eticko hakerisanje

VISOKA HEMIJSKO-TEHNOLOKA KOLA KRUEVACRAUNARSTVO I INFORMATIKA

SEMINARSKI RAD

RAUNARSKE MREE

ETIKO HAKERISANJE I ISPITIVANJE MOGUNOSTI PROBOJA

Predmetni nastavnik: Student:Branko Grubi Marko Vuji

U Kruevcu, 05.12.2013.

Sadraj:1. Etiko hakerisanje31.1 Hakeri31.2 Crni i beli eiri41.4 ta je etiko hakerisanje?51.5 SATAN51.6 ta karakterie etike hakere?61.7 ta etiki hakeri rade?61.8 Karta za izlazak iz zatvora71.9 Pristup ,,No-holds-barred71.10 Sam in etikog hakerisanja81.11 Konaan izvetaj101.11.1 ta se deava nakon isporuke izvetaja?102. Ispitivanje mogunosti proboja112.2 Potpisivanje ugovora122.3 Postavljanje (definisanje) pravila angaovanja122.4 Planiranje napada132.5 Razmatranje pravnih i etikih (moralnih) normi132.6 Izvoenje ispitivanja132.7 Izvianje i popisivanje132.8 Ostvarivanje pristupa142.9 Kraa sesije142.10 Napadi na Web server152.11 Provaljivanje lozinki152.12 Napadanje mree172.13 Napadanje beine mree172.14 Probijanje UNIX, Linux i Windows servera172.15 Odravanje pristupa182.16 Sakrivanje tragova182.17 Pisanje izvetaja i ukazivanje na propuste182.17.1 Izvetaj182.17.2 Ukazivanje na propuste i planovi za njihovo otklanjanje19

Etiko hakerisanje i ispitivanje mogunosti proboja

Kada se sprovedu sve preporuene mere za zatitu raunarskih sistema, mrea i informacionih sistema od naruavanja sigurnosti, treba uraditi analizu i proveriti uspenost zatite. Osmiljeni su naini ispitivanja koji bi trebalo da, u zadovoljavajuoj meri, pokau koliko je zatita pouzdana i efikasna. Meutim, oni koji napadaju mreu nepredvidivi su i stalno smiljaju nove naine i metode da ostvare svoje ciljeve. Da bi zatitili mreu, klijenti esto angauju hakere koji po dogovoru napadaju i proveravaju sigurnost, uz obavezu da svoja saznanja dre u tajnosti, da ih ne zloupotrebe i da ih prenesu samo organizaciji koja ih je angaovala i iskljuivo u svrhu unapreenja sigurnosti.U ovom poglavlju su opisani etiko hakerisanje (engl. ethical hacking) i ispitivanje mogunosti proboja u raunarske mree i sisteme (engl. penetration testing). Da raistimo odmah: neki itaoci se verovatno nee sloiti s tim to smo etiko hakerisanje i ispitivanje mogunosti proboja opisali kao dve zasebne celine. Radi se o sledeem: sam termin etiko hakerisanje navodi itaoca na priu o etikim i pravnim aspektima hakerisanja, dok termin ispitivanje mogunosti proboja ukazuje na metodologiju napada, tehnike, postupke i alate koji e se koristiti u tu svrhu. Uz to, ispitivanje mogunosti proboja je uglavnom usmereno ka raunarskim mreama, to znai da e, primera radi, osoba koja ispituje napasti kompanijsku mreu preko Interneta (koristei Web lokaciju kao ulaznu taku), sluei se s dva prenosna raunara s distribucijom BackTrack Linux i beinim mrenim karticama ili na neki drugi nain. Za razliku od toga, etiki haker proverava sigurnost bilo koje mree, sistema, Web stranice, aplikacije ili nekog zatitnog mehanizma. Na primer, etiki haker moe biti unajmljen da proveri sigurnost zatite od kopiranj a koja je ugraena u neki komercijalni softver, da proveri da li se sprovodi politika jakih lozinki (engl. strong password policy) ili slino.

1. Etiko hakerisanje U raunarskoj industriji, termin haker (engi. hacker) danas ima, u najmanju ruku, dvostruko znaenje. Navodimo osnovnu definiciju:Haker: imenica, 1. Osoba koja uiva u uenju detalja o raunarskim sistemima, i proirivanju svog znanja i sposobnosti / obrnuto od veine korisnika raunara, koji radije ue samo minimum onoga to im je potrebno. 2. Onaj koji oduevljeno programira ili ko uiva u samom programiranju, pre nego da se bavi teorijom.Ovaj laskav opis esto se proiruje na re hakerisanje (engl. hacking), kojom se opisuje brzo uenje novog programa, ili pravljenje izmena u postojeem, obino komplikovanom softveru.1.1 HakeriKada su raunari postali dostupni irem krugu ljudi na univerzitetima po svetu, broj korisnika se poveao. Na raunarima su najpre radili istraivai i osoblje raunarskih katedri a potom su i pojedinci sagledali prednost raunara kao izuzetno fleksibilnog alata. Bez obzira na to ta su radili s raunarima (da li su ih programirali da bi igrali igre, crtali slike, ili da bi im raunari pomogli u zahtevnijim aspektima svakodnevnog ivot - na primer, za obradu teksta), korisnici su se trudili da ih to vie i ee upotrebljavaju.

Zbog porasta popularnosti raunara i njihove visoke cene u to vreme, pristup raunarima je uglavnom bio ogranien. Kada im ne bi bilo dozvoljeno da pristupe raunarima, neki korisnici bi pokuali da zaobiu postavljena pravila pristupa. Oni bi krali lozinke ili brojeve naloga gledajui nekom preko ramena dok se taj neko prikljuuje na sistem, ili bi pokuavali da iskoriste sistemske greke koje bi im omoguile da zaobiu pravila, ili ak da preuzmu kontrolu nad sistemom. Oni su sve to radili samo da bi mogli da pokrenu programe koje oni hoe, ili da promene ogranienja pod kojima njihovi programi rade.U poetku su ovi upadi na sistem bili bezopasni, a najvea teta je bila to to se kralo procesorsko vreme ili prostor na memorijskim medijumima. U nekim sluajevima, upadi bi prerastali u bezopasne ale. S vremena na vreme, pojedini nepaljivi ili netalentovani korisnici nenamerno bi ugasili sistem, ili bi otetili sistemske datoteke, pa bi administratori morali da ponovo pokrenu sistem i da izvre potrebne popravke. Takvi korisnici bi ponekad, nakon otkrivanja nedozvoljenih aktivnosti i ponovne zabrane pristupa sistemu, reagovali destruktivno. Ukoliko bi posledica destruktivne aktivnosti bila znaajna zbog nedostupnosti sistema ili veliine oteenja na sistemu, to bi postalo vest, i novinske agencije bi je objavile. Umesto da koriste taan termin kompjuterski kriminal, mediji poinju da koriste termin haker kako bi opisali osobu koja upada na raunarske sisteme zbog zabave, osvete ili zarade.Poto je zvati nekoga haker prvobitno bilo kompliment, profesionalci u oblasti raunarske sigurnosti radije drugaije nazivaju hakere koji su se okrenuli tamnoj strani hakerisanja. U svakodnevnom govoru i dalje moemo uti da se termin haker koristi u oba znaenja-pozitivnom i afirmativnom, koje podrazumeva posveenost te osobe tehnologiji i uveanju znanja, ali i u negativnom i destruktivnom, gde je to znanje iskorieno za ilegalne i kriminalne aktivnosti. U javnosti se i dalje donekle blagonaklono gleda na problem hakera ak i u kada oni sprovode aktivnosti koje se teko mogu podvesti pod zakonite i dobronameme.

1.2 Crni i beli eiri

Izraz haker s belim eirom (engl. white hat hacker) ili etiki ha- ker (engl. ethical hacker) u oblasti informacionih tehnologija, ukazuje na lice koje je protiv zloupotrebe raunarkih sistema. Ovim terminom se esto nazivaju oni koji pokuavaju da prodru u tue sisteme i mree kako bi pomogli vlasnicima tih sistema da sagledaju sigurnosne propuste. Mnogi od njih su zaposleni u kompanijama koje se bave sigurnou i pomau im da otkriju probleme i poboljaju proizvode i usluge. Dok hakeri s belim eirima pokuavaju da odbrane raunarske sisteme, hakeri s crnim eirima (engl. black hat hackers), tj. zlonamemi hakeriloi momci pokuavaju da upadnu u tue mree i sisteme, ukradu poverljive informacije i/ili nanesu neku tetu. Obe vrste hakera koriste sline metode i alate, ali s razliitim ciljem.1.3 Deset zapovesti raunarske etike U skoro svakoj dravi vae odreene zakonske norme u kojima se definie koje su akcije u informacionim i raunarskim sistemima i mreama dozvoljene, a koje nisu. Ove norme se razlikuju od drave do drave (zakonska regulativa u ovoj oblasti verovatno je najtemeljnija u SAD) ili su srodne za grupu zemalja, kao to je recimo Evropska unija. Vie detalja o pravnim aspektima navedeno je u 14. poglavlju ove knjige.Institut za raunarsku etiku (The Computer Ethics Institute) neprofitna je istraivaka organizacija koju ine Brookings Institute, IBM, The Washington Consulting Group i Washington Theological Consortium. Ova organizacija je objavila 10 zapovesti raunarske etike:

1. Ne koristi raunar da povredi drugog.2. Ne meaj se nepozvan u tu rad na raunaru.3. Ne njukaj po tuim datotekama.4. Ne koristi raunar da bi lano svedoio.5. Ne koristi raunar da bi krao.6. Ne koristi komercijalni softver koji nisi platio.7. Ne koristi tue raunarske resurse bez odobrenja ili nadoknade.8. Ne prisvajaj sebi zasluge za tuu intelektualnu svojinu.9. Razmisli o posledicama koje e program koji pie ili sistem koji projektuje imati na drutvo.10. Koristi raunar samo na nain koji ne ugroava druge.Ukoliko sebe smatrate za hakera, lako ete odrediti svoju boju eira shodno broju zapovesti koje potujete.

