Clasificación de ataques a la red y métodos básicos de protección contra ellos. Garantizar la protección del sistema operativo contra ataques a través de redes informáticas

Los que se ven obligados a esperar la creación de un archivo físico en la computadora del usuario, la protección de la red comienza a analizar los flujos de datos entrantes que ingresan a la computadora del usuario a través de la red y bloquea las amenazas antes de que ingresen al sistema.

Las principales áreas de protección de red proporcionadas por las tecnologías de Symantec son:

Descargas no autorizadas, ataques web;
- Ataques de “ingeniería social”: FakeAV (antivirus falsos) y códecs;
- Ataques a través de redes sociales como Facebook;
- Detección de malware, rootkits y sistemas infectados con bots;
- Protección contra amenazas avanzadas;
- Amenazas de día cero;
- Protección contra vulnerabilidades de software sin parches;
- Protección contra dominios y direcciones IP maliciosos.

Tecnologías de protección de redes

El nivel "Protección de red" incluye 3 tecnologías diferentes.

Solución de prevención de intrusiones en la red (IPS de red)

La tecnología Network IPS comprende y escanea más de 200 protocolos diferentes. Penetra de forma inteligente y precisa protocolos binarios y de red, buscando señales de tráfico malicioso en el camino. Esta inteligencia permite un escaneo de red más preciso y al mismo tiempo proporciona una protección sólida. En esencia, hay un motor de bloqueo de exploits que proporciona vulnerabilidades abiertas con una protección prácticamente impenetrable. Una característica única de Symantec IPS es que este componente no requiere ninguna configuración. Todas sus funciones funcionan, como dicen, “fuera de la caja”. Todos los productos de consumo de Norton y todos los productos de Symantec Endpoint Protection versión 12.1 y posteriores tienen esta tecnología crítica habilitada de forma predeterminada.

Protección del navegador

Este motor de seguridad se encuentra dentro del navegador. Es capaz de detectar las amenazas más complejas que ni los antivirus tradicionales ni los Network IPS son capaces de detectar. Hoy en día, muchos ataques a la red utilizan técnicas de ofuscación para evitar la detección. Debido a que Browser Protection se ejecuta dentro del navegador, puede aprender código que aún no está oculto (ofuscado) mientras se ejecuta. Esto le permite detectar y bloquear un ataque si se pasó por alto en niveles más bajos de protección del programa.

Protección de descargas no autorizadas (UXP)

Ubicada dentro de la capa de defensa de la red, la última línea de defensa ayuda a cubrir y mitigar los efectos de vulnerabilidades desconocidas y sin parches sin el uso de firmas. Esto proporciona una capa adicional de protección contra los ataques de Día Cero.

Centrándose en los problemas

Trabajando juntas, las tecnologías de seguridad de red resuelven los siguientes problemas.

Descargas no autorizadas y kits de ataque web

Al utilizar la tecnología Network IPS, Browser Protection y UXP, las tecnologías de protección de red de Symantec bloquean las descargas no autorizadas y esencialmente evitan que el malware llegue incluso al sistema del usuario. Se practican varios métodos preventivos que incluyen el uso de estas mismas tecnologías, incluida la tecnología de bloqueo genérico de exploits y herramientas de detección de ataques web. Una herramienta de detección de ataques web comunes analiza las características de un ataque web común, independientemente de la vulnerabilidad específica a la que se dirige el ataque. Esto le permite brindar protección adicional para vulnerabilidades nuevas y desconocidas. Lo mejor de este tipo de protección es que si un archivo malicioso infectara “silenciosamente” un sistema, aún así sería detenido y eliminado proactivamente del sistema: este es precisamente el comportamiento que los productos antivirus tradicionales suelen pasar por alto. Pero Symantec continúa bloqueando decenas de millones de variantes de malware que normalmente no pueden detectarse por otros medios.

Ataques de ingeniería social

Debido a que la tecnología de Symantec monitorea el tráfico de la red y del navegador a medida que viaja, detecta ataques de "ingeniería social", como FakeAV o códecs falsificados. Las tecnologías están diseñadas para bloquear dichos ataques antes de que aparezcan en la pantalla del usuario. La mayoría de las otras soluciones de la competencia no incluyen esta poderosa capacidad.

Symantec bloquea cientos de millones de estos tipos de ataques con tecnología de protección contra amenazas en línea.

Ataques dirigidos a aplicaciones de redes sociales

Las aplicaciones de redes sociales se han vuelto muy populares recientemente porque le permiten compartir instantáneamente varios mensajes, videos interesantes e información con miles de amigos y usuarios. La amplia distribución y el potencial de dichos programas los convierten en el objetivo número uno de los piratas informáticos. Algunos trucos comunes de los piratas informáticos incluyen la creación de cuentas falsas y el envío de spam.

La tecnología Symantec IPS puede proteger contra este tipo de métodos de engaño, a menudo impidiéndolos incluso antes de que el usuario haga clic en ellos. Symantec detiene URL, aplicaciones y otras técnicas de engaño fraudulentas y falsificadas con tecnología de protección contra amenazas en línea.

Detección de malware, rootkits y sistemas infectados por bots

¿No sería bueno saber exactamente en qué parte de la red se encuentra la computadora infectada? Las soluciones IPS de Symantec brindan esta capacidad, e incluyen también la detección y recuperación de amenazas que pueden haber evadido otras capas de protección. Las soluciones de Symantec detectan malware y robots que intentan realizar marcaciones automáticas o descargar “actualizaciones” para aumentar su actividad en el sistema. Esto permite a los administradores de TI, que tienen una lista clara de sistemas para revisar, tener la seguridad de que su empresa está segura. Las amenazas furtivas polimórficas y complejas que utilizan técnicas de rootkit como Tidserv, ZeroAccess, Koobface y Zbot se pueden detener y eliminar con este método.

Protección contra amenazas ofuscadas

Los ataques web actuales utilizan técnicas complejas para aumentar la complejidad de sus ataques. Browser Protection de Symantec se encuentra dentro del navegador y puede detectar amenazas muy complejas que los métodos tradicionales a menudo no pueden detectar.

