УНИКАЛЬНОСТЬ ТАЛАНТА АДРИАНА
Совершенно нетипично для хакера, но Адриан не был знатоком ни одного языка программирования. Его успех базировался на умении анализировать то, как думают люди, как они создают системы. какие процессы используют сетевые и системные администраторы для создания сетевой архитектуры. Хотя, по его словам, у него плохая оперативная память, он выявлял лазейки, пробуя Интернет‑приложения компании, чтобы найти доступ в ее сеть, затем он путешествовал по сети, создавая в своем мозгу ее структуру из отдельных кусочков, до тех пор, пока не проникал в один из уголков сети, который. по мнению создателей, был упрятан в темноте недоступности и поэтому защищен от атак.
Вот его собственное описание проникновения сквозь границы защиты в неизведанное:
«Я верю, что есть много общего во всех компьютерных системах, в любой точке планеты. Мы отыскиваем эти общие места среди кажущейся индивидуальности систем. Е с л и вы сможете разгадать смысл этих построений, то это может вам помочь и привести вас в странные места. Хакерство всегда было для меня не столько технологией, сколько религией».
Адриан считает, что если он продуманно поставит перед собой задачу проникновения в определенные участки системы, то скорее всего потерпит неудачу. Если же он раскрепостит свою фантазию, и будет руководствоваться, в основном, интуицией, то он окажется там, где хотел оказаться.
Адриан не считает свой подход уникальным, но говорит, что никогда не встречал другого хакера, который бы преуспел на этом пути. «Одна из причин того, что ни одна из этих компаний, тратящих тысячи и тысячи долларов на выявление вторжений, не обнаружила меня, заключается в том, что я не делаю того, что делают нормальные хакеры. Когда я нахожу сеть, открытую для вторжения, я смотрю на нее так, как это следует делать. Я думаю: „Ну хорошо, у сотрудников есть доступ к информации о пользователях. Е с л и бы я б ы л сотрудником, ч т о бы я попросил систему сделать?“ Для системы тяжело отличить законную активность от незаконной, поскольку вы проходите через тот же интерфейс, что и сотрудники, Э т о т о т же самый трафик».
Однажды Адриан выстроил в голове структуру сети. «Это менее всего связано с числами на экране и гораздо больше с ощущением того, что ты находишься где‑то внутри, чувствуя всю ее архитектуру. Это способ видеть, особый взгляд на реальность. Я не могу описать это, но я вижу это в голове. Я замечаю, что и где живет, как все это взаимосвязано и взаимодействует. И множество раз все это приводило меня к тому, что люди называют волшебством».
Во время его интервью на передаче ночных новостей канала NBC в Вашингтоне, ведущий шутливым тоном предложил Адриану попытаться взломать систему NBC. Тот ответил в прямом эфире, что через пять минут на его экране будет конфиденциальная информация этой компании.
Адриан старался смотреть на любую систему с двух точек зрения, как сотрудник и как внешний пользователь. По его мнению, именно этот «бинокулярный» взгляд подсказывает его интуиции, куда двигаться дальше. Он играет роль обычного служащего, выполняющего какую‑то задачу, размышляющего и двигающегося вперед в определенном направлении. Его метод работает настолько хорошо, что люди давно перестали относиться к его невероятным успехам, как к случайным удачам.
ПРОСТАЯ ИНФОРМАЦИЯ
Однажды ночью в одной из кофеен Sturbucks, где мы как‑то пили с ним, Адриану пришлось навострить уши. Он сидел там за чашечкой кофе, когда к кофейне подъехал автомобиль и из него вышли пять человек. Они присели за соседний столик, он слышал их разговор; быстро стало ясно, что они работают в правоохранительных органах, он был уверен, что они из ФБР.