1.4 ta je etiko hakerisanje? Kako se sve vie koristi Internet, sigurnost raunarskih i informacionih sistema i raunarskih mrea postala je glavna briga preduzea, organizacija i vladinih institucija. Svi oni ele da koriste Internet za elektronsko poslovanje, reklamiranje, irenje i veu dostupnost informacija, kao i za druge stvari, ali su isto tako zabrinuti zbog mogunosti da budu uhakovani. Istovremeno, potencijalni kupac ovih usluga eli da zadri kontrolu nad linim i osetljivim informacijama (brojevi kreditnih kartica, socijalnog osiguranja tj. jedinstvenih matinih brojeva graana- JMBG kod nas, telefona ili kunih adresa).U nastojanju da donekle ree problem, organizacije su zakljuile kako je angaovanje nezavisnog strunjaka za sigurnost koji e pokuati da upadne na njihov sistem, najbolji nain da se proveri opasnost od upada u sistem. Ta uloga donekle podsea na nezavisnog revizora koji e proveriti knjigovodstvo u nekoj organizaciji i ukazati na propuste. U sluaju raunarske sigurnosti, etiki hakeri koriste iste tehnike i alate kao i potencijalni napada, ali za razliku od napadaa, ne oteuju sistem i ne kradu informacije, ve procenjuju sigurnost sistema i vlasnika izvetavaju o sigurnosnim propustima na sistemu i o nainima uklanjanja greaka i propusta. Ovaj nain procene sigurnosti sistema primenjuje se jo od uvoenja raunara.Jedno od prvih etikih hakerisanja obavile su Vazduhoplovne snage SAD, da bi se analizirala sigurnost operativnog sistema Multics. S porastom primene raunarskih mrea i Interneta, studije ranjivosti raunarskih mrea poele su da se pojavljuju i u civilstvu.

1.5 SATAN Jedna od najznaajnijih studija bio je rad D. Farmera i W. Z. Venema, Improving the Security of Your Site by Breaking into It,poslat na Usenet mreu u decembru 1993. godine. Oni su javno razmatrali, moda po prvi put, korienje hakerskih tehnika za procenjivanje sigurnosti nekog sistema. S ciljem da se podigne prosean nivo sigurnosti na Internetu i intranetu, oni su opisali kako su uspeli da sakupe dovoljno informacija o svojim metama da bi mogli da ugroze sigurnost tih sistema ako budu hteli. Dali su par specifinih primera kako se informacije mogu sakupiti i iskoristiti da bi se dobila kontrola nad sistemom, i kako takav napad moe da se sprei. Farmer i Venema su odluili da svoj izvetaj postave na Internet kako bi drugi mogli da ga proitaju i da naue iz njega. Shvatili su kako su njihova testiranja struna i isuvie kompleksna, pa mogu oduzeti dosta vremena ili biti isuvie dosadna tipinom administratoru sistema da bi ih radio svakodnavno. Zbog toga su skupilisve alate koje su koristili tokom ispitivanja, zapakovali ih u jednu aplikaciju koja se relativno jednostavno koristi, i tu alatku dali svakome ko je hteo da je preuzme. Njihov program, koji su nazvali Security Analysis Tool for Auditing Networks, ili kratko SATAN, za kratko vreme je stekao veliku medijsku popularnost. Mnoga od tih reagovanja bila su negativna, zato to su mogunosti alata shvaene pogreno. Alat nije automatizovani hakerski program koji bi upao na sistem i ukrao neije tajne. Njime se izvode ispitivanja koja daju informacije o ranjivosti sistema; uz to, program savetuje kako da se ranjivost otkloni. Ba kao to banka s vremena na vreme ispituje svoje naloge i procedure, isto tako i raunar mora redovno da se proverava. Alat SATAN daje tu mogunost ispitivanja, ali ide i korak dalje, pruajui savete o otklanjanju naenih problema. Alat ne daje objanjenje kako bi te ranjivosti mogle da se iskoriste, jer to nije bio cilj ovog programa.

1.6 ta karakterie etike hakere? Etiki hakeri pre svega moraju da budu osobe od poverenja. Ispitujui sigurnost klijentovog sistema, etiki haker moe da otkrije informacije o klijentu koje bi trebalo da ostanu tajna. U mnogim sluajevima, objavljivanje tih informacija moe izazvati prave napade, koji mogu da prouzrokuju finansijske gubitke te firme. Tokom procene sigurnosti, etiki haker esto dri kljueve kompanije i zato mora da bude osoba od poverenja jer e imati pristupa osetljivim informacijama. Zbog osetljivosti podataka koji se prikupljaju prilikom ovog ispitivanja, na snagu moraju da stupe stroge mere zatite kako bi se obezbedila sigurnost sistema koji etiki haker testira: laboratorije u koje ne moe svako da ue i koje su fiziki obezbeene, zidovi od plafona do poda, vie sigurnih Internet veza, sef za uvanje klijentove poverljive dokumentacije, jaka kriptografija za zatitu elektronskih podataka, i izolovana mrea za testiranje.Etiki hakeri najee imaju veliko iskustvo u poslu s raunarima i raunarskim mreama, s programiranjem, instalacijom i administriranjem popularnih operativnih sistema (UNIX, Windows Server) koji se koriste na ciljnim raunarima. Uz te osnovne vetine, oni detaljno poznaju hardver i softver uvenih proizvoaa raunara i mrene opreme. Vetine administriranja sistema i mrea neophodne su da bi se ispitala ranjivost sistema, ali su isto tako vane kada se posle ispitivanja priprema izvetaj za klijenta. Kao i u sportu ili ratovanju, poznavanje protivnikovih vetina i tehnika veoma je vano da bi se uspelo. U svetu raunarske sigurnosti, posao etikih hakera je uvek tei, jer oni osim samih tehnika napada koje koriste zlonamerni hakeri moraju da poznaju i naine otkrivanja i zatite od napada.Nasuprot estih scena iz filmova, etiko hakerisanje zaista zahteva dosta strpljenja i vremena. Strpljivost je najvanija osobina etikih hakera zato to oni moraju da se stave u poziciju zlonamernih hakera, koji su poznati po srpljivosti i spremnosti da nadgledaju sistem danima ili nedeljama, ekajui priliku da upadnu u sistem. Na tipinu procenu moe se utroiti nekoliko dana munog rada koji teko moe da se automatizuje. Neki delovi procene moraju da se obave van regularnog radnog vremena kako bi se izbeglo meanje s regularnim poslovnim procesom na ivim metama, ili da bi se simulirao tajming realnog napada. Kada naiu na sistem koji im nije poznat, etiki hakeri e ga prouavati i traie njegove slabosti.Kada se uzmu u obzir navedene kvalifikacije, postavlja se pitanje kako pronai pojedince sposobne za obavljanje etikog hakerisanja. Najbolji kandidati za etike hakere jesu osobe koje imaju objavljene naune radove, radnu istoriju koja ukazuje na dobro poznavanje oblasti sigurnosti, ili osobe koje su napravile popularne sigurnosne programe sa otvorenim kodom. Velike kompanije pridravaju se pravila da ne unajmljuju bive hakere s crnim eirom. Iako protivnici ovog pravila iznose argument da samo pravi haker poseduje vetinu neophodnu da se posao uspeno obavi, pravilo o ouvanju klijentovog apsolutnog poverenja eliminie takve kandidate. Dakle, ova odluka je opravdana zato to klijent eli da bude potpuno siguran da informacije kojima e etiki haker raspolagati prilikom ispitivanja sigurnosti sistema, nee procuriti u javnost, niti e ih etiki haker upotrebiti u zlonameme svrhe.1.7 ta etiki hakeri rade?Etiki haker, obavljajui svoj posao, trai odgovor na tri osnovna pitanja: ta moe napada da vidi na ciljnom sistemu? ta moe napada da uradi s tim informacijama? Da li je neko primetio napadaev napad ili uspeh?Iako je znaaj prvog i drugog pitanja oigledan, tree pitanje je jo bitnije, mada na prvi pogled ne izgleda tako. Ako administratori ne primete da neko pokuava da napadne sistem, napada moe (to znai da i hoe), provesti nedelje ili mesece pokuavajui da upadne na sistem, i u veini sluajeva to e i uspeti.Kada klijent trai procenu, potrebno je da se pre samog posla obavi dosta razgovora i ispie mnotvo papira. Na poetku razgovora klijenti odgovaraju na par pitanja slinih onima koja su postavljali Garfinkel i Spafford:

