Protección contra ataques a la red. Tipos de ataques a la red y principales vulnerabilidades

Actualmente, DDoS es uno de los tipos de ataques de red más accesibles y extendidos. Hace unas semanas se publicaron los resultados de los estudios sobre la prevalencia de DDoS realizados por Arbor Networks y Verisign Inc.

Los resultados de la investigación son impresionantes:
Cada día, los atacantes llevan a cabo más de 2.000 ataques DDoS;
El coste de un ataque de una semana de duración a un centro de datos promedio es de sólo 150 dólares;
Más de la mitad de los participantes de la encuesta experimentaron problemas debido a DDoS;
Una décima parte de los participantes de la encuesta respondieron que sus empresas sufrían ataques DDoS más de seis veces al año;
Aproximadamente la mitad de las empresas experimentaron problemas debido a DDoS, el tiempo promedio de ataque fue de aproximadamente 5 horas;
Los ataques de este tipo son uno de los principales motivos de cierres y tiempos de inactividad de los servidores.

Principales tipos de ataques DDoS

En general, existen bastantes tipos de DDoS, y a continuación hemos intentado enumerar la mayoría de los ataques típicos, con una descripción del principio de funcionamiento de cada tipo de ataque.

inundación UDP

Uno de los tipos de ataques más eficaces y, al mismo tiempo, sencillos. Se utiliza el protocolo UDP, que no requiere establecer sesión con envío de ningún tipo de respuesta. En orden aleatorio, el atacante ataca los puertos del servidor y envía una gran cantidad de paquetes de datos. Como resultado, la máquina comienza a comprobar si alguna aplicación está utilizando el puerto al que llega el paquete. Y como hay muchos paquetes de este tipo, una máquina de cualquier potencia simplemente no puede hacer frente a la tarea. Como resultado, todos los recursos de la máquina se "consumen" y el servidor "se cae".

La forma más sencilla de protegerse contra este tipo de ataques es bloquear el tráfico UDP.

inundación ICMP

El atacante hace ping constantemente al servidor de la víctima, durante el cual este último responde constantemente. Hay una gran cantidad de pings y, como resultado, los recursos del servidor se consumen y la máquina se vuelve inaccesible.

Como medida de protección, puede utilizar el bloqueo de solicitudes ICMP en el nivel del firewall. Desafortunadamente, en este caso, no podrá hacer ping a la máquina por razones obvias.

inundación SYN

Este tipo de ataque implica enviar un paquete SYN al servidor de la víctima. Como resultado, el servidor responde con un paquete SYN-ACK y la máquina del atacante debería enviar una respuesta ACK, pero no se envía. El resultado es la apertura y el bloqueo de una gran cantidad de conexiones, que se cierran sólo una vez transcurrido el tiempo de espera.

Cuando se excede el límite en el número de solicitudes/respuestas, el servidor de la víctima deja de aceptar paquetes de cualquier tipo y deja de estar disponible.

inundación de MAC

Un tipo inusual de ataque dirigido a muchos tipos de equipos de red. El atacante comienza a enviar una gran cantidad de paquetes Ethernet con direcciones MAC completamente diferentes. Como resultado, el conmutador comienza a reservar una cierta cantidad de recursos para cada uno de los paquetes y, si hay muchos paquetes, el conmutador asigna todas las solicitudes disponibles y se congela. El peor de los casos es una falla en la tabla de enrutamiento.

Ping de la muerte

Este tipo de ataque no es un gran problema ahora, aunque solía ser un tipo de ataque común. El significado de este tipo de ataque es un desbordamiento del buffer de memoria debido a que se excede el tamaño máximo de paquete IP disponible y, como resultado, el servidor y el equipo de red se niegan a atender cualquier tipo de paquete.

Loris lento

Un ataque concentrado de este tipo permite que fuerzas pequeñas logren grandes resultados. Es decir, utilizando un servidor que no sea el más potente, podrás utilizar equipos mucho más productivos. No es necesario utilizar otros protocolos. Con este tipo de ataque, el servidor del atacante abre la cantidad máxima de conexiones HTTP e intenta mantenerlas abiertas el mayor tiempo posible.

