FAQ

Степан Ильин aka Step

Хакер, номер #079, стр. 079-140-5

Q: Хочу поставить IDS на свой Windows 2003 сервер. Что посоветуешь?

A: К сожалению, существует не так много подходящих решений на базе Windows.

APS (Anti Port Scanner) (сz-oleg.com/secur/aps.htm) — утилита, предназначенная в первую очередь для обнаружения хакерских атак. Известно, что большинство хакеров активно используют сканирование портов жертвы. APS призвана эти сканирования отслеживать. Ее база содержит информацию о большом количестве портов, которые используют черви, известные бэкдоры и прочая дрянь. При желании эту информацию можно использовать для организации своего собственного Honeypot. APS блокирует работу сетевых червей и оповещает администратора по e-mail, net send или сообщением в syslog.

LaBrea (prdownloads.sourceforge.net/labrea) — миниатюрная программа, которая отлавливает попытки заражения и размножения известных червей.

KFSensor 1.3.0 (www.keyfocus.net/kfsensor) — хорошо зарекомендовавшая себя IDS-система, совмещающая функции Honeypot. С ее помощью администратор без труда сэмулирует наличие различных уязвимостей и троянов, тем самым привлекая потенциальных хакеров.

Snort (www.snort.org) — безусловно, наиболее известная и мощная IDS. Несмотря на всю свою простоту, Snort эффективно анализирует весь сетевой трафик по различным протоколам и умеет обнаруживать самые разнообразные типы нападений, а также попытки достучаться до портов бэкдоров, использовать технику переполнения буфера, CGI и SMB-нападения, определения типа ОС. Snort моментально реагирует на нападение и оповещает администратора.

Q: Почему использование VPN-соединения обеспечивает безопасность и анонимность в Сети лучше, чем цепочка соксов или проксей?

A: Работая через сокс- или прокси-сервер (или цепочку из них), ты хотя и не светишь свой IP-адрес, но передаешь весь трафик в открытом, незашифрованном виде. Твою информацию могут отснифать не только хакеры или провайдер — также она может попасть в поле зрения COMP’а, специального сервиса правоохранительных органов, который отслеживает подозрительный трафик. Помимо этого, твой реальный IP-адрес в некоторых случаях все-таки может быть определен. К примеру, если одна из проксей цепочки не поддерживает HTTPS-соединение, а удаленный сайт использует именно этот тип. Или, например, ты забыл отключить Java-машину и нарвался на ява-апплет — реальный IP определится как миленький.

Использование VPN-соединения полностью лишено этих недостатков. Все данные передаются в зашифрованном виде и криптуются по алгоритмам DES, Triple DES, различным реализациям AES. Помимо этого, активно применяются специальные методы идентификации и проверки целостности данных, гарантирующие, что информация дойдет до адресата именно в том виде, в каком она была послана. Это исключает MitM-атаку, когда посредник производит подмен или изменение проходящей через него информации.