Как обойти файрвол на работе
Обходим интернет фильтры в школе/ университете/ на работе.
ПК, смартфон на Android и iOs
ОС и прошивка: Windows, Mac OSX, Linux, Android, iOs.
Описание проблемы:
Доброго времени суток.
Хочу поделить способом обхода защиты/ фильтров/ реестра.
Способ прост и давно известен, но некоторым людям не очень интересно читать тонну информации ради одного способа.
Столкнулся я с проблемой не так давно, когда начали блокировать сайты по реестру, а в университете сделали фильтры интернет-контента.
Предпринимались действия:
Вам потребуется устройство с Android, iOs, Windows Phone, Windows, MacOS, Linux, BSD и вообще что угодно, лишь бы поддерживало VPN-соединение и прокси.
Конкретно мы ищем программы с VPN, вы можете выбрать на свой вкус в AppStore или Google play, но я покажу две проверенные программы.
Первая программа называется Hotspot shield
Качаем:
ГуглПлей
AppStore
программа работает очень криво и надеяться на неё не очень разумно, но VPN-сервера работают часто и большинство сайтов снова становятся юзабильны.
Вторая программа называется hideman vpn программа работает замечательно, но ограничение на 5 часов в неделю. Для айОс ищите сами.
Как обойти файрвол на работе
Будем откровенны: для многих из нас наш рабочий компьютер представляет собой маленький островок дома вне дома. Наверное, это только справедливо, учитывая, что наш домашний компьютер часто является филиалом офиса вне офиса. Поэтому в перерывах между сочинением отчетов и обдумыванием сводных таблиц с расчетами мы используем свои рабочие компьютеры для своей личной жизни. Мы закупаем продукты ко дню рождения, смотрим смешные клипы на YouTube и переписываемся с друзьями по «аське» или по электронной почте.
И очень часто некоторые вещи легче сделать с помощью потребительских технологий, чем с помощью часто неуклюжих корпоративных технологий — сравните хотя бы почту Gmail с корпоративным почтовым ящиком.
В связи с этим возникает одна проблема: наши работодатели недовольны нашим поведением на рабочем месте. Отчасти потому, что они хотят, чтобы на рабочем месте мы работали. А отчасти они боятся, что то, чем мы занимаемся, ставит под угрозу внутренние сети компании. Поэтому они просят IT-отдел запретить нам тащить свою личную жизнь из дома на работу.
Что же, сказочке конец? Ну нет, не так быстро. Чтобы выяснить, можно ли обойти запреты IT-отдела, мы обратились за советами к экспертам по сетевым ресурсам. А именно, мы попросили их найти 10 главных секретов, которые скрывают от нас люди из IT-отдела. Например, как зайти на заблокированный сайт и не оставить следов, или как общаться в чате в реальном времени, не загружая для этого запрещенную программу.
Однако чтобы все было по-честному, мы обратились также к специалистам по безопасности, чтобы выяснить, чем мы рискуем, совершая эти обходные маневры.
За советами по взлому мы обратились к редактору интернет-гида по продуктивному использованию сети Lifehacker.com Джине Трапани, редактору блога такого же назначения Lifehack.org Леону Хо и к Марку Фрауэнфельдеру, основателю блога BoingBoing.net и редактору журнала Make, дающего рекомендации по технологиям в формате «сделай сам».
Чтобы оценить риски, мы поговорили с тремя экспертами, которые зарабатывают на жизнь тем, что помогают IT-отделам составлять правила и отслеживать злоумышленников, которые норовят их нарушить. Это Джон Пиронти, главный стратег по информационным угрозам консалтинговой фирмы из Амстердама Getronics, специалист по информационной безопасности из компании PricewaterhouseCoopers Марк Лоубел и специалист по угрозам из компании-производителя защитного программного обеспечения McAfee Крейг Шмугар.
Итак, вот эти 10 секретов, которые скрывает от вас ваш IT-отдел, и опасности, связанные с ними, а также советы, как защитить себя и не потерять работу, когда вы будете применять их на практике.
1. Как отправлять гигантские файлы
Проблема: Всем нам время от времени надо посылать большие файлы, начиная от слайдов для презентации и заканчивая фотографиями с отпуска. Но если вы отправляете нечто тяжелее нескольких мегабайт, то рискуете получить сообщение, что превышаете установленный вашей компанией лимит.
Компании могут ограничивать объем данных, которые их сотрудники могут отправлять по почте, по одной простой причине: они хотят избежать перегрузки серверов, которая замедлит их работу. А обращение к руководству с просьбой увеличить ваш лимит на отправляемые файлы может оказаться весьма муторным процессом.