Por supuesto, la cantidad de conexiones en el servidor expuestas al ataque termina y las solicitudes útiles ya no se aceptan ni procesan.

Ataques reflejados

Un tipo inusual de ataque cuando el servidor del atacante envía paquetes con una IP de remitente falsa y el envío se realiza al máximo número posible de máquinas. Todos los servidores afectados por tales acciones envían una respuesta a la IP especificada en el paquete, por lo que el destinatario no puede hacer frente a la carga y se congela. En este caso, el rendimiento del servidor del atacante puede ser 10 veces menor que la potencia de ataque planificada. Un servidor que envía 100 Mbps de solicitudes falsas puede destruir completamente el canal gigabit del servidor de la víctima.

Degradación

En este tipo de ataque, el servidor del atacante simula las acciones de una persona real o de toda una audiencia. Como ejemplo de la opción más sencilla, puede enviar solicitudes para la misma página de recursos y hacerlo miles de veces. La forma más sencilla de solucionar el problema es informar temporalmente un error y bloquear la página atacada.

Un tipo de ataque más complejo es una solicitud de una gran cantidad de recursos diferentes del servidor, incluidos archivos multimedia, páginas y todo lo demás, lo que hace que el servidor de la víctima deje de funcionar.

Los ataques complejos de este tipo son bastante difíciles de filtrar y, como resultado, es necesario utilizar programas y servicios especializados.

Ataque de día cero

Este es el nombre de los ataques que aprovechan vulnerabilidades/debilidades del servicio hasta ahora desconocidas. Para combatir el problema es necesario estudiar este tipo de ataques para poder hacer algo.

Conclusión: el tipo de ataque más complejo es el combinado, donde se utilizan varios tipos de DDoS. Cuanto más compleja es la combinación, más difícil es defenderse. Un problema común para los DDoS, o más bien para las víctimas de DDoS, es la disponibilidad generalizada de este tipo de ataque. En Internet existe una gran cantidad de aplicaciones y servicios que permiten realizar potentes ataques de forma gratuita o casi gratuita.

Nuestros sistemas informáticos son vulnerables a varios tipos de ataques. Para proteger el sistema de estos ataques, es importante conocer los ataques informáticos más comunes. En el mundo actual, se ha convertido casi en una situación común cuando escuchamos acerca de ataques a sistemas o redes de computadoras personales. En esta era de la tecnología, existen varios tipos de ataques informáticos de los cuales necesita proteger sus preciados datos, sistemas y redes. Si bien algunos ataques pueden simplemente dañar los datos de la computadora, hay otros ataques en los que los datos del sistema informático pueden hacerlo. ser robado, así como otros ataques en los que se puede cerrar toda la red.

En pocas palabras, hay dos tipos principales de ataques: ataques pasivos y ataques activos. Los ataques pasivos son aquellos en los que los datos de una computadora se monitorean y luego se utilizan para intereses maliciosos, mientras que los ataques activos son aquellos en los que hay cambios en los datos. se eliminarán o las redes se destruirán por completo. A continuación se detallan algunos de los tipos más comunes de ataques activos y pasivos que pueden afectar a las computadoras.

Tipos activos de ataques informáticos.

Virus

Los ataques y virus informáticos más famosos existen desde hace mucho tiempo. Se instalan en las computadoras y se propagan a otros archivos del sistema. A menudo se distribuyen a través de discos duros externos, de determinados sitios de Internet o como archivos adjuntos de correo electrónico. Una vez que se lanzan los virus, se vuelven independientes de su creador y su objetivo es infectar muchos archivos y otros sistemas.

Kit de raíz

Los piratas informáticos obtienen acceso al sistema utilizando el conjunto raíz de controladores y toman el control total de la computadora. Se encuentran entre los ataques informáticos más peligrosos porque el pirata informático puede obtener más control sobre el sistema que el propietario del sistema. En algunos casos, los piratas informáticos también pueden encender una cámara web y monitorear las actividades de la víctima, sabiendo todo sobre ella.

troyano

En la lista de ataques informáticos, los caballos de Troya ocupan el primer lugar después de los virus. A menudo están integrados en un software, en protectores de pantalla o en juegos que se ejecutan normalmente. Sin embargo, una vez que se copian en el sistema, infectan la computadora. con un virus o kit de raíz. Es decir, actúan como portadores de virus o rootkits para infectar el sistema.