«Они беседовали около часа, совершенно не обращая внимания на то, что я сижу, не притрагиваясь к своему кофе. Разговор был абсолютно нейтральный — кому что нравится или не нравится. Есть такая шутка, что о мощи организации можно судить по размеру визитных карточек и нагрудных „бейджей“, которые носят ее сотрудники. У сотрудников Ф Б Р очень маленькие „бейджи“, тогда как у сотрудников рыбного департамента — просто огромные. Поэтому, на самом деле можно говорить об обратной пропорциональности. Эти ребята так забавлялись…»
Выходя из кофейни, агенты бросили на него беглый взгляд, как будто они только что заметили молодого человека, уставившегося в чашку холодного кофе и возможно услышавшего то, что не предназначалось для его ушей.
В следующий раз Адриан смог при помощи одного‑единственного звонка отыскать важную информацию об AOL (America On‑Line — крупнейший Интернет‑провайдер США. прим. переводчика). Их ИТ‑система была прекрасно защищена, но он отыскал лазейку, когда позвонил в компанию, которая производила и прокладывала все кабели для AOL. Адриан утверждал, что обладает всеми картами прокладки кабелей. «Они поняли, что если вы додумались позвонить им, то с вами можно иметь дело». Хакер мог бы вызвать такие нарушения, которые могли стоить AOL миллионы долларов из‑за простоев и ремонтных работ.
Звучит устрашающе. Адриан и я пришли к единому мнению, что можно только удивляться тому, как беззаботно люди относятся к информации.
СОВРЕМЕННОСТЬ
Летом 2004 года Адриан Ламо был приговорен к шести месяцам домашнего заключения и двум годам условного заключения. Суд приговорил его к уплате шестидесяти пяти тысяч долларов в качестве возмещения ущерба его жертвам. Учитывая возможные заработки Адриана и полное отсутствие капиталов (на данный момент он даже не имеет жилья), этот размер компенсации является совершенно губительным. При определении размера компенсации суд должен был бы принимать во внимание целый ряд факторов, включая нынешнюю и будущую возможности обвиняемого расплатиться, а также и реальные потери жертв. Приговор о возмещении ущерба не должен быть уничтожающим. По моему мнению, судья и не задумывался о реальности выплаты такой большой суммы Адрианом, но просто назначил ее в качестве устрашающего послания другим хакерам, поскольку случай Адриана широко освещался в прессе.
Тем временем Адриан занялся собственной реабилитацией, обратив свои таланты на свою собственную жизнь. Он поступил на курсы журналистов в колледже Сакраменто: он начал писать статьи для местной газеты и подрабатывать внештатно для других изданий. «На мой взгляд, журналистика — лучшая карьера, которую я мог бы выбрать, и которая доставляла бы мне удовольствие — в ней есть любознательность, стремление взглянуть на вещи с необычной стороны, желание узнать больше об окружающем нас мире. Совершенно такие же мотивы привели меня к хакерству».
Я надеюсь, Адриан честен со мной и с собой, когда говорит о новом курсе своей жизни.
«Я солгал бы, если б сказал, что могу поверить в полную перемену человека за одну ночь. Я не могу потерять свое любопытство за ночь, но я могу использовать его таким путем, чтобы не наносить ущерба другим людям. Поскольку главное, что я вынес из всего случившегося, — это то, что за сетями стоят реальные люди. Я на самом деле не смогу больше заниматься хакерством и не думать о тех людях, которым придется беспокоиться о моих попытках ночи напролет,
Я думаю, что журналистика и фотография для меня служат интеллектуальным аналогом криминальных действий. Они дают пищу моему любопытству, позволяют мне взглянуть на вещи иначе, дают возможность развиваться в русле законопослушности».
Он рассказал мне и о своих планах работать внештатным автором для Network World. Они уже связывались с ним, и хотели, чтобы он был для них источником информации: он предложил им идею — вместо своих интервью вести у них постоянную колонку. Издатель согласился. Таким образом, вместе с информацией для хакеров появятся его тексты для сетевых администраторов.
