Веб-сайт шабуылдары мен қауіптері туралы мақала

Веб-сайтқа жасалынатын шабуылдар мен қауіптердің түрлері

Сайттарды күзету және қорғау - ерте ме, кеш пе, кез-келген құнды ресурстардың иесі кезігіп қалатын міндет. Қауіпсіздік мәселесі веб-сайтты әзірлеу сатысында мүмкіндігінше қатаң түрде шешілуі немесе жұмыс істеу кезеңінде мәселелер туындаған кезде оған күшпен қайтарылуы мүмкін.

Сайттарды қорғаудың негізгі міндеті - бұл қауіпсіздік талаптарына сай келетін ресурстарды құру немесе бар және ықтимал қауіпті осалдықтарды талдай отырып, қолданыстағы сайтты осы талаптарға жақындату, болашақта оларды жою бойынша бірқатар жұмыстар жасау. Есте болсын, сайт қауіпсіздігі тек қана код пен қолданылған бағдарламалық қамтамасыз етудің қауіпсіздігін ғана емес, сонымен бірге оны басқарудың қауіпсіздігін, парольді қорғауды, артық жүктемелерден қорғауды, сонымен қатар провайдермен бірқатар ұйымдастырушылық және техникалық мәселелерді шешуді білдіреді.

Веб-ресурстарды қорғау - бұл белгілі бір әрекеттер жиынтығын біріктіретін процесс. Қолданыстағы жүйе алдымен қауіпсіздікке тексеріледі, содан кейін осы қауіпсіздікке қол жеткізу үшін бірқатар шаралар мен жұмыстар жасалады. Бұл сайтты жасайтын немесе оңтайландыратын бағдарламашылардың қызметтері және техникалық мәселелерді шешетін инженерлердің қызметтері және, әрине, белгілі бір ұйымдастырушылық шаралар жиынтығы болуы мүмкін. Мұның бәрі тапсырыс берушінің қалауы мен мүмкіндіктеріне байланысты.

Жалпы айтқанда, веб-желіні барлық желілік қауіптерден қорғау болып табылады. НАНО антивирусын жасаушылар файлдарды қорғау функцияларын ажыратады, яғни вирус жұққан және күдікті адамдарға кіруді бұғаттайтын компьютердегі файлдарды тексеру және веб-қорғау, яғни Интернеттен жүктелген файлдарды вирус жұқтырған файлдарды бұғаттау арқылы тексеру.

Көбінесе компьютердің веб-қорғанысы күдікті веб-беттерге кіруді бұғаттау, сілтемені талдау, компьютерге қауіп төндіретін сайтқа кіру кезінде қолданушыны ескерту деп аталады. Ықтимал қауіпті сайтқа кіруге кедергі келтіретін модуль, әдетте, Web Protection деп аталады, яғни веб-қорғау. Көптеген антивирустық бағдарламалардың пайдаланушылары бұл модульді өшіруді жөн көреді, өйткені ол жалған дабылды жиі тудырады.

Веб-қосымшалардың қауіпсіздік әдістері мен құралдарын әзірлеу және енгізуден алдын веб-қосымшаларға төнетін қауіптердің түрлерін тізіп шығайық:

DoS және DDoS шабуылдар

XSS-инъекция

SQL-инъекция

CSRF шабуылы

Фишинг шабуыл

DoS және DDoS шабуылдар

DoS (Denial of Service) – веб шабуылдың ең танымал түрі. Сонымен қатар, осы түрдегі шабуылдардан жүз пайыз қорғаныс жасау өте қиын. DoS ұйымдастыру ең аз білім мен дағдыларды қажет ететіндіктен, мұндай шабуылдар ұсақ болып саналады. Алайда, DoS шабулын жасау қарапайым екенінен және оның зияны үлкен болатынына байланысты, бұл шабуылдың түрі желінің қауіпсіздігі үшін жауап беретін әкімшілердің назарынан түпеуі керек. DoS шабуылдары басқа шабуылдардан өзгеше. Олар желіге кіруге немесе осы желіден кез келген ақпаратты ұрлап алуға арналмаған. DoS шабуылы желіні, амалдық жүйені немесе қолданба үшін рұқсат етілген шектеулерден асып, қалыпты пайдалану үшін сіздің сайттың қол жетімді болмауын көздейді.