Gusano

Los gusanos pueden denominarse parientes de los virus. La diferencia entre virus y gusanos de Internet es que los gusanos infectan un sistema sin la ayuda del usuario. El primer paso es que los gusanos escaneen las computadoras en busca de vulnerabilidades. Luego se copian en el sistema e infectan el sistema, y ​​el proceso se repite.

Tipos pasivos de ataques informáticos.

Escuchar a escondidas

Como sugiere el nombre, los piratas informáticos escucharán sigilosamente las conversaciones que tienen lugar entre dos computadoras en una red. Esto puede suceder en un sistema cerrado, así como a través de Internet. Otros nombres con los que se asocia son husmear. Con las escuchas ilegales, los datos confidenciales pueden atravesar la red y otras personas pueden acceder a ellos.

Ataques de contraseña

Uno de los tipos más comunes de ataques cibernéticos son los ataques con contraseña. Aquí, los piratas informáticos obtienen acceso a una computadora y a los recursos de la red obteniendo una contraseña de control. A menudo se ve que el atacante ha cambiado la configuración del servidor y de la red y, en algunos casos, incluso puede hacerlo. eliminar datos. Además, los datos pueden transmitirse a diferentes redes.

Clave de ataque comprometida

Para almacenar datos confidenciales se puede utilizar un código o número secreto. Obtener la clave es sin duda una tarea realmente enorme para un hacker, y es posible que después de una investigación intensiva el hacker pueda conseguir las claves. Cuando una clave está en posesión de un hacker, se la conoce como clave comprometida. El pirata informático ahora tendrá acceso a datos confidenciales y podrá realizar cambios en los datos. Sin embargo, también existe la posibilidad de que el pirata informático pruebe diferentes permutaciones y combinaciones de la clave para acceder a otros conjuntos de datos confidenciales.

Suplantación de identidad

Cada computadora tiene una dirección IP por lo que es válida e independiente en la red. Uno de los ataques informáticos más comunes es asumir la identidad de otra computadora. Aquí se pueden enviar paquetes IP desde direcciones válidas y acceder a una IP específica. Una vez que se obtiene el acceso, los datos del sistema se pueden eliminar, modificar o redirigir. Además, un pirata informático puede utilizar esta dirección IP comprometida para atacar otros sistemas dentro o fuera de la red.

Ataques a la capa de aplicación

El objetivo de un ataque a nivel de aplicación es provocar una falla en el sistema operativo del servidor. Una vez que se crea una falla en el sistema operativo, el pirata informático puede obtener acceso para controlar el servidor. Esto a su vez conduce a que los datos se modifiquen de varias maneras. . Se puede introducir un virus en el sistema, o se pueden enviar múltiples solicitudes al servidor, lo que puede provocar que falle, o se pueden desactivar los controles de seguridad, lo que dificulta la recuperación del servidor.

Estos son algunos de los tipos de ataques a los que pueden verse sometidos servidores y sistemas informáticos individuales. La lista de ataques informáticos más recientes sigue aumentando cada día, para los cuales los piratas informáticos utilizan nuevos métodos de piratería.

Los desbordamientos de búfer son parte de muchos tipos de ataques maliciosos. Los ataques de desbordamiento tienen, a su vez, muchas variedades. Uno de los más peligrosos consiste en introducir en un cuadro de diálogo, además de texto, un código ejecutable adjunto. Dicha entrada puede resultar en que este código se escriba encima del programa en ejecución, lo que tarde o temprano hará que se ejecute. Las consecuencias no son difíciles de imaginar.

Los ataques "pasivos" que utilizan, por ejemplo, un sniffer son especialmente peligrosos porque, en primer lugar, son prácticamente indetectables y, en segundo lugar, se lanzan desde la red local (el firewall externo no tiene poder).