Обходной маневр: Воспользуйтесь интернет-службами типа YouSendIt, SendThisFile или DropSend, которые позволяют бесплатно отправлять объемные файлы — иногда до нескольких гигабит. Чтобы воспользоваться их услугами, обычно требуется зарегистрироваться, предоставив личную информацию, такую как ваше имя и электронный адрес. После этого вы можете ввести электронный адрес получателя и сообщение для него или для нее, а сайт предоставит вам инструкции по загрузке файла. В большинстве случаев, на адрес получателя приходит ссылка, пойдя по которой он может загрузить файл.
Риск: Поскольку эти сервисные сайты отправляют ваши файлы по интернету, они находятся за пределами контроля компании. Это облегчает задачу коварным хакерам, которые могут перехватить эти файлы в пути.
Как защитить себя: У некоторых из этих сайтов репутация лучше, чем у других. Например, YouSendIt — новая компания, которой руководит бывший глава Adobe Systems и которая финансируется хорошо известными венчурными компаниями. Другие такие сайты предлагают мало сведений о себе и поэтому с большей вероятностью могут проделать брешь в системе безопасности, чем могут воспользоваться хакеры, чтобы похитить вашу информацию.
Если владельцы сайта не очевидны, есть другие ориентиры, по которым можно его оценить. Ищите значки безопасности — в Internet Explorer такой значок выглядит как маленький замочек в нижней части экрана, — которые означают, что данный сайт использует систему кодирования для защиты конфиденциальности информации от посетителей.
2. Как использовать программное обеспечение, которое ваша компания запрещает загружать
Проблема: Многие компании требуют, чтобы сотрудники, прежде чем загружать программы, получали разрешение от IT-отдела. Однако это может быть проблематично, если вы хотите загрузить программу, которую парни из IT занесли в черный список.
Обходной маневр: Существует два легких способа решить эту проблему: найти альтернативу этой программе в интернете или принести программу на внешнем носителе.
Первый способ проще. Допустим, ваша компания не разрешает вам загрузить популярную программу для общения в реальном времени AOL Instant Messenger. Вы все равно можете общаться со своими друзьями и коллегами с помощью онлайновой версии программы под названием AIM Express (AIM.com/aimexpress.adp). Кроме того, у компании Google существует служба общения в реальном времени Google Talk, доступная по адресу Google.com/talk. Свои интернет-версии есть и у таких программ как музыкальные плееры и видеоигры — обычно они несколько урезаны по сравнению с оригинальными программами.
Второй подход к решению проблемы более сложный, зато с его помощью вы на своем компьютере получаете доступ к той самой программе. Все три наших эксперта назвали компанию Rare Ideas LLC (RareIdeas.com), которая предлагает бесплатные версии популярных программ, таких как Firefox и OpenOffice. Вы можете загрузить программы на портативные устройства, например, на iPod или на «флэшку», через службу Portable Apps (PortableApps.com). После этого вы подключаете это устройство к своему рабочему компьютеру, и готово. (Правда, если ваша компания запрещает использовать внешние устройства, считайте, что вам не повезло.)
Риск: Использование онлайновых сервисов может создать чрезмерную нагрузку для ресурсов компании. А программы на внешних носителях, создают угрозу безопасности. Люди из IT предпочитают держать под контролем программное обеспечение, используемое сотрудниками, чтобы в случае появления вируса или другой проблемы, они могли легко все починить. Если вы приносите программы с собой, степень их контроля снижается.
Надо помнить еще об одном: некоторые менее надежные программы, в особенности программы для обмена файлами, могут быть снабжены шпионским ПО.
Как защитить себя: Если вы приносите программу на внешнем носителе, говорит Лоубел, по крайней мере измените настройки антивирусной программы на вашем рабочем компьютере, чтобы он просканировал устройство на предмет потенциальной угрозы. Это нетрудно сделать, выйдя в меню «настройки» или «опции». Точно так же, если вы пользуетесь файло-обменниками, настройте их так, чтобы другие не могли получить доступ к вашим файлам, тоже через «настройки» или «опции».
3. Как заходить на сайты, заблокированные вашей компанией
Проблема: Компании часто перекрывают своим сотрудникам доступ на определенные сайты — от действительно непристойных (порно-сайты) и вероятно не самых добропорядочных (сайты с азартными играми) до практически невинных (сайты с электронной почтой).
Обходной маневр: Даже если ваша компаний не дает вам заходить на эти сайты, набив их адрес в верхней строке, вы иногда все же можете на них пробраться окружным путем. Вы отправляетесь на сайт, который называется «прокси», и набираете там в поисковой строке нужный вам интернет-адрес. Потом прокси-сайт выходит на нужный вам сайт и выдает вам его изображение — таким образом вы можете его видеть, не заходя на него непосредственно. Например, Proxy.org, обслуживает более 4 тысяч прокси-сайтов.