Amenazas de día cero y vulnerabilidades sin parches

Una de las adiciones de seguridad anteriores que la compañía agregó es una capa adicional de protección contra amenazas de día cero y vulnerabilidades sin parches. Al utilizar protección sin firma, el programa intercepta las llamadas a la API del sistema y protege contra descargas de malware. Esta tecnología se llama Protección de descargas no autorizadas (UXP). Es la última línea de soporte dentro del ecosistema de protección contra amenazas de red. Esto permite que el producto "cubra" vulnerabilidades desconocidas y sin parches sin utilizar firmas. Esta tecnología está habilitada de forma predeterminada y se ha encontrado en todos los productos lanzados desde el debut de Norton en 2010.

Protección contra vulnerabilidades de software sin parches

Los programas maliciosos suelen instalarse sin el conocimiento del usuario, aprovechando vulnerabilidades del software. La seguridad de red de Symantec proporciona una capa adicional de protección llamada Bloqueo genérico de exploits (GEB). Independientemente de si las últimas actualizaciones están instaladas o no, GEB protege "principalmente" las vulnerabilidades subyacentes contra la explotación. Las vulnerabilidades en Oracle Sun Java, Adobe Acrobat Reader, Adobe Flash, Internet Explorer, controles ActiveX o QuickTime ahora son omnipresentes. La protección genérica contra exploits se creó mediante "ingeniería inversa" al descubrir cómo se podría explotar la vulnerabilidad en la red, al tiempo que se proporciona un parche especial a nivel de red. Un único GEB, o firma de vulnerabilidad, puede brindar protección contra miles de variantes de malware, nuevas y desconocidas.

IP maliciosas y bloqueo de dominios

La protección de red de Symantec también incluye la capacidad de bloquear dominios y direcciones IP maliciosos y, al mismo tiempo, detener el malware y el tráfico de sitios maliciosos conocidos. A través del riguroso análisis y actualización de los sitios web de STAR, Symantec brinda protección en tiempo real contra amenazas en constante cambio.

Resistencia a la evasión mejorada

Se ha agregado soporte para codificaciones adicionales para mejorar la efectividad de la detección de ataques utilizando técnicas de cifrado como base64 y gzip.

Detección de auditoría de red para hacer cumplir las políticas de uso e identificar fugas de datos

Network IPS se puede utilizar para identificar aplicaciones y herramientas que pueden violar las políticas de uso corporativas o para evitar la fuga de datos a través de la red. Es posible detectar, advertir o prevenir tráfico como mensajería instantánea, P2P, redes sociales u otros tipos de tráfico "interesantes".

Protocolo de comunicación de inteligencia STAR

La tecnología de seguridad de red no funciona por sí sola. El motor se comunica con otros servicios de seguridad mediante el protocolo STAR Intelligence Communication (STAR ​​ICB). El motor Network IPS se conecta al motor Symantec Sonar y luego al motor Insight Reputation. Esto le permite proporcionar una protección más informativa y precisa.

En el próximo artículo veremos el nivel del Analizador de comportamiento.

Basado en materiales de Symantec

¿Encontraste un error tipográfico? Resalte y presione Ctrl + Enter

Enviar su buen trabajo a la base de conocimientos es fácil. Utilice el siguiente formulario

Los estudiantes, estudiantes de posgrado y jóvenes científicos que utilicen la base de conocimientos en sus estudios y trabajos le estarán muy agradecidos.

Documentos similares

Un modelo generalizado del proceso de detección de ataques. Justificación y selección de parámetros controlados y software para el desarrollo de un sistema de detección de ataques. Principales amenazas y vulnerabilidades. Utilizar un sistema de detección de ataques en redes conmutadas.

tesis, agregada el 21/06/2011


Ataques informáticos y tecnologías para su detección. Sistemas de detección de ataques a la red y firewalls. Herramientas de software para análisis de seguridad y mitigación de amenazas. Implementación de herramientas de software para la detección de ataques a un sistema de información empresarial.

trabajo del curso, agregado 16/03/2015


Métodos para detectar ataques a nivel de red y sistema. Métodos administrativos de protección contra diversos tipos de ataques remotos. Hackear notificaciones. Respuesta después de una invasión. Recomendaciones para almacenar información y controlarla en Internet.

trabajo del curso, añadido el 21/01/2011


Clasificación de ataques a la red por nivel de modelo OSI, por tipo, por ubicación del atacante y del objeto atacado. Problema de seguridad de la red IP. Amenazas y vulnerabilidades de las redes inalámbricas. Clasificación de los sistemas de detección de ataques IDS. Concepto XSpider.

trabajo del curso, añadido el 04/11/2014


Métodos para contrarrestar los ataques a la red. Algoritmo de acción a nivel de red. Métodos para implementar ataques de contraseña. Ataques de hombre en el medio. Reconocimiento de red, acceso no autorizado. Reenvío de puertos. Virus y aplicaciones troyanos.

trabajo del curso, añadido el 20/04/2015


Problema de seguridad del sistema operativo. Funciones del subsistema de seguridad. Identificación de usuarios, amenazas de software (ataques). Tipos de ataques a la red. Ciclo de vida del desarrollo de productos de software seguro. Evaluación de ataques al software.

presentación, añadido el 24/01/2014


Métodos de uso de tecnologías de redes neuronales en sistemas de detección de intrusiones. Sistemas expertos para la detección de ataques a la red. Redes artificiales, algoritmos genéticos. Ventajas y desventajas de los sistemas de detección de intrusos basados ​​en redes neuronales.

prueba, agregada el 30/11/2015


Conveniencia y capacidades del sistema de prevención de ataques Snort, tipos de complementos: preprocesadores, módulos de detección, módulos de salida. Métodos de detección de ataques y cadenas de reglas del sistema Snort. Conceptos clave, principio operativo y acciones integradas de iptables.

prueba, agregada el 17/01/2015

Ejercicio. Instalar y configurar un firewall.

El texto a continuación está tomado de uno de los sitios, preservando el estilo del autor.

Inicialmente, un firewall (firewall) servía para restringir el acceso a las redes locales desde el exterior. Las soluciones integradas son populares ahora. Si hablamos de una aplicación "profesional", entonces se trata de un dispositivo independiente que no sólo puede filtrar paquetes, sino también detectar un intento de ataque a la red. Para nosotros, usuarios comunes y corrientes, basta con tener un software de firewall. Incluso un firewall “simple” no se limita a controlar el tráfico de Internet; advierte sobre cualquier actividad sospechosa de una aplicación, preguntando al usuario qué debe permitir que la aplicación haga y qué no. Esto también es una "desventaja". La primera vez tendrás que responder preguntas y responder correctamente. He visto situaciones en las que un usuario bloqueó por error el acceso a Internet desde su navegador de Internet. Como resultado, se establece una conexión con el proveedor, pero no se abre ningún sitio.

