در دنیای امنیت اطلاعات و مخصوصاً هکر ها روش های زیادی برای هک وجود دارد. در این مطلب قصد داریم با 14 نوع حمله که هکر ها برای حمله از آن ها استفاده می کنند آشنا شویم. برای یک کارشناس امنیت اطلاعات و ارتباطات این یک امر ضروری است که انواع حملاتی را که به شبکه و سیستم های موجود در آن و به ویژه به کنترل های دسترسی موجود انجام می شود را شناسایی و درک کند . اینگونه حملات بصورت خلاصه در قالب این مقاله معرفی و بررسی می شوند، در ادامه به معرفی اینگونه حملات خواهیم پرداخت :
این نوع حملات با هدف خارج کردن منبع اطلاعاتی از سرویس به گونه ای که دیگر آن منبع قادر به ارائه سرویس به دیگران نبوده و نتواند تبادل اطلاعات درستی با کاربرانش داشته باشد ، انجام می شود . حملات DDOS یا خارج از سرویس کردن بصورت توزیع شده ، برای حمله به هدف مورد نظر از چندین کامپیوتر مختلف استفاده می کنند ، در اینگونه حملات نرم افزارهای حمله به هدف بر روی تعداد زیادی از کامپیوترهای موجود در شبکه ارتباطی نصب می شوند .
این نصب شدن حتی از دید مالک سیستم هم مخفی می ماند و صاحب سیستم از اینکه این نرم افزارها بر روی سیستم او نصب شده اند کاملا بی خبر است ، زمانی که تعداد اینگونه ماشین های طعمه زیاد شد ، مهاجم به این تعداد کثیر از کامپیوترها دستور می دهد که حملات خود را به یک هدف تعیین شده شروع کنند و سرور مورد نظر به دلیل عدم توانایی در پاسخگویی به این حجم زیاد از درخواست ها از سرویس خارج شده و به اصطلاح Overwhelm یا دستپاچه می شود . برخی از مهمترین و معروفترین نوع از این حملات DOS به شرح زیر هستند :
حملات از نوع Backdoor معمولا از طریق مودم های Dialup و یا ADSL و یا هر وسیله ارتباطی انجام می شوند که مستقیما به داخل شبکه هدف متصل شده است . هر گونه ارتباط خارجی می تواند به نوعی در ایجاد یک Backdoor به هکر ها کمک کند . استراتژی اصلی در اینگونه حملات این است که یک مهاجم بتواند بدون درگیر شدن با مکانیزم های امنیت و کنترل های امنیت تعبیه شده در شبکه هدف وارد یک شبکه شود که معمولا اینگونه حملات از طریق همین ارتباطات شخصی درون سازمانی انجام می شوند . Backdoor در ساختار های برنامه نویسی به درگاهی اطلاق می شود که معمولا توسط برنامه نویسی اصلی سیستم برای انجام و اعمال تغییرات بعدی در سیستم ایجاد شده است و صرفا خود برنامه نویس از آنها خبر دارد.
مهاجمین آدرس های IP و همچنین آدرس های سخت افزاری خود یا MAC ها را دستکاری کرده و به سیستم هدف اینطور القا می کنند که در حال برقراری ارتباط با سیستم درستی هستند و این در حالی است که سیستم هدف فریب اینکار را خورده است . در این حالت سیستم هدف به دلیل اینکه به آن آدرس IP و یا MAC اعتماد دارد به سیستم مهاجم اجازه دسترسی به منابع تعیین شده در سیستم را خواهد داد . دستکاری آدری IP یا IP Spoofing در سطح بسته های اطلاعاتی از نوع TCP انجام می شوند ، به این دلیل بیشتر از پروتکل TCP استفاده می شود که اکثر سیستم هایی که در اینترنت مورد استفاده قرار می گیرند از پروتکل TCP/IP به عنوان پروتکل ارتباطی خود استفاده می کنند در این روش مهاجم درخواستی برای سیستم هدف از طرف یک آدرس IP مورد اعتماد و شناخته شده برای سیستم هدف ارسال می کند و آدرس IP و سایر مشخصات خود را نیز مخفی نگه می دارد . سیستم هدف معمولا این درخواست درست و مورد اعتماد دانسته و به آن پاسخ می دهد .
