Защита от хакеров корпоративных сетей

Исследование свободно распространяемых инструментальных средств

Каждому нравится приобретать что-либо бесплатно. Однако общим правилом всегда остается следующее: «Покупатель всегда получает то, за что он платит». Но автор может доказать, что в случае сканеров уязвимости это общее правило на самом деле является исключением. Хотя следует пояснить, что во избежание недоразумений следует понимать ограничения и надежды, связанные со свободно распространяемым программным обеспечением и программным обеспечением с открытыми текстами.

Свободно распространяемые инструментальные средства – это не программы, которые создаются большой группой наемных разработчиков за зарплату. Это пакеты, которые пишутся способными людьми в свободное время. Поддержка таких программ – явление очень редкое, а работа с большинством из них – не очень простое занятие и редко сводится к щелчку на иконке. Сказанное означает, что свободно распространяемое программное обеспечение с открытыми исходными текстами заняло свою нишу. Большинство из программ этого типа работает в соответствии с заявленными возможностями.

В этой секции рассматриваются некоторые популярные инструментальные средства (Nessus, SAINT, SARA, ShadowScan, Nmap, whisker и VLAD): их предназначение и эффективность. Конечно, знания читателя об этих инструментах могут сильно отличаться от знаний авторов, но они попытаются рассказать как о достоинствах, так и о недостатках подобных сканеров. Конечно, опыт работы пользователя с каждым из названных инструментальных средств может отличаться от опыта работы авторов с ними, но тем не менее авторы попытались рассмотреть все сопутствующие им проблемы, как хорошие, так и плохие.

Первым рассматривается инструментальное средство Nessus. Вероятно, Nessus является самым популярным и эффективным общедоступным сканером. Nessus – сканер уязвимости, во многом схожий с коммерческими сканерами, рассмотренными в предыдущей секции. На самом деле для свободно распространяемого инструментального средства сканирования он слишком хорош, а в некоторых случаях он даже лучше, чем большинство из коммерческих продуктов.

Сканер Nessus состоит из клиентской и серверной частей. Серверная часть сканера Nessus выполняется в среде UNIX, а клиентские части доступны для двух различных операционных платформ: UNIX и Win32. На рисунке 17.3 показана клиентская часть Nessus в момент сканирования. Сканер Nessus является одним из тех свободно распространяемых инструментальных средств, которые поддерживаются специально созданной для этой цели группой людей. Поэтому точность выполняемых им проверок конкурирует с аналогичными характеристиками коммерческих продуктов этого класса, а может быть, и превышает их. Как правило, читатель предпочитает использовать не один, а несколько сканеров для получения наиболее точных и полных результатов. И независимо от того, какой коммерческий инструментарий читатель выбрал, его вторым сканером должен быть Nessus. Сканер Nessus можно найти по адресу www.nessus.org.

Рис. 17.3. Выполнение сканирования сканером Nessus

Интегрированное сетевое инструментальное средство администраторов безопасности SAINT (Security Administrators Integrated Network Tool) является улучшенной версией одного из самых первых сканеров уязвимости SATAN (Security Administrators Tool for Analyzing Networks – инструментарий администратора безопасности для анализа сети). Сканер SATAN был выпущен в 1995 году и проверял всего лишь десять проблем, имеющих отношение к безопасности. Корпорация SAINT (бывшая World Wide Digital Security, Inc.) обновила и улучшила сканер SATAN, переименовала его в SAINT и выпустила как инструментарий, свободно используемый общественностью, вместе со множеством поддерживающих его коммерческих приложений. Подобно Nessus и большинству коммерческих продуктов, в сканере SAINT реализованы возможности по настройке или созданию своих собственных проверок безопасности сканируемых хостов. В свободно распространяемую версию средства выдачи отчетов не включены, хотя они могут быть проданы как программы, добавляемые для расширения возможностей сканера. Автор должен признать, что он лишь вкратце осветил SAINT, поскольку, по его мнению, он не предоставляет каких-либо существенных преимуществ по сравнению с возможностями тех средств, которые он обычно использует. Сканер SAINT можно найти по адресу www.saintcorporation.com.

