Как различать сетевые атаки и выбирать меры защиты

Сетевые атаки делятся по способу воздействия, уровню OSI, цели и источнику угрозы. Пассивные атаки перехватывают данные, активные меняют трафик или нарушают работу сервисов. В статье разобраны сниффинг, спуфинг, DDoS, парольные атаки, фишинг, атаки на Wi-Fi и приложения.

Угроза Wi-Fi

Сеть может пострадать от перехвата трафика, кражи учетных данных, подмены узла или перегрузки сервиса. Один инцидент иногда объединяет несколько методов: фишинг дает пароль, а пароль открывает доступ к внутренней системе.

Классификация связывает угрозу с защитой. Для сниффинга нужны шифрование и сегментация, для DDoS – фильтрация трафика и помощь провайдера, для атак на приложения – обновления, контроль ввода и мониторинг.

Классификация сетевых атак

Протоколы TCP/IP передают данные между узлами, но сами по себе не подтверждают намерения отправителя. Поэтому защиту строят поверх сетевых протоколов: применяют шифрование, аутентификацию, фильтрацию и системы обнаружения атак.

RFC – это документы рабочей группы IETF, в которых описывают протоколы, стандарты и рекомендации. Классификация по нескольким признакам помогает сопоставить атаку с подходящей защитой. Матрица MITRE ATT&CK дополнительно связывает действия нарушителя с этапами атаки и средствами обнаружения.

Пассивные и активные атаки

Пассивная атака наблюдает за обменом данными и старается не менять его. Сниффинг, анализ метаданных и прослушивание открытого Wi-Fi относятся к этой группе.

Активная атака меняет состояние сети или данные. К ней относятся подмена адреса, внедрение команд, захват соединения, перебор паролей и отказ в обслуживании.

Атаки по уровням OSI

Канальный уровень затрагивают ARP-спуфинг, поддельные точки доступа и атаки на коммутаторы. Сетевой уровень связан с IP-спуфингом и маршрутизацией.

Транспортный уровень атакуют через SYN flood и исчерпание таблиц соединений. Прикладной уровень страдает от SQL-инъекций, XSS, HTTP flood и эксплуатации уязвимостей веб-приложений.

Некоторые классы нельзя строго отнести к одному уровню OSI. Например, сниффинг описывает способ перехвата трафика и может затрагивать разные протоколы, а фишинг использует технические и социальные механизмы.

Атаки по цели и источнику

По триаде CIA угрозы делят на атаки на конфиденциальность, целостность и доступность. Сниффинг нарушает конфиденциальность, подмена данных – целостность, DDoS – доступность.

Внешний нарушитель действует из интернета или чужой сети. Внутренний нарушитель уже имеет доступ к устройству, учетной записи или сегменту, поэтому межсетевой экран не закрывает всю угрозу.

Перехват трафика и атаки посредника

Угроза для сетевого обмена зависит от того, может ли нарушитель только читать трафик или также вмешиваться в соединение. Шифрование защищает содержимое данных, а проверка подлинности узлов и контроль подключений помогают противодействовать подмене.

Сниффинг пакетов

Сниффер принимает сетевые пакеты и анализирует их содержимое. Администраторы применяют такие средства для диагностики, но открытый протокол может раскрыть логин, пароль, письмо или служебные данные.

Коммутатор ограничивает распространение кадров между портами. Ошибочная настройка, зеркалирование порта или доступ к сетевому оборудованию расширяют область перехвата.

• Шифрование. Передавайте веб-трафик по TLS, используйте SSH для удаленного управления и защищенные протоколы почты.
• Сегментация. Разделяйте рабочие станции, серверы, гостевой Wi-Fi и устройства управления.
• Аутентификация. Подключайте многофакторную проверку там, где кража пароля дает доступ к важным данным.
• Мониторинг. Отслеживайте неожиданные зеркальные порты, изменения MAC-адресов и аномальное поведение сетевых узлов.

Man-in-the-Middle и спуфинг

Атака Man-in-the-Middle помещает нарушителя между двумя участниками соединения. Он читает, задерживает или меняет сообщения, пока стороны считают канал прямым.

ARP-спуфинг связывает адрес атакующего с IP-адресом шлюза в локальной сети. DNS-спуфинг возвращает поддельный адрес для домена и направляет пользователя на другой сервер.