«Журналистика — э т о то, чем я хотел бы заниматься. Я чувствую, что могу сделать что‑то необычное и это не совсем то, что вы получаете от работы в области безопасности. Безопасность — это такая отрасль индустрии, которая во многом зависит от человеческих страхов и незнания компьютеров и технологий. Журналистика в значительно большей степени имеет отношение к правде.
Хакерство — это уникальное самовыражение человека. Оно включает в себя сосредоточение огромной потенциальной власти в руках одного человека, власти, которой обычно пользуются только правительство или крупный бизнес. Мысль о том, что несколько подростков могут отключить энергосистему страны приводит в ужас представителей правительства. И это вполне понятно».
Он не считает себя хакером, взломщиком или атакующим. «Я хотел бы процитировать Боба Дилана: „Я не проповедник и не торговец. Я просто делаю то, что делаю“. Я счастлив, когда люди понимают или хотя бы стремятся понять это».
Адриан говорит, что ему предлагали хорошие должности в военных и государственных учреждениях. Он отказался от этих предложений. «Многим людям нравится заниматься сексом, но далеко не каждый готов зарабатывать этим».
В этом весь Адриан — думающий хакер.
АНАЛИЗ
Что бы вы ни думали о позиции и действиях Адриана Ламо, хотелось бы думать, что вы согласитесь со мной по поводу несправедливости определения нанесенного им вреда федеральными органами.
Я знаю из своего опыта, как правоохранительные органы вычисляют предположительную сумму ущерба в хакерских случаях. Первый способ — получить сведения от компаний, которые переоценивают свои потери в надежде заставить хакера раскошелиться и не доводить дело до суда. В процессе разбирательства адвокат и прокурор обычно сходятся на несколько меньшей сумме: по федеральным законам, чем больше ущерб, тем более долгий срок заключения ожидает хакера.
В случае, произошедшем с Адрианом, Прокурор США проигнорировал тот факт, что именно от него компании узнавали о собственной уязвимости. Каждый р а з он з а щ и щ а л компании, указывая им на ту или иную прореху в их системе безопасности, и ожидал, пока они ликвидируют проблему, чтобы лишь потом опубликовать новость о своем удачном взломе. Да, он нарушал закон, но он действовал (во всяком случае, в ставших известными случаях) абсолютно этично.
КОНТРМЕРЫ
Подход, используемый атакующими, в том числе и Адрианом, заключается в запуске запроса «Кто это», что может помочь отыскать немало ценной информации, содержащейся в четырех NIC (Network Information Center — центр сетевой информации), покрывающих различные географические районы мира. Большинство информации в этих базах данных является общедоступными сведениями, которые может узнать любой пользователь приложения «Кто это» или посещающий Интернет‑сайт, предлагающий подобные услуги, или заходящий на сайт nytimes.com.
Предоставляемая информация может содержать имя, адрес электронной почты, физический адрес и телефонный номер административных и технических контактов для этого домена. Эта информация вполне может использоваться для атак с использованием методов социальной инженерии (см. Главу 10, «Социальные инженеры — как они работают и как их остановить»). Кроме того, это может навести на мысль о структуре адресов электронной почты и имен пользователей в компании. Например, если адрес электронной почты одного из сотрудников Times выглядит, как hilda@nytimes.com , естественно предположить, что и многие другие сотрудники Times используют свое имя для адресов электронной почты, а также и для подписи.
Как видно из истории атаки Адрианом газеты The New York Times, он так же получил ценную информацию об IP‑адресах и сетевых блоках газеты, что легло в основу успеха его атаки.
Чтобы ограничить утечку информации, любой компании было бы полезно хранить список телефонов компании только на ее телефонной станции, а не делать его доступным всем желающим. Сотрудники в приемной компании, отвечающие на телефонные звонки, должны проходить специальную подготовку, чтобы они могли быстро распознавать атаки социальных инженеров. Кроме того, в качестве адреса электронной почты следует приводить адрес издательства, а не список личных адресов сотрудников.
