Система обнаружения атак (IDS)
Сниффинг (Sniffing, перехват информации) — это комплекс действий для получения доступа к данным, передающимся по проводам, оптоволокну, витой паре, радиоволнам или в любой другой среде.
Предположим, что мы хотим найти все документы типа doc на сайте исследуемой организации. Для этого мы будем использовать оператор filetype — filetype:doc.
Оператор site ограничит вывод результатов запроса информацией с одного сайта
Основная цель данного раздела — научиться применять операторы поиска, которые облегчат и ускорят сбор информации.
Обычно, имея только название организации, начинают сбор следующих данных:
• домены;
• сетевые адреса или сетевые блоки;
• местонахождение;
• контактная информация;
• новости о слиянии или приобретении;
• вакансии;
• ссылки на связанные с организацией веб-сервисы;
• различные документы;
• структура организации.
Мы условно разделили процесс сбора информации на следующие шаги.
1. Поиск в открытых источниках.
2. Сбор основной информации.
3. Сбор информации о сети.
4. Поиск активных хостов.
5. Поиск открытых портов.
6. Определение ОС.
7. Определение сервисов.
8. Построение карты сети.
Данные приходится собирать из множества различных мест (БД, HTML-код, новостные ленты и т.д.), с тем чтобы впоследствии, как из кусочков мозаики, составить полную картину ИС организации.
Помните, что любой аудит информационной системы по сути представляет собой ее взлом, разница только в том, насколько легитимны проводимые мероприятия. Чтобы ваши действия были законными, необходимо получить письменное согласие заказчика. Обязательно обсудите заранее все действия, методы и риски и зафиксируйте их документально.
Проведение аудита осуществляется в несколько основных этапов:
• Планирование и получение согласия.
• Пассивный сбор информации — получение данных из открытых источников, нет прямого взаимодействия с системой, действия очень трудно обнаружить.
• Активный сбор информации — получение данных от целевой системы, все действия могут быть обнаружены, администраторы могут принять меры для пресечения дальнейших действий.
• Доступ к системе идет по средствам эксплуатации найденных уязвимостей.
• Закрепление в системе необходимо для того, чтобы продолжить атаку, не прибегая к повторному взлому.
• Скрытие следов пребывания поможет остаться незамеченными и продолжить проведение аудита.
Самые популярные методы сохранения доступа к системе — установка троянских коней, backdoor’ов и rootkit’ов.
