Технологии целостности и конфиденциальности передаваемых данных

Для эффективной работы статистической IDS необходимо иметь надежную информацию о том, как ведет себя сеть в нормальных условиях, - точку отсчета. Хотя такую IDS обмануть сложнее, но и у нее есть свои слабые места - ложные срабатывания и трудности при обнаружении некоторых видов коммуникаций по скрытому каналу. Ложные срабатывания особенно вероятны в беспроводных сетях из-за нестабильности передающей среды. Кроме того, атаки, проведенные на ранних стадиях периода фиксации точки отсчета, могут исказить процедуру обучения статистической IDS, поэтому ее развертывание в промышленной сети - занятие рискованное. Как быть, если нормальное поведение сети уже изменено взломщиком в момент развертывания?

Хорошая IDS для беспроводной сети должна быть одновременно сигнатурной и статистической. Некоторые инструменты для проведения атак на беспроводные сети имеют четко выраженные сигнатуры. Если они обнаруживаются в базе данных, то можно поднимать тревогу. С другой стороны, у многих атак очевидных сигнатур нет, зато они вызывают отклонения от нормальной работы сети на нижних уровнях стека протоколов. Отклонение может быть малозаметным, например несколько пришедших не по порядку фреймов, или бросающимся в глаза, скажем, выросшая в несколько раз нагрузка. Обнаружение таких аномалий - непростая задача, поскольку не существует двух одинаковых беспроводных сетей. То же относится и к проводным локальным сетям, но там хотя бы нет радиопомех, отражения, рефракции и рассеивания сигнала. Поэтому эффективное применение IDS в беспроводных сетях возможно только после длительного периода детального исследования сети. При развертывании системы необходимо четко понимать, что, как и зачем мы хотим анализировать, и постараться ответить на эти вопросы, чтобы сконструировать нужную нам систему IDS ( рис. 10.3).

увеличить изображение
Рис. 10.3. Характеристики систем обнаружения вторжений

Только собрав значительный объем статистических данных о работе конкретной сети, можно решить, что является аномальным поведением, а что - нет, и идентифицировать проблемы со связью, ошибки пользователей и атаки. Многократные запросы на аутентификацию по протоколу 802.1x/LEAP могут свидетельствовать о попытке атаки методом полного перебора. Но это может объясняться и тем, что пользователь забыл свой пароль, или работой плохо написанного клиентского приложения, которое продолжает предпринимать попытки войти в сеть, пока не будет введен правильный пароль. Увеличение числа фреймов-маяков может быть признаком DoS-атаки или присутствия в сети фальшивой точки доступа, но не исключено, что все дело в неисправной или неправильно сконфигурированной законной точке доступа. События, фиксируемые IDS на верхних уровнях стека протоколов, например большое число фрагментированных пакетов или запросов TCP SYN, может указывать на сканирование портов или DoS-атаку, но, возможно, это просто результат плохой связи на физическом уровне (уровень 1).

1. События на физическом уровне:
   • - наличие дополнительных передатчиков в зоне действия сети;
   • - использование каналов, которые не должны быть задействованы в защищаемой сети;
   • - перекрывающиеся каналы;
   • - внезапное изменение рабочего канала одним или несколькими устройствами, за которыми ведется наблюдение;
   • - ухудшение качества сигнала, высокий уровень шума или низкое значение отношения "сигнал-шум".

   Эти события могут свидетельствовать о наличии проблем со связью или с сетью, об ошибках, допущенных при конфигурировании сети, о появлении мошеннических устройств, о преднамеренном глушении либо об атаках "человек посередине" на уровень 1 или 2.
2. События, связанные с административными или управляющими фреймами:
   • повышенная частота появления некоторых типов фреймов;
   • фреймы необычного размера;
   • фреймы неизвестных типов;
   • неполные, испорченные или неправильно сформированные фреймы;
   • поток фреймов с запросами на отсоединение и прекращение сеанса;
   • частое появление фреймов с запросом на повторное присоединение в сетях, где не включен роуминг;
   • фреймы с неправильными порядковыми номерами;
   • частое появление пробных фреймов;
   • фреймы, в которых SSID отличается от SSID данной сети;
   • фреймы с широковещательным SSID;
   • фреймы с часто изменяющимися или случайными SSID;
   • фреймы со значениями в поле SSID или других полях, типичными для некоторых инструментов вторжения;
   • фреймы с МАС-адресами, отсутствующими в списке контроля доступа;
   • фреймы с дублирующимися МАС-адресами;
   • фреймы с часто изменяющимися или случайными МАС-адресами.