Muy pronto volveremos a los cortafuegos, porque ha llegado el momento de pasar a la seguridad pura de la red.

Antes de cubrir los ataques a la red, es una buena idea familiarizarse con el funcionamiento de las redes. Este conocimiento también puede resultar útil para solucionar problemas por su cuenta. Recomiendo a aquellos que deseen estudiar seriamente el problema materiales serios. Una persona común y corriente no necesita leer todo tipo de RTFS. Mi objetivo es ayudar al usuario a tomar una decisión informada sobre el nivel de protección. Aquí debemos guiarnos por la suficiencia necesaria, y la definición de esta “suficiencia” es individual.

Si es un usuario de Internet, su computadora envía y recibe datos constantemente. Las solicitudes de información se envían, la propia información (por ejemplo, correo). Se reciben las respuestas del servicio (preparación del servidor, datos sobre el tamaño del archivo descargado, etc.) y los datos en sí.

Imaginemos el trabajo de dos cuarteles generales de ejércitos amigos durante ejercicios conjuntos. El general ruso pide a los chinos que apoyen la ofensiva con fuego desde el mar. ¿Cómo se intercambia la información? Se redacta una carta, se transmite al operador de cifrado y, ya cifrada, al operador de radio. Este último lanza la letra al aire en código Morse. El operador de radio chino recibe el código Morse, el criptógrafo lo descifra, se sorprende al descubrir que el mensaje está en ruso y se lo entrega a los traductores. Sólo ahora podemos suponer que la carta ha llegado al destinatario. Tenga en cuenta que se supone que nuestros generales por rango no deben pensar en el código Morse, los métodos de encriptación y los transmisores de radio. Además, el usuario no necesita saber nada sobre los siete niveles de interacción de la red. Lo más interesante para nosotros es el Protocolo de Internet. Este protocolo debería ser entendido por cualquier ordenador conectado a Internet, del mismo modo que todos los operadores de radio pueden utilizar el código Morse. Se sabe que las líneas de cable se utilizan a menudo para organizar las comunicaciones. Si hay un obstáculo en el camino, por ejemplo un río, entonces en el punto de interrupción a lo largo de las orillas se instalan dos transceptores (repetidores, esto es más rentable que pasar un cable por el fondo), luego canales satelitales y nuevamente una línea de cable; se puede utilizar. Dos "operadores de radio" utilizan el código Morse y es posible que no sepan nada sobre los métodos de transmisión de señales por cable o canales de radio con sus equipos de compresión. Las redes de datos en las que se basa Internet son igual de complejas, pero los dispositivos finales, como el ordenador, entienden IP, independientemente del sistema operativo instalado.

De acuerdo con el concepto de propiedad intelectual, los datos se convierten en “paquetes” separados, que pueden (aunque no es obligatorio que lo hagan) contener, además de datos e información sobre el punto de salida y destino, información sobre una parte de lo que exactamente está contenido en el paquete, cómo conectarlo con las partes restantes. Está claro que no existen canales ideales para la transmisión de datos, lo que significa que algunos paquetes contendrán errores, los paquetes llegarán al destino en la secuencia "incorrecta" o no lo alcanzarán en absoluto. A veces esto no es crítico. Dado que sólo se pierde una pequeña fracción de los paquetes, la transmisión se puede repetir varias veces (un enfoque razonable si el mensaje es pequeño). El usuario de la red verá aquí el protocolo de datagramas (UDP), que se basa en el protocolo IP y no garantiza la entrega de mensajes. Los protocolos TCP/IP proporcionan un medio para una entrega confiable mediante el establecimiento de una conexión virtual. Durante una conexión de este tipo ya se comunican dos programas de usuario. Se notifica a la parte “receptora” la cantidad de paquetes enviados y el método para unirlos, y si algún paquete no llega, solicita reenviarlo. Aquí ya podemos sacar dos conclusiones prácticas. En primer lugar: si la señal está muy distorsionada o hay mucha interferencia, una parte importante de los paquetes se transmite con errores, lo que provoca muchos envíos repetidos, es decir, la velocidad de transferencia de datos real disminuye. De aquí surge el concepto de ancho (capacidad) del canal. La segunda conclusión: si envía todos los paquetes declarados excepto uno, el lado receptor no cerrará la conexión virtual, esperando el último. Si crea muchas de estas conexiones, será difícil para la computadora receptora, ya que se reserva una sección de memoria para cada conexión y la memoria no es de goma. Los ataques a la red se basaban en este principio: “colgar” el ordenador de la víctima.

Para comprender el proceso de establecimiento de la conexión, es necesario considerar el sistema de identificación informática en la red. Si hablamos de Internet, cada computadora tiene un nombre único llamado dirección IP. podría verse así: 213.180.204.11 Es un poco difícil de recordar, por eso idearon nombres de dominio que constan de caracteres "normales", por ejemplo www.yandex.ru. Si escribe http://213.180.204.11 en la línea de comando de su navegador de Internet, será equivalente a http://www.yandex.ru. Cada nombre de dominio corresponde a una dirección IP específica. ¿Cómo descubrí la IP del famoso buscador? Puede utilizar un programa especial o ejecutar el comando "ping". Si tiene Windows, haga clic en el botón "Inicio", haga clic en "Ejecutar". Se nos ofrece ejecutar algún comando en la computadora, le daremos el comando cmd (ingrese cmd en el campo "abrir") y se abrirá una ventana del intérprete de comandos. Ahora podremos ver los comandos introducidos y el resultado de su ejecución. Entonces, ordenamos ping yandex.ru, presionamos "Enter" y obtenemos el resultado. El resultado será positivo si su computadora está conectada a Internet. En este caso, se le mostrará el tiempo de tránsito de los paquetes de prueba al servidor Yandex y, al mismo tiempo, la dirección IP. El papel de "traductor" lo desempeña un servidor DNS, una computadora especial que almacena tablas de correspondencia entre nombres de dominio y direcciones IP, y puede haber muchas computadoras de este tipo. Internet se concibió originalmente como una red tolerante a fallas (para el ejército estadounidense), y la confiabilidad debía estar garantizada por la ausencia de un centro único. Un grupo de paquetes enviados dentro de la misma conexión puede tomar diferentes rutas (por eso en la World Wide Web este proceso está controlado por enrutadores que almacenan diferentes rutas a diferentes subredes); Ahora está claro por qué el orden en que llegan los paquetes al destinatario puede diferir del original. También está claro que si un villano reemplaza una entrada en la tabla de direcciones, entonces, en lugar del sitio deseado, el cliente puede terminar en un sitio duplicado, donde ingresará sus contraseñas y otros datos. El consuelo es que falsificar tablas DNS públicas es una tarea muy difícil. Pero debe recordar que el navegador primero mira la tabla local, almacenada en un archivo especial en su computadora. Si el virus logra ingresar allí, ingresando a www.yandex.ru, puede acceder fácilmente a un sitio completamente diferente, quizás similar en apariencia. Si su firewall informa que algún programa está intentando cambiar el archivo de la tabla de direcciones, debe examinar su computadora en busca de una infección peligrosa.

