مفاهیم شبكه

بخشهای از متن:

مروری بر مفاهیم شبكه:

برای تحلیل و فهم روشهائی كه یك نفوذگر با بكارگیری آنها با شبكه حمله می كند، باید یك دانش پایه از تكنولوژی شبكه داشته باشیم. درك مكانیزم حملات ممكن نیست مگر آنكه حداقل اصول TCP/IP را بدانیم.

عاملی كه تمام شبكه های مختلف را به صورت موفقیت آمیز به هم پیوند زده است، تبعیت همه آنها از مجموعه پروتكلی است كه تحت عنوان TCP/IP در دنیا شناخته می شود. دقت كنید كه عبارت خلاصه شده TCP/IP می تواند به دو موضوع متفاوت اشاره داشته باشد:

مدل TCP/IP: این مدل یك ساختار چهار لایه ای برای ارتباطات گسترده تعریف می نماید كه آنرا در ادامه بررسی می كنیم.

پشتة پروتكلهای TCP/IP:[1] پشتة TCP/IP مجموعه ای شامل بیش از صد پروتكل متفاوت است كه برای سازماندهی كلیه اجزاء شبكة اینترنت به كار می رود.

TCP/IP بهترین پروتكل شبكه بندی دنیا نیست! پروتكلهای بهینه تر از آن هم وجود دارند؛ ولیكن فراگیرترین و محبوبترین تكنولوژی شبكه بندی در دنیای كامپیوتر محسوب می شود. شاید بزرگترین حسن TCP/IP آن باشد كه بدون پیچیدگی زیاد، بخوبی كار می كند! اینترنت بر اساس TCP/IP بنا شده و بیشتر حملات نیز مبتنی بر مجموعة پروتكلهای TCP/IP هستند.

طراحی شبكه ها و اصول لایه بندی

برای طراحی یك شبكة‌ كامپیوتری،‌‌ مسائل و مشكلات بسیار گسرتده و متنوعی وجود دارد كه باید به نحوی حل شود تا بتوان یك ارتباط مطمئن و قابل اعتماد بین دو ماشین در شبكه برقرار كرد. این مسائل و مشكلات همگی از یك سنخ نیستند و منشأ و راه حل مشابه نیز ندارند؛ بخشی از آنها توسط سخت افزار و بخش دیگر با تكنیكهای نرم افزاری قابل حل هستند. به عنوان مثال نیاز برای ارتباط بی سیم بین چند ایستگاه در شبكه، طراح شبكه را مجبور به استفاده از مدولاسیون آنالوگ در سخت افزار مخابراتی خواهد كرد ولی مسئلة هماهنگی در ارسال بسته ها از مبدأ به مقصد یا شماره گیری بسته ها برای بازسازی پیام و اطمینان از رسیدن یك بسته، با استفاده از تكنیكهای نرم افزازی قابل حل است. بهمین دلیل برای طراحی شبكه های كامپیوتری، باید مسائل و مشكلاتی كه برای برقراری یك ارتباط مطمئن،‌ ساده و شفاف بین دو ماشین در شبكه وجود دارد،‌ دسته بندی شده و راه حلهای استاندارد برای آنها ارائه می شود. در زیربخشی از مسائل طراحی شبكه ها عنوان شده است:

اولین موضوع چگونگی ارسال و دریافت بیتهای اطلاعات بصورت یك سیگنال الكتریكی، الكترومغناطیسی یا نوری است، بسته به اینكه آیا كانال نتقال سیم مسی، فیبرنوری، كانال ماهواره ای یا خطوط مایكروویو است. بنابراین تبدیل بیتها به یك سیگنال متناسب با كانال انتقال یكی از مسائل اولیة شبكه به شمار می رود.

[1] TCP/IP Protocol Stack

...

فیلد IHL[1]: این فیلد هم چهار بیتی است و طول كل سرآیند بسته را بر مبنای كلمات 32 بیتی مشخص می نماید. بعنوان مثال اگر در این فیلد عدد 10 قرار گرفته باشد بدین معناست كه كل سرآیند 320 بیت معادل چهل بایت خواهد بود. اگر به ساختار یك بستة IP دقت شود به غیر از فیلد Options كه اختیاری است، وجود تمام فیلدهای سرآیند الزامی می باشد. در حقیقت این فیلد بعنوان یك اشاره گر مرز بین سرآیند و داده ها را مشخص می كند.