1.3-сурет. Dos және DDos шабуылдарының жұмыс жасау сұлбасы

Кейбір серверлік қосымшалар жағдайында (мысалы, веб-сервер немесе FTP сервері), DoS шабуылдары қарапайым қолданушыларға қызмет көрсетуге кедергі болатын қосымшалар үшін қол жетімді барлық қосылыстарды алып, бос емес күйде ұстауды қамтуы мүмкін. TCP және ICMP (Internet Control Message Protocol) сияқты қарапайым Интернет протоколдарын DoS шабуылдары кезінде пайдалануға болады. Көптеген DoS шабуылдары бағдарламалық қателерге немесе қауіпсіздік саңылауларына емес, жүйелік архитектураның жалпы әлсіздіктеріне сүйенеді. Кейбір шабуылдар желінің жұмысын нашарлатады, оны керексіз және қажетсіз пакеттермен толтырады немесе желілік ресурстардың қазіргі жағдайы туралы жалған ақпарат таратады. Мұндай шабуылды болдырмау қиын, өйткені бұл провайдермен келісуді қажет етеді. Егер провайдер сіздің желінің толып кетуіне арналған трафикті тоқтата алмаса, онда желіге кіре берісте сіз мұны жасай алмайсыз, өйткені өткізу қабілеті толы болады. Мұндай шабуыл бір уақытта көптеген құрылғылар арқылы жүзеге асырылған кезде, біз таратылған DoS шабуылы (DDoS - distributed DoS) туралы айтамыз.

Жүйеге шабуыл жасау хакерлер үшін оған толық қол жеткізуден гөрі әлдеқайда оңай. DoS шабуылына ыңғайлы жағдайлар пайда болуының бірнеше себептері бар, яғни бұл қолданушылардың сервер беретін ресурстарға қол жеткізе алмайтыны немесе қолданушыларға қол жеткізу кезінде қиындықтар болатын кездері:

Өткізгіштігі қанықтылығы

Қазіргі уақытта барлық компьютер ғаламторға немесе жергілікті желіге қосылған. Бұл өткізу қабілеттілігінің толып кетуіне байланысты DoS шабуылын жасаудың ең үлкен себебі. Әдетте киберқылмыскерлер флудты пайдаланады (ағылшынша flood - «тасқын», «толқын») - бұл жүйенің бұзылуына әкеп соқтыратын немесе компьютерлік жүйеге немесе желілік жабдыққа әдетте мағынасыз немесе дұрыс емес пішімделген сұраулардың көптігімен байланысты шабуыл. Флудтың бірнеше түрлері бар:

HTTP-флуд және ping-флуд

Бұл DoS шабуылының ең қарапайым түрі. Өткізгіштің енін қанықтыру шабуылдаушының арнасы зардап шеккен компьютердің арнасынан әлдеқайда кең болған жағдайда ғана тұрақты пинг сұрауларын қолдана отырып жасалуы мүмкін. Бірақ мұндай шабуыл серверге пайдасыз, өйткені ол өз кезегінде өте кең өткізу қабілетіне ие. HTTP тасқыны әдетте серверге шабуыл жасау үшін қолданылады. Зиянкес HTTP пакетін аз мөлшерде жібереді, бірақ сервер жүздеген есе үлкен пакетпен жауап береді. Серверлік арна шабуылдаушының арнасынан он есе кең болса да, зардап шеккен адамның өткізу қабілетін қанықтыруға үлкен мүмкіндік бар. HTTP жауап пакеттерін зиян келтірушіге қызмет көрсетуден бас тартуға жол бермеу үшін, ол әрдайым өзінің IP мекенжайын желідегі хосттардың IP мекенжайларына ауыстырады.