ta pokuavate da zatitite?Iznenaujue velik broj klijenata ne moe precizno da odgovori na prvo pitanje: predstavnik medicinskog centra e najverovatnije rei kako eli da zatiti informacije o pacijentima, inenjerska firma titi nov dizajn proizvoda, a firma koja se bavi elektronskom trgovinom -bazu korisnika. Svi ovi odgovori su isuvie kratki, jer definiu samo globalne mete. Klijent uglavnom mora da se navodi kako bi precizno naveo sve informacije iji gubitak moe veoma mnogo uticati na dalje poslovanje firme ili njenih klijenata. Tu spadaju i sekundarni izvori informacija, kao to su imena i adrese yaposlenih (opasnost za privatnost i u optem smislu sigurnost), podaci o raunarima i mrei koji bi koristili napadau, kao i podaci o organizacijama s kojima klijent sarauje (koji daju alternativnu putanju do ciljnog sistema kroz moda manje siguran partnerov sistem). Od ega elite da se zatitite?Kompletan odgovor na ovo pitanje, etikom hakeru daje mnogo vie informacija od odgovora na prvo pitanje. Dok klijent odgovara, morate ga navoditi jer najee nije svestan veliine tete koju moe da prouzrokuje uspean napad odreenog tipa na raunarski sistem ili mreu (ili bilo koje dobro iji je vlasnik). Nivo tete moe da varira od jedva neprijatnog iskustva do sigurne pretnje koja moe da nanese tetu po poslovanje i smanjenje profita. Na primer, neka je resurs koji treba da se zatiti Web stranica. Nedostupnost ovog resursa u jednom sluaju moe da bude samo blaga neprijatnost (klijent samo reklamira proizvod na Internetu, a reklama je dostupna i na drugim mestima), a isto tako moe da bude velika pretnja za profit (klijent je kompanija koja se bavi elektronskom trgovinom). Takoe, neki klijenti su pod pogrenim utiskom da njihova Web lokacija (ili neki drugi resurs) nee biti na meti. Oni esto navode sledee razloge: Nema nita zanimljivo na njoj, ili hakeri nikad nisu uli za moju kompaniju. Klijenti ne shvataju da je svaka Web stranicai svaka privatna mrea povezana na Internet, potencijalna meta hakera.

Koliko ste vremena, truda i novca voljni da potroite na odgovarajuu zatitu?Odgovor na ovo pitanje je sloen, pa klijenta pre nego to odgovori treba upozoriti na injenicu da u trokove obezbeivanja sigurnosti raunara i mree spadaju: realni novani trokovi (novac za savetovanje o sigurnosti, zapoljavanje potrebnog osoblja i postavljanje odgovarajueg hardvera i softvera), trokovi obezbeivanja upotrebljivosti (sigurniji sistem je obino i komplikovaniji i tee se koristi, pa se osoblje mora dodatno obuavati) i trokovi obezbeivanja performansi mree i raunara (to se vie vremena uloi u obezbeivanje sigurnosti sistema, manje vremena se odvaja za realne probleme korisnika).1.8 Karta za izlazak iz zatvoraKada klijent odgovori na navedena tri pitanja, pravi se plan za identifikovanje sistema koji e biti ispitivan, nain ispitivanja, i sva mogua ogranienja ispitivanja. Na osnovu tog plana, obe strane-kilijent i etiki hakeri-sastavljaju ugovor. Taj ugovor, poznat pod nazivom karta za izlazak iz zatvora (engl. Get out of jail free card) titi etike hakere od krivinog gonjenja, poto je veina aktivnosti koje oni obavljaju pri proceni sigurnosti, nelegalna u mnogim zemljama. Ugovor sadri precizan opis ispitivanja obino u obliku mrenih adresa ili pristupnih brojeva modema sistema koji e se ispitivati. Preciznost je u ovoj fazi izuzetno vana, poto mala greka moe da dovede do evaluacije pogrenog klijentovog sistema, ili u najgorem sluaju do evaluacije sistema neke druge firme.

1.9 Pristup ,,No-holds-barredKada je ciljni sistem identifikovan, u ugovoru mora da bude navedeno kako e se sistem ispitivati. Najbolja procena se radi takozvanim no-holds-barred pristupom (testiranje bez ogranienja). To znai da etiki haker moe da proba sve na osnovu ega bi mogao da dobije kontrolu nad sistemom ili da ga kompromituje. Iako je ovaj pristup veoma realistian i koristan, neki klijenti se suzdravaju da na taj nain ispituju sistem. Klijenti imaju vie razloga za to, a jedan od najeih je injenica da se na ciljnom sistemu odvijaju normalni poslovni procesi, pa meanje u njegov rad moe da ugrozi interese organizacije. Takvim klijentima treba napomenuti da bi ba zbog toga trebalo primeniti ovaj pristup. Napada nee raditi po pravilima klijenta. Ako je sistem toliko vaan za opstanak organizacije, potrebno je da se ispita to stroe. U svakom sluaju, klijent treba da bude svestan rizika koji proizlazi od ove procene. Meu rizike spadaju neplanirani alarmi i padanja sistema, degradirane sistemske i mrene performanse, nedostupnost sistema, poveanje dnevnikih datoteka.Klijenti najee nameu etikim hakerima sledea ogranienja:Prekinuti ispitivanje nakon otkrivanja prvog propusta. Neki klijenti insistiraju na tome da procena treba da se zaustavi i da budu obaveteni im etiki haker pristupi njihovoj mrei ili nekom od njihovih sistema. Ovakvo pravilo ne bi trebalo da se primenjuje iz dva razloga. Klijent nee nauiti ono to e etiki haker moi da otkrije o njegovom sistemu i moe stei laan utisak o sigurnosti svog sistema nakon otklanjanja sigurnosnog propusta koji je etiki haker uoio. Procena sigurnosti treba da se nastavi kako bi se nali i ostali sigurnosni propusti.Izabrati trenutak procene sigurnosti. Klijent e najverovatnije eleti da izbegne procenjivanje u toku radnog vremena. Takvo ogranienje nije preporuljivo, jer napada ne bira trenutak koji klijentu odgovara, ali nije ni od presudnog znaaja za ispitivanje. U obzir treba uzeti injenicu da napadi obavljeni tokom radnog vremena mogu lake da se sakriju (vea je aktivnost na sistemu, pa je lake sakriti napad), toznai daje ispitivanje manje strogo. Na primer, sistemi za detekciju upada mogu biti labavije konfigurisani u radno vreme, to znai da se u nekim situacijamanee oglasiti upozorenjem. Bez obzira na dogovoreno vreme, klijent treba da zadui jednu ili vie osoba koje e u toku testiranja biti dostupne i moi da odgovore na pozive etikog hakera, jer pri procenjivanju rad sistema ili mree moe biti ozbiljno ugroen ili moe biti otkriven fundamentalan sigurnosni propust koji bi trebalo odmah prijaviti.Procenjivanje ,,u poslednjem trenutku. Uobiajeno je da potencijalni klijenti odgaaju procenu svog sistema sve do nekoliko nedelja ili dana uoi roka za poetak korienja sistema. Takva procena je od male koristi zato to implementacija ispravki za naene sigurnosne probleme moe da uzme vie vremena nego to je raspoloivo i moe da donese nove sistemske probleme. Osim toga, u nekim sluajevima etiki haker nee moi da otkrije sve sigurnosne nedostatke u tom roku.

Da bi dobio ispravnu procenu, klijent ne sme obavetavati zaposlene da e se obaviti ispitivanje. U suprotnom, etiki haker moe biti doveden u situaciju da elektronska verzija klijentovog radnika ide korak ispred njega i zatvara prozore i vrata. to manje ljudi iz organizacije zna da se planira procena, to je manja verovatnoa da e se to saznanje odraziti na stvarno sigurnosno stanje, tj. da e se nivo sigurnosti prividno poveati. Dodatno, klijent mora da bude spreman na moguu negativnu reakciju zaposlenih zaposleni u kompaniji mogu da shvate ovu iznenadnu inspekciju kao pretnju za posao, pa zato rukovodei tim mora biti spreman da razuveri takve osobe.1.10 Sam in etikog hakerisanjaKada se ugovor osmisli, napie i potpie, moe da pone ispitivanje koje je predvieno i strogo definisano u tom ugovoru. Valja napomenuti da samo ispitivanje donosi neki rizik za klijenta, poto bi zlonamerni haker mogao da snima saobraaj izmeu etikog hakera i sistema i tako doe do istih saznanja do kojih je doao etiki haker. Ovo se odnosi na sluajeve ispitivanja udaljene mree i, donekle, udaljene dial-up mree. To znai sledee: ukoliko etiki haker identifikuje slabost u sigurnosti klijenta, napada moe da iskoristi tu greku u sistemu. To je ozbiljan problem, poto se aktivnosti zlonamernog hakera mogu prikriti aktivnostima etikog hakera. Problem se najbolje reava tako to etiki haker s vie javnih adresa alje podatke ka mrei, i te adrese s vremena na vreme menja. Etiki haker mora da odrava dnevnik ispitivanja radi pripreme konanog izvetaja; dnevnik je koristan i u sluaju da se neto neplanirano dogodi. U ekstremnim sluajevima, mogue je postaviti neke od sistema za detekciju napada na metu, kako bi se utvrdilo da li svi testovi dolaze s raunara etikog hakera. Meutim, to je teko uraditi a da se ne upozori klijentovo osoblje, i moe takoe iziskivati saradnju s klijentovim davaocem Internet usluga.Ukoliko klijent zahteva, etiki haker moe da ispita da li je klijent otporan na napade virusima preko e-pote ili Interneta. Mnogo je korisnije da klijent postavi jak antivirusni program i redovno ga aurira, a da sve sumnjive poruke prosleuje odgovarajuim centrima na analizu i pronalaenje adekvatne vakcine ukoliko se ispostavi da je u pitanju nova verzija virusa.Kao to je prikazano na slici 16.1, postoji nekoliko naina za testiranje.