IP-спуфинг подменяет адрес отправителя в пакете. Такой прием скрывает источник трафика или помогает обойти простое правило доступа, но сам по себе не дает полноценного двустороннего сеанса.

• Проверяйте сертификат и имя узла перед вводом учетных данных.
• Включайте HSTS для веб-сайтов, которым нужна защита от перехода на незашифрованный HTTP.
• Используйте 802.1X для контроля подключения устройств к корпоративной сети.
• Настраивайте Dynamic ARP Inspection и DHCP snooping на поддерживающем их оборудовании.
• Применяйте исходящую фильтрацию адресов, чтобы узлы не отправляли пакеты с чужими внутренними адресами.

Отказ в обслуживании

DoS перегружает сеть, сервер или приложение и лишает обычных пользователей доступа. DDoS распределяет нагрузку между множеством источников, часто через ботнет.

Основные виды DDoS

• Объемные атаки. Нарушитель создает большой поток данных. DNS-, NTP- и memcached-амплификация усиливает трафик через сторонние серверы.
• Протокольные атаки. SYN flood расходует ресурсы, которые сервер выделяет для полуоткрытых соединений.
• Атаки прикладного уровня. HTTP flood отправляет много внешне обычных запросов и перегружает приложение или базу данных.
• IoT-ботнеты. Вредоносная сеть зараженных камер, маршрутизаторов и других устройств запускает атаки с разных адресов.

Защита от DDoS

Фильтрация на входе помогает при умеренной нагрузке. Если канал уже заполнен, локальный межсетевой экран не успеет отсечь весь поток.

• Согласуйте с провайдером фильтрацию и перенаправление подозрительного трафика.
• Используйте CDN и защиту от DDoS как внешний класс решений для публичных сайтов.
• Ограничивайте частоту запросов на API, авторизацию и ресурсоемкие операции.
• Отделяйте административные интерфейсы от публичных сервисов и разрешайте доступ по списку адресов.

Парольные атаки и фишинг

Учетные данные могут попасть к нарушителю через подбор, повторное использование утекших паролей или обман пользователя. Защиту выбирают с учетом способа атаки: ограничения входа дополняют уникальными паролями, MFA и проверкой подозрительных сообщений.

Перебор и повторное использование паролей

Brute force перебирает варианты пароля, credential stuffing использует украденные пары логин–пароль, а password spraying проверяет один распространенный пароль на множестве учетных записей.

Повтор пароля усиливает последствия утечки. Если один сервис потерял учетные данные, атакующий попробует их на почте, VPN и корпоративных системах.

• Используйте менеджер паролей и отдельный пароль для каждого сервиса.
• Подключайте MFA, особенно для почты, удаленного доступа и административных учетных записей.
• Ограничивайте частоту попыток и временно блокируйте подозрительные входы.
• Сверяйте новые пароли со списками известных скомпрометированных значений.

Современные рекомендации по паролям делают акцент на длине, уникальности и проверке утечек. Обязательное сочетание букв, цифр и специальных символов само по себе не заменяет многофакторную аутентификацию.

Фишинг и социальная инженерия

Фишинг подделывает письмо, страницу входа или сообщение службы поддержки. Социальная инженерия давит на срочность, страх блокировки или обещание выгоды.

Проверяйте домен отправителя, адрес ссылки и контекст запроса. Не вводите пароль после перехода из неожиданного письма, если тот же сервис можно открыть через сохраненную закладку.

Атаки на Wi-Fi

Поддельная точка доступа копирует имя знакомой сети и предлагает подключиться автоматически. После подключения нарушитель получает возможность наблюдать за незашифрованным трафиком и показывать фальшивые страницы.

• Используйте актуальный режим защиты Wi-Fi и длинный уникальный пароль сети.
• Отключайте автоматическое подключение к открытым сетям на рабочих устройствах.
• Разделяйте гостевой доступ и внутреннюю сеть правилами маршрутизатора.
• Для корпоративной сети применяйте индивидуальную аутентификацию устройств.
• Проверяйте имя сети и сертификат сайта, особенно в аэропортах, кафе и гостиницах.

