Ответный удар

Но служба администрирования этого Web-узла обнаружила и отбила атаку, возвратив весь поток запросов на сервер-отправитель.

Коалиция электрохиппи (э-хиппи), зародившаяся в Великобритании, так и не призналась, что ее вредоносные действия воздались ей сторицей. Только на следующий день после атаки на Web-узле э-хиппи появилось сообщение с извинениями за возникшие у них трудности с доступом.

Вопрос о нанесении ответного удара в киберпространстве не имеет простого ответа. Хост-служба Conxion в г. Сан-Хосе, которая отразила нападение на Web-узел WTO, определила, что атака исходила с сервера э-хиппи, и дала команду программе-фильтру перенаправлять все приходящие с него пакеты обратно. Conxion была чрезвычайно горда тем, что смогла применить против нападавших их же оружие. Она даже выпустила по этому поводу пресс-релиз.

Однако реакция на данную контратаку среди специалистов по информационным технологиям (ИТ) оказалась неоднозначной. Большинство из них заявили, что не нанесли бы ответного удара в киберпространстве из опасения нанести ущерб невиновным. Правда, никто не сомневался, что при точной идентификации преступника подобные меры вполне оправданны.

Если бы в инструментарии служб защиты имелся хороший индикатор атак, то число сторонников нанесения ответного удара среди ИТ-специалистов могло бы увеличиться. Подобным инструментом стали бы, например, средства определения вторжения, сконфигурированные так, чтобы возвращать наполнение атаки источнику. Новые инструментальные средства с такой реакцией уже появляются на рынке, а бесплатное ПО для перенацеливания атак можно скачать с множества Web-узлов.

Электронная вендетта

Противники ответных действий считают, что возврат атак аналогичен расправе без суда. Их беспокоит также возможность причинить ущерб невиновному, к тому же за это можно и самому угодить под суд.

Ал Поттер, управляющий лабораторией безопасности сетей в ICSA Labs (г. Карлайл, шт. Пенсильвания), полагает, что любые, в том числе ответные, атаки незаконны — кто бы их ни инициировал и по какой бы то ни было причине. Попустительствуя «праведному» нападению, мы столкнемся с целым рядом проблем на федеральном и даже национальном уровне.

С ним согласен и лейтенант Крис Малиновски, возглавляющий отдел компьютерных преступлений департамента полиции г. Нью-Йорка: «Если вы — жертва преступления, то такие же действия по отношению к преступнику, исходящие от вас, тоже преступны». Пока действия Conxion не подпадают под действие закона, поскольку их можно рассматривать как отказ от получения почты с возвратом отправителю, что с правовой точки зрения вполне допустимо. «Если они действуют исключительно в рамках системы принятия превентивных мер, то никаких проблем нет, — говорит Малиновски. — Отказ от получения почты — нормальная функция системного администрирования. Но если вы привносите в почтовое сообщение собственный текст и направляете его обратно на узел-источник, у вас могут возникнуть проблемы с законом».

Точность наведения

Conxion повезло: у нее был точный IP-адрес сервера э-хиппи, поэтому трудностей с возвращением почты не возникло. Однако необходимо принимать во внимание, что большинство взломщиков пользуются при нападении чужими IP-адресами. Так, в феврале 2000 г. серия атак парализовала серверы Amazon.com, eBay и др. Все они инициировались абсолютно «невинным», но «зомбированным» компьютером, к которому незаконно подключился хакер. Если бы жертвы предприняли ответные меры, воспользовавшись IP-адресом источника, они нанесли бы урон законопослушной компании, которая и понятия не имела о своей роли в организации злодейства.

По мнению Грегори Пека, аналитика систем безопасности одной из фирм, входящих в список 500 ведущих компаний в сфере услуг, и издателя информационного бюллетеня HappyHacker.org, атаки с собственного компьютера — большая редкость. «Обычно взломщик использует один или несколько IP-адресов Internet-провайдеров, дистанционно переключаясь с одного на другой, поэтому «поймать» его в Сети очень сложно». Рассказывают о случае, когда системный администратор частной компании отбил хакерскую атаку, возвратив сообщение на исходящий IP-адрес, который, к сожалению, оказался ложным. На этом узле, в свою очередь, выявили источник атаки, и в результате «мститель» потерял работу.

