Привет, с вами опять научно популярная передача «В Мире Киберпреступников». Мы уже многое прошли и с многим ознакомились; завершить цикл статей я хочу конкретными примерами.

Лестницы к стене!

Посмотрите, например, на упрощенную топологию сети с которой я последнее время работаю.

• Во-первых, видно что неинтерестные нам регионы мы просто изобразили облачками.
• Во-вторых заметна страсть инженеров к резервированию — если один фаерволл упадет, траффик начнет ходить через запасной.
• Заметна модная нынче виртуализация. Входной шлюз разделен на четыре виртуальных устройства; при ошибке конфигурации или взлома одного из них, остальные не пострадают.
• Не очевидно, но важно понять — конечные сети сообщаются между собой проходя через Internal Router, при этом им навязываются правила прохода, их мониторят на аномалии, фильтруют подозрительную активность. Или, если он так настроен, не сообщаются вовсе :)

Допустим мы желаем проникнуть в исследовательскую сеть, которая с Интернетом, ессно, напрямую не сообщается. В первую очередь злоумышленник ищет метод укоренится за забором (FATE, средний уровень реализма).

Сетевик и системщик

Сетевую атаку легче всего провести на сервера (Помним, промежуточные устройства доступны только из OOB сети). Завелся даже специальные термин, демилитаризованная зона, изза того что сервера должны быть публично доступны (Они предоставляют услуги, помним? Чаще всего эта услуга — веб-сайт.) Это была хорошая новость, плохая: инженеры тоже знают что это самый легкий путь атаки. DMZ тщательнее всего проверяется на дыры и между самой DMZ и остальной сетью тоже строят защиту — на всякий пожарный.

1. Internet -> Servers. Фаерволл служит порогом(2) между зонами, аспект: «DMZ».
2. Servers -> Research. При выходе из ДМЗ фаерволл служит порогом(4)

Второй вариант — гостевая сеть. Установить зловредную станцию в гостевой (предположительно вай-фай) сети это очень легкий маневр. Но к сожалению сама гостевая сеть очень жестко порезана в правах доступа.

1. Guests -> Research. В этом направлении фаерволл будет порог(4), плюс стант: Раз в 10 минут сеть реинициализирует подключение, сбивая таким образом все незаконченные операции.

Программист и системщик

Червь (распространяющийся сам), вирус (заражающий пользовательские процессы), троян (прикидывающийся хорошим процессом) — любой метод взять под контроль узел рабочей сети. Мы предполагаем что из рабочей сети люди имеют легальный доступ в исследовательскую.

1. Написать код. Пускай сложность 5 и много времени
2. Заразить Users. Сложность 1-2, много времени
3. Users -> Research

Грифтер и системщик

Сразу несколько вариантов получить доступ к пользовательскому узлу. Выманить, найти пароль в мусорнике, все что фантазия позволит. Потом опять же открыть удаленный доступ на рабочей станции и пользоватся.

1. ...
2. Users -> Research

Слухачи

В данной сети нет сенсоров, что практически гарантирует отсутствие внимания со стороны живых людей. Помните, никто и никогда не сидит сутками напролет за экраном, «сражаясь» с хакерами в реальном времени. Сперва, сетевой монитор обнаруживает подозрительную сетевую активность или операционная система подозрительную активность в процессах — и от них уже инженер получает уведомление на почту/телефон.
Если бы в нашей сети стоял сенсор, следовало бы увелечить затрачиваемое время (чтобы хакерская активность не превышала порог статистической погрешности) и/или добавить правила по скрытности.

Сервисы

Заявки рода «я ломаю почту» или «я ломаю сайт» часто бывают обманчивы. Уточните у игрока что ему нужно: получить доступ к конфиденциальной информации, испортить сервис или может использовать сервис как шаг к следующей атаке.
Помним определение сервиса? Электропочта это оно самое. Это и сама услуга, и сервера на которых она крутится, и сами процессы на серверах. Плюс протоколы для общения процессов между собой.

Чужие письма мы можем прочитать если

• взломаем конкретный сервер на котором письма лежат
• взломаем протокол и заставим сервер отдать нам чужие письма
• введем правильный пароль, таким образом прикинувшись легитимным клиентом, что опять же:
  
  • проникнув на сервер с паролями, стырив хэш и rainbow attack его
  • напоить жертву в баре и пошерстить по его лаптопу
  • проникнуть в его домашнюю(!) сеть, man-in-the-middle его сетевой траффик и попытаться вычленить пароль в потоке
  • или скучно и долго перебирая варианты

Поломать работу сервиса можно

• перегрузив сервера потоком мусора, DDoS атака
• найдя уязвимость (протокола) которая вешает сервера, DoS.
  Месяца два тому мелькала на CVE уязвимость коммутаторов серии Cisco Nexus. Одно из самых мощных сетевых устройств в мире уходило в перезагрузку увидев 1(один) хитро сформированный пакет в потоке. Это фак-ап из разряда «мы все умрем», не забывайте, обычно сетевые устройства для злоумышленников практически неуязвимы.
• нарушив каналы связи между серверами или сервером и клиентом
• внеся разрушительные изменения в код или настройки процесса на сервере

