[quirischa]

Сниффер пакетов представляет собой прикладную программу, которая использует сетевую карту, работающую в режиме promiscuous mode (в этом режиме все пакеты, полученные по физическим каналам, сетевой адаптер отправляет приложению для обработки). При этом сниффер ("нюхач") перехватывает все сетевые пакеты, которые передаются через атакуемый домен. Особенность ситуации в данном случае в том, что сейчас во многих случаях снифферы работают в сетях на вполне законном основании - их используют для диагностики неисправностей и анализа трафика. Поэтому далеко не всегда можно достоверно определить, используется или нет конкретная программа-сниффер злоумышленниками, и не произошло ли банальной подмены программы на аналогичную, но с "расширенными" функциями. При помощи сниффера злоумышленники могут узнать различную конфиденциальную информацию - такую, например, как имена пользователей и пароли. Связано это с тем, что ряд широко используемых сетевых приложений передает данные в текстовом формате (telnet, FTP, SMTP, POP3 и т.д.). Поскольку пользователи часто применяют одни и те же логин и пароль для множества приложений и систем, даже однократный перехват этой информации несет серьезную угрозу информационной безопасности предприятия. Единожды завладев логином и паролем конкретного сотрудника, хитроумный хакер может получить доступ к пользовательскому ресурсу на системном уровне и с его помощью создать нового, фальшивого, пользователя, которого можно в любой момент использовать для доступа в Сеть и к информационным ресурсам. Впрочем, используя определенный набор средств, можно существенно смягчить угрозу сниффинга пакетов. Во-первых, это достаточно сильные средства аутентификации, которые трудно обойти, даже используя "человеческий фактор". Например, однократные пароли (One-Time Passwords). Это технология двухфакторной аутентификации, при которой происходит сочетание того, что у вас есть, с тем, что вы знаете. При этом аппаратное или программное средство генерирует по случайному принципу уникальный одномоментный однократный пароль. Если хакер узнает этот пароль с помощью сниффера, эта информация будет бесполезной, потому что в этот момент пароль уже будет использован и выведен из употребления. Но это касается только паролей - к примеру, сообщения электронной почты все равно остаются незащищенными. Другой способ борьбы со сниффингом - использование анти-снифферов. Это работающие в Сети аппаратные или программные средства, которые распознают снифферы. Они измеряют время реагирования хостов и определяют, не приходится ли хостам обрабатывать "лишний" трафик. Подобного рода средства не могут полностью ликвидировать угрозу сниффинга, но жизненно необходимы при построении комплексной системы защиты. Однако наиболее эффективной мерой, по мнению ряда специалистов, будет просто сделать работу снифферов бессмысленной. Для этого достаточно защитить передаваемые по каналу связи данные современными методами криптографии. В результате хакер перехватит не сообщение, а зашифрованный текст, то есть непонятную для него последовательность битов. Сейчас наиболее распространенными являются криптографические протоколы IPSec от корпорации Cisco, а также протоколы SSH (Secure Shell) и SSL (Secure Socket Layer).



http://www.dlink.ru/technology/attacks.php

Comments

[Злой Ворон]

tcpdump рулит

[quirischa]

Злой Ворон

под Виндой рекомендую ethereal

[Злой Ворон]

quirischa



он умеет на интерфейсы вешаться?

все же для таких целей лучше FreeBSD =)

[quirischa]

Злой Ворон

да, умеет.

[SerpeNT.]

Злой Ворон, etheReal - довольно мощная программа, оснащена кучей фильтров и прочих удобностей для обзора содержимого сети. В чём-то даже нагляднее tcpdump, так как позволяет делать предварительный анализ содержимого пакетов уровня эдак для третьего и выше. Для платформы Win32, думаю, вне конкуренции, особенно, когда под рукой нет юниксовой машины )

[Злой Ворон]

SerpeNT.



Юниксовая машина - всегда под рукой) Все дело в ssh =)

[SerpeNT.]

Злой Ворон, а если речь идет о локальной сети, в которой нет юниксовой машины? (Представь, даже такое бывает в наше время!)

[Злой Ворон]

SerpeNT.



для этого есть юниксовая машина вне локальной сети

[SerpeNT.]

Злой Ворон, O_o

И как ты собираешься снифать ею локальный трафик? о_О

[ЛюбительБелок]

Народ, что вы курите? Отсыпьте, а?

[quirischa]

ЛюбительБелок

кушай: http://www.crutop.nu/Vbulletin/arch...hp/t-52305.html

[SerpeNT.]

ЛюбительБелок, это весьма эксклюзивная трава с ограниченным кругом поставщиков, стопроцентное привыкание, дикая ломка.. Уверен, что хочешь попробовать?

[ЛюбительБелок]

quirischa SerpeNT. Не, я стока не выпью, чтоб такое курить....

[Злой Ворон]

SerpeNT.



Вешаюсь на интерфейсы циски

[SerpeNT.]

Злой Ворон, если есть циска ))

[Злой Ворон]

SerpeNT.



Аж две циски, и 4 управляемых AT



Кроме того, а как вы будете снифать с интерфейса локального компьютера? принцип работы свича расскажите (не хаба)?

[SerpeNT.]

Злой Ворон, броадкастовые сообщения, например, не могут не приниматься. К тому же есть еще в миру виндовые (!) сервера, которые стоят шлюзами (!!)..



А в статье шла речь об анализировании трафика именно через локальный хост. Который может быть виндовым.

[Злой Ворон]

SerpeNT.



вот теперь понятно