Smurf-шабуыл (ICMP-флуд)

Smurf шабуылы немесе ICMP тасқыны DoS шабуылдарының ең қауіпті түрлерінің бірі болып табылады, өйткені зардап шеккен компьютер мұндай шабуылдан кейін 100% кепілдікпен қызмет көрсетуден бас тартады. Шабуылшы жүйеде жұмыс істейтін түйіндерді тексеру үшін сұранысты жіберу арқылы хабар таратуды қолданады. Әлбетте, зиянкестің өзі жәбірленушінің компьютерін өшіре алмайды, сондықтан басқа қатысушы қажет - бұл күшейтетін желі. Онда шабуылдаушы жалған ICMP пакетін таратылатын мекен-жайға жібереді. Содан кейін шабуылдаушының мекен-жайы жәбірленушінің мекен-жайына өзгертіледі. Барлық түйіндер оған пинг сұрауына жауап жібереді. Сондықтан шабуылдаушы 200 түйіннен тұратын күшейту желісі арқылы жіберілген ICMP пакеті 200 рет күшейтіледі. Мұндай шабуыл үшін зардап шеккен компьютердің мүмкіндігі болмайтындай етіп, әдетте үлкен желі таңдалады.

Fraggle шабуылы (UDP-флуд)

Fraggle шабуылы (жарылғыш граната) (ағылш. Fraggle attack) - Smurf шабуылының толық аналогы, онда ICMP пакеттерінің орнына UDP пакеттері қолданылады, сондықтан оны UDP-флуд деп те атайды. Бұл шабуылдың принципі қарапайым: эхо командалары хабарландыру сұранысы бойынша құрбанның жетінші портына жіберіледі. Содан кейін шабуылдаушының IP-мекен-жайы жәбірленушінің ip-адресімен ауыстырылады, ол көп ұзамай көптеген жауап хабарламаларын алады. Олардың саны желідегі түйіндердің санына байланысты. Бұл шабуыл өткізу қабілеттілігінің қанығуына және зардап шеккен адамға қызмет көрсетуден толық бас тартуға әкеледі. Бұл жағдайда, егер жаңғырық қызметі өшірілген болса, онда ICMP хабарламалары пайда болады, бұл жолақтың қанықтылығына әкеледі.

Пакеттің толып кету арқылы жасалған шабуыл (SYN-флуд)

Smurf шабуылынан бұрын, SYN кеңінен таралды, ол SYN-флуд деп те аталады. Оның әрекетін сипаттау үшін өздерімен TCP байланысын орнатқысы келетін екі A және B жүйелерін қарастыруға болады, және содан кейін олар өзара мәліметтер алмасады. Байланысты орнату үшін бірқатар ресурстар бөлінген және DoS шабуылдары осы мүмкіндікті пайдаланады. Бірнеше жалған сұрауларды жібере отырып, сіз байланыс орнатуға арналған жүйенің барлық ресурстарын пайдалана аласыз. Бұл қалай болатынын толығырақ қарастырайық. А жүйесіндегі хакер SYN пакетін B жүйесіне жібереді, бірақ өзінің IP мекенжайын жоқ адреске ауыстырғаннан кейін. Содан кейін, B компьютері ештеңе сезбестен, жоқ IP мекенжайына SYN/ACK жауабын жібереді және SYN-RECEIVED күйіне өтеді. SYN/ACK хабары A жүйесіне жетпейтіндіктен, В компьютері ешқашан ACK жалаушасы бар пакетті алмайды. Бұл ықтимал байланыс кезекке қойылады. Ол кезектен 75 секундтан кейін шығады. Шабуылшылар бұны қолданады және жүйенің ресурстарын толығымен таусу үшін бірнеше секунд ішінде SYN пакеттерін жәбірленушінің компьютеріне жібереді. Шабуылдың көзін анықтау өте қиын, өйткені шабуылдаушы IP-мекен-жайын үнемі өзгертеді.

Ресурстардың жетіспеушілігі

Зиянкестер DoS шабуылының осы түріне жедел жад және физикалық жад, процессор уақытын және басқалар сияқты жүйелік ресурстарды алу үшін жүгінеді. Әдетте мұндай шабуылдар хакердің белгілі бір жүйелік ресурстарға ие екендігін ескере отырып жүзеге асырылады. Шабуылдың мақсаты - қосымша ресурстарды алу. Ол үшін өткізу қабілетін қанықтырудың қажеті жоқ, жәбірленушінің процессорына шамадан тыс күш түсіріп, яғни процессордегі барлық уақытты толтыру керек.

