Как обнаружить хакерскую атаку

Как обнаружить хакерскую атаку

Есть множество способов воспользоваться  большинством уязвимостей. Для хакерской  атаки можно использовать один эксплойт, несколько эксплойтов одновременно, неверные настройки программных  компонентов или даже программу-бэкдор, установленную в операционную систему в процессе предыдущей атаки.

Из-за этого детектирование хакерской  атаки становится не самой простой  задачей, особенно для неопытного пользователя. В этом разделе мы постараемся  сформулировать советы, способные помочь читателю определить, подвергается ли его компьютер хакерской атаке или же защита компьютера уже была взломана ранее. Помните, что, как и в случае вирусов, никто не дает 100% гарантии, что вы сможете зафиксировать хакерскую атаку подобными способами. Впрочем, если ваша система уже взломана, то вы наверняка отметите некоторые из нижеприведенных признаков.

Windows-компьютеры:

Подозрительно высокий исходящий  трафик. Если вы пользуетесь дайлапом или ADSL-подключением и заметили необычно большое количество исходящего сетевого трафика (в частности, проявляющегося, когда ваш компьютер работает и подключен к интернету, но вы им не пользуетесь), то ваш компьютер, возможно, был взломан. Такой компьютер может использоваться для скрытой рассылки спама или для размножения сетевых червей.

Повышенная активность жестких  дисков или подозрительные файлы  в корневых директориях. Многие хакеры после взлома компьютера производят сканирование хранящейся на нем информации в поисках интересных документов или файлов, содержащих логины и пароли к банковским расчетным центрам или системам электронных платежей вроде PayPal. Некоторые сетевые черви схожим образом ищут на диске файлы с адресами email, которые впоследствии используются для рассылки зараженных писем. Если вы заметили значительную активность жестких дисков даже когда компьютер стоит без работы, а в общедоступных папках стали появляться файлы с подозрительными названиями, это также может быть признаком взлома компьютера или заражения его операционной системы вредоносной программой.

Большое количество пакетов с одного и того же адреса, останавливаемые  персональным межсетевым экраном. После  определения цели (например, диапазона IP-адресов какой-либо компании или  домашней сети) хакеры обычно запускают  автоматические сканеры, пытающиеся использовать набор различных эксплойтов для проникновения в систему. Если вы запустите персональный межсетевой экран (фундаментальный инструмент в защите от хакерских атак) и заметите нехарактерно высокое количество остановленных пакетов с одного и того же адреса, то это — признак того, что ваш компьютер атакуют. Впрочем, если ваш межсетевой экран сообщает об остановке подобных пакетов, то компьютер, скорее всего, в безопасности. Однако многое зависит от того, какие запущенные сервисы открыты для доступа из интернета. Так, например, персональный межсетевой экран может и не справиться с атакой, направленной на работающий на вашем компьютере FTP-сервис. В данном случае решением проблемы является временная полная блокировка опасных пакетов до тех пор, пока не прекратятся попытки соединения. Большинство персональных межсетевых экранов обладают подобной функцией.

Постоянная антивирусная защита вашего компьютера сообщает о присутствии  на компьютере троянских программ или  бэкдоров, хотя в остальном все  работает нормально. Хоть хакерские атаки могут быть сложными и необычными, большинство взломщиков полагается на хорошо известные троянские утилиты, позволяющие получить полный контроль над зараженным компьютером. Если ваш антивирус сообщает о поимке подобных вредоносных программ, то это может быть признаком того, что ваш компьютер открыт для несанкционированного удаленного доступа.

UNIX-компьютеры:

Файлы с подозрительными названиями в папке «/tmp». Множество эксплойтов в мире UNIX полагается на создание временных  файлов в стандартной папке «/tmp», которые не всегда удаляются после взлома системы. Это же справедливо для некоторых червей, заражающих UNIX-системы; они рекомпилируют себя в папке «/tmp» и затем используют ее в качестве «домашней».

Модифицированные исполняемые файлы системных сервисов вроде «login», «telnet», «ftp», «finger» или даже более сложных типа «sshd», «ftpd» и других. После проникновения в систему хакер обычно предпринимает попытку укорениться в ней, поместив бэкдор в один из сервисов, доступных из интернета, или изменив стандартные системные утилиты, используемые для подключения к другим компьютерам. Подобные модифицированные исполняемые файлы обычно входят в состав rootkit и скрыты от простого прямого изучения. В любом случае, полезно хранить базу с контрольными суммами всех системных утилит и периодически, отключившись от интернета, в режиме одного пользователя, проверять, не изменились ли они.

Модифицированные «/etc/passwd», «/etc/shadow»  или иные системные файлы в  папке «/etc». Иногда результатом хакерской атаки становится появление еще одного пользователя в файле «/etc/passwd», который может удаленно зайти в систему позже. Следите за всеми изменениями файла с паролями, особенно за появлением пользователей с подозрительными логинами.

Появление подозрительных сервисов в «/etc/services». Установка бэкдора в UNIX-системе зачастую осуществляется путем добавления двух текстовых строк в файлы «/etc/services» и «/etc/ined.conf». Следует постоянно следить за этими файлами, чтобы не пропустить момент появления там новых строк, устанавливающих бэкдор на ранее неиспользуемый или подозрительный порт.