Udaljena mrea. Ovaj test simulira napad preko Interneta. Primarnu odbranu koja mora biti savladana ine granina mrena barijera, ruteri za filtriranje saobraaja i Web serveri.

Udaljena dial-up mrea. Ovaj test simulira napad na klijentove ulazne modemske linije. Primarna odbrana koja mora da se savlada jesu mehanizmi za proveru identiteta. Ovi testovi moraju da se urade u saradnji s lokalnom telefonskom kompanijom. Lokalna mrea. Ovaj test simulira zaposlenog ili neku drugu ovlaenu osobu koja ima legalnu vezu ka kompanijskoj mrei. Primarna zatita koja mora da se porazi jesu mrene barijere, interni Web serveri, serverske sigurnosne mere i sistem e-pote. Ukraden prenosni raunar. U ovom testu simulira se kraa prenosnog raunara vane osobe, kao to je visoko rangirani rukovodilac. Dakle, raunar je uzet od zaposlenog bez prethodnog upozorenja i dat je etikom hakeru. Etiki haker prouava raunar, traei lozinke smetene u dial-up softveru, podatke od znaaja za kompaniju, line informacije i slino. Poto veina korisnika uva svoje lozinke na raunarima, etiki haker e obino moi da iskoristi prenosni raunar za pristup korporativnoj mrei telefonom, sa svim privilegija- ma tog korisnika.

Slika 16.1: Razliiti naini ispitivanja Drutveni inenjering. Ovaj test otkriva da li e osoblje organizacije pod odreenim okolnostima dati informacije nekome. Tipian primer moe da bude uljez koji zove tehniku podrku kompanije, traei brojeve telefona ulaznih modema. Zatita od ovakvog napada je najtea, zato to su umeani ljudi i njihov karakter. Veina ljudi je uglavnom susretljiva, pa im izgleda sasvim bezazleno da nekome ko deluje izgubljeno objasne gde se nalazi raunarska soba, ili da puste u zgradu nekoga ko kae da je zaboravio identifikacionu karticu kod kue. Jedina zatita od drutvenog inenjeringa jeste poveanje svesti zaposlenih o

Fiziki upad. Ovaj test otkriva mogunost fizikog upada u zgradu kompanije. Test zahteva specijalne pripreme, zato to e etiki haker ukoliko ne uspe da proe obezbeenje neotkriven imati posla s radnicima obezbeenja (koji nisu obaveteni o testu, jer su oni sami predmet ispitivanja), a verovatno i s policijom. Kada se haker nae u zgradi, veoma je vano da ne bude otkriven. Da bi ostali neotkriveni, napadai esto nose dokument na kome se jasno vidi logotip kompanije. Takav dokument moe da se nae meu kompanijskim otpacima, ili napada moe da ga pokupi s nekog stola kad ue u zgradu. Primarna odbrana od ovakvog napada jeste jaka sigurnosna politika, pouzdani radnici obezbeenja, nadgledanje i beleenje svih ulazaka i izlazaka, i poveanje opte svesti o ovom problemu.Etiki haker moe da uradi svaki od navedenih testova iz tri perspektive kao lo momak spolja (engl. outsider), semi-outsider i kao lo momak iznutra (engl. insider), tj. regularni korisnik. Lo momak spolja (autsajder) delimino poznaje ciljni sistem. Jedine informacije koje ima o njemu pokupio je iz javnih izvora ili sa Interneta. Ovaj test predstavlja uobiajenu pretnju sistemu. Dobro branjeni sistem nee dozvoliti da takav napada uradi bilo ta. Semi-outsider (poluautsajder) ima ogranien pristup jednom od raunara ili delu mree kompanije. Ovo testiranje je, na primer, pogodno za sledei sce- nario: banka dozvoljava svojim korisnicima da pristupe svom nalogu preko specijalnog softvera i modema. U dobro branjenom sistemu, napada moe da pristupi samo svojim podacima, ali ne i tuim. Lo momak iznutra (insajder), tj. regularan korisnik, ima validan pristup makar jednom od raunara ili delu mree kompanije. Ovim se testira moe li neko iznutra sebi da povea prava pristupa, tj. da proiri skup prava koja mu je dodelio administrator sistema. U dobro branjenom sistemu, napada moe da pristupi samo onim podacima i nad njima obavi samo one akcije koje mu je administrator dodelio odgovarajuim polisama.

1.11 Konaan izvetaj Konaan izvetaj je skup saznanja koja je etiki haker sakupio tokom procene sigurnosti sistema ili mree. Detaljno su opisane pronaene ranjivosti i procedure za njihovo otklanjanje. Ukoliko su aktivnosti etikog hakera otkrivene, opisano je reagovanje osoblja klijenta, i predloi za poboljanje reakcija. Ako se pri ispitivanju sistema drutvenim inenjeringom naie na probleme, daje se predlog kako kod osoblja stvoriti naviku da uoavaju takve stvari i reaguju na njih. Ovo je i glavni cilj cele vebe - nije dovoljno samo ukazati klijentu na to da je njegov sistem ranjiv, ve ga treba i posavetovati kako da se takav sistem zakrpi, i kako da ostane zakrpljen.Tehnike kojima je vreno ispitivanje nikad se ne otkrivaju, zato to osoba koja predaje izvetaj ne moe da bude sigurna kome e dokument pasti aka. Na primer, onaj ko vidi izvetaj, moda bi hteo da isproba neke tehnike na svom raunaru, da pokua da testira sisteme u firmi, ili ak da opisane tehnike primeni na nekoj drugoj kompaniji.Sama dostava izvetaja je veoma delikatna stvar. Ako su otkrivene ranjivosti, izvetaj moe biti izuzetno opasan ako padne u pogrene ruke. Konkurencija moe da iskoristi te podatke za industrijsku pijunau, a zlonamemi haker ih moe upotrebiti za upad na raunar klijenta. U krajnjem sluaju, neki aljivdija moe da postavi ceo izvetaj na Internet. Izvetaj se dostavlja na papiru, direktno ovlaenom licu klijenta. Kada se zavri procena, po ugovoru izmeu etikog hakera i klijenta, etiki haker unitava sve dokumente i podatke koji su mu koristili u toku datog ispitivanja.1.11.1 ta se deava nakon isporuke izvetaja? Kada je etiki haker zavrio procenu i kada je izvetaj isporuen, klijent moe da kae: Kad popravim te greke, biu potpuno siguran, zar ne?. Naalost, nije tako. Ljudi rade na raunarima i mreama klijenta i prave greke. U prvom poglavlju smo objasnili da sigurnost nije trenutno stanje, ve proces. to vie vremena proe od ispitivanja, klijentova sigurnost opada. Izvetaj sadri i preporuke koje klijent treba da uvai kako bi i u budunosti smanjio posledice zapaenih greaka.Veoma je bitno da se klijentu naglasi i sledee: ideja o proceni sigurnosti sistema pokuavajui da ue u njega veoma je cenjena i prihvaena, ali ona, sama posebi, nije dovoljna. ak i ako etiki haker pomogne klijentu da bolje sagleda celokup- nu situaciju i ukae mu na smernice za poveanje sigurnosti, do klijenta je da potuje pravila i preporuke kako bi se zatitio od neeljenog dogaaja.Veliki Edsger Dijkstra je rekao: Program testing can be a very effective way to show the presence of bugs, but is hopelessly inadequate for showing their absence. (Ispitivanje programa moe da bude veoma efikasan nain za dokazivanje postojanja greaka, ali je sasvim neodgovarajue kada treba pokazati da ih nema.) Isto vai i za ispitivanje sigurnosti. Ako prilikom ispitivanja nisu naeni problemi, to ne znai da ih nema. Ispitivanje samo poveava uverenje da problema ima u prihvatljivoj meri ili da se teko pronalaze.