Слать письма от имени жертвы (шаг к следующе атаке), если

• введем правильный пароль, таким образом прикинувщись легитимным клиентом, см. выше
• взломаем протокол и подделаем имя отправителя
• взломаем почтовый сервер, а затем внедрим наши изменения в почтовый процесс, чтобы он позволил нам слать почту от чужого имени

Сайт

Если же говорить про веб-сайты, то диалог с игроком еще важнее. Сайты чаще всего служат лицом какого-то сервиса и обычно персонажу нужен сам сервис, а не сайт. В остальном ход мыслей должен быть таким же:

Чтобы получить конфиденциальную информацию с Имажинарии
достаточно украсть хранилище данных — там и пароли, и статьи:

• взломать сервер и скопировать БД
• взломать протокол и прикинуться сервером-соседом с запросом провести резервное копирование
• получить уровень доступа Коммуниздия и приказать сайту слить БД
• заразить сервер (или лаптоп Коммуниздия) червем который сделает все за вас
• … любой другой метод пришедший вам в голову

Главное только не забыть что мы арендуем сервис у большой и хорошо защищенной веб-фермы.

Нарушить работу сервиса, использовать для дальнейших атак — смотрите примеры с почтой.

О себе, любимом

Любой злоумышленник, не только хакер, десять раз взвесит все аргументы перед началом действий. Пойманный хакер для партии бесполезен, да. Это ведет нас к сопутствующим любому взлому задачам.

Разведка

Начинается с сетевого скана, чтобы определить адреса активных узлов. Если предполагается наличие сенсора, скан растягивается по времени раз в десять чтобы не поднять тревогу.

Затем, интересущие нас узлы проходит через сканирование портов — определение какие службы на этом узле запущены и согласны открыть соединение. По результату делается вывод какие задачи данная станция несет и, приблизительно, какие версии софта на ней установлены.

Резюмируя, хакеры нечасто обладают свободой «ломай что хочу», практически всегда наоборот, злоумышленник ищет замок под свой ключ. Например имеет конкретную «отмычку» на, допустим, почтовый сервер Exim версии 6 и ниже, которая даст ему доступ к серверу на котором этот софт стоит. Или просто, смотрит на перечень возможных векторов выше и не может решить какой метод окажется проще. Сетевые сканы, сканы портов — все для того чтобы найти хотя бы одну подходящую станцию, хотя бы одну дыру в обороне. Очень, очень важная фаза.

Скрытность

Хакер всегда держит в рукаве длиннющий список методов уклонения от обнаружения. Это, уже несколько раз упомянутое, замедление (timing attack). Это фрагментация и манипулирование транспортными протоколами. Это маскировка текста под UTF коды. Их слишком много чтобы среднестатистический игрок вычитывал и знал их напамять.

Поэтому я рекомендую испльзовать такую же систему скрытности что и для физических проникновений. Может у вас все компетентные энтузиасты и вы будете на словах обсуждать «кто в какой тени прячется», может вы просто решите сделать неубедительный успех в броске «успехом с тревогой». Важно только помнить что скрытность имеет смысл лишь если есть наблюдатель, что ведет нас к заключительному параграфу.

Заметание следов

Каждый узел сети пишет логи. Кто логинился, что делал. Кто заходил на сайт, когда. Какие команды были введены. Какие процессы запущены. Какой процент сетевого канала был занят. Всякое бывает конечно, но предполагайте что пишеться все.

И опять мы должны обратится к игроку, на этот раз спросить, важно ли ему чтобы атака осталась незамеченной пост-фактум. Чаще всего нет. В таком случае достаточно использовать методы уклонения чтобы подозительных логов было поменьше.

Если же да, важно, то мы отправляемся в новый квест. Конечно же, журналирование это тоже служба. Где то есть сервер журналирования накапливающий информацию, есть SIEM анализирующий потоки инфы на предмет потенциальных тревог, есть протоколы общения и базы данных. Работать с этим предстоит точно так же как и с любым другим сервисом:

• поломать службу вовсе и пока инженеры заняты ее восстановлением совершить свое грязное дело
• хакнуть протокол и сказать серверу жертве что новый адрес накопителя — ваш собственный. сообщения идут, все спокойно, только идут не туда.
• проникнуть на сервер журналирования и… этот пример обсуждался в одной из предыдущих статей

Спасибо

Мыслите системами узлов, разделенных по ролям, контролирующих и помогающих друг другу но независимых узлов. Помните что это не техасская дуэль, а подкоп крепости. Не забывайте, что мы можем детализировать любой узел сети, превращая таким образом один скиллчек на серию разведок, взломов и заметаний следов внутри отдельно взятой станции.

Если вы дочитали до этого момента то можно меня поздравить. Или вас, с упорством, как взглянуть. Хочу верить что прочтение этих статей вас вдохновит на увлекательные игры (и не менее увлекательные отчеты по играм) и новые решения в игромеханиках.

Все неотвеченные вопросы (как, остались неотвеченные вопросы?!) вы можете задать в комментариях, а я на этом все же закончу.