Para establecer una conexión, no basta con conocer la dirección del ordenador. Los atributos esenciales de una solicitud de conexión son el protocolo (el idioma en el que se decide comunicarse) y el número de puerto al que nos conectamos. Indicamos el protocolo cada vez en la barra de direcciones del navegador (el mismo http, aunque puedes escribir ftp y contactar con el servidor ftp, si lo hay en el servidor). El número de puerto generalmente no se indica explícitamente; en este caso, http significa puerto 80, en el que el servidor de Internet "cuelga" (no en el sentido de "una computadora poderosa", sino en el sentido de "un programa que sirve aplicaciones cliente"). " Una computadora puede ejecutar muchos servicios (el mismo ftp), cada uno escucha "su propio" puerto. Si los navegadores de Internet proporcionan principalmente conexión a través de http y visualización de páginas web, existen programas especiales, tanto estándar como para conectarse a otros servicios. Los "hackers" si están instalados, abren su puerto y "escuchan" a aquellos que quieren conectarse y comunicarse. Cuantos más servicios de red se estén ejecutando en la máquina, mayor será la probabilidad de que haya uno entre ellos. ser vulnerable, porque cada puerto abierto es una puerta al sistema, y ​​¿está segura la cerradura? Esa es otra pregunta. Hay toda una clase de programas: escáneres de puertos, que sondean un rango determinado de puertos, clasificando los números. y produciendo una lista de los abiertos. De cara al futuro, diré que hay "escáneres de seguridad" que no sólo escanean los puertos, sino que también los examinan automáticamente en busca de todas las vulnerabilidades conocidas.

Entonces, ataques a la red. Los bancos se ocuparán de los piratas informáticos sin mi ayuda; los problemas de un usuario normal están más cerca de mí. Hablemos de esto.

Hackear un ordenador de forma remota ya no es tan sencillo. Si está interesado en saber quién hizo esto y cómo hace cinco años, aquí tiene un enlace al veredicto contra los posibles piratas informáticos, que describe toda la tecnología de piratería (al principio y al final del documento). En la época de Windows 98, cualquier escolar podía hacer esas cosas. Estos trucos no funcionan con Windows XP, y sólo los profesionales conocen los métodos para hackear Linux, quienes incluso ganan mucho dinero en su banco. Para penetrar en la computadora de otra persona, ahora es necesario tener calificaciones decentes y no todos reciben la atención personal de un villano inteligente. Es poco probable que mi computadora interese a nadie. Otra cosa es que mucha gente todavía se dedica a escanear puertos. No sé qué buscan allí, pero es muy molesto. ¡Pago por el tráfico! Observo que la dirección desde la que se realiza el escaneo suele pertenecer a un usuario respetable y desprevenido. Lo más probable es que en este último se haya instalado un gusano, buscando a su próxima víctima.

Si alguien está interesado en su computadora, entonces se trata de personas cercanas a usted. Me refiero a socios comerciales, jefes y cónyuges celosos. Puede encontrar una gran cantidad de software espía, como registradores de pulsaciones de teclas, en Internet. Si se instala un programa de este tipo en la computadora, todo lo escrito en el teclado, incluidas las contraseñas de correo electrónico, se registra en un archivo especial y se puede enviar en secreto por correo electrónico al "propietario".

Incluso si no tiene nada que ocultar, los troyanos que se encuentran en su computadora pueden cargar intensamente la línea, aumentando el tráfico e interfiriendo con el paso de información útil. Además, los programas escritos de forma analfabeta a menudo quitan recursos del sistema de la computadora e incluso violan la integridad del sistema operativo. El desafortunado resultado es la reinstalación y la pérdida asociada de tiempo y dinero.

Ahora veamos las formas más populares de introducir un troyano en su computadora (cómo evitarlo se explica en el próximo capítulo).

El primer método consiste en infectar su computadora con un virus compacto, cuya única función es descargarlo de Internet e instalar un "caballo de Troya" completo.

El segundo método consiste en ir al sitio "equivocado". Y obligar a alguien a abrir una página que contiene contenido peligroso es una cuestión de tecnología y psicología.

El tercer método consiste en dejar que el atacante se siente frente a su computadora. También hay casos en los que un visitante de una organización simplemente inserta silenciosamente una "unidad flash" especialmente preparada en un puerto USB y luego queda claro.

Otra realidad desagradable de la vida en línea es olfateando. En pocas palabras, interceptación del tráfico. Del capítulo anterior (usando el sentido común) queda claro que los paquetes salientes salen “al aire” en cierto sentido. Al menos dentro de una subred están disponibles para todos, y esto no es tan poco. Otra cosa es que una computadora "decente" solo percibe la información que se le dirige. Si el villano instaló un programa rastreador, podrá leer los datos transmitidos. Restaurar todo el flujo es una tarea imposible, ya que no se establece la conexión con la fuente y no será posible solicitar el reenvío de paquetes perdidos (sería una arrogancia escuchar a escondidas a los vecinos detrás de la pared, e incluso volver a preguntar cuándo lo hicieron). No oigo). El rastreo se utiliza para interceptar contraseñas transmitidas de forma clara (sin cifrar).

Conociendo el nivel de peligro real, puede adoptar un enfoque razonable para proteger su computadora de diversos ataques. El enfoque aquí es simple: el costo de la caja fuerte no debe exceder el costo de los objetos de valor almacenados en ella. Puedes hacer muchas cosas tú mismo, comencemos con esto.

