Анализируем сетевую кровь

Иван Скляров (www.sklyaroff.ru)

Хакер, номер #080, стр. 080-102-2

С помощью флага '-vvv' можно получить максимально подробный вывод. Меньшую информацию выдают флаги: '-v' и '-vv'. Обо всех возможных опциях можно узнать на страницах справочного руководства tcpdump(8).

[формат выходной информации tcpdump]

В начале каждой строки листинга tcpdump ставится отметка времени, которая является текущим временем часов в формате: "hh:mm:ss.frac", где frac - это доли секунд. За отметкой времени может указываться интерфейс, на который происходит прием пакетов, например, eth0, eth1, lo и т. п. Запись "eth0<" означает, что идет прием пакетов на интерфейс eth0. Соответственно, запись "eth0>" означает, что идет отправка пакетов в сеть с интерфейса eth0. Дальнейшие сведения зависят от типа принимаемого пакета (ARP/RARP, TCP, UDP, NBP, ATP). Далее показаны форматы для некоторых основных типов пакетов.

1. TCP-пакеты

src.port > dst.port: flags data-seqno ack window urgent options

src.port и dst.port - это IP-адрес и порт источника и приемника пакетов.

flags - это флаги, установленные в заголовке TCP-пакета. Могут принимать комбинации из символов S (SYN), F (FIN), P (PUSH), R (RST), также в этом поле может стоять одна точка '.', которая означает отсутствие установленных флагов.

data-seqno - описывает данные, содержащиеся в пакете в таком формате: first:last(nbytes), где first и last - номер последовательности первого и последнего байта пакета, nbytes - количество байт данных. Если параметр nbytes равен нулю, то first и last совпадают.

ack - следующий номер последовательности (ISN + 1).

window - размер окна.

urgent - указывает на наличие срочных данных в пакете (флаг URG).

options - здесь могут указываться дополнительные сведения, например <mss 1024> (максимальный размер сегмента).

2. UDP-пакеты

src.port > dst.port: udp nbytes

udp - метка, указывающая на то, что идет анализ UDP-пакетов.

nbytes - число байт данных, содержащих UDP-пакет.

3. ICMP-пакеты

src > dst: icmp: type

icmp - метка, идентифицирующая ICMP-пакет.

type - тип ICMP-сообщения, например, echo request или echo reply.

[учимся распознавать атаку в листингах tcpdump]

Некоторые системы обнаружения атак (NIDS) используют журналы протоколирования, созданные утилитой tcpdump, но мы сейчас научимся самостоятельно определять основные типы атак в листингах tcpdump.

На рисунке 1 показан листинг tcpdump, в котором зафиксировала DoS-атака SYN Flood против узла 172.23.115.22. Об этом говорит множество SYN-запросов на один порт (80/tcp) за очень короткий промежуток времени (десятки запросов за одно и то же время: 13:15:11.580126).

На рисунке 2 зафиксирована распределенная DoS-атака (DDoS) ICMP flooding (flood ping). На первый взгляд можно подумать, что это обычный ping хоста, поскольку просто принимаются ICMP-сообщения echo request, а в ответ посылаются сообщения ICMP echo reply. Если бы не слишком большое число запросов за столь короткий промежуток времени, к тому же все они приходят с разных IP-адресов.

На рисунке 3 видно, что IP-адреса, а также порт источника и приемника совпадают - это явный признак атаки Land. Шторм Land-запросов приводит к зацикливанию и может полностью вывести атакуемый узел из строя. Долгое время считалась, что эта атака вместе с устаревшими системами окончательно ушла в историю, однако багтраки всего мира не так давно сообщили, что обнаружена возможность осуществления Land против систем Windows Server 2003 и Windows XP SP2. Стоит отметить, что существует несколько модификаций этой атаки, например, Latierra - когда посылаются пакеты на несколько портов одновременно.