Помощник администраторов безопасности для исследования сети SARA (Security Administrators Research Assistant) – является другим свободно распространяемым инструментальным средством, которое основано на оригинальном сканере SATAN. Сканер SARA очень похож на SAINT, за исключением того, что в его состав включены средства генерации отчетов в HTML и других форматах. Одним из общих недостатков обоих сканеров, как SAINT, так и SARA, является отсутствие в них индивидуального подхода к идентификации уязвимости. Оба сканера используют наиболее общий подход к сбору информации, перекладывая большую часть работы по анализу уязвимости на оператора. Однако потенциальным преимуществом сканера SARA является предоставление им интерфейса связи с другими инструментальными средствами обеспечения защиты, что позволяет пользователю применять сканер SARA совместно с инструментальными средствами из его комплекта инструментов. Сканер SARA может быть найден по адресу www.arc.com/sara/index.shtml.

Сканер ShadowScan является инструментальным средством обнаружения и обработки уязвимости с графическим интерфейсом пользователя, который подозрительно похож на интерфейс сканера Internet Scanner компании Internet Security Systems. В соответствии со сведениями, представленными на сайте его производителя (www.rsh.kiev.ua/newse.htm), сканер ShadowScan в процессе своей работы использует базу данных проверок, в которой хранятся данные о 1130 различных проверках. Это значительно больше соответствующего показателя большинства коммерческих продуктов. Поскольку автор ненавидит стереотипы, то дизайн Web-страницы наталкивает его на мысль, что правильнее будет отнести это средство к поделкам хакера-новичка, а не к профессиональным программам в области безопасности. Автор относит ShadowScan к свободно распространяемым инструментальным средствам, хотя его последняя версия распространяется на условиях пятнадцатидневного испытательного срока и стоит 100$ (4999$ с исходными текстами программы). Автор протестировал сканер в своей исследовательской лаборатории. Действительно, сканер выполняет все, что было заявлено в его рекламе. Но тема Web-сайта, его расположение и отсутствие исходных текстов программы не дают автору покоя и до конца не ясно истинное предназначение сканера и его качество. Автор собирается как-нибудь протестировать сканер как можно тщательнее и попытаться выявить существование низменных целей его создания, но без доступных для аудита исходных текстов нельзя быть ни в чем уверенным на все сто процентов. Бизнес в области безопасности, в особенности касающийся продуктов сканирования в интересах обеспечения безопасности, имеет отношение к кредитам и выполнению взятых на себя обязательств. Можете назвать автора параноиком, но он не хочет использовать свою кредитную карточку для перевода финансовых средств организации с контактной информацией, которую нельзя проверить. К тому же все, что происходит в бывшем Советском Союзе, не входит в список безопасных инвестиций автора.

Считается, что программы Nmap и NmapNT не предоставляют всех возможностей полноценных сканеров уязвимости. Тем не менее они являются полезным свободно распространяемым инструментальным средством, которое каждый профессионал в области безопасности должен иметь в своем комплекте инструментальных средств. Программа Nmap (www.insecure.org) была создана хакером Федором (Fyodor) и выполняется на различных ^NIX-системах. В ее состав входит не только собственно модуль сканирования порта, но и другие полезные режимы работы: способность выполнять сканирование портов в различных режимах и использование различных алгоритмов декодирования для маскировки сканирования. Программа Nmap в большинстве случаев может идентифицировать удаленные операционные системы и сканировать хосты, которые не отвечают на запросы утилиты ping по протоколу ICMP. Программа NmapNT (www.eeye.com/html/Research/Tools/nmapnt.html) является версией программы Nmap, которую компания eEye перенесла на платформы Windows NT и Windows 2000. Если все, в чем нуждается читатель, заключается в разведывании своих систем идентификации сети и определении, какие сервисы с какими портами связаны, то программа Nmap – это его инструментарий.