Одобрено поставщиками

Примеры неудачных контрударов не останавливают производителей, которые поставляют на рынок продукты, обеспечивающие адекватную реакцию на нападения хакеров. Так, компа- нии Recourse Technolo gies из Паоло Альто (шт. Калифорния) и GTE Federal Network Systems из Арлинг- тона (шт. Вирджиния) предлагают «ловушки для взломщиков», которые они называют «приманками». Эти сетевые устройства намеренно привлекают внимание взломщиков, в то время как сетевые мониторы наблюдают за их действиями и собирают идентифицирующую информацию. «Граница между соблюдением секретности и принятием агрессивных контрмер очень тонка, — полагает Фрэнк Хьюэрта, президент и главный управляющий компании Recourse. — Поэтому наше аппаратное средство Mantrap больше похоже на систему видеонаблюдения, используемую в магазинах».

Следить за подозрительной деятельностью и собирать свидетельства против атакующих — это одно дело. Но некоторые поставщики, в частности разработчики детекторов вторжения, предлагают конфигурировать их аппаратные средства таким образом, чтобы они не просто аннулировали зловредные подключения, а отслеживали IP-адрес и возвращали DOS-атаку. Многие производители систем защиты, хотя и утверждают, что не рекомендуют своим клиентам перенаправлять атаку, с гордостью заявляют: их продукцию допускается запрограммировать для нанесения ответного удара.

«Если система обнаружения вторжений запрограммирована на автоматические ответные действия, то, перенацелив атаку по ложному IP-адресу, можно вызвать отказ в обслуживании «невиновного» сервера», — уверен Скотт Блейк, администратор безопасности компании Bindview из г. Хьюстон, поставляющей системы защиты для Internet. Поэтому Bindview с марта 2000 г. продает реагирующее на атаки аппаратное средство Zombie Zapper, которое действует несколько иначе. Вместо того чтобы возвращать распределенные DOS-угрозы адресанту, это устройство направляет выявленным компьютерам-источникам команду прекратить отправку DOS-пакетов. Блейк сообщил, что в течение двух недель после установки в сети компании Zombie Zapper активизировалось более 7 тыс. раз.

Однако есть еще два интересных вопроса: какие продукты предложат поставщики, когда на Web-узлах будут установлены бесплатные аппаратные средства реагирования, и станут ли специалисты по управлению сетями использовать эти бесплатные средства?

На последний вопрос многие отвечают отрицательно. По мнению Поттера из лаборатории ICSA, по отношению к большей части вполне легальных бесплатных продуктов реагирующие возможности лишь декларируются. Он считает, что поставщики, в конечном счете, создают лишь продукты, востребованные покупателями, а клиенты предпочитают усовершенствовать пассивную защиту на базе существующих аппаратных средств, нежели устанавливать новые устройства.

Криминальные действия в Internet все больше становятся «головной болью» администраторов корпоративных сетей и управляющих систем безопасности, так как киберполиция не в состоянии справиться с этой проблемой. Взлом защиты компьютерных систем американских корпораций обходится им в весьма приличные суммы. В совместном докладе Института компьютерной безопасности (г. Сан-Франциско) и ФБР, который был опубликован в марте 2000 г., сообщалось, что в прошлом году убытки от компьютерных преступлений составили 266 млн долл., а число потерпевших ущерб организаций перевалило за 270.

«Исходя из своего собственного опыта, я должен с сожалением констатировать, что если ваша фирма невелика и не совершает многомиллиардных сделок от имени государства, то помощи от агентств типа ФБР ждать придется очень долго, — говорит Пек. — Однако действуя в качестве аналитика безопасности собственной сети, вы сможете добиться значительно большего, чем ФБР». Многие следователи, которые занимаются компьютерными преступлениями, считают, что компаниям нужно активнее защищать свой капитал, отслеживая электронных преступников и предоставляя доказательства в прокуратуру.

* * *

Итак, каково же решение проблемы? Начните с создания собственной оборонительной системы. Это означает усиление и затем тестирование защиты всей сети — начиная с ОС и кончая внешними брандмауэрами и маршрутизаторами. «Тренируйте» сетевые службы на противодействие распределенным атакам, вирусам и прочим безобразиям, пока они не «научаться улаживать» такие проблемы. Ведь еще Иисус говорил, что «если бы ведал хозяин дома, в какую стражу придет вор, то бодрствовал бы и не дал бы подкопать дома своего».

Печально лишь то, что и киберпреступность будет совершенствоваться вместе со средствами защиты.

ОБ АВТОРЕ

Неофициальное мнение

Реагирующие аппаратные средства