   Эти события могут указывать на неправильную конфигурацию сети, проблемы со связью, сильные помехи, попытки применения инструментов активного сканирования сети, подделку МАС-адресов, присутствие в сети посторонних клиентов, попытки угадать или подобрать методом полного перебора закрытый SSID или на более изощренные атаки "человек посередине" на уровень 2, связанные с манипуляцией управляющими или административными фреймами.
3. События, связанные с фреймами протоколов 802.1x/ЕАР:
   • неполные, испорченные или неправильно сформированные фреймы протокола 802.1x;
   • фреймы с такими типами протокола ЕАР, которые не реализованы в данной беспроводной сети;
   • многократные фреймы запроса и ответа процедуры аутентификации ЕАР;
   • многократные фреймы с извещением о неудачной аутентификации ЕАР;
   • затопление фреймами начала и завершения сеанса ЕАР;
   • фреймы ЕАР аномального размера;
   • фреймы ЕАР с некорректным значением длины;
   • фреймы ЕАР с неправильными "верительными грамотами";
   • фреймы ЕАР, приходящие от неизвестных аутентификаторов (фальшивая точка доступа);
   • незавершенная процедура аутентификации по протоколу 802.1x/ЕАР.

   Эти события могут указывать на попытки прорваться через процедуру аутентификации, описанную в протоколе 802.1x, в том числе и путем размещения фальшивого устройства и проникновения в сеть с помощью атаки методом полного перебора или проведения изощренной DoS-атаки, направленной на вывод из строя механизмов аутентификации. Разумеется, неправильно сформированные фреймы могут возникать и в результате сильных радиопомех или других проблем на уровне 1.
4. События, связанные с протоколом WEP:
   • наличие незашифрованного беспроводного трафика;
   • наличие трафика, зашифрованного неизвестными WEP-ключами;
   • наличие трафика, зашифрованного WEP-ключами разной длины;
   • фреймы со слабыми IV;
   • идущие подряд фреймы с повторяющимися IV;
   • не изменяющиеся IV;
   • откат к WEP от более безопасного протокола, например TKIP;
   • ошибки при ротировании WEP-ключей.

   Эти события могут указывать на серьезные ошибки при конфигурировании сети, на применение небезопасного устаревшего оборудования или на использование инструментов внедрения трафика опытным взломщиком.
5. События, связанные с общими проблемами связи:
   • потеря связи;
   • внезапный всплеск нагрузки на сеть;
   • внезапное уменьшение пропускной способности сети;
   • внезапное увеличение задержек в двухточечном канале;
   • повышенный уровень фрагментации пакетов;
   • частые повторные передачи.

   Эти события заслуживают более пристального изучения для выявления истинной причины ошибок. Механизм построения выводов, встроенный в IDS, должен уметь связывать события с различными возможными причинами, тем самым упрощая расследование.
6. Прочие события:
   • присоединившиеся, но не аутентифицированные хосты;
   • атаки на верхние уровни стека протоколов, вызывающие срабатывание "традиционной" IDS;
   • посторонний административный трафик, адресованный точке доступа;
   • постоянное дублирование или повтор пакетов с данными;
   • пакеты с данными, в которых испорчены контрольные суммы или MIC, формируемые на канальном уровне;
   • затопление многократными попытками одновременного присоединения к сети.

   Эти события могут свидетельствовать об успешной или неудачной атаке, о наличии хоста с неправильными настройками безопасности, о попытках получить контроль над точкой доступа и изменить ее конфигурацию, о применении инструментов для внедрения трафика, о DoS-атаке против хостов с включенным протоколом 802.11i или о попытках переполнить буферы точки доступа большим числом запросов на соединение со стороны проводной или беспроводной части сети. Но, как и раньше, искажение фрейма или пакета может быть обусловлено проблемами на физическом уровне, например наличием помех или слабым уровнем сигнала.

Коммерческие системы IDS для беспроводных сетей.

Из коммерческих решений хорошо известны программы AirDefense Guard и Isomair Wireless Sentry. Они основаны на размещении сенсоров на территории.