10. Перехват трафика. Spoofing и атаки типа Man-in-the-Middle

Введение

DoS и DDoS в первую очередь направлены на нарушение доступности информационных систем.

Однако для злоумышленника интерес представляет не только возможность вывести систему из строя. Не менее опасной является возможность: - увидеть передаваемую информацию; - получить учетные данные; - узнать содержание сетевого обмена; - изменить передаваемые данные; - перенаправить пользователя на другой ресурс; - выдать себя за другое устройство или пользователя.

Именно такие угрозы связаны с перехватом сетевого трафика, spoofing и атаками Man-in-the-Middle.

Упрощенно различие можно представить следующим образом:

DoS / DDoS
    ↓
Нарушение доступности

Перехват трафика
    ↓
Нарушение конфиденциальности

Spoofing
    ↓
Подмена идентификатора или источника

Man-in-the-Middle
    ↓
Перехват + возможное изменение обмена

Эти атаки особенно опасны в сетях, где отсутствуют шифрование, аутентификация участников и надежная защита сетевой инфраструктуры.

Что такое сетевой трафик

Сетевой трафик — это поток данных, передаваемых между устройствами компьютерной сети.

Например:

Компьютер
    |
    | запрос
    v
Маршрутизатор
    |
    | передача
    v
Сервер
    |
    | ответ
    v
Компьютер

В процессе взаимодействия передаются различные данные: - веб-запросы; - ответы серверов; - сообщения; - файлы; - DNS-запросы; - служебная информация; - данные приложений; - сведения о сетевых соединениях.

Сетевой трафик состоит из множества пакетов.

Упрощенно пакет можно представить как:

+-------------------------+
| Заголовок пакета        |
+-------------------------+
| Данные                  |
+-------------------------+

В заголовках могут содержаться различные служебные сведения: - адрес отправителя; - адрес получателя; - информация о протоколе; - номера портов; - параметры соединения.

Содержимое данных зависит от используемого протокола.

Что такое перехват трафика

Перехват трафика — получение и анализ сетевых данных, передаваемых между устройствами.

Сам по себе перехват не всегда является атакой.

Например, сетевой администратор может анализировать трафик для: - поиска неисправностей; - диагностики сети; - обнаружения подозрительной активности; - расследования инцидентов; - контроля производительности.

Но если перехват выполняется без разрешения, он может стать нарушением конфиденциальности.

Например:

Пользователь
     |
     | данные
     v
  Сервер

При обычном обмене пользователь рассчитывает, что данные попадут именно к серверу.

Если третья сторона получает возможность наблюдать этот обмен:

Пользователь
     |
     | данные
     v
[Злоумышленник]
     |
     | данные
     v
  Сервер

происходит перехват трафика.

Пассивный и активный перехват

Перехват можно условно разделить на пассивный и активный.

Пассивный перехват

При пассивном перехвате злоумышленник наблюдает за трафиком, не изменяя его.

Пользователь ──────────────> Сервер
                 ↑
                 |
          Наблюдение

Целью может быть получение: - информации о соединениях; - адресов устройств; - сведений о протоколах; - незашифрованных данных; - метаданных.

Активный перехват

При активном воздействии злоумышленник не только наблюдает трафик, но и пытается изменить взаимодействие.

Например:

Пользователь
     |
     | запрос
     v
Злоумышленник
     |
     | измененный запрос
     v
Сервер

В результате пользователь и сервер могут получать данные, которые были изменены посредником.

Активный перехват значительно опаснее пассивного.

Почему незашифрованный трафик опасен

Пользователь передает серверу:

Логин: student
Пароль: ********

Если данные передаются в незашифрованном виде, тот, кто получил доступ к трафику, потенциально может увидеть их содержимое.

Схема:

Пользователь
     |
     | login + password
     v
Сеть
     |
     +----> Перехват
     |
     v
Сервер

Поэтому передача конфиденциальной информации по незащищенному соединению является серьезным риском.

Шифрование трафика

Один из основных способов защиты — шифрование.

При шифровании исходные данные преобразуются таким образом, чтобы их содержимое нельзя было нормально прочитать без необходимых ключей.