Virus- programas maliciosos capaces de autocopiarse y distribuirse por sí mismos. En diciembre de 1994, recibí una advertencia sobre la propagación de virus de red (buenos tiempos y xxx-1) en Internet:

Pasan horas, días, semanas y, a veces, meses desde el momento en que se crea el virus hasta el momento en que se detecta. Depende de qué tan rápido aparezcan los efectos de la infección. Cuanto mayor sea este tiempo, mayor será el número de ordenadores infectados. Después de identificar el hecho de la infección y la propagación de una nueva versión del virus, se necesitan desde un par de horas (por ejemplo, para Email_Worm.Win32.Bagle.bj) hasta tres semanas (W32.Netsky.N@mm) para identificar la firma, crear un antídoto e incluir su firma en la base de datos del programa antivirus. Temporario diagrama del ciclo de vida El virus se muestra en la Fig. 12.1 ("Seguridad de red", versión 2005, número 6, junio de 2005, páginas 16-18). Sólo en 2004 se registraron 10.000 nuevas firmas de virus. El gusano Blaster infectó el 90% de las máquinas en 10 minutos. Durante este tiempo, el equipo antivirus debe detectar el objeto, calificarlo y desarrollar una contramedida. Está claro que esto no es realista. Por lo tanto, un programa antivirus no es tanto una contramedida como sedante. Las mismas consideraciones se aplican a todos los demás tipos de ataques. Una vez que se conoce la firma de un ataque, el ataque en sí no suele ser peligroso, ya que ya se han desarrollado contramedidas y se ha cubierto la vulnerabilidad. Es por esta razón que se presta tanta atención al sistema de gestión de actualizaciones de software (parches).

Algunos virus y gusanos tienen programas SMTP integrados diseñados para enviarlos y trampillas para penetrar fácilmente en la máquina infectada. Las versiones más recientes están equipadas con herramientas para suprimir la actividad de otros virus o gusanos. De esta forma, se pueden crear redes enteras de máquinas infectadas (BotNet), listas para lanzar, por ejemplo, un ataque DDoS cuando se les ordene. Se puede utilizar un protocolo para controlar este tipo de máquinas zombies. IRC(Gráfico de retransmisión de Internet). Este sistema de mensajería está respaldado por una gran cantidad de servidores y, por lo tanto, dicho canal suele ser difícil de rastrear y registrar. Esto también se ve facilitado por el hecho de que la mayoría de los sistemas monitorean el tráfico de entrada más de cerca que el tráfico de salida. Hay que tener en cuenta que una máquina infectada puede servir, además de ataques DoS, para escanear otros ordenadores y enviar SPAM, almacenar productos de software ilegales, controlar la propia máquina y robar documentos allí almacenados, identificar contraseñas y claves utilizadas. por el propietario. Los daños causados ​​por el virus Blaster se estiman en 475.000 dólares.

Desafortunadamente, no hay medios confiables para detectar nuevos virus (cuya firma se desconoce).

Arroz. 12.1.

En 2005, se identificó otra amenaza: la propagación de virus y gusanos de red mediante robots de motores de búsqueda (bots) basados ​​en IRC.

Los programas bots no siempre son peligrosos; algunas de sus variedades se utilizan para recopilar datos, en particular, sobre las preferencias de los clientes, y en el motor de búsqueda de Google funcionan para recopilar e indexar documentos. Pero en manos de un hacker, estos programas se convierten en armas peligrosas. El ataque más famoso se lanzó en 2005, aunque los preparativos y los “primeros experimentos” comenzaron en septiembre de 2004. El programa buscaba máquinas con vulnerabilidades específicas, en particular, LSASS (Servicio de subsistema de autoridad de seguridad local, Windows). El subsistema LSASS, diseñado para ayudar a garantizar la seguridad, era en sí mismo vulnerable a ataques como el desbordamiento del búfer. Aunque la vulnerabilidad ya se ha solucionado, la cantidad de máquinas con una versión no actualizada sigue siendo significativa. Después de una intrusión, el hacker suele utilizar IRC para realizar las operaciones que necesita (abrir un puerto específico, enviar SPAM, iniciar análisis en busca de otras víctimas potenciales). Una característica nueva de estos programas es que están integrados en el sistema operativo de tal manera (rootkit) que no pueden ser detectados, ya que se encuentran en el área del kernel del sistema operativo. Si un programa antivirus intenta acceder a un área específica de la memoria para identificar código malicioso, el rootkit intercepta dicha solicitud y envía una notificación al programa de prueba de que todo está bien. Para empeorar las cosas, los programas bot pueden modificar el contenido.