Атаки на приложения и сетевая разведка

Сведения об открытых сервисах помогают нарушителю выбрать цель, а ошибки приложения дают возможность воздействовать на данные и работу системы. Защита сочетает сокращение доступных сервисов, устранение уязвимостей и обнаружение подозрительной активности по трафику и журналам.

Основные атаки на приложения

SQL-инъекция добавляет управляющие конструкции к запросу к базе данных. XSS внедряет сценарий в страницу, которую открывает другой пользователь. Эксплуатация уязвимости использует ошибку в серверном приложении, библиотеке или компоненте.

Открытый порт не доказывает безопасность сервиса. Межсетевой экран пропускает разрешенный HTTP-трафик, поэтому приложение должно самостоятельно проверять ввод и права пользователя.

• Используйте параметризованные SQL-запросы и разделяйте права учетной записи базы данных.
• Экранируйте вывод в HTML и задавайте Content Security Policy там, где это подходит проекту.
• Обновляйте операционную систему, веб-сервер, библиотеки и плагины.
• Читайте журналы входа, ошибок, запросов и изменений прав.
• Следите за бюллетенями производителей, CVE и БДУ ФСТЭК, если они относятся к вашим компонентам.

Сетевая разведка и обнаружение

Разведка собирает сведения о доменах, адресах, открытых портах и версиях сервисов. DNS-запросы, сканирование и анализ баннеров помогают нарушителю выбрать цель.

NIDS анализирует сетевой трафик, а HIDS наблюдает за событиями на конкретном хосте. IDS сообщает о совпадениях с правилами и аномалиях. Ложные срабатывания требуют настройки и проверки специалистом.

Для обнаружения настройте IDS по роли сервера и обычному профилю трафика. Связывайте сетевые события с журналами входа, процессами и изменениями файлов.

Профилактика снижает объем разведывательной информации. Сокращайте число доступных из интернета портов и сервисов, удаляйте баннеры с точными версиями программ и устанавливайте обновления.

Злоупотребление доверием и переадресация портов

Злоупотребление доверием начинается там, где один узел получает больше прав, чем требует его задача. Взлом внешнего сервера опасен, если тот без ограничений обращается к внутренним системам.

Разделяйте зоны безопасности, ограничивайте соединения между ними и выдавайте права по принципу минимальных привилегий. Проверяйте доверие по идентификатору устройства или пользователя, а не только по IP-адресу.

Переадресация портов через скомпрометированный хост создает скрытый путь к внутреннему сервису. Обнаружить его помогают контроль исходящих соединений, инвентаризация процессов и HIDS.

Несанкционированный доступ и вредоносные программы

Открытые наружу SSH и RDP привлекают перебор учетных данных и эксплуатацию ошибок конфигурации. Закройте доступ из интернета, оставьте разрешенные адреса и подключите MFA там, где инфраструктура его поддерживает.

Вредоносные программы включают вирусы, червей, трояны и программы-вымогатели. Червь распространяется по сети автоматически, троян маскируется под полезную программу, а вымогатель шифрует файлы или блокирует работу ради выкупа.

Фишинговое письмо, вредоносное вложение и взломанный сайт часто становятся первым вектором заражения. Резервные копии, сегментация, обновления, антивирусная защита и ограничение прав уменьшают последствия инцидента.

• Храните резервные копии отдельно от рабочих учетных записей и проверяйте восстановление.
• Запрещайте запуск приложений из временных каталогов и подозрительных вложений.
• Ограничивайте права пользователей и отделяйте администраторские учетные записи.
• Изолируйте зараженное устройство от сети и сохраните журналы для расследования.

Как выстроить защиту сети

Начните с инвентаризации устройств, сервисов, учетных записей и потоков данных. Затем разделите сеть на зоны, закройте лишние порты и включите обновления.

Для обнаружения соберите журналы аутентификации, DNS, DHCP, VPN, межсетевого экрана и серверов. Сопоставляйте события по времени, адресу, учетной записи и устройству.

План защиты должен учитывать конфиденциальность, целостность и доступность. Шифрование защищает данные, контроль прав ограничивает действия, резервные копии помогают восстановиться, а IDS и мониторинг сокращают время обнаружения.

Совет от нашей редакции: сначала защитите почту, удаленный доступ и резервные копии. Эти направления связывают фишинг, кражу учетных данных и распространение вымогателей.