Еще один способ достичь того же результата предлагают Фрауэнфельдер и Трапани: воспользуйтесь переводчиком Google, задав ему перевести название сайта с английского на английский. Просто введите следующий текст: «Google.com/translate?langpair=en|en&u=www.blockedsite.com», заменив «blockedsite.com» на адрес нужного вам сайта. Google фактически выступает в качестве прокси-сервера, находя для вас зеркало сайта.
Риск: Если вы пользуетесь прокси-сайтом для просмотра почты или видео-файлов с YouTube, основная опасность, это что вас застукает начальство. Но есть и более серьезные угрозы, связанные с безопасностью. Иногда плохие парни, которые подвизаются в интернете, покупают адреса сайтов, одной-двумя буквами отличающихся от адресов популярных сайтов, и используют их для заражения вирусами компьютеров посетителей, предостерегает Лоубел. Часто компании блокируют и эти сайты — но если вы будете пользоваться прокси, вы окажетесь беззащитны перед ними.
Как защитить себя: Не превращайте использование прокси-сайтов в привычку. Прибегайте к этому способу только для выхода на определенные сайты, доступ на которые ваша компания закрыла в целях повышения продуктивности — например, YouTube. И поаккуратнее с орфографией.
4. Как замести следы на корпоративном ноутбуке
Проблема: Если вы используете принадлежащей компании ноутбук для работы из дома, весьма вероятно, что вы используете его в личных целях: организуете семейный отпуск, закупаете книги для чтения на пляже, составляете фото-альбомы в интернете, и так далее. Многие компании оставляют за собой право отслеживать все, что вы делаете на этом компьютере, потому что технически он является собственностью компании. Что же будет, если. эээ. ваш друг случайно забредет на порно-сайт или будет искать в интернете лекарство от какой-нибудь постыдной болезни?
Обходной маневр: Последние версии браузеров Internet Explorer и Firefox позволяют замести следы. В IE7 выберите Tools, потом Delete Browsing History. Здесь вы сможете либо стереть всю историю своих посещений, выбрав Delete All, либо выбрать несколько ссылок, которые вы хотите стереть. В Firefox просто нажмите Ctrl-Shift-Del или нажмите на Clear Private Data в меню Tools.
Риск: Даже если вы почистите свою историю, свободный интернет-серфинг все равно ставит вас под угрозу. Вы можете непреднамеренно подцепить на каком-нибудь сомнительном сайте шпионское ПО или создать своим поведением юридические проблемы для босса. Если вас поймают, в лучшем случае вам грозит неловкая ситуация, а в худшем — вы рискуете лишиться работы.
Как защитить себя: Как можно чаще подчищайте свои личные данные. Еще лучше не используйте рабочий компьютер ни для чего, о чем вы не хотели бы ставить в известность свое начальство.
5. Как найти рабочие документы из дома
Проблема: Вы доделываете свою работу поздно вечером или в выходные — но документ, который вам нужен, остался на офисном компьютере.
Обходной маневр: Google, Microsoft, Yahoo и IAC/InterActiveCorp предлагают ПО для быстрого поиска документов на рабочем столе компьютера. Кроме того, некоторые из них позволяют с одного компьютера искать документы, сохраненные на рабочем столе другого. Как это работает? Компания-поисковик сохраняет копии ваших документов на своем сервере. Таким образом она можете сканировать эти копии, когда вы осуществляете удаленный поиск.
Для использования ПО Google — одного из самых популярных — вам нужно проделать следующие шаги. Во-первых, установите аккаунт Google на обеих машинах, посетив Google.com/accounts. (Обязательно используйте один и тот же аккаунт на обоих компьютерах.)
Потом выйдите на сайт Desktop.Google.com и загрузите ПО для поиска на рабочем столе. Когда он установится, опять же на обеих машинах, кликните на Desktop Preferences, потом на Google Account Features. Поставьте галочку напротив фразы Search Across Computers. Начиная с этого момента, все документы, открываемые вами на обоих компьютерах, копируются на серверы Google, что позволит найти их с обоих компьютеров.
Риск: Специалисты по корпоративным технологиям воображают катастрофический сценарий: вы сохранили на своем рабочем компьютере крайне секретную финансовую информацию. Установили программу для доступа к этим файлам со своего личного ноутбука. А потом ноутбук потерялся. Ай-ай-ай.
Кроме того, эксперты обнаружили в программе Google для поиска по компьютерам уязвимые места, благодаря которым хакеры могут заставить пользователя предоставить им доступ к файлам, говорит Шмугар из McAfee. (После этого эти проблемные места были исправлены, но там могут оказаться и другие, говорит он.)