Existe una gran variedad de configuraciones de computadora, sistemas operativos y equipos de red diferentes, sin embargo, esto no se convierte en un obstáculo para el acceso a la red global. Esta situación fue posible gracias al protocolo de red universal TCP/IP, que establece ciertos estándares y reglas para la transmisión de datos a través de Internet. Desafortunadamente, esta universalidad ha llevado al hecho de que las computadoras que usan este protocolo se han vuelto vulnerables a la influencia externa, y dado que el protocolo TCP/IP se usa en todas las computadoras conectadas a Internet, los atacantes no necesitan desarrollar medios individuales para acceder a los datos de otras personas. máquinas.

Un ataque a la red es un intento de influir en una computadora remota utilizando métodos de software. Como regla general, el objetivo de un ataque a la red es violar la confidencialidad de los datos, es decir, robar información. Además, los ataques a la red se llevan a cabo para acceder a la computadora de otra persona y posteriormente cambiar los archivos que se encuentran en ella.

Existen varios tipos de clasificación de ataques a la red. Uno de ellos se basa en el principio de influencia. Los ataques de red pasivos tienen como objetivo obtener información confidencial de una computadora remota. Estos ataques, por ejemplo, incluyen la lectura de mensajes de correo electrónico entrantes y salientes. En cuanto a los ataques activos a redes, su tarea no es sólo el acceso a determinada información, sino también su modificación. Una de las diferencias más significativas entre estos tipos de ataques es que la interferencia pasiva es casi imposible de detectar, mientras que los efectos de un ataque activo suelen ser perceptibles.

Además, los ataques se clasifican según para qué objetivos sirven. Entre las tareas principales, por regla general, se encuentran la interrupción del funcionamiento de la computadora, el acceso no autorizado a la información y la modificación oculta de los datos almacenados en la computadora. Por ejemplo, piratear el servidor de una escuela para cambiar las calificaciones en las revistas se clasifica como ataque de red activo del tercer tipo.

Tecnologías de protección

Se desarrollan y mejoran constantemente métodos de protección contra ataques a la red, pero ninguno de ellos ofrece una garantía completa. El caso es que cualquier defensa estática tiene debilidades, ya que es imposible protegerse contra todo a la vez. En cuanto a los métodos de protección dinámicos, como los estadísticos, expertos, de lógica difusa y las redes neuronales, también tienen sus debilidades, ya que se basan principalmente en el análisis de acciones sospechosas y en su comparación con métodos conocidos de ataques a la red. En consecuencia, la mayoría de los sistemas de defensa ceden ante tipos de ataques desconocidos y empiezan a repeler la intrusión demasiado tarde. Sin embargo, los sistemas de seguridad modernos hacen que al atacante le resulte tan difícil acceder a los datos que es más racional buscar otra víctima.

Kaspersky Internet Security protege su computadora de ataques a la red.

Ataque de red es una intrusión en el sistema operativo de una computadora remota. Los atacantes lanzan ataques a la red para tomar el control de un sistema operativo, provocar una denegación de servicio u obtener acceso a información protegida.

Los ataques a la red son acciones maliciosas realizadas por los propios atacantes (como escaneo de puertos, adivinación de contraseñas), así como acciones realizadas por programas maliciosos instalados en la computadora atacada (como transferir información protegida al atacante). El malware involucrado en ataques de red incluye algunos caballos de Troya, herramientas de ataque DoS, scripts maliciosos y gusanos de red.