Более того: сегодня компаниям позволено не обнародовать свою контактную информацию и имя домена — они не должны теперь предоставляться любому желающему по первому требованию. По специальному запросу список адресов вашей компании может быть засекречен, что затруднит проникновение атакующих.
Еще одна полезная мысль высказана в приведенной истории: следует использовать горизонтально разделенные DNS. Это означает, что нужно организовать внутренний DNS‑сервер. который определяет имена пользователей во внутренней сети, в то время как внешний DNS‑сервер будет содержать имена для использования внешними пользователями.
В качестве другого метода разведки хакер запрашивает DNS, чтобы выяснить, на каких операционных системах работают компьютеры компании, а также чтобы получить информацию о структуре всего домена. Эта информация очень полезна при координации усилий в ходе дальнейшей атаки. База данных DNS может содержать сведения обо всех узлах сети (HINFO — Host Information). Сетевой администратор должен всячески избегать появления HINFO‑записей на любом публично доступном DNS‑сервере.
Еще один из хакерских приемов основан на использовании операции под названием «перенос зоны» (zone transfer). (Адриан рассказывал, что использовал этот метод в своих атаках на сайты The New York Times и excite@home, но оба раза неудачно). Для защиты данных первичный DNS обычно конфигурируется так, чтобы позволить другим авторизованным серверам копировать DNS‑записи из конкретных доменов; этот процесс копирования называется переносом зоны. Если первичный сервер сконфигурирован неправильно, атакующий может запустить процесс переноса зоны на любой указанный им компьютер, и таким образом получить подробную информацию обо всех именах узлов и связанных с ними IP‑адресов домена.
Для защиты от такого типа атак необходимо разрешить перенос зоны только между определенными компьютерами, это необходимо для нормального ведения бизнеса. Более подробно: первичный DNS‑сервер должен быть сконфигурирован так, чтобы позволять перенос только на проверенные вторичные DNS‑сервера.
Вдобавок к этому по умолчанию необходим межсетевой экран, чтобы блокировать доступ к ТСР‑порту 53 на любом корпоративном сервере. Еще одно правило межсетевого экрана должно разрешать проверенным вторичным серверам имен соединяться с ТСР‑портом 53 и инициировать перенос зоны.
Компании должны максимально затруднить атакующим использование т е х н и к и обратного просмотра DNS. До тех пор, пока удобно использовать имена узлов, которые дают понять, какой из узлов для чего используется — такие имена, как database.CompanyX.com — очевидно, что это упрощает хакеру поиск нужно системы, достойной его атаки.
Другая техника сбора информации на основе обратного просмотра DNS содержит использование словаря и атаки грубой силы. Например, если вы собираетесь атаковать домен kevinmitnick.com, то словарная атака будет добавлять любое слово из него к имени домена в виде «слово».kevinmitnick.com, чтобы выявить другие узлы на этом домене. Обратная DNS‑атака грубой силы гораздо сложнее, здесь на месте слова из словаря стоит последовательность букв и цифр, которая с каждой новой попыткой меняется на единицу или на новую букву. Чтобы заблокировать этот метод корпоративный DNS‑сервер должен быть так сконфигурирован, чтобы устранить возможность публикации любого внутреннего имени узла. Внешний DNS‑сервер может использоваться вместе с внутренним таким образом, чтобы внутренние имена узлов не могли «утечь» в другую сеть. В дополнение к этому, использование раздельных внутреннего и внешнего серверов имен помогает справиться с проблемой, упомянутой выше, касающейся имен узлов: внутренний DNS‑сервер. защищенный от внешнего взгляда с помощью межсетевого экрана, может использовать такие имена узлов как databas, research и backup с небольшим риском.