Упрощенно:

Исходные данные
      |
      v
  Шифрование
      |
      v
Зашифрованные данные
      |
      v
      Сеть
      |
      v
  Расшифрование
      |
      v
Исходные данные

Если злоумышленник перехватит зашифрованный трафик, наличие самого трафика еще не означает возможность прочитать его содержимое.

HTTPS как пример защиты

При использовании HTTPS обмен между браузером и веб-сервером защищается механизмами TLS.

Упрощенно:

Браузер
   |
   | защищенное соединение
   v
  TLS
   |
   v
Веб-сервер

HTTPS обеспечивает защиту содержимого соединения от простого просмотра третьими лицами.

Кроме того, TLS позволяет браузеру проверить подлинность сервера с помощью сертификата.

Это особенно важно для защиты от атак типа Man-in-the-Middle.

Что такое метаданные

Даже если содержимое трафика зашифровано, некоторые сведения могут оставаться доступными для анализа.

Например: - IP-адреса; - время соединения; - объем переданных данных; - направление трафика; - факт установления соединения; - используемые сетевые параметры.

Такая информация называется метаданными.

Упрощенно:

Содержимое:
[зашифровано]

Метаданные:
Кто ↔ с кем
Когда
Сколько данных
Какой тип соединения

Поэтому шифрование значительно повышает безопасность, но не означает, что сеть полностью скрывает все сведения о взаимодействии.

Что такое Spoofing

Spoofing — это подмена или имитация определенного идентификатора, адреса или другого признака с целью выдать себя за другой объект.

В компьютерных сетях существует несколько разновидностей spoofing.

Например: - IP spoofing; - MAC spoofing; - ARP spoofing; - DNS spoofing; - подмена адреса электронной почты; - подмена идентификаторов различных сетевых объектов.

Основная идея:

Настоящий объект
      |
      | подмена
      v
Злоумышленник
      |
      | "Я — настоящий объект"
      v
Жертва

IP Spoofing

IP spoofing — подмена исходного IP-адреса в сетевом трафике.

Например, устройство имеет адрес:

192.168.1.50

Но в определенной ситуации злоумышленник может сформировать пакет таким образом, чтобы в качестве источника был указан другой адрес.

Упрощенно:

Реальный источник
      |
      | пакет
      | "Источник: 192.168.1.50"
      v
    Сеть

Получатель видит указанный адрес, но он не обязательно соответствует реальному отправителю.

Для чего может использоваться IP spoofing

Подмена IP-адреса может использоваться в различных сценариях.

Например: - сокрытие реального источника некоторых пакетов; - определенные виды сетевых атак; - отраженные атаки; - обход некоторых примитивных правил фильтрации; - создание ложного представления об источнике трафика.

Важно понимать:

IP-адрес сам по себе не является надежным доказательством личности устройства или пользователя.

Это одна из причин, по которой нельзя строить всю систему безопасности исключительно на доверии к IP-адресам.

MAC Spoofing

MAC-адрес — аппаратный идентификатор сетевого интерфейса, используемый на канальном уровне.

Упрощенно:

Компьютер
   |
   +-- Ethernet
   |
   +-- MAC-адрес

В некоторых ситуациях программное обеспечение может изменить MAC-адрес, используемый сетевым интерфейсом.

Это называется MAC spoofing.

Например:

Настоящий MAC
AA:AA:AA:AA:AA:AA
       ↓
     подмена
       ↓
BB:BB:BB:BB:BB:BB

Поэтому MAC-адрес также нельзя считать абсолютным доказательством личности устройства.

ARP и доверие внутри локальной сети

Для понимания ARP spoofing необходимо знать принцип работы протокола ARP.

ARP (Address Resolution Protocol) используется в IPv4-сетях для определения MAC-адреса устройства по известному IPv4-адресу.

Например:

Известно:
IP = 192.168.1.10

Необходимо узнать:
MAC = ?

Устройство может отправить ARP-запрос:

Кто имеет IP 192.168.1.10?

Устройство с соответствующим адресом отвечает.

192.168.1.10
     ↓
AA:AA:AA:AA:AA:AA

После этого информация может быть сохранена в ARP-кэше.

ARP Spoofing

ARP spoofing — атака, при которой злоумышленник пытается отправить ложную ARP-информацию, чтобы устройства сети связали определенный IP-адрес с MAC-адресом злоумышленника.

