARP spoofing — атака, при которой злоумышленник пытается отправить ложную ARP-информацию, чтобы устройства сети связали определенный IP-адрес с MAC-адресом злоумышленника.
Упрощенная схема:
При успешной подмене:
В результате злоумышленник потенциально оказывается между двумя участниками обмена.
Это уже может привести к атаке Man-in-the-Middle.
Что такое Man-in-the-Middle¶
Man-in-the-Middle (MitM) — атака, при которой злоумышленник располагается между двумя участниками сетевого взаимодействия и получает возможность наблюдать или изменять их обмен.
В нормальной ситуации:
При MitM:
Главное отличие от простого пассивного перехвата заключается в том, что злоумышленник стремится стать посредником в соединении.
Почему атака называется Man-in-the-Middle¶
Название буквально означает:
«человек посередине».
В реальной атаке посредником, конечно, может быть не человек, а: - компьютер; - сервер; - сетевое устройство; - вредоносное программное обеспечение; - скомпрометированный маршрутизатор; - точка доступа.
Поэтому правильнее говорить:
злоумышленник находится между участниками взаимодействия.
Основная схема MitM¶
Рассмотрим обмен между клиентом и сервером.
Нормальное взаимодействие¶
При MitM¶
Злоумышленник может: 1. получать данные от клиента; 2. анализировать их; 3. при определенных условиях изменять их; 4. передавать их серверу; 5. получать ответ сервера; 6. снова анализировать или изменять ответ; 7. передавать результат клиенту.
Что может получить злоумышленник¶
Если соединение недостаточно защищено, злоумышленник потенциально может получить: - логины; - пароли; - содержимое сообщений; - передаваемые файлы; - идентификаторы сессий; - информацию о посещаемых ресурсах; - другие конфиденциальные данные.
Кроме того, при активной атаке он может пытаться изменить передаваемую информацию.
Перехват и изменение данных¶
Рассмотрим простой пример.
Пользователь отправляет:
Если злоумышленник имеет возможность изменять трафик:
Это показывает, почему целостность данных так же важна, как их конфиденциальность.
Защищенное соединение должно обеспечивать не только невозможность простого чтения информации, но и защиту от незаметного изменения передаваемых данных.
MitM и триада информационной безопасности¶
Атаки Man-in-the-Middle могут затрагивать сразу несколько свойств безопасности.
Конфиденциальность¶
Злоумышленник может получить доступ к передаваемой информации.
Целостность¶
Злоумышленник может попытаться изменить данные.
Доступность¶
В некоторых сценариях злоумышленник может нарушить нормальный обмен или полностью заблокировать соединение.
Таким образом, MitM потенциально может воздействовать сразу на несколько элементов триады CIA.
MitM в публичной Wi-Fi-сети¶
Особенно часто угроза MitM рассматривается применительно к ненадежным сетям.
Например:
Если пользователь подключается к неизвестной или неправильно настроенной точке доступа, существует риск взаимодействия с недоверенной инфраструктурой.
Особенно опасны: - неизвестные точки доступа; - сети без защиты; - поддельные точки доступа; - неправильно настроенные сети.
Evil Twin¶
Одним из вариантов угрозы является Evil Twin — поддельная точка доступа, имитирующая настоящую.
Например, существует сеть:
Злоумышленник создает сеть с похожим названием:
Пользователь может ошибочно подключиться к поддельной точке.
Упрощенно:
Если устройство подключилось к злоумышленнику, тот получает возможность контролировать сетевой путь пользователя.
Однако наличие такой точки само по себе еще не означает, что злоумышленник сможет прочитать содержимое HTTPS-трафика.
Современное шифрование существенно усложняет такую атаку.
DNS Spoofing¶
DNS spoofing — подмена или фальсификация DNS-информации.
DNS используется для преобразования доменных имен в IP-адреса.
Например:
При подмене пользователь может получить неправильный адрес:
В результате пользователь может оказаться не на настоящем сервере.
Схема:
Это может использоваться для перенаправления пользователей.
Как DNS Spoofing связан с MitM¶
Если злоумышленник получает возможность влиять на DNS-обмен:
он может попытаться направить пользователя на другой ресурс.
Если пользователь при этом не способен проверить подлинность сервера, возникает опасная ситуация.
Поэтому DNS также является важным элементом сетевой безопасности.
Почему HTTPS важен против MitM¶
Представим:
Если соединение не защищено, посредник может иметь возможность увидеть или изменить передаваемую информацию.
При использовании корректно настроенного TLS:
Сам факт прохождения трафика через посредника еще не позволяет ему просто прочитать содержимое.
Однако важнейшее условие — корректная проверка подлинности сервера и сертификата.
Сертификаты и доверие¶
TLS использует цифровые сертификаты для подтверждения личности сервера.