1. Instale un sistema operativo normal. Tenemos que asumir que la mayoría de los usuarios son adecuados para el sistema operativo de Microsoft. En este caso, no hay opciones: Windows XP con SP2 (al menos). SP2 es el segundo paquete de actualización que cerró muchos agujeros de seguridad. Windows 2000 habría funcionado, pero dejaron de soportarlo y cada vez se encuentran más vulnerabilidades.

2. Configure una protección mínima: habilite el firewall (si está instalado SP2, está habilitado de forma predeterminada) para todas las conexiones. Esto se hace así: Inicio>Panel de control>Conexiones de red, se abrirá una ventana con iconos para las conexiones configuradas. Haga clic derecho en el icono de conexión, seleccione "propiedades", haga clic en la pestaña "avanzado", luego en el área "Firewall de Windows", haga clic en el botón "configuración". Si el valor está configurado en “deshabilitar”, cámbielo a “habilitar” y confirme con el botón OK.

3. Instale software antivirus. Por mucho que critiquen a Kaspersky Anti-Virus (ralentiza el ordenador), no veo una alternativa razonable. Actualizamos las bases de datos antivirus a través de Internet al estado más reciente. Ahora puedes profundizar en la configuración (se ve diferente en diferentes versiones, por lo que no lo describiré en detalle). Tiene sentido desactivar el análisis diario completo de la computadora. Normalmente desactivo las actualizaciones automáticas ya que la mayoría de las computadoras no están conectadas a Internet todo el tiempo.

4. En el “Panel de control” encontramos el apartado “administración”, en él “servicios” y desactivamos todo lo innecesario. En primer lugar, el servicio de mensajería. Te explicaré por qué. Quizás se haya encontrado con una situación en la que, mientras trabaja en Internet, periódicamente aparece un mensaje en el que tiene miedo de varios errores en el sistema y otros virus, pidiéndole que vaya a tal o cual sitio donde lo ayudarán a obtener deshazte de tus problemas. De hecho, al visitar un sitio de este tipo, se pueden incurrir en estos problemas. El servicio de mensajería está diseñado principalmente para funcionar en una red local; con su ayuda, el administrador de la red puede notificar a los usuarios sobre cualquier cosa. Los villanos lo utilizan para atraer a la gente a sitios de trampas. También puede desactivar de forma segura "Telnet", "Registro remoto" y "Servidor" si no planea utilizar su computadora como servidor. Cuantos menos servicios se estén ejecutando, más rápido funcionará la computadora. Todavía hay muchas cosas que se pueden desactivar, pero debes proceder con precaución. Si no está seguro, es mejor invitar a un especialista.

5. Si no ha hecho esto anteriormente, establezca contraseñas para todos los usuarios. Esto último significa que una buena contraseña debe ser larga y estar compuesta por números, letras en diferentes casos y caracteres especiales.

Cuando configuro la computadora de un cliente, normalmente me detengo ahí. Para la mayoría, este es un nivel de protección completamente suficiente. Aquellos que estén seriamente preocupados por la seguridad deben tomar otras precauciones.

6. Otorgue a todos los usuarios sólo los derechos mínimos necesarios. Por ejemplo, prohibir a todos, excepto al "Administrador", instalar programas. Incluso si es el único usuario, cree una segunda cuenta con derechos limitados e inicie sesión como Administrador sólo cuando sea necesario. El hecho es que algunas vulnerabilidades permiten a un atacante ejecutar comandos en una computadora en nombre del usuario actual. Y si esa persona tiene derechos mínimos, entonces no será posible explotar la vulnerabilidad.

7. A veces, al ingresar una contraseña, por ejemplo para acceder a su buzón, el sistema le solicita que guarde la contraseña. Siempre me niego, que es lo que te aconsejo que hagas. Este es un buen hábito.

8. Instale un firewall completo. El firewall integrado de Windows simplemente no rastrea muchas acciones del programa.

De particular interés para su consideración son los ataques remotos a la red. El interés por este tipo de ataques se debe a que los sistemas de procesamiento de datos distribuidos están cada vez más extendidos en el mundo. La mayoría de los usuarios trabajan con recursos remotos utilizando la red INTERNET y la pila de protocolos TCP/IP. INTERNET se creó originalmente para comunicarse entre agencias gubernamentales y universidades para ayudar a la educación y la investigación, y los creadores de esta red no tenían idea de cuán ampliamente se extendería. Como resultado, las especificaciones de las primeras versiones del Protocolo de Internet (IP) carecían de requisitos de seguridad. Esta es la razón por la que muchas implementaciones de IP son inherentemente vulnerables.

El curso cubre los siguientes ataques y cómo combatirlos.

Ataque de olfateo. Un rastreador de paquetes es un programa de aplicación que utiliza una tarjeta de red que funciona en modo promiscuo (en este modo, el adaptador de red envía todos los paquetes recibidos a través de canales físicos a la aplicación para su procesamiento). En este caso, el rastreador intercepta todos los paquetes de red que se transmiten a través de un dominio específico. Actualmente, los rastreadores operan en las redes de forma totalmente legal. Se utilizan para diagnóstico de fallas y análisis de tráfico. Sin embargo, dado que algunas aplicaciones de red transfieren datos en formato de texto (Telnet, FTP, SMTP, POP3, etc.), el uso de un rastreador puede revelar información útil y, a veces, confidencial (por ejemplo, nombres de usuario y contraseñas).

La interceptación de inicios de sesión y contraseñas plantea una gran amenaza porque los usuarios suelen utilizar el mismo inicio de sesión y contraseña para múltiples aplicaciones y sistemas. Muchos usuarios generalmente tienen una contraseña para acceder a todos los recursos y aplicaciones. Si la aplicación se ejecuta en modo cliente/servidor y los datos de autenticación se transmiten a través de la red en un formato de texto legible, es probable que esta información se pueda utilizar para acceder a otros recursos corporativos o externos. En el peor de los casos, un atacante obtiene acceso a nivel de sistema a un recurso de usuario y lo utiliza para crear un nuevo usuario que puede utilizarse en cualquier momento para acceder a la red y sus recursos.