Упрощенная схема:

Нормальная сеть:

Компьютер ───────> Маршрутизатор
   |                   |
   +---- IP ↔ MAC -----+

При успешной подмене:

Компьютер
     |
     | "Маршрутизатор находится здесь"
     v
Злоумышленник
     |
     | передача дальше
     v
Маршрутизатор

В результате злоумышленник потенциально оказывается между двумя участниками обмена.

Это уже может привести к атаке Man-in-the-Middle.

Что такое Man-in-the-Middle

Man-in-the-Middle (MitM) — атака, при которой злоумышленник располагается между двумя участниками сетевого взаимодействия и получает возможность наблюдать или изменять их обмен.

В нормальной ситуации:

Пользователь
     |
     | данные
     v
  Сервер

При MitM:

Пользователь
     |
     | данные
     v
Злоумышленник
     |
     | данные
     v
  Сервер

Главное отличие от простого пассивного перехвата заключается в том, что злоумышленник стремится стать посредником в соединении.

Почему атака называется Man-in-the-Middle

Название буквально означает:

«человек посередине».

В реальной атаке посредником, конечно, может быть не человек, а: - компьютер; - сервер; - сетевое устройство; - вредоносное программное обеспечение; - скомпрометированный маршрутизатор; - точка доступа.

Поэтому правильнее говорить:

злоумышленник находится между участниками взаимодействия.

Основная схема MitM

Рассмотрим обмен между клиентом и сервером.

Нормальное взаимодействие

Клиент ───────────────────> Сервер
Клиент <─────────────────── Сервер

При MitM

              Злоумышленник
               /          \
              /            \
             v              v
        Клиент            Сервер

Злоумышленник может: 1. получать данные от клиента; 2. анализировать их; 3. при определенных условиях изменять их; 4. передавать их серверу; 5. получать ответ сервера; 6. снова анализировать или изменять ответ; 7. передавать результат клиенту.

Что может получить злоумышленник

Если соединение недостаточно защищено, злоумышленник потенциально может получить: - логины; - пароли; - содержимое сообщений; - передаваемые файлы; - идентификаторы сессий; - информацию о посещаемых ресурсах; - другие конфиденциальные данные.

Кроме того, при активной атаке он может пытаться изменить передаваемую информацию.

Перехват и изменение данных

Рассмотрим простой пример.

Пользователь отправляет:

Перевести: 1000 рублей

Если злоумышленник имеет возможность изменять трафик:

Пользователь
     |
     | 1000 рублей
     v
Злоумышленник
     |
     | 10000 рублей
     v
  Сервер

Это показывает, почему целостность данных так же важна, как их конфиденциальность.

Защищенное соединение должно обеспечивать не только невозможность простого чтения информации, но и защиту от незаметного изменения передаваемых данных.

MitM и триада информационной безопасности

Атаки Man-in-the-Middle могут затрагивать сразу несколько свойств безопасности.

       MitM
        |
   +----+----+
   |         |
   v         v
Конфиден-  Целост-
циальность  ность

Конфиденциальность

Злоумышленник может получить доступ к передаваемой информации.

Целостность

Злоумышленник может попытаться изменить данные.

Доступность

В некоторых сценариях злоумышленник может нарушить нормальный обмен или полностью заблокировать соединение.

Таким образом, MitM потенциально может воздействовать сразу на несколько элементов триады CIA.

MitM в публичной Wi-Fi-сети

Особенно часто угроза MitM рассматривается применительно к ненадежным сетям.

Например:

Пользователь
     |
     v
Публичная Wi-Fi
     |
     v
Интернет

Если пользователь подключается к неизвестной или неправильно настроенной точке доступа, существует риск взаимодействия с недоверенной инфраструктурой.

Особенно опасны: - неизвестные точки доступа; - сети без защиты; - поддельные точки доступа; - неправильно настроенные сети.

Evil Twin

Одним из вариантов угрозы является Evil Twin — поддельная точка доступа, имитирующая настоящую.

Например, существует сеть:

Office-WiFi

Злоумышленник создает сеть с похожим названием:

Office-WiFi

Пользователь может ошибочно подключиться к поддельной точке.

Упрощенно:

Настоящая точка доступа
        |
        +---- Интернет

Поддельная точка доступа
        |
        +---- Злоумышленник

Если устройство подключилось к злоумышленнику, тот получает возможность контролировать сетевой путь пользователя.