2. Ispitivanje mogunosti proboja

Pre nego to se upustimo u razmatranje ispitivanja mogunosti proboja, podsetimo se faza uobiajenog hakerskog napada na raunarsku mreu: izvianje, popisivanje, zadobijanje pristupa, proirivanje ovlaenja, potkradanje, prikrivanje tragova, pravljenje zadnjih vrata i, eventualno, uskraivanje usluga. Kao to ste mogli da primetite, deo o etikom hakerisanju vie se bavi etikim i pravnim aspektima; ovde emo se uglavnom baviti metodologijom i postupcima ispitivanja. Ispitivanje mogunosti proboja (engl. penetration testing) jeste metoda ocenjivanja i provere sigurnosti raunarske mree simulacijom napada koji bi inae obavio zlonamerni haker. Ispitivanje mogunosti proboja obuhvata aktivnu analizu sistema u pogledu slabosti, tehnikih nedostataka i ranjivosti. Analiza se izvodi iz pozicije potencijalnog napadaa osoba koja obavlja ispitivanje sebe smeta u poziciju napadaa, pokuava da prodre u mreu i na taj nain otkrije ranjivosti. Sve to se otkrije tokom ove analize, izlae se vlasnicima sistema zajedno s procenom uticaja koji otkrivene ranjivosti mogu imati na sistem i predlogom tehnikih reenja za uklanjanje ili smanjivanje uticaja otkrivenih ranjivosti. Testovi ove vrste treba da se sprovedu na svakom raunarskom sistemu koji e biti postavljen u neprijateljsko okruenje (naroito ako se raunar postavlja na Internet), pre nego to se sistem tamo postavi.Na osnovu onoga to osobe koje testiraju znaju o ciljnom sistemu (ili mrei), testovi se mogu podeliti na ispitivanje bele kutije (engl. white box) i ispitivanje crne kutije (engl. black box).Ispitivanje crne kutije podrazumeva da ispitiva nita ne zna o sistemu i infrastrukturi koju testira. Ispitivanje bele kutije znai da se ispitivaima daju potpune informacije o ispitivanoj strukturi, u ta spadaju mreni dijagrami, izvorni kod i podaci o IP adresiranju. Naravno, postoje i meuvarijacije koje se esto zovu ispitivanja sive kutije (engl. grey box).Neki smatraju daje ispitivanje metodom crne kutije najpriblinije stvarnoj situaciji u kojoj se najrealnije simuliraju akcije hakera, drugi misle da se time zanemaruje esta situacija da napada, koji je odabrao ciljni sistem, najverovatnije zna neto o sistemu koji namerava da napadne i da se napadi esto odvijaju iznutra ili u saradnji s nekim ko je unutar sistema (zaposleni ili slino). Najee je preporuljivo da se uradi scenario najgoreg sluaja i da se ispitivaima da onoliko informacija koliko trae, jer se podrazumeva da e pravi haker ve imati te informacije.Usluge koje nude firme za ispitivanje proboja variraju od obinog skeniranja IP adresnog podruja neke firme i traenja otvorenih pori identifikacije oznaka, do pune provere i revizije izvornog koda aplikacije. Pre ispitivanja treba uzeti u obzir injenicu da e jednostavniji testovi verovatno spreiti napadaa da pomou nekog jednostavnog skript napada prodre u sistem i osvoji ga, a da e samo ozbiljniji i sveobuhvatni testovi stvarno poveati stepen sigurnosti i smanjiti rizik od prodora u sistem.Osnovni koraci ispitivanja mogunosti proboja (slika 16.2) najee su sledei: potpisivanje ugovora, postavljanje (definisanje) pravila angaovanja, planiranje napada, izvoenje napada (izvianje i popisivanje, ostvarivanje pristupa, odravanje pristupa i sakrivanje tragova), pisanje izvetaja, izlaganje rezultata klijentu (ukazivanje na propuste, planovi za njihovo otklanjanje), i planovi za nastavak.Svaki od pomenutih koraka moe biti proiren ili detaljnije razraenna vie drugih koraka. Navedeni koraci predstavljaju osnovni okvir u kome se napad odvija. Koliko e se ispitiva zadrati na odreenoj fazi, zavisi i od naina ispitivanja pri ispitivanju metodom crne kutije ispitiva posveti vie vremena prikupljanju informacija, tj. izvianju i popisivanju, nego kada se primeni ispitivanje bele kutije.U nastavku poglavlja ukratko emo opisati svaki od navedenih koraka. Pomenuemo i neke druge aspekte koje treba imati u vidu pre i za vreme testiranja te posle toga, kao to su pravne i moralne norme.

1

2.1 Priprema za ispitivanje Da biste ispitali mogunosti proboja u raunarske sisteme i mree, morate imati: Tim. lanovi tima treba da vladaju potrebnim znanjima i vetinama. Takoe je neophodno da budu iskusni u ovim poslovima, a poeljno je i da budu uigrani kao tim. Mnogi klijenti e zahtevati da lanovi tima koji vre testiranje imaju odreene sertifikate i preporuke. Obino se zahteva da lanovi tima imaju dobre reference i da nisu kanjavani. Potrebnu opremu i druge resurse. Ispitivaima se mora staviti na raspolaganje odreeni hardver, softver i dodatna oprema neophodna za sprovoenje testiranja. Takoe su neophodni i odgovarajui komunikacioni i mreni putevi. Vreme. Veoma je bitno ispitivaima obezbediti dovoljno vremena za kvalitetno i uspeno ispitivanje. Zlonamernim hakerima je obino na raspolaganju sve vreme ovog sveta i oni mogu birati trenutak, mesto i nain napada. To je bitna prednost hakera, pa jetreba obezbediti i ispitivaima, ako se eli da imaju priblino sline uslove kao zlonamerni hakeri. Potrebno je mnogo volje i strpljenja za ozbiljno bavljenje ovim poslom. Mnogi su u poetku veoma zainteresovani jer smatraju ovaj posao zanimljivim i zabavnim. Kasnije, kada saznaju koliko im treba znanja, vetine, upornosti i ozbiljnosti, mnogi odustanu od bavljenja ispitivanjem sigurnosti.Napomena: U jednoj od knjiga iz ove oblasti naglaava se da u ekipi treba imati i lana koji kuva dobru kafu tzv. coffee expert.Koliko god zvualo aljivo, u ovoj preporuci ima istine: naime, poznato je da se ovaj posao obavlja danima i noima, u punoj koncentraciji, pri emu kafa obino pomae.2.2 Potpisivanje ugovora Potpisan ugovor o ispitivanju jedan je od najvanijih preduslova za zapoinjanje ispitivanja. Posebno je vano napomenuti kako se esto deava da se ovaj korak preskoi. Meutim, bez ovakvog ugovora sve akcije koje se sprovode protiv kompanije klijenta, mogu biti smatrane zlonamernim, a moda i nelegalnim. Oni koji se bave testiranjem ne bi smeli sebi da dozvole takvu situaciju jer to znaajno moe da narui njihov kredibilitet i ugled. Sve ugovore moraju da potpiu ovlaena lica obe firme.2.3 Postavljanje (definisanje) pravila angaovanja Prilikom postavljanja pravila angaovanja definiu se detalji kao to su: koliko e informacija ispitivai dobiti pre testiranja i koji su pristupi i postupci dozvoljeni tokom testa. Takoe, u interesu je ispitivaa da ova pravila budu definisana, kako se tokom ispitivanja ne bi javili problemi i nesporazumi i da se na kraju testiranja ne bi postavilo pitanje zato neki testovi jesu ili nisu uraeni, te u kojim se okolnostima ispitivanje odvijalo.2.4 Planiranje napada Tim za ispitivanje mogunosti probijanja planira napad nakon to je definisan plan angaovanja i u tu svrhu moe se obaviti sledee: Okupljanje tima za ovu namenu. Strunjak za beine mree ne mora da bude istovremeno sposoban da koristei ranjivost nekog Web servera pristupi kompanijskoj mrei. Dakle, ljude birate shodno vrsti mree koju ispitujete. Izbor alata za ispitivanje. Kao i lanovi tima, tako se i alati biraju u skladu s vrstom mree koja se testira - koristiete razliite alate ukoliko elite da proverite sigurnost beine mree i mree kojoj moe da se pristupi jedino preko kompanijske Web lokacije. Planiranje strategije napada. Pre nego to ponete napad, morate smisliti metodian plan kako ete izvriti test. Moete koristiti Open-Source Security Testing Methodology Manual (OSSTMM)kao poetni vodi.