حمله از نوع MITM از دو عنصر تشکیل شده است ، ابتدا از یک مهاجم یا Attacker که در اینجا به اختصار آنرا A می نامیم و دیگر از یک شخص دیگر یا Person که در اینجا به اختصار به آن P می گوییم . A در اینجا دارای یک کلید عمومی است که در شبکه این کلید عمومی را به عنوان کلید عمومی P معرفی می کند ، در این حالت زمانی که کاربران دیگر قصد ارسال اطلاعات به P را دارند از کلید عمومی A برای رمزنگاری اطلاعات استفاده می کنند و این همان لحظه ای است که A می تواند با استفاده از کلید خصوصی که در اختیار دارد اطلاعات را رمز گشایی و بازخوانی کند . در این میان A می تواند مجددا اطلاعات را تغییر داده و اطلاعات تغییر یافته را مجددا به P ارسال کند .
این نوع حمله زمانی رخ می دهد که مهاجم اطلاعاتی از قبیل نام کاربری و رمز عبور را یافته و همچنین پیام های قبلی سیستم را در خود ذخیره می کند و در هنگام قطع شدن اتصال یا Session مربوطه مجددا اقدام به استفاده از این اطلاعات می کند و خود را به عنوان یکی از طرف های مورد اعتماد در ارتباط معرفی می کند . یکی از روش های مقابله در مقابل اینگونه حملات استفاده از یک مجموعه از شماره های تصادفی و ی رشته های تصادفی به نام Nonce است .
اگر فرض کنیم که محمد بخواهد با شهاب ارتباط برقرار کند ، با اولین پیغام خود به شهاب یک Nonce برای وی ارسال می کند ، زمانی که شهاب به محمد پاسخ می دهد Nonce را نیز به محمد باز می گرداند تا ثابت کند که این شهاب است که قصد ارسال مجدد اطلاعات به محمد را دارد . هر شخص دیگری که بخواهد وارد این ارتباط بشود نمی تواند از Nonce جدید استفاده کند .
روش دیگری که برای ایمن سازی در مقابل اینگونه حملات وجود دارد ، این است که در هنگامی که محمد قصد ارسال اطلاعات را دارد به اطلاعات ایجاد شده فاکتور زمان را نیز اضافه می کند یا به قولی به اطلاعات خود Timestamp را نیز اضافه می کند . این پارامتر زمانی نشان دهنده زمانی است که پیام ارسال شده است ، بنابر این اگر کسی مجددا قصد استفاده از این اطلاعات را داشته باشد مشخص می شود که در همان زمان قبلی از این اطلاعات استفاده نشده است و اطلاعات جدید نامعتبر هستند .
برای تشریح این نوع حمله بایستی بگوییم که در این نوع حمله مهاجم در بین راه قرار گرفته و یک Session فعال را از یکی از طریفت ارتباط ربوده و خود را در میان این Session فعال و البته مورد اعتماد قرار می دهد . این Session ممکن است که میان یک سرور و یک کلاینت باشد . کامپیوتر مهاجم آدرس IP خود را به جای آدرس IP کلاینت قرار داده و ارتباط درست خود با سرور را ادامه می دهد ، بطوریکه سرور گمان می کند که این همان کلاینت مورد اعتمادش است ، این مورد می تواند در مورد سرور نیز بصورت متقابل انجام شود . برای وضوع بیشتر این مسئله به مراحل زید توجه کنید :
این نوع حمله که همیشه بیشترین درصد موفقیت و همیشه بیشترین میزان آسیب رسانی را دارد با استفاده از دانش رواشناسی و روابط عمومی مهاجمین برای بدست آوردن رمز های عبور و یا شماره پین ها و بسیاری دیگر از اطلاعات بکار می رود. برای مثال یک هکر می تواند خود را به عنوان یکی از کارشناسان واحد انفورماتیک سازمان به یکی از پرسنل در یک تماس تلفنی معرفی کرده و از وی درخواست کند که به دلیل بروز مشکلات فنی در نرم افزار اتوماسیون نیازمند رمز عبور و نام کاربری وی هستند تا بتوانند مشکل بوجود آمده را مرتفع سازند . این نوع حملات انواع و اقسام مختلفی دارند که برخی از آنها به شرح ذیل می باشد :
همیشه خطرناکترین نوع حملات به یک شبکه از همین نوع هستند و تنها راهی که می توان در برابر اینگونه حملات مقابله کرد ، ایجاد یک بیانیه امنیت اطلاعات در این خصوص و همچنین برگزاری کلاسهای آموزشی و توجیهی برای کارکنان است.