Упрощенно:
Браузер
|
| "Ты действительно example.com?"
v
Сервер
|
| сертификат
v
Проверка
|
+-- корректен → соединение продолжается
|
+-- проблема → предупреждение/ошибка
Если пользователь игнорирует предупреждения браузера о сертификате, он может существенно снизить защиту от MitM.
Поэтому сообщения браузера о проблемах сертификата нельзя бездумно игнорировать.
Аутентификация как защита¶
Шифрование само по себе не всегда достаточно.
Необходимо также понимать:
с кем именно установлено соединение?
Например:
TLS решает обе задачи в рамках своей модели: - защищает содержимое; - помогает проверить подлинность сервера.
Защита локальной сети от ARP Spoofing¶
В управляемых сетях существуют механизмы защиты от подмены ARP-информации.
В зависимости от оборудования и архитектуры могут применяться: - статические ARP-записи в отдельных случаях; - DHCP Snooping; - Dynamic ARP Inspection; - Port Security; - сегментация VLAN; - контроль доступа к портам; - мониторинг ARP-активности.
Например:
Такие механизмы позволяют коммутатору проверять определенные сетевые данные и блокировать подозрительные действия.
DHCP Snooping¶
DHCP Snooping — механизм защиты коммутатора от некоторых видов атак, связанных с DHCP.
Коммутатор разделяет порты на доверенные и недоверенные.
Упрощенно:
DHCP-сервер
|
Доверенный порт
|
[Коммутатор]
/ \
/ \
Недоверенный Недоверенный
порт порт
| |
ПК 1 ПК 2
Это позволяет контролировать, откуда могут поступать определенные DHCP-сообщения.
Кроме того, DHCP Snooping может формировать таблицу соответствий: - MAC; - IP; - VLAN; - порт коммутатора.
Эта информация может использоваться другими механизмами защиты.
Dynamic ARP Inspection¶
Dynamic ARP Inspection (DAI) — механизм защиты от некоторых атак ARP spoofing.
Коммутатор проверяет ARP-сообщения и сравнивает информацию с известными соответствиями.
Упрощенно:
Таким образом, сетевое оборудование может участвовать в защите не только от внешних атак, но и от угроз внутри локальной сети.
Сегментация сети как мера защиты¶
Сегментация ограничивает область распространения некоторых атак.
Например:
Если злоумышленник получил доступ к одному сегменту, ему сложнее воздействовать на все остальные.
Сегментация особенно важна для: - корпоративных сетей; - серверных сегментов; - Wi-Fi; - сетей управления; - критически важных систем.
Защита административного трафика¶
Административные протоколы также должны быть защищены.
Не рекомендуется передавать административные учетные данные в открытом виде.
Для удаленного управления предпочтительны защищенные протоколы и механизмы: - SSH вместо Telnet; - HTTPS вместо HTTP для административных веб-интерфейсов; - защищенные VPN-соединения; - многофакторная аутентификация там, где она доступна.
Упрощенно:
Незащищенное управление
↓
Высокий риск перехвата
Защищенное управление
↓
Шифрование + аутентификация
VPN как средство защиты¶
VPN позволяет создать защищенный канал поверх другой сети.
Упрощенно:
Даже если трафик проходит через недоверенную сеть, содержимое VPN-туннеля защищается криптографическими механизмами.
Однако VPN не является универсальным решением всех проблем.
Необходимо защищать: - учетные записи; - конечные устройства; - VPN-шлюз; - конфигурацию; - криптографические ключи.
Основные признаки возможного MitM¶
На практике обнаружение MitM может быть сложнее, чем обычной DDoS-атаки.
Возможными признаками могут быть: - неожиданные предупреждения о сертификатах; - изменение сетевых параметров; - появление неизвестных устройств; - подозрительные изменения ARP-таблицы; - неожиданные изменения DNS; - неизвестные точки доступа; - нестандартные маршруты; - повторные запросы аутентификации; - необычное поведение сетевого оборудования.
Ни один отдельный признак не доказывает наличие MitM.
Необходимо анализировать совокупность событий.
ARP-таблица как источник информации¶
В локальной IPv4-сети администратор может анализировать ARP-таблицы.
Например:
Если один MAC-адрес неожиданно начинает соответствовать нескольким важным IP-адресам, это может быть поводом для проверки.
Однако такая ситуация может возникать и по совершенно нормальным причинам.
Поэтому ARP-таблица является источником информации для анализа, а не автоматическим доказательством атаки.
Перехват трафика и Wireshark¶
Для анализа сетевого трафика администраторы и специалисты по информационной безопасности используют анализаторы протоколов.
Одним из наиболее известных является Wireshark.
