Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
14
Króliczanora.Ochronasiecizapomocątechnologiihoneypot
analizędokumentówdostępnychnastronachinternetowychkontrolowanejinstytucji
wceluodnalezieniainformacjiwrażliwychlubdanych,któremogąbyćpomocne
watakusocjotechnicznym.Jednakwtymprzypadkumusiałemsięskupićtylkona
zabezpieczeniachtechnicznych.
UaktualniłemnarzędzianaswoimlaptopieiwybrałemsięnaNowyŚwiatdoza-
przyjaźnionejkawiarenkiinternetowej.Wpiąłemkomputerdosiecinazapleczu
iuruchomiłemskanowaniewybranegozakresuadresówwtakzwanymtrybie„para-
noidalnym”,którypowoduje,żeodstępyczasowepomiędzywysyłanymipakietamisą
bardzodużeiskanowanieprzebiegabardzowolno.Dziękitemumożnaoszukać
większośćsystemówIDS/IPSiuniknąćwykryciategoetapuataku.Ustawiłemrów-
nieżwykorzystaniekilkuwabików(ang.decoy).Wrezultacie,opróczpoprawnych
zapytań,skanerwysyłapakietyzesfałszowanymźródłowymadresemIP,copozwala
naukrycierzeczywistegoźródłaskanowaniawśróddużejilościfałszywek.Chcą
sprawdzić,czyzdołająnamierzyćintruza,więcproszębardzo.
Wzależnościodwielkościtestowanejsiecitakieskanowaniemożetrwaćodkil-
kudokilkudziesięciugodzin,więcustawiłempowiadomienieozakończeniuprocesu
przeze-mailaizostawiłemdziałającegolaptopawkawiarence.Maildoszedłpotrzech
dniachizawierałinformacjezdobyteprzezprogram(awzasadzieprzezkilkapro-
gramów,boskanowaniezostałowykonaneprzezkilkanarzędzikontrolowanych
prostymskryptem),dziękiczemuodrazumogłemzapoznaćsięzwynikami.Okazało
się,żezzewnątrzmożnanawiązaćpołączeniez7komputerami,zczego2toserwery
uniksoweświadczącekilkapopularnychusług,apozostałetostacjeroboczepracujące
podkontroląsystemuWindows.Toniewiele,alespodziewałemsiętakiegowyniku.
Instytucjetegotypubardzoczęstodzieląswojąsiećkomputerowąnadwiefizycznie
odseparowaneczęści:siećwewnętrzną,któraniejestdostępnazInternetuiwktórej
znajdująsięserweryorazstacjeroboczesłużącedonormalnejpracy,orazsiećze-
wnętrzną,którasłużytylkodokomunikacjizInternetem.Jeżelipojawisiępotrzeba
przeniesieniajakichśdanychzjednejsiecidodrugiej,tomusząoneprzejśćprzez
specjalnykomputerumiejscowionywsieciwewnętrznej,któryjakojedynyjestwypo-
sażonywstacjędyskietek,kontrolerUSBlubinneurządzeniepozwalającenazapisy-
wanieinformacjinanośnikuwymiennym.Przedwysłaniemdodocelowegokompu-
terawsieciwewnętrznejlubprzedzapisaniemnanośnikuiprzekazaniemdoInternetu
sąonenatejstacjisprawdzanezapomocąoprogramowaniaantywirusowegoikopio-
wanedolokalnegoarchiwum.Dziękitemuzapewnionajestpełnakontrolainformacji
przepływającychpomiędzysieciami.
Postanowiłemzacząćodserwerów.ZostałyzidentyfikowanejakoFreeBSD4.5
iRedHatLinux6.2.SystemRedHatLinuxbyłjużdosyćstary–dystrybucjaopatrzona
numerem6.2zostaławydanawmarcu2000roku,czylijużponad2latatemu
(niniejszahistoriamiałamiejscewsierpniu2002).Skanowaniewykryłonanimtylko
dwienasłuchująceusługi–serwerssh(odang.SecureShell)pozwalającynadostęp