فیلد Type of service: این فیلد هشت بیتی است و توسط آن ماشین میزبان (یعنی ماشین تولید كنندة بسته IP) از مجموعة زیر شبكه (یعنی مجموعة مسیریابهای بین راه تقاضای سرویس ویژه ای برای ارسال یك  دیتاگرام می نماید. بعنوان مثال ممكن است یك ماشین میزبان بخواهد دیتاگرام صدا یا تصویر برای ماشین مفصد ارسال نماید؛ ر چنین شرایطی از زیرشبكه تقاضای ارسال سریع و به موقع اطلاعات را دارد نه قابلیت اطمینان صد در صد، چرا كه اگر یك یا چند بیت از داد های ارسالی در سیر دچار خرابی شود تاثیر چندانی در كیفیت كار نخواهد گذاشت ولی اگر بسته های حاوی اطلاعات صدا یا تصویر به سرعت و سرموقع تحویل نشود اشكال عمده بوجود خواهد آمد. در چنین مواقعی ماشین میزبان از زیرشبكه تقاضای سرویس سریع (ولاجرم غیرقابل اطمینان) می نماید. در برخی از محیط های دیگر مثل ارسال نامة‌ الكترونیكی یا مبادلة ‌فایل انتظار اطمینان صد درصد از زیرشبكه وجود دارد و سرعت تاثیر چندانی بر كیفیت كار ندارد. اكثر مسیریابهای تجاری فیلد Type of Service را نادیده می گیرند و اهمیتی به محتوای آن نمی دهند.

[1] IP Header Length

...

مبانی طراحی دیوار آتش

از آنجایی كه معماری در شبكه بصورت لایه به لایه است، در مدل TCP/IP برای انتقال یك واحد اطلاعات از لایه چهارم بر روی شبكه،‌ باید تمام لایه ها را بگذراند؛ هر لایه برای انجام وظیفة خود تعدادی فیلد مشخص به ابتدای بستة اطلاعاتی اضافه كرده و آنرا تحویل لایه زیرین می دهد. قسمت اعظم كار یك دیوار آتش تحلیل فیلدهای اضافه شده در هر لایه و سرآیند هر بسته می باشد. در بسته ای كه وارد دیوار آتش تحلیل فیلدهای اضافه شده در هر لایه و سرآیند هر بسته می باشد. در بسته ای كه وارد دیوار آتش می شود به تعداد لایه ها (4 لایه) سرآیند متفاوت وجود خواهد داشت معمولاً سرآیند لایه اول (لایه فیزیكی یا Network Interface در شبكة اینترنت) اهمیت چندانی ندارد چرا كه محتوای این فیلدها فقط روی كانال فیزیكی در شبكه محلی معنا دارند و در گذر از هر شبكه یا مسیریاب این فیلدها عوض خواهند شد. بیشترین اهمیت در سرآیندی است كه در لایه های دوم، سوم و چهارم به یك واحد از اطلاعات اضافه خواهد شد:

در لایه شبكه از دیوار آتش فیلدهای سرآیند بسته IP را پردازش و تحلیل می كند.

در لایه انتقال از دیوار آتش فیلدهای سرآیند بسته های TCP یا UDP را پردازش و تحلیل می كند.

در لایه انتقال از دیوار آتش فیلدهای سرآیند و همچنین محتوای خود داده ها را بررسی می كند. (مثلاً سرآیند و محتوای یك نامه الكترونیكی یا یك صفحه وب می تواند مورد بررسی قرار گیرد.)

با توجه به لایه لایه بودن معماری شبكه لاجرم یك دیوار آتش نیز چند لایه خواهد بود. اگر یك بسته در یكی از لایه های دیوار آتش شرایط عبور را احراز نكند همانجا حذف شده و به لایه های بالاتر ارجاع داده نمی شود بلكه ممكن است آن بسته جهت پیگیریهای امنیتی نظیر ثبت عمل و ردگیری به سیسمتی جانبی تحویل داده شود سیاست امنیتی یك شبكه مجموعه ای متناهی از قواعد امنیتی است كه بنابر ماهیتشان در یكی از سه لایه دیوار آتش تعریف می شوند، بعنوان مثال:

قواعد تعیین بسته های متنوع (بسته های سیاه) در اولین لایه از دیوار آتش

قواعد بستن برخی از پورتها متعلق به سرویسهایی مثل Telnet یا FTP در لایه دوم

قواعد تحلیل سرآیند متن یك نامه الكترونیكی یا صفحه وب در لایه سوم

...