Однако наличие такой точки само по себе еще не означает, что злоумышленник сможет прочитать содержимое HTTPS-трафика.

Современное шифрование существенно усложняет такую атаку.

DNS Spoofing

DNS spoofing — подмена или фальсификация DNS-информации.

DNS используется для преобразования доменных имен в IP-адреса.

Например:

www.example.local
       ↓
192.168.1.10

При подмене пользователь может получить неправильный адрес:

www.example.local
       ↓
192.168.1.200

В результате пользователь может оказаться не на настоящем сервере.

Схема:

Пользователь
     |
     | DNS-запрос
     v
Поддельный ответ
     |
     v
Неверный сервер

Это может использоваться для перенаправления пользователей.

Как DNS Spoofing связан с MitM

Если злоумышленник получает возможность влиять на DNS-обмен:

Пользователь
     |
     | "Где находится server.example?"
     v
Злоумышленник
     |
     | ложный ответ
     v
Пользователь

он может попытаться направить пользователя на другой ресурс.

Если пользователь при этом не способен проверить подлинность сервера, возникает опасная ситуация.

Поэтому DNS также является важным элементом сетевой безопасности.

Почему HTTPS важен против MitM

Представим:

Пользователь
     |
     v
Злоумышленник
     |
     v
Сервер

Если соединение не защищено, посредник может иметь возможность увидеть или изменить передаваемую информацию.

При использовании корректно настроенного TLS:

Пользователь
     |
     | зашифрованный канал
     v
Злоумышленник
     |
     | зашифрованный канал
     v
Сервер

Сам факт прохождения трафика через посредника еще не позволяет ему просто прочитать содержимое.

Однако важнейшее условие — корректная проверка подлинности сервера и сертификата.

Сертификаты и доверие

TLS использует цифровые сертификаты для подтверждения личности сервера.

Упрощенно:

Браузер
   |
   | "Ты действительно example.com?"
   v
Сервер
   |
   | сертификат
   v
Проверка
   |
   +-- корректен → соединение продолжается
   |
   +-- проблема → предупреждение/ошибка

Если пользователь игнорирует предупреждения браузера о сертификате, он может существенно снизить защиту от MitM.

Поэтому сообщения браузера о проблемах сертификата нельзя бездумно игнорировать.

Аутентификация как защита

Шифрование само по себе не всегда достаточно.

Необходимо также понимать:

с кем именно установлено соединение?

Например:

Шифрование
    +
Аутентификация
    =
Защищенное взаимодействие

TLS решает обе задачи в рамках своей модели: - защищает содержимое; - помогает проверить подлинность сервера.

Защита локальной сети от ARP Spoofing

В управляемых сетях существуют механизмы защиты от подмены ARP-информации.

В зависимости от оборудования и архитектуры могут применяться: - статические ARP-записи в отдельных случаях; - DHCP Snooping; - Dynamic ARP Inspection; - Port Security; - сегментация VLAN; - контроль доступа к портам; - мониторинг ARP-активности.

Например:

Клиент
   |
[Коммутатор]
   |
   +-- DHCP Snooping
   |
   +-- Dynamic ARP Inspection
   |
   v
Маршрутизатор

Такие механизмы позволяют коммутатору проверять определенные сетевые данные и блокировать подозрительные действия.

DHCP Snooping

DHCP Snooping — механизм защиты коммутатора от некоторых видов атак, связанных с DHCP.

Коммутатор разделяет порты на доверенные и недоверенные.

Упрощенно:

             DHCP-сервер
                  |
             Доверенный порт
                  |
             [Коммутатор]
              /         \
             /           \
      Недоверенный     Недоверенный
         порт              порт
           |                 |
         ПК 1              ПК 2

Это позволяет контролировать, откуда могут поступать определенные DHCP-сообщения.

Кроме того, DHCP Snooping может формировать таблицу соответствий: - MAC; - IP; - VLAN; - порт коммутатора.

Эта информация может использоваться другими механизмами защиты.

Dynamic ARP Inspection

Dynamic ARP Inspection (DAI) — механизм защиты от некоторых атак ARP spoofing.

Коммутатор проверяет ARP-сообщения и сравнивает информацию с известными соответствиями.