Dumpster Diving در واقع یک روش برای بدست آوردن اطلاعات است ، در این روش مهاجم با استفاده از اطلاعاتی که از طرف سازمان یا افرادی در سازمان دور ریخته شده اند ، اطلاعاتی در خصوص هدف حمله خود بدست می آورد . در بسیار از مواقع اطلاعاتی که در سطح زباله یک سازماین یافت می شود می تواند برای یک مهاجم بسیار ارزشمند باشد . اطلاعات دور ریخته شده می توانند شامل نامه های داری ، لیست شماره تلفن ها و یا رمزهای عبور و نام های کاربری و یا حتی چارت سازمانی یک سازمان را در خود داشته باشد . همیشه به خاطر داشته باشید که یکی از مواردی که در امنیت اطلاعات بسیار حساس است ، محرمانگی اطلاعات است و این یعنی صرفا کسانی که مجاز به دسترسی به اطلاعات هستند بایستی توان دسترسی به اطلاعات را داشته باشند . تصور کنید که یک مستد محرمانه اداری در سطح زباله یک سازمان یافت می شود ، اگر شخصی به منظور سوء استفاده از این اطلاعات استفاده کند می تواند سازمان را دچار مشکل کند و این یکی از مسائلی است که در خصوص حفظ محرمانگی بایستی رعایت شود .
به دلیل اینکه استفاده از رمزهای عبور از معمولترین روشهای احراز هویت برای ورود افراد به سیستم های اطلاعاتی در همه جا می باشد ، بدست آوردن رمزهای عبور یکی از روشهای موثر و معمل برای انجام یک حمله است . بدست آوردن رمز عبور افراد می تواند به روش های متنوعی انجام شود ، این روش ها می توانند قرارگرفتن بصورت فیزیکی در کنار فرد و مشاهده رمز وارد شده در سیستم ، شنود شبکه برای بدست آوردن رمز های منتقل شده در شبکه ، مهندسی اجتماعی و فریب دادن کاربر ، سوء استفاده کردن از پایگاه های داده و در نهایت حدس زدن رمز های عبور کاربران باشد . مرحله آخر از این موارد می تواند به روشهای اصولی و یا تصادفی انجام شود .
در این روش برای بدست آوردن و حدس زدن رمز عبور ، رمز های تصادفی تولید می شود و با Hash رمز اصی مقایسه می شود ، در این روش که معمولا زمانگیر نیز هست ، مهاجم امیدوار است که بتواند رمز مورد نظر را بصورت تصادفی حدس بزند . در این روش نیز می توان از یک سری منطق های استفاده کرد ، به این معنا که مثلا برای رمز های از نام های کاربری ، شماره های پرسنلی، عنوان های شغلی و نام افراد در حدس زدن رمزها استفاده شود که تا حد زیادی کارایی این تکنیک را بالا می برد.
در این روش همانطور که از نامش پیداست از یک فرهنگ لغت یا همان دیکشنری که در آن مجموعه ای از رمزهای عبور معمول در دنیا وجود دارد استفاده می شود تا از این طریق بتوان رمز عبور شخص یا شبکه را پیدا کرد و به منابع آن دسترسی یافت . یکی از معمولترین روش ها در این تکنیک این است که فایل رمزنگاری شده حاوی رمزهای عبور را به یک نرم افزار که کار حمله دیکشنری را انجام می دهد معرفی می کنیم ، و سپس این نرم افزار رشته های رمزنگاری شده یا Hash شده داخل این فایل را با رشته های تولید شده در این نرم افزار مقایسه می کند و در صورت یکی بودن رمز مورد نظر پیدا می شود .