2.5 Razmatranje pravnih i etikih (moralnih) normi Kad se ispituje neki sistem, prvo treba precizno definisati obim pravila i nain ispitivanja. Kao to je reeno u delu o etikom hakerisanju, vrlo je bitno da se potuju pravne i moralne norme, jer ih je vrlo lako prekoraiti i prouzrokovati tetu na sistemu koji se ispituje, a time nastaju i zakonske posledice po onoga ko vri ispitivanje. Postoje zakonske norme koje definiu ta su nedozvoljene akcije u informacionim i raunarskim sistemima i mreama, i njih se mora drati onaj ko ispituje te sisteme. Zakonska regulativa u ovoj oblasti verovatno je najtemeljnija u SAD. Postoji nekoliko znaajnih propisa i zakona koji se direktno ili indirektno odnose na etiko hakerisanje i ispitivanje mogunosti proboja: U.S. Code of Fair Information Practices (1973), Computer Fraud and Abuse Act (CFAA, 1973), U.S. Kennedy-Kasselbaum Health Insurance Portability and Accountability Act (HIPAA, 1996), Graham-Leach-Bliley Act (GLBA, 2000), USA PATRIOT Act (2001), Federal Information Security Management Act (FISMA, 2002) i Sarbanes-Oxley Act (SOX, 2003).Da pojednostavimo - pazite ta pie u ugovoru. Ispitivanje mogunosti proboja ne znai da tim za testiranje treba da obrie gomilu kompanijskih dokumenata (ili izmeni njihov sadraj) kako bi dokazao da mrea nije sigurna, niti da po mrei rairi crve i viruse koje kasnije nee moi da oisti. Ukoliko to uradite, klijent e vas tuiti i najverovatnije dobiti sudski proces. Samo ukaite klijentu na slabe take, predajte mu izvetaj i predloite mu kako da povea nivo sigurnosti.2.6 Izvoenje ispitivanja Poto je ispitivanje mogunosti proboja veoma slino napadu koji bi obavio haker s crnim eirom, zakjluujemo da su elementarne etape potpunog testa sledee: izvianje i popisivanje (prikupljanje osnovnih informacija o ciljnoj mrei, deljenim mrenim resursima, korisnicima, grupama, pravima pristupa i specifinim aplikacijama), ostvarivanje pristupa (prodiranje u sistem ili mreu), odravanje pristupa (postavljanje zadnjih vrata kako bi ispitiva mogao nadalje da eksploatie sistem) i prikrivanje tragova (na primer, brisanje dnevnikih datoteka ili pojedinih redova u njima).2.7 Izvianje i popisivanje Izvianje je jedna od najznaajnijih faza bitke. Sun Cu, kineski mudrac i strateg, koji je iveo pre oko 2500 godina, zapisao je: Iskoristite nespremnost neprijatelja, koristite neoekivane puteve i naine napada i napadnite neobezbeene take. Ova mudrost vai i danas, a moe se primeniti i u napadu na tui raunarski sistem ili mreu.Izvianje se sastoji od postupaka traenja i isprobavanja kojima se dolazi do podataka o sistemima, otvorenim portovima i aplikacijama koje rade na tim sistemima. Iako ispitivai koji proveravaju sigurnost mree obino nemaju dovoljnovremena taj luksuz je na raspolaganju zlonamemim hakerima oni su veoma svesni znaaja izvianja i snimanja situacije. Izvianje se moe smatrati uspenim ako ispitiva prikupi najmanje sledee informacije: IP adrese servera i ciljne mree pristupne UDP i TCP portove na ciljnom sistemu operativne sisteme na ciljnim mainamaZlonamemi hakeri obraaju posebnu panju na izvianje i prikupljanje podataka o cilju, to je prvi korak efikasnog napada. Za njih je veoma znaajno da vide ,,ta je sa one strane brda - to je kljuno za odluivanje koji tip napada da lansiraju. Recimo, napadi koji eksploatiu UNIX-ove slabosti nemaju smisla ako je ciljna mrea zasnovana na Microsoft serverima. Ukoliko se malo vremena potroi na istraivanje i skeniranje ciljne mree i servera, kojim e se utvrditi koji je operativni sistem na drugoj strani, ostae vie vremena za pokuaj provaljivanja u sistem. Zlonamerni haker e verovatno istraivati ove i brojne druge detalje, moda i nedeljama ili mesecima, pre nego to pokua da provali u tuu mreu.Postoje dve razliite metode otkrivanja raunara i sistema na ciljnoj mrei: Pasivno izvianje. Pasivno izvianje slui za prikupljanje podataka iz otvorenih izvora. Otvoreni izvor znai da su informacije dostupne javnosti. Traenje otvorenih informacija je potpuno legalno. Preduzee moe uiniti vrlo malo ili nita da sprei otvaranje i objavljivanje ovih informacija. Navodimo primere otvorenih izvora informacija: kompanijska Web lokacija, EDGAR baza, grupe za distribuciju vesti i diskusione grupe, poslovni partneri, kopanja po smeu (engl. dumpster diving) i, naravno, drutveni inenjering. Aktivno izvianje. Aktivno izvianje, nasuprot pasivnom, ukljuuje korienje tehnologije na nain koji ciljna kompanija moda moe otkriti. Aktivno izvianje se moe obaviti DNS upitima, posebnim ping alatima, praenjem rute paketa, skeniranjem portova i odreivanjem operativnog sistema (engl. fingerprinting). Nakon prikupljanja informacija, crta se mreni dijagram na kome se naznauju raunari, otvoreni UDP i TCP portovi (koji uslovno ukazuju na mrene servise i aplikacije koje se izvravaju na raunarima) i odgovarajui operativni sistemi. Na osnovu rezultata izvianja, napada polako formira ideju o napadu koji e izvesti. Za aktivno izvianje i popisivanje koriste se razni softverski alati, a najznaajniji su: Nmap, Nessus, Ethereal, SAINT, Tcpdump,WinPCap, Winscan, Superscan i njima slini.

Pri izvianju se takoe mogu otkriti korisniki nalozi i deljeni resursi na raunarskim sistemima. Neki ispitivai posebno skeniraju raunare i portove, a onda u posebnom delu istraivanja popisuju ostale podatke o sistemu ili mrei.

2.8 Ostvarivanje pristupa Ovo je najuzbudljiviji zadatak i obino se na njega troi najvie vremena. Ispitivau se moe posreiti da jednostavno upadne u ispitivani sistem ili mreu, ali je to mnogo ee dugotrajan proces. Ponekad se ovaj pokuaj moe zavriti neuspeno, to je dobra vest za vlasnike ispitivane mree. Pristup mrei se moe ostvariti na nekoliko naina, a neki od najee korienih su: preko Interneta, modemski pristup (telefonom), drutveni inenjering, napad na beinu mreu koja je deo kompanijske mree, napadi neeljenom potom (SPAM), korienje trojanaca i kopanje po smeu. Jedan tip napada za ostvarivanje pristupa koji se obavlja preko Interneta jeste ostvarivanje pristupa i poveanje prava na raunaru na kome je Web lokacija (koji se najee nalazi u DMZ mree); preko ovog raunara se dalje pristupa ser- verima baza podataka ili drugim serverima koji se nalaze u privatnoj mrei. Jo jedan od moguih napada koji slue za ostvarivanje pristupa, a izvravaju se preko Interneta jeste kraa sesije.

2.9 Kraa sesije Kraa sesije (engl. session hijacking) jeste proces nasilnog preuzimanja postojee sesije izmeu dva raunara. Zlonamerni hakeri u ovom sluaju ne moraju da znaju lozinke za pristup sistemima, samo treba da preuzmu sesiju (na primer, izmeu klijenta i servera) u kojoj je prethodno obavljena provera identiteta. Alati koji se mogu koristiti za otimanje sesije su Hunt, T-Sight, Juggemaut i TTY-Watcher.Kraa sesije prikazana je na slici 16.3. Osoba koja ispituje (korisnik T) oslukuje saobraaj koji korisnik A alje serveru. Da bi preuzeo sesiju, korisnik T mora najpre da otkai korisnika A s mree, to najee radi slanjem TCP RST paketa. Korisnik T se serveru predstavlja kao korisnik A, pa server nastavlja da komunicira s njim.Postoje dve vrste napada za otimanje sesije: Aktivni. Napada pronalazi jednu aktivnu sesiju i pokuava da je preuzme i ugrozi ciljnu mreu ili raunar. Pasivni. Ovaj napad se odvija tako to se belei (zapisuje) sav saobraaj koji se odvija izmeu klijenta i servera ili drugih ureaja koji komuniciraju. Ovaj tip napada je jednostavniji od aktivnog napada i to je najee poetna faza pre preduzimanja aktivnog napada.Verovatno jedan od najpoznatijih napada otimanja sesije izveo je Kevin Mitnick, na Boi 1994. godine. U 10 koraka provalio je u raunar Tsutomua Shimomure u kompaniji San Diego Supercomputer Center. Zbog njegovog istorijskog znaaja i briljantnog pristupa, pominjemo ga ovde. Preporuujemo da proitate knjige Kevina Mitnika -The Art of Intrusioni The Art of Deception.Ukoliko elite da budete u toku s najnovijim tehnikama za krau sesije, pratite lokacije kao to su: SANS Institute i Security Focus.Otimanje sesije se moe detektovati korienjem njukala paketa (engl. packet sniffer) ili IDS sistema, kao i nadzorom mree (jedan od simptoma koji ukazuje na uspenu krau sesije jesu zakucane aplikacije). Dobra zatita od kraa sesije jeste korienje ifrovanih komunikacionih kanala. Na primer, administrator ne sme da konfigurie ratere i komutatore preko telneta, nego treba da u tu svrhu koristi SSH protokol (ukoliko je to mogue) ili da ih konfigurie pomou konzolnog prikljuka. Korienje komutatora umesto koncentratora moe donekle smanjiti opasnost od krae sesije u Eternet okruenjima.Otimanje sesije je zastraujua realnost koje moraju biti svesni administratori sistema i mrea. Nepreduzimanje koraka za otkrivanje i spreavanje ovih napada moe se smatrati nemarom. Kraa sesije moe da bude opasna i ak pogubna po dnevne poslove, pa mnoge firme ne dozvoljavaju takvo ispitivanje ili ga dozvoljavaju samo u odreenim okolnostima i uslovima. Jedna alternativa je da se napravi laboratorijsko okruenje koje to bolje oponaa realni sistem i mreu i da se u njemu obavi ispitivanje.