Он позволяет: - захватывать сетевые пакеты; - просматривать заголовки; - анализировать протоколы; - изучать соединения; - находить сетевые ошибки; - исследовать подозрительную активность.
Упрощенная схема:
Сетевой интерфейс
|
v
Wireshark
|
+-- Ethernet
+-- ARP
+-- IP
+-- TCP/UDP
+-- DNS
+-- HTTP и другие протоколы
В учебной работе такой инструмент может использоваться для анализа собственной лабораторной сети.
Почему Wireshark не является средством атаки¶
Wireshark в первую очередь является инструментом анализа.
Его применение может быть полностью легитимным: - диагностика сети; - обучение; - поиск неисправностей; - расследование инцидентов; - анализ производительности.
Проблема возникает не из-за самого инструмента, а из-за того, какой трафик анализируется и с какими полномочиями.
Поэтому при практических работах следует использовать только: - собственные устройства; - учебные стенды; - специально выделенные лабораторные сети.
Защита от перехвата трафика¶
Основные меры:
1. Использование шифрования¶
Например: - HTTPS; - SSH; - TLS; - VPN.
2. Аутентификация¶
Необходимо проверять, с каким сервером устанавливается соединение.
3. Защита Wi-Fi¶
Использование современных механизмов безопасности беспроводных сетей.
4. Сегментация¶
Разделение пользователей, серверов и административного трафика.
5. Защита коммутаторов¶
Использование механизмов Port Security, DHCP Snooping, Dynamic ARP Inspection и других доступных средств.
6. Мониторинг¶
Контроль необычных изменений в сети.
7. Обучение пользователей¶
Пользователь должен понимать опасность: - неизвестных Wi-Fi; - предупреждений сертификата; - подозрительных сетевых запросов; - неизвестных VPN и прокси.
Защита от Spoofing¶
Универсального средства защиты от всех видов spoofing не существует.
Для разных уровней используются разные механизмы.
| Вид подмены | Возможные меры защиты |
|---|---|
| IP spoofing | фильтрация, контроль маршрутов, антиспуфинг |
| MAC spoofing | Port Security, контроль доступа |
| ARP spoofing | DHCP Snooping, Dynamic ARP Inspection |
| DNS spoofing | защищенные механизмы DNS, контроль DNS-инфраструктуры |
| Подмена веб-сервера | TLS и проверка сертификатов |
| Поддельная Wi-Fi сеть | проверка сети, защищенная аутентификация |
Главный принцип:
нельзя доверять одному идентификатору без проверки контекста.
Защита от MitM¶
Защита строится вокруг трех основных принципов:
Шифрование¶
Не позволяет посреднику просто прочитать содержимое.
Аутентификация¶
Позволяет убедиться, что соединение установлено с нужным участником.
Контроль сети¶
Снижает вероятность того, что злоумышленник вообще сможет стать посредником.
Типичная цепочка атаки¶
Рассмотрим концептуальный пример.
1. Разведка
↓
2. Поиск уязвимой сети
↓
3. Получение доступа к сетевому сегменту
↓
4. Spoofing
↓
5. Злоумышленник становится посредником
↓
6. Перехват трафика
↓
7. Анализ данных
↓
8. Возможное изменение обмена
Однако если используется правильно настроенное шифрование и аутентификация:
Попытка перехвата
↓
Злоумышленник видит трафик
↓
Данные зашифрованы
↓
Подлинность сервера проверяется
↓
Атака значительно усложняется
Поэтому безопасность должна строиться не на предположении, что перехват невозможен, а на предположении:
даже если трафик будет перехвачен, злоумышленник не должен получить возможность использовать его содержимое.
Пример защищенной корпоративной сети¶
Рассмотрим организацию:
Интернет
|
Firewall
|
+---------+---------+
| |
DMZ LAN
| |
Web-сервер +----+----+
| |
VLAN 10 VLAN 20
Пользователи Серверы
|
VLAN 30
Администрирование
Для защиты используются: - VLAN; - межсетевой экран; - защищенное администрирование; - HTTPS; - SSH; - контроль доступа; - DHCP Snooping; - Dynamic ARP Inspection; - мониторинг.
Такая архитектура значительно усложняет проведение MitM-атак.
Роль системного и сетевого администратора¶
Администратор должен контролировать не только доступность оборудования, но и доверенность сетевого взаимодействия.
Основные задачи: 1. Использовать защищенные протоколы. 2. Отключать устаревшие и ненужные протоколы. 3. Разделять пользовательский и административный трафик. 4. Контролировать сетевые устройства. 5. Настраивать защиту коммутаторов. 6. Контролировать DNS-инфраструктуру. 7. Использовать мониторинг. 8. Анализировать подозрительные изменения сетевой конфигурации. 9. Контролировать сертификаты и TLS. 10. Обучать пользователей безопасной работе с сетями.