Упрощенно:

ARP-сообщение
      |
      v
[Коммутатор]
      |
      +---- корректно → разрешить
      |
      +---- подозрительно → заблокировать

Таким образом, сетевое оборудование может участвовать в защите не только от внешних атак, но и от угроз внутри локальной сети.

Сегментация сети как мера защиты

Сегментация ограничивает область распространения некоторых атак.

Например:

VLAN 10
Пользователи
     |
     X

VLAN 20
Серверы
     |
     X

VLAN 30
Администрирование

Если злоумышленник получил доступ к одному сегменту, ему сложнее воздействовать на все остальные.

Сегментация особенно важна для: - корпоративных сетей; - серверных сегментов; - Wi-Fi; - сетей управления; - критически важных систем.

Защита административного трафика

Административные протоколы также должны быть защищены.

Не рекомендуется передавать административные учетные данные в открытом виде.

Для удаленного управления предпочтительны защищенные протоколы и механизмы: - SSH вместо Telnet; - HTTPS вместо HTTP для административных веб-интерфейсов; - защищенные VPN-соединения; - многофакторная аутентификация там, где она доступна.

Упрощенно:

Незащищенное управление
       ↓
Высокий риск перехвата

Защищенное управление
       ↓
Шифрование + аутентификация

VPN как средство защиты

VPN позволяет создать защищенный канал поверх другой сети.

Упрощенно:

Компьютер
    |
    |==== ЗАЩИЩЕННЫЙ ТУННЕЛЬ ====|
    |                             |
    v                             v
VPN-клиент                    VPN-шлюз
                                  |
                                  v
                              Внутренняя сеть

Даже если трафик проходит через недоверенную сеть, содержимое VPN-туннеля защищается криптографическими механизмами.

Однако VPN не является универсальным решением всех проблем.

Необходимо защищать: - учетные записи; - конечные устройства; - VPN-шлюз; - конфигурацию; - криптографические ключи.

Основные признаки возможного MitM

На практике обнаружение MitM может быть сложнее, чем обычной DDoS-атаки.

Возможными признаками могут быть: - неожиданные предупреждения о сертификатах; - изменение сетевых параметров; - появление неизвестных устройств; - подозрительные изменения ARP-таблицы; - неожиданные изменения DNS; - неизвестные точки доступа; - нестандартные маршруты; - повторные запросы аутентификации; - необычное поведение сетевого оборудования.

Ни один отдельный признак не доказывает наличие MitM.

Необходимо анализировать совокупность событий.

ARP-таблица как источник информации

В локальной IPv4-сети администратор может анализировать ARP-таблицы.

Например:

IP              MAC
192.168.1.1     AA:AA:AA:AA:AA:AA
192.168.1.10    BB:BB:BB:BB:BB:BB
192.168.1.20    CC:CC:CC:CC:CC:CC

Если один MAC-адрес неожиданно начинает соответствовать нескольким важным IP-адресам, это может быть поводом для проверки.

Однако такая ситуация может возникать и по совершенно нормальным причинам.

Поэтому ARP-таблица является источником информации для анализа, а не автоматическим доказательством атаки.

Перехват трафика и Wireshark

Для анализа сетевого трафика администраторы и специалисты по информационной безопасности используют анализаторы протоколов.

Одним из наиболее известных является Wireshark.

Он позволяет: - захватывать сетевые пакеты; - просматривать заголовки; - анализировать протоколы; - изучать соединения; - находить сетевые ошибки; - исследовать подозрительную активность.

Упрощенная схема:

Сетевой интерфейс
       |
       v
   Wireshark
       |
       +-- Ethernet
       +-- ARP
       +-- IP
       +-- TCP/UDP
       +-- DNS
       +-- HTTP и другие протоколы

В учебной работе такой инструмент может использоваться для анализа собственной лабораторной сети.

Почему Wireshark не является средством атаки

Wireshark в первую очередь является инструментом анализа.

Его применение может быть полностью легитимным: - диагностика сети; - обучение; - поиск неисправностей; - расследование инцидентов; - анализ производительности.

Проблема возникает не из-за самого инструмента, а из-за того, какой трафик анализируется и с какими полномочиями.

Поэтому при практических работах следует использовать только: - собственные устройства; - учебные стенды; - специально выделенные лабораторные сети.