2.10 Napadi na Web server Web server je prozor u spoljni svet i deo mree koji se vidi iz spoljnog sveta. To znai da je sigurnost Web servera veoma vana kako ovaj sistem ne bi postao lak plen na mrei koji bi napadau omoguio da probije jedan nivo zatite i dalji tok napada sa svog raunara preseli na Web server. Da biste znali koji se sve napadi mogu iskoristiti protiv Web servera, treba da dobro poznajete arhitekturu Weba, i osnovne sigurnosne probleme u jeziku na kom je napisana aplikacija koja e biti postavljena na taj Web server.Najei su napadi na sam Web server i napadi na Web stranice za proveru identiteta. Od napada na Web server pomenuemo DoS napad za potronju memorije (engl. Memory consumption DoS) i SSL beskonanu petlju (napadi na Apache), i napade prekoraenjem bafera koji su karakteristini za IIS. Osim toga, napada moe da iskoristi poznate slabosti Web server aplikacija ili napad tipa directory traversal,i tako kompromituje Web lokaciju i server na kome se ona nalazi.Trenutno postoji veliki broj alata za nadzor i napadanje Web resursa. Neki od njih su: NetCat, IIS Xploit, Execiis-win32.exe, CleanlISLog i IntelliTamper.2.11 Provaljivanje lozinki Pre nego to su se pojavili raunari, kompanije su se titile zakljuavanjem vrata, a podaci, uglavnom na papiru, uvali su se u metalnim ormarima ili sefovima. Tada je bila dovolja fizika sigurnost. Kako su se poele koristiti raunarske mree pa se sistemima u kompaniji moglo pristupati izdaleka, sa skoro bilo koje lokacije, fizika sigurnost vie nije dovoljna. Zbog toga se javila potreba da se uvedu razni mehanizmi zatite podataka. Striktne mere kontrole pristupa obino su zasnovane na najmanje etiri elementa: neto to osoba zna (na primer, PIN broj ili lozinku) neto to osoba ima (na primer, sigurnosna identifikaciona kartica) neto to osoba jeste (biometrija zasnovana na fizikim karakteristikama) neto to osoba radi (biometrija zasnovana na karakteristikama ponaanja)

Kada je sigurnosna provera zasnovana na dva faktora (engl. two-factor security), koriste se najmanje dva od etiri elementa da bi se odobrio pristup. Na primer: korisniku se dozvoli pristup kada unese lozinku i kad se proveri otisak prsta. Pri sigurnosnoj proveri zasnovanoj na etiri faktora (engl. four-factor security),primenjuju se sva etiri elementa. Naalost, u dananje vreme se veoma esto za proveru identiteta koristi samo jedan faktor i to je najee lozinka.Prosean korisnik raunara mora da pamti svoje lozinke za govornu potu, razliite adrese e-pote, pristup Internetu i raznim Web lokacijama, pristup kompanijskim sistemima, VPN pristup, za ATM maine za podizanje gotovine itd. Administrator sistema ili mree osim toga mora da zapamti i veliki broj lozinki za pristup ruterima, serverima i administriranju mrenih servisa. Problem s pamenjem velikog broja lozinki korisnici reavaju na dva naina: biraju jednostavne lozinke ili koriste istu lozinku za vie namena (to e rei da su svi njihovi resursi zatieni s nekoliko lozinki).Ukoliko korisnici upotrebljavaju jednostavne lozinke, napadai mogu da ih pogode relativno lako, pomou alata za razbijanje, tj krekovanje lozinki (engl. crackers).Ako korisnici upotrebljavaju iste lozinke na vie mesta, jedna pogoena lozinka omoguie napadau da pristupi svim resursima koji su zatieni tom lozinkom. Za napad na sistem razbijanjem lozinki, potrebno je znati koji alati postoje, kako rade i koje metode koriste da pogode lozinke korisnika. Linux i Windows lozinke obino se provaljuju korienjem grube sile (engl. brutal force), napadom pomou renika (engl. dictionary attack)ili hibridnim pristupom. Da bi se uspeno provalile lozinke, potrebno je ili pribaviti datoteku s lozinkama ili uhvatiti lozinke dok putuju mreom, i to pomou alata koji pripadaju grupi njukala paketa (engl. packet sniffer) . Postoje brojni alati koji mogu pomoi pri razbijanju lozinki, a jedan od najpoznatijih je John The Ripper.

Ispitivai se esto angauju da razbiju lozinke iz jednog od dva razloga: Proveravanje politike kontrole pristupa, tj. snage lozinki koje se koriste i mogunosti da se one probiju. Kada se razbijaju lozinke u svrhu provere politike zatite, onda se zakljuuje da li kompanija uspeva da sprovede tu politiku unutar svoje organizacije i meu zaposlenima. Pretpostavimo da je politika firme da sve lozinke moraju imati najmanje 8 znakova i biti kombinacija slovai brojeva. U tom sluaju je lozinka 5i 9ul 1 8vg jaka po toj sigurnosnoj politici. Ukoliko se u politici zahteva da se u lozinkama kombinuju velika i mala slova, ovakva lozinka nee biti priznata kao jaka. Na primer, ispitiva moe biti pozvan da proba da probije firmine lozinke; ukoliko ustanovi da se 80% lozinki uklapa u ovo pravilo, a 20% ne, zakljuuje da firma u celini nedovoljno dobro sprovodi politiku jakih lozinki. Otkrivanje zaboravljenih lozinki. U ovom sluaju, ispitiva moe biti pozvan da probije lozinku koja je zaboravljena ili izgubljena. To je, recimo, situacija kada administrator napusti firmu nezadovoljan, a niko drugi u firmi ne zna lozinku za administratorski nalog.

Ako elite da smanjite mogunost razbijanja lozinki, obratite panju na to kako ih birate. Opta je preporuka da se primenjuje politika jakih lozinki (engl. strong password policy). Odgovorite na sledea pitanja: Moe li se lozinka pronai u nekom reniku? Da li je vaa lozinka dovoljno dugaka? Sadri li lozinka i mala i velika slova? Da li lozinka sadri brojeve i specijalne znakove? Koliko esto menjate svoje lozinke?Najkrae reeno, lozinke moraju buti dugake najmanje 8 znakova i sadrati najmanje tri (od etiri) razliite grupe znakova (mala slova, velika slova, brojevi i specijalni znakovi). Potrebno je da lozinke menjate redovno i da se korisniki ili sistemski nalog zakljua nakon odreenog broja neuspenih pokuaja (najee 3 pokuaja). Nalog treba da ostane zakljuan do isteka odreenog vremenskog perioda ili do asa kada e administrator proveriti deavanja i otkljuati nalog ako utvrdi da je sve regularno. Iako se ne moe previe uraditi kako bi se hakeri spreili da pokuaju da provale u sistem razbijanjem lozinki, politika jakih lozinki e znaajno umanjiti ili oslabiti anse za uspean napad.

Postoji jo jedan aspekt problema razbijanja lozinke. Ako se moe direktno, fiziki pristupiti maini na kojoj se nalaze lozinke, onda se mogu koristiti alati za brisanje i prepisivanje (pisanje preko, engl. overwrite) postojee lozinke. Napada jednostavno izrauna he lozinke koju eli da postavi i upie je na mesto postojee lozinke.

2.12 Napadanje mree U osnovi, skoro svi sistemi su danas umreeni, pa su skoro svi napadi, ujedno napadi na mree. Neki od napada su, meutim, posebno usmereni na mrene komponente i prenosne puteve. Ovi napadi su usmereni ka unutranjim tj. privatnimmreama, ali i na takozvane demilitarizovane zone (DMZ) i prema javnim mreama. Napad moe biti usmeren na analizu saobraaja i prikupljanje podataka o komunikaciji (to ugroava poverljivost neifrovanih komunikacija), odbijanje usluge optereenjem mree, aktivno umetanje u prenosne puteve i izmenu toka podataka ili sadraja paketa podataka itd.Osobe koje ispituju mogunost proboja obino proveravaju ranjivost raunarskih mrea klijenta na prethodno pomenute i razne druge napade, koristei razliite tehnike i alate za ovu namenu. Pri tome klijent moe zahtevati razliite tipove provera, a moe se i proveravati da li je napad ostao neotkriven ili su lica zaduena za odravanje klijentove raunarske mree otkrila napad i preduzela protivmere.