Ауыр сұраулар жіберу

Зиян келтіруші сервер пакеттерін жіберілім қабілетін қанықтырмайды (арна өте кең), бірақ процессордың барлық уақытын өткізеді. Сервер процессоры оларды өңдеген кезде күрделі есептеулерге төтеп бере алмауы мүмкін. Осыған байланысты апат орын алып, пайдаланушылар қажетті ресурстарға қол жеткізе алмайды.

Журнал файлдарымен сервердің толуы

Сервердің журнал файлдары - бұл желіде немесе бағдарламада қолданушылардың әрекеттері жазылған файлдар. Біліктілігі жоқ әкімші белгілі бір шекті орнатпай жүйені қате конфигурациялауы мүмкін. Хакер бұл қателіктің пайдасын көреді және жақын арада сервердің қатты дискісіндегі барлық бос орынды алатын үлкен пакеттерді жібереді. Бірақ бұл шабуыл тәжірибесіз әкімші жағдайында ғана жұмыс істейді, білікті адамдар журнал файлдарын бөлек жүйелік дискіге сақтайды.

Нашар квота жүйесі

Кейбір серверлерде сыртқы бағдарламаны веб-серверге қосатын CGI деп аталатын бағдарлама бар. Егер хакер CGI-ге кірсе, онда ол жедел жады және процессор уақыты сияқты көптеген сервер ресурстарын қолданатын сценарийді (ағылшыша scripting language) жаза алады. Мысалы, CGI сценарийі үлкен массивтерді циклдік құруды немесе күрделі математикалық формулаларды есептеуді қамтуы мүмкін. Бұл жағдайда орталық процессор мұндай сценарийге бірнеше мың рет қатынаса алады. Бұдан шығатын қорытынды: егер квоталар жүйесі дұрыс конфигурацияланбаған болса, онда мұндай сценарий қысқа уақыт ішінде барлық жүйелік ресурстарды серверден алып тастайды. Әрине, бұл жағдайдан шығудың жолы айқын - жадқа қол жетімділіктің белгілі бір шегін белгілеу, бірақ бұл жағдайда да осы шекті деңгейге жеткен сценарий процесі барлық ескі деректерді жадтан шығарғанша күтеді. Сондықтан пайдаланушыларға жүйелік ресурстар жетіспейді.

Қолданушы деректерінің дұрыс тексерілмеуі

Қолданушы деректерінің дұрыс тексерілмеуі сонымен қатар процессор ресурстарының шексіз немесе ұзақ цикліне немесе ұзақ мерзімді тұтынуының артуына (процессор ресурстарының сарқылуына дейін) немесе жедел жадтың үлкен көлемінің бөлінуіне (қол жетімді жадтың сарқылуына дейін) әкеледі.

Екінші типтегі шабуыл

Бұл шабуыл қорғаныс жүйесінің жалған позитивін тудыруға тырысады және сол арқылы ресурстың қол жетімді еместігіне әкеледі.

Бағдарламалау қателері

Кәсіби DoS шабуылдаушылары өткізу қабілетінің қанығуы сияқты қарапайым шабуыл әдісін пайдаланбайды. Жәбірленушілер жүйесінің құрылымын толық түсініп, олар коммерциялық кәсіпорындардың немесе ұйымдардың күрделі жүйелеріне шабуыл жасауға көмектесетін бағдарламалар (эксплуатациялар) жазады. Көбінесе бұл адрестік кеңістіктің пайдаланылмаған фрагментіне қол жеткізуге, жарамсыз нұсқаулықтың орындалуына немесе сервер-сервер бағдарламасы бұзылған кезде сақталмайтын ерекше жағдайға әкелетін бағдарламалық кодтағы қателер. Классикалық мысал - бос мекен-жайға жүгіну.

Бағдарлама кодындағы кемшіліктер

Ерекше жағдайлар операциялық жүйелерді жасаушылар үшін әрқашан ең ұнамсыз жұмыстарды жасауға мәжбүр етеді. Зиянкестер кез-келген бағдарламаның немесе операциялық жүйенің бағдарламалық кодындағы қателерді іздейді, және ОЖ өңдей алмайтын…