چگونه می‌توان یک شبکه تسخیر شده را تشخیص داد؟

روش های زیادی برای تشخیص این كه ماشینی مورد نفوذ قرار گرفته است وجود دارد ولی متاسفانه فقط تعداد كمی از این روش ها دارای قابلیت اطمینان در حد قابل قبول می باشند.در این نوشتار قصد داریم نگاهی به قابلیت اطمینان روش های كشف ماشین های تسخیر شده در سازمان بیندازیم. در واقع نكته كلیدی و مهم در این جا قابلیت اطمینان است.
چگونه می توان شبكه تسخیر شده توسط نفوذگران و هكرها تشخیص دهیم شما مدیر شبكه یك سازمان هستید و با خیال راحت پشت سیستم خودتان نشسته و مشغول وب گردی (!!!) هستید، در همین حال نفوذگران از طریق درپشتی، كانال های مخفی و.. . در حال رفت و آمد به شبكه شما هستند بدون این كه روح شما از این موضوع خبردار باشد یا حتی به این موضوع شك كنید.
یكی از مهم ترین نكاتی كه شما به عنوان مدیر شبكه یك سازمان باید مدنظر داشته باشید این است كه چگونه می توان فهمید ماشینی مورد نفوذ قرار گرفته است.ابتدا ببینیم به چه ماشینی تسخیر شده می گویند.به یك ماشین، تسخیر شده گفته می شود اگر:
۱) به طور موفقیت آمیز توسط نفوذگر و با استفاده از كدهای مخرب تحت كنترل درآمده و مورد استفاده قرار گیرد.
۲) یك درپشتی یا دیگر ابزارهای مخرب بدون اطلاع صاحب ماشین، بر روی آن اجرا شود.
۳) ماشین بدون اطلاع صاحب آن به گونه ای پیكربندی شود كه به افراد غیرمجاز اجازه دسترسی بدهد.
▪ برخی از مواردی كه ممكن است در دنیای واقعی رخ دهد به شرح زیر است:
۱) یك سیستم كه توسط یك كرم (worm) آلوده شده و سپس شروع به ارسال مقادیر زیادی ترافیك مخرب به بیرون می كند و سعی می كند آلودگی را در سازمان و خارج از آن گسترش دهد.
۲) امتیازات دسترسی سیستم به یك سرور FTP بدون حفاظ مورد سوءاستفاده قرار گرفته وسپس توسط نفوذگران برای ذخیره كردن و به اشتراك گذاشتن تصاویر پورنو، نرم افزارهای غیرمجاز و.. . استفاده شود.
۳) یك سرور كه توسط نفوذگران تسخیر شده و روی آن rootkit نصب شده است. برای ایجاد كانال های پنهان بیشتر به منظور دسترسی راحت تر نفوذگر، بر روی چندین سیستم، تروجان نصب شده است. همچنین یك IRC bot نصب شده است كه از یك كانال مشخص برای اجرای دستورات استفاده می شود.
ممكن است با خواندن مثال های فوق، فكر كنید كه «خوب، در این موارد می دانم چگونه سیستم های تسخیر شده را تشخیص دهم» ولی ما مساله را در حالت كلی بررسی خواهیم كرد نه برای چند مثال خاص. ابتدا نگاهی می اندازیم به تكنولوژی های موجود برای تشخیص فعالیت نفوذگران. سیستم های تشخیص حمله (كه از آن ها به عنوان سیستم های تشخیص نیز یاد می شود) وجود دارد كه جستجوها و تلاش ها برای حملات گوناگون را تشخیص می دهد. سپس سیستم های تشخیص نفوذ قرار دارند كه روش های نفوذ شناخته شده مورد استفاده نفوذگران را تشخیص می دهد.
البته در اینجا ما در مورد روش های قابل اطمینان تشخیص ماشین های تسخیر شده صحبت می كنیم: تشخیص ماشین هایی كه مورد حمله قرار گرفته اند، مورد نفوذ قرار گرفته اند و اكنون توسط نفوذگران یا دستیاران خودكارشان (aids) استفاده می شوند.
همان گونه كه اشاره شد، قابلیت اطمینان تشخیص مهم است. هشدارهایی كه تولید می كنیم برخلاف سیستم های تشخیص نفوذ بر مبنای شبكه كاملا كاربردی و عملیاتی است. به عنوان مثال به جای هشدار «به نظر می رسد كسی در حال حمله به سیستم شما است. اگر تمایل دارید با دقت بیش تری آن را بررسی كنید.» از هشدار «ماشین شما مورد نفوذ قرار گرفته و در حال استفاده توسط نفوذگران است، به آنجا بروید و این كارها را انجام دهید»
چگونه می توانیم تشخیص دهیم كه ماشینی واقعا تسخیر شده است؟ پاسخ این سوال تا حد زیادی به این كه چه اطلاعات و ابزارهایی با توجه به موقعیت كاربر در دسترس است، بستگی دارد. این كه فقط توسط اطلاعات مربوط به فایروال بخواهیم ماشین تسخیر شده را تشخیص دهیم یك چیز است و این كه دسترسی كامل به سخت افزار، سیستم عامل و برنامه های كاربردی ماشین داشته باشیم مساله ای كاملا متفاوت است.بدیهی است تحقق بخشیدن به این اهداف نیازمند داشتن افراد متخصص با مهارت computer forensics در سازمان و صرف زمان كافی است.

منبع : روزنامه ابرار