Защита от перехвата трафика

Основные меры:

1. Использование шифрования

Например: - HTTPS; - SSH; - TLS; - VPN.

2. Аутентификация

Необходимо проверять, с каким сервером устанавливается соединение.

3. Защита Wi-Fi

Использование современных механизмов безопасности беспроводных сетей.

4. Сегментация

Разделение пользователей, серверов и административного трафика.

5. Защита коммутаторов

Использование механизмов Port Security, DHCP Snooping, Dynamic ARP Inspection и других доступных средств.

6. Мониторинг

Контроль необычных изменений в сети.

7. Обучение пользователей

Пользователь должен понимать опасность: - неизвестных Wi-Fi; - предупреждений сертификата; - подозрительных сетевых запросов; - неизвестных VPN и прокси.

Защита от Spoofing

Универсального средства защиты от всех видов spoofing не существует.

Для разных уровней используются разные механизмы.

Вид подмены	Возможные меры защиты
IP spoofing	фильтрация, контроль маршрутов, антиспуфинг
MAC spoofing	Port Security, контроль доступа
ARP spoofing	DHCP Snooping, Dynamic ARP Inspection
DNS spoofing	защищенные механизмы DNS, контроль DNS-инфраструктуры
Подмена веб-сервера	TLS и проверка сертификатов
Поддельная Wi-Fi сеть	проверка сети, защищенная аутентификация

Главный принцип:

нельзя доверять одному идентификатору без проверки контекста.

Защита от MitM

Защита строится вокруг трех основных принципов:

             Защита MitM
                  |
       +----------+----------+
       |          |          |
       v          v          v
   Шифрование  Аутентификация  Контроль
                              сети

Шифрование

Не позволяет посреднику просто прочитать содержимое.

Аутентификация

Позволяет убедиться, что соединение установлено с нужным участником.

Контроль сети

Снижает вероятность того, что злоумышленник вообще сможет стать посредником.

Типичная цепочка атаки

Рассмотрим концептуальный пример.

1. Разведка
      ↓
2. Поиск уязвимой сети
      ↓
3. Получение доступа к сетевому сегменту
      ↓
4. Spoofing
      ↓
5. Злоумышленник становится посредником
      ↓
6. Перехват трафика
      ↓
7. Анализ данных
      ↓
8. Возможное изменение обмена

Однако если используется правильно настроенное шифрование и аутентификация:

Попытка перехвата
       ↓
Злоумышленник видит трафик
       ↓
Данные зашифрованы
       ↓
Подлинность сервера проверяется
       ↓
Атака значительно усложняется

Поэтому безопасность должна строиться не на предположении, что перехват невозможен, а на предположении:

даже если трафик будет перехвачен, злоумышленник не должен получить возможность использовать его содержимое.

Пример защищенной корпоративной сети

Рассмотрим организацию:

                    Интернет
                        |
                    Firewall
                        |
              +---------+---------+
              |                   |
             DMZ                  LAN
              |                   |
           Web-сервер        +----+----+
                             |         |
                           VLAN 10   VLAN 20
                           Пользователи Серверы
                             |
                           VLAN 30
                         Администрирование

Для защиты используются: - VLAN; - межсетевой экран; - защищенное администрирование; - HTTPS; - SSH; - контроль доступа; - DHCP Snooping; - Dynamic ARP Inspection; - мониторинг.

Такая архитектура значительно усложняет проведение MitM-атак.

Роль системного и сетевого администратора

Администратор должен контролировать не только доступность оборудования, но и доверенность сетевого взаимодействия.

Основные задачи: 1. Использовать защищенные протоколы. 2. Отключать устаревшие и ненужные протоколы. 3. Разделять пользовательский и административный трафик. 4. Контролировать сетевые устройства. 5. Настраивать защиту коммутаторов. 6. Контролировать DNS-инфраструктуру. 7. Использовать мониторинг. 8. Анализировать подозрительные изменения сетевой конфигурации. 9. Контролировать сертификаты и TLS. 10. Обучать пользователей безопасной работе с сетями.

Типичные ошибки

Ошибка 1. Использование незашифрованных протоколов

Например, передача административных данных через незащищенное соединение.

Ошибка 2. Игнорирование предупреждений сертификатов

Пользователь видит предупреждение и просто нажимает «Продолжить».