Хакерский менталитет

Почему люди занимаются хакерством? Многие считают, что причины схожи с ответом на вопрос «почему люди занимаются альпинизмом?» — просто потому, что на свете есть компьютеры. Другие заявляют, что хакерство помогает совершенствовать безопасность компьютерных систем, привлекая внимание к существующим в них уязвимостям. Наконец, наиболее популярное в наши дни объяснение хакерства — для достижения своих преступных целей.

Но независимо от причины, пока есть компьютеры, будут и хакеры — «белые», «серые» и «черные». А поскольку невозможно предугадать, какой атаке («любопытствующей» или «опасной») подвергнется ваш компьютер, следует готовиться к худшему.

Неоспоримый факт сегодня  заключается в том, что кто-нибудь обязательно проверит автоматическим сканером уязвимостей подключенный к интернету компьютер в поисках  пути «внутрь». Это может быть как просто любопытствующий, так и «белый хакер», проверяющий насколько защищен ваш компьютер. В обычной жизни вряд вам захотелось бы, чтобы незнакомцы проверяли, заперты ли ваш дом, машина, а если нет, то заходили бы внутрь, осматривались, перебирали вещи и уходя оставляли записку: «Привет, тут был я, твоя дверь была открыта, но не обращай на меня внимания и, кстати, почини свой замок». Вряд ли вам захочется, чтобы нечто подобное случилось и с вашим компьютером. И нет никаких оправданий подобному проникновению.

Преступное, криминальное хакерство еще хуже. Допустим, что  в реальном мире некто вламывается  в вашу квартиру, отключает сигнализацию, крадет что-нибудь или устанавливает  подслушивающие, подсматривающие устройства в комнатах. Если происходит нечто подобное, то вы звоните в милицию, они осматривают квартиру, составляют протокол, и остается лишь ждать, пока воров не поймают. В компьютерном мире такое — редкостная роскошь. Преступник может скачать конфиденциальную информацию с вашего компьютера из собственной виллы на другой стороне планеты, загорая около бассейна, построенного на украденные деньги. В деловом же мире, множество крупных корпораций предпочитают вовсе не сообщать о случаях взлома их компьютерных сетей из соображений защиты корпоративного имиджа. Все это означает, что компьютерные преступления часто остаются безнаказанными.

Еще одной мотивацией хакеров может быть обычное хулиганство, «цифровая граффити», кратко характеризуемое  как взлом системы с целью  нанесения любого ущерба. «Дефейсы» веб-сайтов являются одной из наиболее популярных форм цифровой граффити; некоторые хакерские группы даже специализируются исключительно на таких взломах. Как и в обычном, не кибернетическом мире, поимка таких хулиганов является достаточно трудной задачей, затраты на которую всегда превосходят отдачу.

Какими бы ни были его  причины, будь то «помочь другим», «усовершенствовать безопасность», «похулиганить» или  «совершить преступление», феномен  хакерства прочно укоренился в компьютерном мире и, скорее всего, уже никогда полностью не исчезнет. В темных углах киберпространства всегда будут прятаться умственно недоразвитые индивидуумы, самопровозглашенные «робины гуды» и обычные преступники.

Хакеры, кракеры, фрикеры.

Очевидно, что смысл  сети состоит в разумности ограничения круга пользователей того или иного сервера. Если подобный сервер закупорен полностью, то и работать может с ним лишь тот, кто его закупорил. Поэтому, любая компания, прежде чем принять решение о вступлении в сообщество Internet, дает себе отчет в том, что существует возможность проникновения в свой главный сервер неких посторонних лиц. Вот эти посторонние лица и называются хакерами.

Хакеры появились в  то же самое время, что и Internet. В 1960 годах хакером назывался высококвалифицированный программист. Теперь это слово имеет несколько иное значение. Начало семидесятых и конец восьмидесятых — лучшие годы для хакеров. Тогда было больше ламмеров, операционные системы только начинали появляться, компьютеры на основе таких систем имели много ошибок и дыр. Хакеры в то время были более свободными.

Да, хакеры — это те, кто взламывают сети. Делается это разными способами. Например, через порт терминала или порт электронной почты.

Выбрав жертву, хакер прежде всего  определяет, имеются ли на сервере плохие пароли, плохо настроенный софт или испорченная операционная система. Затем выбирается метод собственной безопасности. Самый распространенный способ проникнуть в сеть так, чтобы остаться незамеченным — это взлом по цепочке.

Типы хакеров

В настоящее время имеется много типов хакеров, каждый из которых различен:

Хакеры

Народ, вламывающийся в систему  ради забавы, не нанося ощутимого вреда  компьютерам. Хакеры врываются в  систему, оглядываются, и затем пробуют взломать даже более безопасную систему. Они не делают прибыль из хакинга.

Кракеры

Так называемые плохие хакеры. Эти  люди нападают на систему и уничтожают ценные данные или крадут программное обеспечение с целью его дальнейшего небесплатного распространения.

Фрикеры

Народ, который занимается хакингом на телефонных линиях с целью получить бесплатный телефонный разговор с любой точкой мира.