Puede mitigar la amenaza del rastreo de paquetes utilizando las siguientes herramientas:

Autenticación. La autenticación sólida es la primera defensa contra el rastreo de paquetes. Por "fuerte" nos referimos a un método de autenticación que es difícil de eludir. Un ejemplo de dicha autenticación son las contraseñas de un solo uso (OTP - Contraseñas de un solo uso). OTP es una tecnología de autenticación de dos factores. Un ejemplo típico de autenticación de dos factores es el funcionamiento de un cajero automático normal, que le identifica, en primer lugar, por su tarjeta de plástico y, en segundo lugar, por el código PIN introducido. La autenticación en el sistema OTP también requiere un código PIN y su tarjeta personal. Se entiende por “tarjeta” (token) una herramienta de hardware o software que genera (por principio aleatorio) una contraseña única, de un solo uso. Si un atacante descubre esta contraseña utilizando un rastreador, esta información será inútil porque en ese momento la contraseña ya habrá sido utilizada y retirada. Tenga en cuenta que este método de combatir el rastreo sólo es eficaz contra la interceptación de contraseñas. Los rastreadores que interceptan otra información (como mensajes de correo electrónico) siguen siendo eficaces.

Infraestructura conmutada. Otra forma de combatir el rastreo de paquetes en un entorno de red es crear una infraestructura conmutada. Si, por ejemplo, toda la organización utiliza Ethernet de acceso telefónico, los atacantes sólo pueden acceder al tráfico que llega al puerto al que están conectados. Una infraestructura conmutada no elimina la amenaza del rastreo, pero reduce significativamente su gravedad.

Anti-rastreadores. La tercera forma de combatir el rastreo es instalar hardware o software que reconozca los rastreadores que se ejecutan en la red. Estas herramientas no pueden eliminar completamente la amenaza, pero, como muchas otras herramientas de seguridad de red, están incluidas en el sistema de protección general. Los llamados "anti-sniffers" miden los tiempos de respuesta del host y determinan si los hosts tienen que procesar tráfico "innecesario".

Criptografía. La forma más eficaz de combatir el rastreo de paquetes no es impedir la interceptación ni reconocer el trabajo de los rastreadores, pero hace que este trabajo sea inútil. Si el canal de comunicación es criptográficamente seguro, esto significa que el atacante no está interceptando el mensaje, sino el texto cifrado (es decir, una secuencia incomprensible de bits).

Ataque de suplantación de IP. Este ataque ocurre cuando un atacante, dentro o fuera de una corporación, se hace pasar por un usuario autorizado. La razón más simple para utilizar direcciones IP falsificadas es el deseo del atacante de ocultar sus actividades en el océano de la actividad de la red. Por ejemplo, la herramienta de diagramación de red NMAP3 envía secuencias adicionales de paquetes, cada uno utilizando su propia dirección IP de origen falsificada. En este caso, el atacante sabe qué direcciones IP son falsas y qué paquetes de cada secuencia son reales. El administrador de seguridad de un sistema que está siendo atacado se verá obligado a analizar muchas direcciones IP falsificadas antes de identificar la dirección IP real del atacante.

Otra razón por la que un atacante utiliza la suplantación de direcciones IP es para ocultar su identidad. El hecho es que es posible rastrear una dirección IP hasta un sistema individual y, a veces, incluso hasta un usuario individual. Por lo tanto, con la ayuda de la falsificación de IP, un atacante intenta evitar ser detectado. Sin embargo, el uso de una dirección IP falsa plantea una serie de dificultades al remitente.

Todas las respuestas del sistema atacado se envían a una dirección IP falsa. Para poder ver o recibir estas respuestas, el atacante debe estar en su camino desde la máquina comprometida hasta la dirección IP falsificada (al menos en teoría). Debido a que la respuesta no necesariamente toma la misma ruta que el paquete falsificado enviado, un atacante puede perder tráfico de retorno. Para evitar esto, un atacante puede interferir con uno o más enrutadores intermedios, cuyas direcciones se utilizarán como falsificaciones para redirigir el tráfico a otra ubicación.

Otro método consiste en que el atacante adivine de antemano los números de secuencia TCP que utiliza la máquina atacada. En este caso, no necesita recibir un paquete SYN-ACK, ya que simplemente genera y envía un paquete ACK con un número de secuencia previsto. Las primeras implementaciones de pilas de IP utilizaban esquemas de cálculo de números de secuencia predictivos y, por lo tanto, eran sensibles a flujos de datos TCP falsificados. En las implementaciones modernas, ya es más difícil predecir el número de secuencia. La herramienta de diagramación de redes NMAP tiene la capacidad de estimar la dificultad de predecir los números de secuencia de los sistemas que se están escaneando.

En la tercera opción, el atacante puede interferir con el funcionamiento de uno o más enrutadores ubicados entre su servidor y el servidor atacado. Esto hace posible dirigir el tráfico de respuesta destinado a una dirección IP falsificada al sistema desde el que se originó la intrusión. Una vez que se completa el hack, se libera el enrutador para cubrir sus huellas.

Finalmente, es posible que el atacante no tenga intención de responder al paquete SYN-ACK que devuelve la víctima. Puede haber dos razones para esto. El atacante puede estar realizando un escaneo de puerto medio abierto, conocido como Escaneo SINC. En este caso, sólo le interesa la respuesta inicial de la máquina que está siendo atacada. La combinación del indicador RST-ACK significa que el puerto escaneado está cerrado y la combinación SYN-ACK significa que está abierto. El objetivo se ha logrado, por lo tanto no es necesario responder a este paquete SYN-ACK. También es posible que se lleve a cabo un hack SYN similar a una avalancha. En este caso, el atacante no sólo no responde a los paquetes SYN-ACK o RST-ACK, sino que generalmente no está interesado en el tipo de paquetes recibidos del sistema comprometido.

Los ataques de suplantación de IP suelen ser el punto de partida de otros ataques. Un ejemplo clásico es un ataque DoS, que comienza desde la dirección de otra persona y oculta la verdadera identidad del atacante.

Normalmente, la suplantación de IP se limita a insertar información falsa o comandos maliciosos en el flujo normal de datos transmitidos entre una aplicación cliente y servidor o a través de un canal de comunicación entre dispositivos pares.

Como se señaló, para una comunicación bidireccional, un atacante debe cambiar todas las tablas de enrutamiento para dirigir el tráfico a una dirección IP falsa. Algunos atacantes, sin embargo, ni siquiera intentan obtener una respuesta de las aplicaciones. Si la tarea principal es obtener un archivo importante del sistema, las respuestas de la aplicación no importan. Si el atacante logra cambiar las tablas de enrutamiento y dirigir el tráfico a una dirección IP falsa, recibirá todos los paquetes y podrá responder a ellos como si fuera un usuario autorizado.