Это может позволить атакующему использовать поддельный сертификат или другую схему перехвата.

Ошибка 3. Доверие к неизвестным Wi-Fi

Подключение к сети только потому, что ее название кажется знакомым.

Ошибка 4. Отсутствие сегментации

Все устройства находятся в одном сетевом сегменте.

Ошибка 5. Отсутствие контроля коммутаторов

В локальной сети отсутствуют механизмы защиты от подмены сетевых данных.

Ошибка 6. Использование устаревших протоколов

Старые протоколы могут не обеспечивать необходимый уровень защиты.

Сравнение основных понятий

Понятие	Суть
Перехват трафика	Получение и анализ сетевого обмена
Пассивный перехват	Наблюдение без изменения трафика
Активный перехват	Наблюдение с возможным изменением обмена
Spoofing	Подмена идентификатора или источника
IP spoofing	Подмена IP-адреса
MAC spoofing	Подмена MAC-адреса
ARP spoofing	Подмена ARP-информации
DNS spoofing	Подмена DNS-информации
MitM	Посредник между двумя участниками обмена
Evil Twin	Поддельная точка беспроводного доступа
TLS	Протокол защиты сетевого взаимодействия
HTTPS	HTTP поверх защищенного TLS-соединения
VPN	Защищенный туннель через другую сеть

Связь с триадой CIA

Рассмотрим влияние изученных угроз:

Угроза	Конфиденциальность	Целостность	Доступность
Перехват незашифрованного трафика	Высокое влияние	Низкое	Низкое
Spoofing	Среднее	Высокое	Среднее
MitM	Высокое	Высокое	Возможное
DoS/DDoS	Низкое	Низкое	Высокое

Это показывает, почему защита сети должна учитывать сразу несколько свойств информационной безопасности.

Общая схема угроз

Можно представить рассмотренные темы следующим образом:

                    Угрозы сети
                        |
       +----------------+----------------+
       |                |                |
       v                v                v
 Конфиденциальность  Целостность     Доступность
       |                |                |
       v                v                v
 Перехват            Spoofing        DoS/DDoS
       |                |
       +-------+--------+
               |
               v
              MitM

При этом реальные атаки могут одновременно затрагивать несколько свойств.

Заключение

Перехват сетевого трафика представляет угрозу прежде всего для конфиденциальности передаваемой информации.

Spoofing — это подмена определенного идентификатора или источника с целью создать ложное представление о том, кто является отправителем или участником взаимодействия.

Man-in-the-Middle — атака, при которой злоумышленник оказывается между двумя участниками сетевого обмена и получает возможность наблюдать или при определенных условиях изменять передаваемую информацию.

Особенно важными разновидностями spoofing являются: - IP spoofing; - MAC spoofing; - ARP spoofing; - DNS spoofing.

Защита от подобных угроз строится на сочетании: - шифрования; - аутентификации; - проверки сертификатов; - защищенных протоколов; - сегментации сети; - защиты коммутаторов; - контроля DNS; - мониторинга; - безопасной настройки Wi-Fi; - обучения пользователей.

Главный принцип:

Нельзя считать сетевой путь доверенным только потому, что устройство подключено к знакомой сети.

Современная сетевая безопасность должна исходить из того, что отдельные элементы сетевой инфраструктуры или сам канал передачи могут быть скомпрометированы.

Поэтому необходимо обеспечивать защиту данных даже в ситуации, когда злоумышленник получил возможность наблюдать за сетевым обменом.

Контрольные вопросы

Что такое сетевой трафик?
Что понимается под перехватом сетевого трафика?
Чем пассивный перехват отличается от активного?
Почему передача конфиденциальной информации в незашифрованном виде представляет опасность?
Что такое spoofing?
Что такое IP spoofing?
Что такое MAC spoofing?
Для чего используется протокол ARP?
Что такое ARP spoofing?
Что такое атака Man-in-the-Middle?
В чем заключается основная опасность MitM-атаки?
Что такое DNS spoofing?
Как HTTPS и TLS помогают защищаться от перехвата и MitM?
Для чего применяются DHCP Snooping и Dynamic ARP Inspection?
Какие основные меры позволяют защитить компьютерную сеть от перехвата трафика, spoofing и атак Man-in-the-Middle?