نقاط ضعف موجود در نرم افزار ها ( Vulnerabilities ) می تواند برای سوء استفاده مهاجمین و پیدا کردن دسترسی غیر مجاز به اطلاعات سیستم مورد استفاده قرار بگیرند ، برای مثال برخی از نقاط ضعف شناخته در نرم افزار های به شکل زیر می باشند :
اسب های تروا یا Trojan Horse ها نوعی از کدهای مخرب هستند که خود را در درون یک نرم افزار میزبان قرار می دهند و به ظاهر نرم افزاری کاربردی هستند. به محض اینکه نرم افزار مورد نظر توسط کاربر اجرا می شود ، آن کد مخرب که می تواند از نوع ویروس ، کرم و یا انواع دیگر کدهای مخرب باشد از درون نرم افزار میزبان اجرا شده و ایستگاه کاری ، سرور و یا شبکه ای را که در آن قرار دارد را آلوده خواهد کرد و بر همین اساس می تواند باعث دسترسی غیرمجاز به منابع سیستمی نیز بشود . اسب های تروا ابزارهایی هستند که معمولا هکر ها برای حفظ دسترسی ها و ایجاد درب های پشتی ( Backdoor ) برای سوء استفاده های بعدی از سیستم استفاده می شوند . اسب های تروا معمولا از طریق اینترنت و با استفاده از پروتکل FTP و یا نرم افزارهای مفید رایگان و یا حتی از طریق ایمیل و وب سایت ها و بسیاری دیگر از روش ها ... وارد سیستم هدف می شوند . اسب های تروا شناخته شده معمولا از پورت های زیر برای کارهای خود استفاده می کنند :
برخی از انواع اسب های تروا به گونه ای برنامه نویسی شده اند که بتوانند یک سری پورت های خاص را برای سوء استفاده بر روی سیستم هدف باز کنند . معمولا زمانی که یک اسب تروا بر روی یک سیستم نصب می شود یک پورت با شماره بالا را برای خود باز می کند و معمولا از محدوده پورت های شناخته شده استفاده نمی کند. بعد ها همین پورت های باز می تواند توسط مهاجم مجددا اسکن شده و از طریق آنها به سیستم حمله می شود. اسکن کردن مخرب سیستم ها در قسمت بعدی بیشتر بررسی می شود .
هیچ سیستم کامپیوتری که به یک شبکه داخلی و یا یک شبکه عمومی متصل است از اسکن های غیرمجاز مصون نیست .اسکن سیستم فرآیندی است که برای بدست آوردن اطلاعات از سیستم هدف در جهت برنامه ریزی حمله به آن سیستم انجام می شود . مهاجمین از این روش برای شناسایی پورت های باز سیستم ، سرویس های موجود بر روی سیستم ، و همچنین سیستم عامل و نرم افزارهای نصب شده بر روی سیستم هدف استفاده می کنند . اسکن کردن سیستم هدف به مهاجم این امکان را می دهد که با شناسایی درست هدف ، نقاط ضعف آنرا بررسی و از طریق این نقاط ضعف براحتی به سیستم حمله کند. اسکن کردن سیستم های هدف یکی از مراحل انجام یک طرح حمله هکری است که این طرح شامل مراحل زیر می شود :
شناسایی شبکه ( Network Reconnaissance ) : در مرحله شناسایی شبکه ، مهاجم اطلاعات ارزشمندی در خصوص شبکه مقصد از قبیل موارد زیر را بدست می آورد :
بدست آوردن دسترسی سیستمی ( Gaining System Access ) : بدست آوردن دسترسی به سیستم هدف از چندین روش به شرح زیر ممکن است انجام شود :
حذف آثار حمله ( Removing Evidence Of the Attack ) : بعد از اینکه حمله به درستی انجام شد ، آثار حمله می تواند به روش های زیر حذف شود :
کارشناسان امنیت نیز بایستی سیستم های شبکه خود را بصورت متناوب اسکن کرده و آثار هک و موارد مشکوک از جمله نقاط ضعف امنیتی را مرتبا بررسی کنند . به دلیل اینکه مرحله اسکن کردن سیستم های هدف اولین مرحله در انجام حملات هکری است ، ما با بررسی وضعیت شبکه و کنترل اسکن هایی که از یک سیستم می شود می توانیم از بروز حمله قبل از آن مطلع شده و جلوی روی دادن آن را بگیریم . در مقاله چگونه هکر شویم در خصوص مفاهیم اولیه حملات هکری صحبت کردیم و در دوره آموزش نتورک پلاس هم در خصوص مفاهیم اولیه امنیت شبکه و اطلاعات که لازمه کار امنیت است صحبت می کنیم.