Сканер whisker, написанный хакером Rain Forest Puppy (RFP), является простым сканером уязвимости с использованием стандарта общего шлюзового интерфейса CGI (Common Gateway Interface). (Общий шлюзовой интерфейс CGI (Common Gateway Interface) – разработанный NCSA сетевой стандарт, предназначенный для создания серверных приложений HTTP.) Он написан на языке Perl. Ныне известная версия 1.4 этого сканера разбита на два проекта. Во-первых, это сканер whisker, который мы все знаем и любим. И во-вторых, l ibwhisker-модуль Perl, который использует сканер whisker. Сканер whiskers является традиционным CGI-сканером. Традиционные CGI-сканеры не обладают таким встроенным в них интеллектом. Они просто выбирают хост и заполняют его регистрационные журналы сведениями о ряде известных проблем интерфейса CGI, независимо от существования директории /cgi-bin/ и типа выполняющего Web-сервера. Подобные действия плохи тем, что не имеет смысла вслепую сканировать хост из-за пустой траты большого количества времени и бессмысленной пересылки по сети данных, уменьшая тем самым ее пропускную способность, а главное, из-за того, что действия вслепую приводят к пропуску большого числа проблем. Сканер whisker пытается решать эту проблему с помощью встроенного в него интеллекта, который проявляется в способе определения операционной системы и редакции сканируемого удаленного Web-сервера, а также в предоставлении возможности изменять или писать сценарии необходимых режимов сканирования. Кроме того, по требованию пользователя сканер whisker может попытаться использовать некоторые из методов уклонения от классических систем обнаружения вторжения. Но даже при всем этом whisker – это только CGI-сканер. Он не будет проверять другие уязвимости, как, например, наличие слабо защищенных версий Sendmail и BIND. И несмотря на это, whisker превосходит другие сканеры в том, что было задумано реализовать в нем. Это хорошее дополнение к любому комплекту инструментальных средств. Сканер whisker можно найти по адресу www.wiretrip.net/rfp/p/doc.asp/i5/d21.htm.

Сканер VLAD the Scanner является еще одним инструментальным средством, похожим на сканер whisker. Сканер VLAD the Scanner главным образом написан на языке Perl. Он был создан группой RAZOR компании BindView для высматривания десяти наиболее значимых уязвимостей в системе безопасности из списка SANS. Сканер VLAD – маленький, но очень эффективный инструментарий сканирования. Конечно, VLAD не проверяет всего того, что просматривает коммерческий сканер BV–Control for Internet Security компании BindView, но тем не менее он предоставляет пользователю возможность быстро просмотреть проблемы, попавшие в список десяти наиболее важных проблем компании SANS. Сканер VLAD – устаревший ребенок, поскольку SANS обновил свой список, заменив его списком из двадцати наиболее важных проблем. Но, несмотря на это, реализованные в нем возможности поиска слабых паролей и проверки CGI все еще остаются достаточно полезными. Сканер VLAD можно найти по адресу http://razor.bindview.com/tools/vlad/index.shtml.

Вполне вероятно, что в секции не было рассказано о других свободно распространяемых инструментальных средствах, число которых достаточно велико. Тем не менее были перечислены наиболее популярные из них. Сайты PacketStorm Security (www.packetstormsecurity.org) и Technotronic (www.technotronic.com) являются той парой ресурсов, которые позволят найти и загрузить некоторые из нерассмотренных свободно распространяемых инструментальных средств. После их загрузки следует проявить осторожность и полностью разобраться с тем, что позволяют сделать загруженные инструментальные средства. Кроме того, при первой же возможности следует получить исходные тексты программ загруженных инструментальных средств с целью проведения собственного аудита, для того чтобы гарантировать, что они работают именно так, как было разрекламировано.