La amenaza de suplantación de identidad se puede mitigar (pero no eliminar) mediante las siguientes medidas:

Control de acceso. La forma más sencilla de evitar la suplantación de IP es configurar correctamente los controles de acceso. Para reducir la efectividad de la suplantación de IP, debe configurar el control de acceso para rechazar cualquier tráfico proveniente de una red externa con una dirección de origen que debe estar ubicada dentro de su red. Tenga en cuenta que esto ayuda a combatir la suplantación de IP, donde sólo se autorizan direcciones internas. Si algunas direcciones de red externas también están autorizadas, este método deja de ser efectivo.

Filtrado RFC 2827. Los intentos de falsificar redes extranjeras por parte de usuarios de la red protegida se detienen si se rechaza cualquier tráfico saliente cuya dirección de origen no sea una de las direcciones IP de la organización protegida. Este tipo de filtrado, conocido como RFC 2827, también lo puede realizar su proveedor de servicios de Internet (ISP). Como resultado, se rechaza todo el tráfico que no tenga una dirección de origen esperada en una interfaz particular. Por ejemplo, si un ISP proporciona una conexión a la dirección IP 15.1.1.0/24, puede configurar un filtro para que solo se permita el tráfico que se origina desde 15.1.1.0/24 desde esa interfaz al enrutador del ISP. Tenga en cuenta que hasta que todos los proveedores implementen este tipo de filtrado, su efectividad será mucho menor de lo posible. Además, cuanto más lejos esté de los dispositivos que se están filtrando, más difícil será realizar una filtración precisa. Por ejemplo, el filtrado RFC 2827 a nivel de enrutador de acceso requiere pasar todo el tráfico desde la dirección de red principal (10.0.0.0/8), mientras que a nivel de distribución (en esta arquitectura) es posible restringir el tráfico con mayor precisión (dirección - 10.1 .5.0/24).

La suplantación de IP sólo puede funcionar si la autenticación se basa en direcciones IP. Por lo tanto, introducir métodos de autenticación adicionales hace que este tipo de ataque sea inútil. El mejor tipo de autenticación adicional es la criptográfica. Si esto no es posible, la autenticación de dos factores mediante contraseñas de un solo uso puede dar buenos resultados.

Denegación de Servicio (DoS). DoS es, sin duda, la forma de ataque más conocida. Además, este tipo de ataques son los más difíciles de proteger al 100%. La simplicidad de implementación y el enorme daño causado atraen la atención de los administradores responsables de la seguridad de la red hacia DoS. Los tipos de ataques más conocidos son: TCP SYN Flood; Ping de la muerte; Tribe Flood Network (TFN) y Tribe Flood Network 2000 (TFN2K); Trinco; Stacheldracht; Trinidad.

La fuente de información sobre estos ataques es el Equipo de Respuesta a Emergencias Informáticas (CERT), que ha publicado trabajos sobre la lucha contra los ataques DoS.

Los ataques DoS son diferentes de otros tipos de ataques. No tienen como objetivo obtener acceso a su red ni obtener información de esa red. Un ataque DoS hace que una red no esté disponible para su uso normal al exceder los límites permitidos de la red, el sistema operativo o la aplicación. En el caso de algunas aplicaciones de servidor (como un servidor web o un servidor FTP), los ataques DoS pueden implicar tomar todas las conexiones disponibles para esas aplicaciones y mantenerlas ocupadas, impidiendo que los usuarios normales reciban servicio. Los ataques DoS pueden utilizar protocolos de Internet comunes como TCP e ICMP (Protocolo de mensajes de control de Internet).

La mayoría de los ataques DoS no se basan en errores de software o agujeros de seguridad, sino en debilidades generales en la arquitectura del sistema. Algunos ataques paralizan el rendimiento de la red al inundarla con paquetes no deseados e innecesarios o información engañosa sobre el estado actual de los recursos de la red. Este tipo de ataque es difícil de prevenir porque requiere coordinación con el ISP. Si el tráfico destinado a inundar la red no se detiene en el proveedor, ya no será posible hacerlo en la entrada de la red, porque se ocupará todo el ancho de banda. Cuando este tipo de ataque se realiza simultáneamente a través de muchos dispositivos, hablamos de un ataque DoS distribuido (DDoS).

La amenaza de ataques DoS se puede mitigar de tres formas:

Funciones antisuplantación de identidad. Configurar correctamente las funciones anti-spoofing en sus enrutadores y firewalls ayudará a reducir el riesgo de DoS. Estas características deben incluir, como mínimo, el filtrado RFC 2827. Si un atacante no puede ocultar su verdadera identidad, es poco probable que lleve a cabo un ataque.

Funciones antiDoS. La configuración adecuada de las funciones anti-DoS en enrutadores y firewalls puede limitar la efectividad de los ataques. Estas funciones suelen limitar el número de canales medio abiertos en un momento dado.

Limitación de la tasa de tráfico. Una organización puede pedirle a su proveedor de servicios de Internet (ISP) que limite la cantidad de tráfico. Este tipo de filtrado le permite limitar la cantidad de tráfico no crítico que pasa por su red. Un ejemplo común es limitar la cantidad de tráfico ICMP que se utiliza únicamente con fines de diagnóstico. (D) Los ataques DoS a menudo utilizan ICMP.

Ataques de contraseña. Los atacantes pueden realizar ataques a contraseñas utilizando una variedad de métodos, como ataques de fuerza bruta, caballos de Troya, suplantación de IP y rastreo de paquetes. Aunque el inicio de sesión y la contraseña a menudo se pueden obtener mediante suplantación de IP y rastreo de paquetes, los piratas informáticos a menudo intentan adivinar la contraseña e iniciar sesión mediante múltiples intentos de acceso. Este enfoque se denomina ataque simple de fuerza bruta.

A menudo, en este tipo de ataques se utiliza un programa especial que intenta obtener acceso a un recurso público (por ejemplo, un servidor). Si, como resultado, el atacante obtiene acceso a los recursos, obtiene acceso a los derechos de un usuario normal cuya contraseña fue adivinada. Si este usuario tiene importantes privilegios de acceso, un atacante puede crear un "pase" para acceso futuro que permanecerá vigente incluso si el usuario cambia su contraseña e inicio de sesión.