Los ataques a la red se pueden dividir en los siguientes tipos:

• Escaneo de puertos. Este tipo de ataque a la red suele ser una etapa preparatoria para un ataque a la red más peligroso. El atacante escanea los puertos UDP y TCP utilizados por los servicios de red en la computadora objetivo y determina la vulnerabilidad de la computadora objetivo a tipos de ataques de red más peligrosos. El escaneo de puertos también permite a un atacante determinar el sistema operativo en la computadora objetivo y seleccionar ataques de red adecuados para él.
• Ataques DoS, o ataques a la red que causan denegación de servicio. Se trata de ataques a la red, como resultado de los cuales el sistema operativo atacado se vuelve inestable o completamente inoperable.

  Existen los siguientes tipos principales de ataques DoS:

  • Enviar paquetes de red especialmente diseñados a una computadora remota que esta computadora no espera, lo que provoca que el sistema operativo no funcione correctamente o se detenga.
  • Enviar una gran cantidad de paquetes de red a una computadora remota en un corto período de tiempo. Todos los recursos de la computadora atacada se utilizan para procesar los paquetes de red enviados por el atacante, razón por la cual la computadora deja de realizar sus funciones.
• Ataques-intrusiones en la red. Se trata de ataques a la red cuyo objetivo es “secuestrar” el sistema operativo del ordenador atacado. Este es el tipo de ataque a la red más peligroso, ya que si tiene éxito, el sistema operativo queda completamente bajo el control del atacante.

  Este tipo de ataque de red se utiliza en los casos en que un atacante necesita obtener datos confidenciales de una computadora remota (por ejemplo, números de tarjetas bancarias o contraseñas) o usar la computadora remota para sus propios fines (por ejemplo, para atacar a otras computadoras desde este computadora) sin el conocimiento del usuario.

1. En la pestaña Protección en el bloque Protección contra ataques a la red desmarque la casilla.

También puede habilitar la Protección contra ataques de red en el Centro de protección. Deshabilitar la protección o los componentes de protección de su computadora aumenta significativamente el riesgo de que su computadora se infecte, razón por la cual se muestra información sobre cómo deshabilitar la protección en el Centro de protección.

Importante: Si desactivó la Protección contra ataques de red, luego de reiniciar Kaspersky Internet Security o reiniciar el sistema operativo, no se activará automáticamente y deberá activarla manualmente.

Cuando se detecta actividad peligrosa en la red, Kaspersky Internet Security agrega automáticamente la dirección IP de la computadora atacante a la lista de computadoras bloqueadas si esta computadora no se agrega a la lista de computadoras confiables.

1. En la barra de menú, haga clic en el icono del programa.
2. En el menú que se abre, seleccione Configuración.

   Se abrirá la ventana de configuración del programa.

3. En la pestaña Protección en el bloque Protección contra ataques a la red revisa la caja Habilitar la protección contra ataques de red.
4. Haga clic en el botón Excepciones.

   Se abrirá una ventana con una lista de computadoras confiables y una lista de computadoras bloqueadas.

5. Abrir un marcador Computadoras bloqueadas.
6. Si está seguro de que la computadora bloqueada no representa una amenaza, seleccione su dirección IP en la lista y haga clic en el botón Desbloquear.

   Se abrirá una ventana de confirmación.

7. En la ventana de confirmación, haga una de las siguientes cosas:
   • Si desea desbloquear su computadora, haga clic en el botón Desbloquear.

     Kaspersky Internet Security desbloquea la dirección IP.

   • Si desea que Kaspersky Internet Security nunca bloquee la dirección IP seleccionada, haga clic en el botón Desbloquear y agregar excepciones.

     Kaspersky Internet Security desbloqueará la dirección IP y la agregará a la lista de computadoras confiables.

8. Haga clic en el botón Guardar para guardar sus cambios.

Puede crear una lista de computadoras confiables. Kaspersky Internet Security no bloquea automáticamente las direcciones IP de estas computadoras cuando detecta actividad de red peligrosa que se origina en ellas.

Cuando se detecta un ataque a la red, Kaspersky Internet Security guarda información al respecto en un informe.

1. Abra el menú Protección.
2. Seleccione Informes.

   Se abrirá la ventana de informes de Kaspersky Internet Security.

3. Abrir un marcador Protección contra ataques a la red.

Nota: Si el componente Network Attack Protection ha completado un error, puede ver el informe e intentar reiniciar el componente. Si no puede resolver el problema, comuníquese con el Soporte técnico.