2.13 Napadanje beine mree Ve smo govorili o sigurnosnim problemima u beinim mreama. Iako je ovaj tip mrea doneo mobilnost i fleksibilnost, kao i mnoge druge prednosti, ipak su se s njima pojavili i brojni sigurnosni problemi. Beine i mobilne mree otvorile su nove puteve proboja u raunarske sisteme. Problemi s WEP kljuevima i lakim probijanjem kratkih kljueva, nedovoljno visok nivo znanja i svesti te nepanja prosenih korisnika, omoguili su hakerima da ostvare brojne spektakularne upade u mree.Poto se znaju prednosti primene beinih raunarskih mrea, poimanje ovih slabosti ne bi smelo da navede na pomisao da takve mree ne treba koristiti - samo ih valja s poveanom panjom instalirati i koristiti. Mora se briljivo osmiljavati softver i hardver za ovaj tip mrea, a to se prvenstveno odnosi na proizvoae i istraivanja u toj oblasti.Da bi beine mree bile sigurnije, potrebno je primeniti vie razliitih sigurnosnih mera, kao to su: paljivo korienje metoda ifrovanja, provere identiteta korisnika, kljueva i drugih ugraenih sistema primena IDS/IPS sistema za beine mree primena mrenih barijera primena IPSec i VPN sistema korienje mehanizama 802.Ix, WPA, WPA2 i 802.IliPrilikom ispitivanja mogunosti probijanja ovih mrea, potrebno je proveriti sve pomenute zatitne mehanizme i videti da li postoje propusti u njihovoj ugradnji i primeni. Tim koji ispituje sigurnost mree treba da poznaje sve relevantne probleme i da ima alate i metode za proveru mogunosti proboja. Alati specifini za ispitivanje beinih mrea su Airsnort, WEPCrack, AirCrack, Weplab, Netstumbkr, WEPwedgie, coWPAtty, leap, anwrap, THC-LEAPcracker, asleap; od koristi vam moe biti i distribucija BackTrack Linux. Vie podataka o ovim alatima nai ete u 9. poglavlju.Treba pomenuti da beine mree pate od svih sigurnosnih problema od kojih pate i iane mree, ali i od brojnih drugih problema karakteristinih za ovaj tip mrea.

2.14 Probijanje UNIX, Linux i Windows servera Pri ispitivanju mogunosti da se probije u Unix, Linux i Windows sisteme, koriste se sledee metode i alati: Poveanje privilegija. Ispitiva pokuava da ostvari pristup sa akreditivima koje ima korisnik root na Linux sistemima ili administrator Windows sistema. Poveanje privilegija se veoma esto osvaja pomou razliitih exploitazasnovanih na prekoraenju bafera. Skeneri za otkrivanje ranjivosti. Ispitiva koristi posebne programe koji ispituju da li je server ranjiv, tj. da li ispoljava slabosti karakteristine za dati operativni sistem. Skeneri ranjivosti skrauju ispitivanje mree ili raunara. Svaki ispitiva mogunosti proboja treba da ima skenere ranjivosti u svom skupu alata. Rootkit alati. Instaliranje rootkit alata je vaan test koji pokazuje postoji li mogunost da napada na server podmetne datoteke, instalira neki drajver ili pokrene neki proces, a da pri tom ne bude otkriven. Dobar test mogunosti proboja ne proverava samo koji se nivo pristupa moe postii, nego i koji se nivo pristupa moe dostii a da napada ostane neotkriven.Svi oni koji brane svoju mreu ili sistem, moraju poznavati slabosti svog sistema, biti u toku s najnovijim otkrivenim problemima i ranjivostima i moraju se truditi da svoje servere stalno auriraju, krpe i koriste adekvatne alate za sve nivoe zatite.2.15 Odravanje pristupa Nakon to tim za testiranje pristupi ciljnom sistemu, moe se ukazati potreba da se mogunost pristupa odrava neko vreme, kako bi se izvrilo jo dodatnih ispitivanja. Zato je potrebno postaviti program za otvamje zadnjih vrata koja e omoguiti kasnije akcije i ispitivanja. Time se takoe simulira situacija u kojoj su zadnja vrata otvorili zlonamemi hakeri kako bi izveli vie napada u odreenom vremenskom periodu. Uzgredna korist je i to to e pokuaj instaliranja zlonamemog softvera pokazati sposobnost ciljne mree i njenog sistema odbrane da otkriju postojanje zlonamemog softvera ovog tipa.Pre nego to ponete da postavljate trojance ili zadnja vrata, dogovorite se o tome s klijentom i neka to bude deo ugovora. Savetuje se da ohrabrite klijenta da prihvatii ovu opciju testiranja, zato to je ona sastavni deo mnogih napada. Ako se s klijentom dogovorite da upotrebite trojance ili zadnja vrata, paljivo odaberite alate koje ete koristiti.2.16 Sakrivanje tragova Ovo je korak kojim ispitivai mogunosti proboja pokuavaju da oiste sve tragove napada, upravo na onaj nain kako bi to i iskusni haker uradio. Najjednostavniji oblik skrivanja tragova jeste brisanje odgovarajuih zapisa iz dnevnikih datoteka. Meutim, niko vam ne garantuje da e administrator sistema pregledati dnevnike datoteke tek kad vi obavite napad i poistite tragove. Ukoliko administrator primeti uljeza u toku napada, postoji mogunost da e postaviti restriktivnija pravila mrene barijere i sistema za detekciju upada ili e odsei mreu sa Interneta i tako spreiti napredovanje napadaa. To znai da tragove treba istiti tokom ispitivanja. Znaajnu pomo u ovom delu testa pruaju rootkit alati. Oni ispitivau mogu pomoi da pristupi ciljnoj raunarskoj mrei, da ostane neprimeen odreeno vreme i da na kraju ostavi sve za sobom onako kako je i bilo.2.17 Pisanje izvetaja i ukazivanje na propuste Nakon ispitivanja, tim e sakupiti sva otkria u jedan dokument koji se predaje klijentu. Iako ovo izgleda kao jednostavan zadatak, oekujte da e vam oduzeti dosta vremena (moda ak i onoliko koliko je utroeno na samo ispitivanje). Klijent e obino zadrati kopiju ovog izvetaja i prezentacije rezultata ispitivanja, a moda e kasnije postaviti i dodatna pitanja ili zahtevati dodatna ispitivanja u pojedinim podrujima.2.17.1 Izvetaj Izvetaj mora sadrati barem sledee stavke: izvrni rezime, opseg projekta, analizu rezultata, saetak i priloge. Izvrni rezime (engl. executive summary)treba da sadri ciljeve, metodologiju, ono to je pronaeno, a zatim saetak izvetaja u pisanoj i grafikoj formi. Opseg projekta je skup i obim obavljenih testova. Ovde se opisuje sve to je trebalo uraditi pri ispitivanju klijentovog raunarskog sistema, mree i informacionog sistema. Popisani su svi delovi sistema koje treba ispitati, provere koje treba obaviti, na koji nain e testovi biti izvreni, i ogranienja kojih se treba pridravati prilikom ispitivanja da se ne bi naruile osnovne funkcije kompanije ili organizacije. Izvrena ispitivanja se analiziraju da bi se protumaili predstavljeni rezultati i predoili uoeni problemi ili mogue posledice. Ponekad sami rezultati ne ukazuju direktno na slabosti i mogue ranjivosti sistema, pa je nuno da se u ovom delu analiziraju i predoe mogui problemi, i da se klijent uputi na mere koje treba da preduzme. U saetku izvetaja ukratko se iznosi pregled otkria, tj. ta je tokom ispitivanja pronaeno i ta je zakljueno o sigurnosti na osnovu najvanijih testova i njihovih rezultata. Obino se ta otkria izraavaju u vidu klasifikacije sigurnosnog rizika na: nizak, srednji, visok i kritian nivo. Prilozi izvetaju sadre detaljne opise rezultata, a ponekad se navode i kori- eni alati, listinzi, snimci ekrana, fotografije, dnevnike zabeleke, objanjenja procedura rada i slini elementi koji dokumentuju izvrene testove i njihove rezultate. Sami detalji tehnike ispitivanja (po mnogim autorima i istaknutim strunjacima za ovu oblast) ne bi trebalo nikada da se otkrivaju, zato to osoba koja predaje izvetaj nije sigurna kome e dokument pasti aka. Na primer, zaposleni bi moda hteo da proba neke tehnike na svom raunaru, da proba da testira sisteme u firmi, ili ak da proba da primeni tehnike na nekoj drugoj kompaniji. Posledice nestrunog rukovanja mogle bi biti nesagledive.Savetuje se da se izvetaj obavezno preda iskljuivo ovlaenim licima klijenta i to odtampan. Nije preporuljivo da se izvetaj predaje ili alje u elektronskoj formi i/ili elektronskom potom, jer se rizikuje da on procuri u javnost, to nikako nije dobro za ispitivae, a jo manje za klijenta. Posle zavrenog posla, ispitivai treba da unite svu dokumentaciju i podatke o datom ispitivanju, ukljuujui sve faze i krajnje izvetaje. To je mera predostronosti, jer klijent moe pozvati na odgovornost ispitivaa ukoliko podaci procure.

2.17.2 Ukazivanje na propuste i planovi za njihovo otklanjanje Nakon prezentovanja izvetaja klijentu, sledei korak je razmatranje sigurnosne politike. Svaka ranjivost koja je pronaena na mrei ispitivane organizacije, postoji zato to organizacija ne sledi sigurnosnu politiku ili zato to je neka vana komponenta izostavljena iz sigurnosnih pravila.Poto tim zavri ispitivanja i prikae rezultate, treba planirati nastavak, tj. redovno ispitivanje u budunosti, kako bi se osiguralo da klijent ne postane ranjiv usled problema sa sigurnou koji se mogu naknadno pojaviti. Dakle, mora se imati u vidu da sigurnost nije zavrno stanje. Zlonamerni hakeri, konkurencija, pijuni i druge neasne osobe stalno se zanimaju za raunarske sisteme i mree, pa neprekidno pokuavaju da otkriju slabosti i zloupotrebe ih.