Защита от хакеров корпоративных сетей

Carnivore

Carnivore является Интернет-перехватчиком, разработанным Федеральным бюро расследований (FBI) Соединенных Штатов Америки. Он разработан для специальных нужд обеспечения правопорядка. Например, некоторые ордера судов позволяют использование рукописного протокола наблюдения только адресов электронной почты отправителя и получателя, но некоторые могут позволить полный перехват сообщений электронной почты. Краткое изложение отличительных особенностей представлено в конфигурационной программе, показанной на рис. 10.7.

Рис. 10.7. Конфигурационная программа Carnivore^

Отличительные особенности:

• наборы фильтров. Настройки сохраняются в конфигурационные файлы; пользователь может быстро менять параметры прослушивания, выбирая разные наборы фильтров;

• сетевые адаптеры. Система может иметь несколько сетевых адаптеров; одновременно может быть выбран только один адаптер для прослушивания;

• размер файла архива. Можно задать предел на количество перехватываемой информации; по умолчанию заполняет весь диск;

• использование памяти. Сетевой трафик может приходить быстрее, чем может быть записан на диск; память сбрасывает в буфер входящие данные;

• фиксированный IP-адрес. Весь входящий и исходящий трафик диапазона адресов может быть отфильтрован. Например, подозреваемый может иметь фиксированный IP-адрес 1.2.3.4, назначенный кабельному модему. ФБР может получить ордер суда, позволяющий им прослушивать весь трафик подозреваемого;

• протоколы для перехвата. Обычно ордер суда позволяет перехватывать только специфический трафик, например SMTP поверх TCP. В режиме «Pen» перехватываются только заголовки;

• текстовые строки данных. Данная отличительная особенность заключается в поиске ключевых слов в трафике. Ордер суда должен точно определять, что подлежит прослушиванию, будь то, например, IP-адрес или учетная запись электронной почты. Расширенный поиск по ключевым словам нелегален в Соединенных Штатах Америки. ФБР отрицает, что Carnivore имеет данную особенность;

• порты. Возможно создание списка TCP– и UDP-портов. Например, если ФБР имеет ордер суда, позволяющий прослушивание сообщений электронной почты, оно может указать конкретные порты электронной почты 25,110 и 143;

• SMTP-адреса электронной почты. Типичный сценарий представляет собой следующее. Carnivore прослушивает сервер электронной почты поставщика услуг Интернет, отбрасывая все сообщения, кроме сообщений подозреваемого. Сессия обмена электронной почтой прослеживается до нахождения адреса электронной почты подозреваемого, далее все пакеты, составляющие сообщение, перехватываются;

• динамические IP-адреса. Когда пользователи пользуются услугами коммутируемого Интернета, они подключаются посредством протокола RADIUS, который раздает им IP-адреса. Обычно ФБР запрашивает почты поставщика услуг Интернет перенастроить RADIUS-сервера таким образом, что нарушителю будет выдаваться один и тот же IP-адрес, и прослушивает исходящий и входящий трафики с этого IP-адреса. (Необходимо отметить, что если вы пользователь коммутируемого Интернета и подозреваете, что ФБР прослушивает ваш трафик, всегда проверяйте ваш IP-адрес при выходе в сеть.) Иногда это невозможно. Carnivore может быть настроен для прослушивания протокола RADIUS и динамически определять новый IP-адрес, выданный подозреваемому. Прослушивание начинается с момента присвоения IP-адреса и заканчивается при завершении сеанса.

ФБР разработало Carnivore потому, что утилиты, такие как dsniff, не подходят для нужд обеспечения правопорядка. Когда сообщение электронной почты передается через сеть, оно разбивается на большое количество пакетов. Утилиты, такие как mailsnarf (описана выше), собирают сообщение в его первоначальный вид. Это плохо, так как адвокат подозреваемого будет оспаривать его точность: не был ли пропущен пакет из середины сообщения, изменяющий его значение? Не попал ли пакет другого сообщения в данное? Перехватывая необработанные пакеты, а не собирая их, Carnivore поддерживает настоящую последовательность чисел, портов и временных меток. Любые пропавшие или лишние пакеты легко прослеживаются, что позволяет ФБР отстаивать точность системы.

Другая проблема, с которой сталкивается ФБР, заключается в минимизации прослушиваемой информации. Когда ФБР подключается к вашей телефонной линии, они должны приставить агента слушать ее. Если кто-либо другой использует телефон (например, ваша супруга или дети), они должны выключить магнитофон. Аналогично Carnivore разработан для избежания прослушивания чего-либо, не принадлежащего подозреваемому. Типичным примером является использование Carnivore для наблюдения активности пользователей коммутируемого Интернета. Carnivore содержит модуль прослушивания RADIUS-трафика, используемого большинством из поставщиков услуг Интернет для аутентификации пользователей и назначения им динамических IP-адресов. Это позволяет Carnivore^ прослушивать только данного пользователя без перехвата трафика остальных пользователей. Экземпляр программы, содержащей много особенностей Carnivore, может быть найден на сайте данной книги (www.syngress.com/solutions).

Дополнительная информация

Существуют несколько интересных ресурсов, которые предоставляют более полный список существующих анализаторов сетевого трафика, вот некоторые из них.

• Список сетевых анализаторов трафика доступен на Underground Security Systems Research: www.ussrback.com/packetsniffers.htm.