Otro problema surge cuando los usuarios utilizan la misma (incluso muy buena) contraseña para acceder a muchos sistemas: corporativos, personales y de Internet. Dado que una contraseña es tan segura como la del host más débil, un atacante que aprende la contraseña a través de ese host obtiene acceso a todos los demás sistemas que usan la misma contraseña.

En primer lugar, los ataques a contraseñas se pueden evitar si no se utilizan contraseñas en forma de texto. Las contraseñas de un solo uso y/o la autenticación criptográfica pueden eliminar virtualmente la amenaza de tales ataques. Lamentablemente, no todas las aplicaciones, hosts y dispositivos admiten los métodos de autenticación anteriores.

Cuando utilice contraseñas habituales, intente crear una que sea difícil de adivinar. La longitud mínima de la contraseña debe ser de al menos ocho caracteres. La contraseña debe incluir caracteres en mayúsculas, números y caracteres especiales (#, %, $, etc.). Las mejores contraseñas son difíciles de adivinar y de recordar, lo que obliga a los usuarios a escribirlas en papel. Para evitar esto, los usuarios y administradores pueden aprovechar una serie de avances tecnológicos recientes. Por ejemplo, existen programas de aplicación que cifran una lista de contraseñas que se pueden almacenar en una computadora de bolsillo. Como resultado, el usuario sólo necesita recordar una contraseña compleja, mientras que todas las demás contraseñas estarán protegidas de forma fiable por la aplicación.

Ataques de hombre en el medio. Para un ataque Man-in-the-Middle, el atacante necesita acceso a los paquetes transmitidos a través de la red. Dicho acceso a todos los paquetes transmitidos desde un proveedor a cualquier otra red puede obtenerlo, por ejemplo, un empleado de este proveedor. Para este tipo de ataque se suelen utilizar rastreadores de paquetes, protocolos de transporte y protocolos de enrutamiento. Los ataques se llevan a cabo con el objetivo de robar información, interceptar la sesión actual y obtener acceso a recursos de la red privada para analizar el tráfico y obtener información sobre la red y sus usuarios, realizar ataques DoS, distorsionar los datos transmitidos e ingresar información no autorizada en sesiones de red.

Los ataques de tipo Man-in-the-Middle sólo pueden combatirse eficazmente mediante criptografía. Si un atacante intercepta datos de una sesión cifrada, lo que aparecerá en su pantalla no será el mensaje interceptado, sino un conjunto de caracteres sin sentido. Tenga en cuenta que si un atacante obtiene información sobre la sesión criptográfica (por ejemplo, la clave de sesión), esto podría hacer posible un ataque Man-in-the-Middle incluso en un entorno cifrado.

Ataques a nivel de aplicación. Los ataques a nivel de aplicación se pueden llevar a cabo de varias formas. El más común es explotar debilidades conocidas en el software del servidor (sendmail, HTTP, FTP). Aprovechando estas debilidades, los atacantes pueden obtener acceso a una computadora en nombre del usuario que ejecuta la aplicación (generalmente no es un simple usuario, sino un administrador privilegiado con derechos de acceso al sistema). La información sobre ataques a nivel de aplicación se publica ampliamente para permitir a los administradores corregir el problema utilizando módulos correctivos (parches, parches). Desafortunadamente, muchos atacantes también tienen acceso a esta información, lo que les permite aprender.

El principal problema con los ataques a la capa de aplicación es que a menudo utilizan puertos a los que se les permite atravesar el firewall. Los ataques a nivel de aplicación no se pueden eliminar por completo.

Existe una gran variedad de configuraciones de computadora, sistemas operativos y equipos de red diferentes, sin embargo, esto no se convierte en un obstáculo para el acceso a la red global. Esta situación fue posible gracias al protocolo de red universal TCP/IP, que establece ciertos estándares y reglas para la transmisión de datos a través de Internet. Desafortunadamente, esta versatilidad ha llevado al hecho de que las computadoras que usan este protocolo se han vuelto vulnerables a la influencia externa, y dado que el protocolo TCP/IP se usa en todas las computadoras conectadas a Internet, los atacantes no necesitan desarrollar medios individuales para acceder a los datos de otras personas. máquinas.

Un ataque a la red es un intento de influir en una computadora remota utilizando métodos de software. Como regla general, el objetivo de un ataque a la red es violar la confidencialidad de los datos, es decir, robar información. Además, los ataques a la red se llevan a cabo para acceder a la computadora de otra persona y posteriormente cambiar los archivos que se encuentran en ella.

Existen varios tipos de clasificación de ataques a la red. Uno de ellos se basa en el principio de influencia. Los ataques pasivos a la red tienen como objetivo obtener información confidencial de una computadora remota. Estos ataques, por ejemplo, incluyen la lectura de mensajes de correo electrónico entrantes y salientes. En cuanto a los ataques activos a redes, su tarea no es sólo el acceso a determinada información, sino también su modificación. Una de las diferencias más significativas entre estos tipos de ataques es que la interferencia pasiva es casi imposible de detectar, mientras que los efectos de un ataque activo suelen ser perceptibles.

Además, los ataques se clasifican según para qué objetivos sirven. Entre las tareas principales, por regla general, se encuentran la interrupción del funcionamiento de la computadora, el acceso no autorizado a la información y la modificación oculta de los datos almacenados en la computadora. Por ejemplo, piratear el servidor de una escuela para cambiar las calificaciones en las revistas se clasifica como ataque de red activo del tercer tipo.

Tecnologías de protección

Se desarrollan y mejoran constantemente métodos de protección contra ataques a la red, pero ninguno de ellos ofrece una garantía completa. El caso es que cualquier defensa estática tiene debilidades, ya que es imposible protegerse contra todo a la vez. En cuanto a los métodos de protección dinámicos, como los estadísticos, expertos, de lógica difusa y las redes neuronales, también tienen sus debilidades, ya que se basan principalmente en el análisis de acciones sospechosas y en su comparación con métodos conocidos de ataques a la red. En consecuencia, la mayoría de los sistemas de defensa ceden ante tipos de ataques desconocidos y empiezan a repeler la intrusión demasiado tarde. Sin embargo, los sistemas de seguridad modernos hacen que al atacante le resulte tan difícil acceder a los datos que es más racional buscar otra víctima.