Адриан смог получить ценную информацию о сети The New York Times, изучая заголовки электронных писем, получаемых из газеты, которые дали ему внутренние IP‑адреса. Хакеры сознательно инициируют получение электронных писем, чтобы получить информацию такого рода, или просматривают общедоступные ленты новостей с электронными письмами с той же целью. Информация, появляющаяся в заголовке письма может дать знающему человеку немало полезной информации, например то, как происходит образование имен внутри компании, внутренние IP‑адреса и путь, по которому прошло электронное письмо. Чтобы оградить себя от подобной утечки информации, компаниям рекомендуется так сконфигурировать их SMTP‑серверы, чтобы отфильтровывать любую внутреннюю информацию — IP‑адреса или сведения об узлах — из исходящих электронных писем, чтобы помешать ее распространению.
Главным оружием Адриана был «подарок» в виде неправильно сконфигурированных прокси‑серверов. Использование такого прокси‑сервера позволяет пользователю с внутреннего компьютера компании получать доступ к внешним Интернет‑ресурсам. Исследователь изнутри делает запрос о конкретной Интернет‑странице; запрос идет на прокси‑сервер, который переправляет запрос от имени пользователя и присылает ему ответ.
Чтобы помешать хакеру получить информацию тем способом, каким это удалось Адриану, прокси‑серверы должны быть сконфигурированы так, чтобы «слушать» только внутренний интерфейс. Его можно сконфигурировать и так, чтобы он «слышал» только разрешенный список внешних IP‑адресов. Таким образом, ни один неавторизованный пользователь извне не сможет соединиться с сервером. Общая ошибка в конфигурации прокси‑серверов заключается в том, что они «слушают» все интерфейсы сети, включая и внешние интерфейсы, соединенные с Интернетом. Вместо этого прокси‑сервер должен быть сконфигурирован так, чтобы позволять доступ только определенному набору IP‑адресов, который должен определяться организацией I A N A (Internet Assigned Numbers Authority) для частных сетей. Есть три блока частных IP‑адресов:
От 10.0.0.0 до 10.255.255.255
От 172.16.0.0 до 172.31.255.255
От 192.168.0.0 до 192.168. 255.255
Хорошая идея — ограничение по портам, чтобы ограничить набор услуг, которые предоставляет прокси‑сервер, например, ограничить исходящие соединения с HTTP (Интернет) или HTTPS (безопасный Интернет‑доступ). Для более тщательного контроля некоторые прокси‑серверы, использующие SSL, могут быть сконфигурированы так, чтобы проверять входящий трафик, и иметь возможность убедиться, что неавторизованный протокол не проникает через авторизованный порт. Предпринятые шаги помешают атакующему неадекватно использовать прокси‑сервер для соединения с неразрешенными ему сервисами.
После установки и конфигурации прокси‑сервера его необходимо проверить на наличие лазеек. Никогда нельзя быть уверенным в собственной неуязвимости, пока не будет проведена тщательная проверка. Прокси‑серверы могут быть бесплатно перегружены из Интернета.
Еще один момент: поскольку, устанавливая пакет того или иного программного обеспечения, пользователь может в какой‑то момент неосознанно установить и ПО для прокси‑сервера, компания должна взять себе за правило тщательно проверять все свои компьютеры на неавторизованную установку прокси‑серверов, которые могут быть установлены неосознанно. С этой целью вы можете использовать любимое средство Адриана — Proxy Hunter — для проверки собственной сети. Запомните, что неправильно сконфигурированный прокси‑сервер может быть лучшим другом хакера.
Подавляющее большинство хакерских атак может быть остановлено при помощи обычных мер безопасности и стандартных проверок. Опасность случайной установки открытого прокси‑сервера слишком часто недооценивается и представляет собой главную уязвимость в большинстве организаций.
По‑моему, сказано более, чем достаточно, не правда ли?
ПОСЛЕСЛОВИЕ
Люди с оригинальным мышлением, глубокие философы, какой бы деятельностью они ни занимались, видят мир (или, по крайней мере, его часть) более ясно, чем остальные, и они заслуживают поддержки.
С такими, как Адриан Ламо. имеет смысл сотрудничать конструктивно. Он может сделать много хорошего. Я буду следить за его развитием с удовольствием.
Глава 6.