А,В,Соколов, 0,М, Степанюк - Скачать документы

204
Предпринимает повторные попытки
вторжения в сеть
ИДЕНТИФИКАЦИЯ
ЗЛОУМЫШЛЕННИКА
Допускает очевидные ошибки
I
ПО ЕГО ДЕЙСТВИЯ!
YD° опытки скрыть свои следы
^ Попытки атаки в разное время в течение дня
Рис. 3.10. Идентификация злоумышленника
по его действиям
О предпринимает повторные попытки вторжения в сеть;
Q допускает очевидные ошибки;
Q предпринимает попытки атаки в разное время в течение дня;
Q хочет скрыть свои следы.
В случае неудачной попытки доступа к серверу случайные злоумышленники оставят
вас в покое. С другой стороны, опытные злоумышленники постараются собрать
информацию о сервере, чтобы вернуться позже и попытаться использовать другие слабости.
Например, в один прекрасный день при просмотре журналов IDS вы обращаете
внимание на то, что кто-то сканирует ваш почтовый сервер в поисках открытых портов
TCP и UDP. Двумя днями позже IP-адрес злоумышленника всплывает вновь, но на
этот раз злоумышленник нацеливается на открытые порты. Несколько часов спустя
он вводит последовательность команд SMTP через порт 25.
Каждое нажатие клавиши во время атаки дает ценную информацию об опыте атакующего.
Серьезный хакер не позволит себе терять драгоценное время на синтаксические
ошибки и метод проб и ошибок. Попытка ввести команды SMTP через порт
NNTP служит ясным свидетельством неопытности атакующего.
Картина доступа может дать такие важные сведения о злоумышленнике, как его
местонахождение, профессия и возраст. Большинство случайных атакующих осуществляют
свои попытки между 9 часами вечера и 1 часом ночи. Если попытки проникновения
имеют место по будним дням с 9 утра до 5 вечера, то наверняка они производятся
с рабочего места.
Были ли случаи, когда при проверке системных журналов событий вы обнаруживали,
что все записи за последние 12 часов пропали? Когда-либо замечали, что файл
истории команд для бюджета root таинственно исчез? Это признаки опытного атакующего.
Он позаботился об удалении всех свидетельств своих действий, не опасаясь, что
это приведет к подаче тревожного сигнала. Такое поведение аналогично действиям
грабителя, поджигающего дом перед тем, как бежать оттуда с награбленным.
Существенную помощь администратору в данном случае могут оказать системы
выявления атак.
Хотя системы выявления атак до сих пор считаются экспериментальными, они стали
значительно совершеннее с момента первого их использования (1988г.), причем до