Типичные ошибки¶
Ошибка 1. Использование незашифрованных протоколов¶
Например, передача административных данных через незащищенное соединение.
Ошибка 2. Игнорирование предупреждений сертификатов¶
Пользователь видит предупреждение и просто нажимает «Продолжить».
Это может позволить атакующему использовать поддельный сертификат или другую схему перехвата.
Ошибка 3. Доверие к неизвестным Wi-Fi¶
Подключение к сети только потому, что ее название кажется знакомым.
Ошибка 4. Отсутствие сегментации¶
Все устройства находятся в одном сетевом сегменте.
Ошибка 5. Отсутствие контроля коммутаторов¶
В локальной сети отсутствуют механизмы защиты от подмены сетевых данных.
Ошибка 6. Использование устаревших протоколов¶
Старые протоколы могут не обеспечивать необходимый уровень защиты.
Сравнение основных понятий¶
| Понятие | Суть |
|---|---|
| Перехват трафика | Получение и анализ сетевого обмена |
| Пассивный перехват | Наблюдение без изменения трафика |
| Активный перехват | Наблюдение с возможным изменением обмена |
| Spoofing | Подмена идентификатора или источника |
| IP spoofing | Подмена IP-адреса |
| MAC spoofing | Подмена MAC-адреса |
| ARP spoofing | Подмена ARP-информации |
| DNS spoofing | Подмена DNS-информации |
| MitM | Посредник между двумя участниками обмена |
| Evil Twin | Поддельная точка беспроводного доступа |
| TLS | Протокол защиты сетевого взаимодействия |
| HTTPS | HTTP поверх защищенного TLS-соединения |
| VPN | Защищенный туннель через другую сеть |
Связь с триадой CIA¶
Рассмотрим влияние изученных угроз:
| Угроза | Конфиденциальность | Целостность | Доступность |
|---|---|---|---|
| Перехват незашифрованного трафика | Высокое влияние | Низкое | Низкое |
| Spoofing | Среднее | Высокое | Среднее |
| MitM | Высокое | Высокое | Возможное |
| DoS/DDoS | Низкое | Низкое | Высокое |
Это показывает, почему защита сети должна учитывать сразу несколько свойств информационной безопасности.
Общая схема угроз¶
Можно представить рассмотренные темы следующим образом:
Угрозы сети
|
+----------------+----------------+
| | |
v v v
Конфиденциальность Целостность Доступность
| | |
v v v
Перехват Spoofing DoS/DDoS
| |
+-------+--------+
|
v
MitM
При этом реальные атаки могут одновременно затрагивать несколько свойств.
Заключение¶
Перехват сетевого трафика представляет угрозу прежде всего для конфиденциальности передаваемой информации.
Spoofing — это подмена определенного идентификатора или источника с целью создать ложное представление о том, кто является отправителем или участником взаимодействия.
Man-in-the-Middle — атака, при которой злоумышленник оказывается между двумя участниками сетевого обмена и получает возможность наблюдать или при определенных условиях изменять передаваемую информацию.
Особенно важными разновидностями spoofing являются: - IP spoofing; - MAC spoofing; - ARP spoofing; - DNS spoofing.
Защита от подобных угроз строится на сочетании: - шифрования; - аутентификации; - проверки сертификатов; - защищенных протоколов; - сегментации сети; - защиты коммутаторов; - контроля DNS; - мониторинга; - безопасной настройки Wi-Fi; - обучения пользователей.
Главный принцип:
Нельзя считать сетевой путь доверенным только потому, что устройство подключено к знакомой сети.
Современная сетевая безопасность должна исходить из того, что отдельные элементы сетевой инфраструктуры или сам канал передачи могут быть скомпрометированы.
Поэтому необходимо обеспечивать защиту данных даже в ситуации, когда злоумышленник получил возможность наблюдать за сетевым обменом.
Контрольные вопросы¶
- Что такое сетевой трафик?
- Что понимается под перехватом сетевого трафика?
- Чем пассивный перехват отличается от активного?
- Почему передача конфиденциальной информации в незашифрованном виде представляет опасность?
- Что такое spoofing?
- Что такое IP spoofing?
- Что такое MAC spoofing?
- Для чего используется протокол ARP?
- Что такое ARP spoofing?
- Что такое атака Man-in-the-Middle?
- В чем заключается основная опасность MitM-атаки?
- Что такое DNS spoofing?
- Как HTTPS и TLS помогают защищаться от перехвата и MitM?
- Для чего применяются DHCP Snooping и Dynamic ARP Inspection?
- Какие основные меры позволяют защитить компьютерную сеть от перехвата трафика, spoofing и атак Man-in-the-Middle?