كسب اطلاعات از سرویس دهندة‌DNS در راستای حمله

در بخش های قبلی آموختید كه سیستم DNS حاوی اطلاعات بسیار میدی است كه متاسفانه گاهی در خدمت نفوذگر قرار می گیرد. بطور معمول نفوذگر برای شناسائی مقدماتی شبكة ‌هدف بوسیله DNS، مراحل زیر را دنبال می نماید:

او ابتدا نیاز دارد تا حداقل یك سرویس دهندة‌DNS را در شبكة هدف پیدا كردن سرویس دهندة DNS از یك شبكة (بگونه ای كه تشریح شد) بسادگی و از طریق سرویس Whois در اینترنت امكان پذیر است. بعنوان مثال مطابق با شكل (5-5) سرویس دهنده های DNS از شبكة Security.com با آدرسهای IP زیرمعرفی شده اند:

216.57.130.1 (سرویس دهندة‌DNS اصلی)

216.57.120.2 ( سرویس دهندة‌DNS ثانویه) و سرویس دهندة DNS سوم و چهارم

سرویس دهندة‌ اولیه و سرویس دهنده ثانویه تفاوتی ندارند؛ سرویس دهنده ثانویه، بعنوان پشتیبان سرویس دهندة اولیه،‌‌ قابلیت اعتماد شبكه رابالا می برد و در مواقعی كه سرویس دهندة اصلی مختل شود سرویس دهندة دوم در اختیار كاربران اینترنت قرار می گیرد.

برای استخراج اطلاعات لازم از سرویس دهندة‌DNS نفوذگر باید از ابزارهای خاص استفاده كند.یكی از ابزارهای عمومی و ساده در سیستمهای عامل یونیكس و windos برنامة nslookup است كه در خطر فرمان اجرا می شود. نفوذ گر بسادگی فرمان nslookup را در خطرمان تایپ كرده و كلید Enter را فشار می دهد. پس از اجرای این برنامة، نفوذگر می توند با سرویس دهندة‌DNS فعل و انتقال داشته باشد.

در مرحلة ‌بعدی نفوذگر تلاش می كند تا از طریق nslookup اقدام به «دریافت كل اطلاعات یك Zone »[1] نماید. بدین معنا كه تمام ركوردهای موجود در ارتباط با یك نام حوزه منتقل شود. Nslookup از DNS متلق به یك شركت یا موسسه تقاضا می كند تا تمام ركوردهائی كه در خصوص یك نام حوزه در بانك اطلاعاتی ذخیره شده است، برایش ارسال نماید. بدین منظور پس از اجرای nslookup  باید از طریق فرمان server، نام سرویس دهندة ‌مورد نظر تعیین شود:

[نام سرویس دهندة‌هدف]  server

برای آنكه nslookup انتقال كل ركوردهای موجود در خصوص یك نام حوزه را تقاضا كند، باید در خطر فرمان از فرمان زیر استفاده شود:

set type = any

سپس برای آنكه انتقال ركوردهای موجود در DNS هدف شورع شود باید فرمان زیر در خط فرمان صادر شود:

[نام حوزة‌ مورد نظر]   is-d

پس از اجرای این فرمان ركودهای ارسالی توسط DNS هدف روی خروجی نشان داده می شود در مثال زیر مراحل استفاده از از nslookup جهت انتقال كامل ركوردهای موجود در خصوص نام skoudissuff.com نشان داده شده است:

$ nsllokup

Default server: evil.attacker.com

Address: 10.200.100.45

Server 10.1.1.34

Default server: ns.skouisstuff.com

Address: 10.1.1.34

Set

Is-d skouisstuff.com

Susyeml      ID               IN               A                IO.1.1.36

                   ID               IN               HINFO       Solaris 2.6 Mailserver

                   ID               IN               MX             10 maill

Web            ID               IN               A                10.1.1.48

                   ID               IN                HINFO       “NTSWWW”

ntftp           ID               IN               A                10.1.1.49

ws               ID               IN               A                10.1.1.22

                   ID               IN               TXT            “Adminisrator workstation”

(در مثال بالا تعداد خروجیها خلاصه شده اند تا خواناتر باشند.)

[1] Zone Transfer