Как защитить себя: Если на вашем рабочем компьютере есть файлы, которые не должны ни при каких обстоятельствах оказаться в широком доступе, попросите системного администратора из IT помочь вам установить Google Desktop таким образом, чтобы избежать утечек.
6. Как хранить рабочие файлы в онлайне
Проблема: Помимо поиска на рабочем столе большинство людей, которым часто приходится работать из дома, нашли собственное решение. Они сохраняют рабочие файлы на портативных устройствах или в сети компании, откуда потом забирают их удаленно. Но портативные устройства могут быть слишком громоздкими, а связь с рабочей сетью бывает медленной и ненадежной.
Обходной маневр: Используйте службы хранения информации онлайн, такие как Box.net, Streamload или принадлежащий AOL Xdrive. Большинство из них предлагает бесплатную услугу сохранения информации объемом от одного до пяти гигабайт, а за пакет с дополнительным местом берут несколько долларов в месяц. Еще один партизанский метод — отправлять себе эти файлы на личный email, например на Gmail или Hotmail.
Риск: Плохие парни могут украсть ваш пароль для одного из этих сайтов и заграбастать копии секретных материалов вашей компании.
Как себя защитить: Когда вы собираетесь сохранить в интернете тот или иной файл, спросите себя, что будет, если он окажется в широком доступе или попадет в руки главе компании, являющейся вашим основным конкурентом. Если ничего страшного не произойдет, то продолжайте.
7. Как сохранить тайну личной переписки
Проблема: Многие компании имеют возможность отслеживать электронные письма сотрудников как на рабочем адресе, так и на других электронных адресах, а также общение по ICQ.
Обходной маневр: Когда вы отправляете электронные письма со своего личного электронного ящика или с рабочей почты, вы можете их закодировать так, чтобы их мог прочитать только адресат. В Microsoft Outlook кликните на Tools, потом Options и выберите строку Security.
Сюда вы можете ввести пароль, и никто не сможет открыть письмо, не зная этого пароля. (Людям, которым эти письма предназначены, вы, разумеется, должны сообщить этот пароль заранее.)
Для персональной переписки с помощью почтовых сервисов в интернете воспользуйтесь советом Фрауэнфельдера. Когда будете проверять свою почту, добавьте в строке адреса вашего почтового сайта букву s после «http» — например, https://www.Gmail.com. Таким образом вы начнете безопасную сессию, и никто не сможет отследить ваши письма. Однако не все веб-сервисы поддерживают это.
Чтобы закодировать свое общение в реальном времени, воспользуйтесь службой Trillian от Cerulean Studios, которая позволяет работать с AOL Instant Messenger, Yahoo Messenger и другими программами общения в реальном времени и помогают кодировать разговоры таким образом, чтобы никто посторонний не мог их прочитать.
Риск: Основная причина, по которой компании отслеживают электронную переписку сотрудников, это чтобы поймать тех, кто передает конфиденциальную информацию. Прибегая ко всем вышеперечисленным уловкам, вы можете спровоцировать ложную тревогу, и усложнить сотрудникам отдела IT борьбу с реальной угрозой.
Как защитить себя: Пользуйтесь описанными методами только время от времени, а не используйте их по умолчанию.
8. Как получить удаленный доступ к рабочей почте, если ваша компания не хочет разоряться на КПК
Проблема: Всем, у кого нет КПК, знакомо это чувство: вы пошли в ресторан пообедать или выпить пива после работы, и вот все полезли в карманы за своими КПК, и только вы в одиночестве вынуждены покачивать в руке стакан.
Обходной маневр: Вы тоже можете поддерживать связь с рабочей почтой, используя различные мобильные устройства. Просто настройте свою рабочую почту так, чтобы письма пересылались вам на личный электронный адрес.
В Microsoft Outlook вы можете сделать это, нажав на правую кнопку мыши при работе с любым письмом, выбрав «Создать правило» и попросив пересылать вам все письма на другой адрес. Потом настройте свой мобильный телефон так, чтобы проверять с его помощью электронную почту, следуя инструкциям от своего провайдера (это та компания, которая посылает вам счета за телефон).
Риск: Теперь хакеры могут взломать не только ваш компьютер, но и ваш телефон.
Как защитить себя: Существует «правильный» способ получить доступ к рабочей почте с помощью различных персональных мобильных устройств, взяв пароль и другую информацию в отделе IT.
9. Как получить доступ к личной почте с рабочего КПК
Проблема: Если ваша компания предоставила вам КПК, вы, вероятно, сталкиваетесь с противоположной проблемой. Вы хотите проверять свою личную почту так же легко, как рабочую.
Обходной маневр: Обратите внимание на раздел «Настройки» своего персонального почтового ящика и убедитесь, что у вас активирован POP (почтовый протокол), используемый для получения почты через другие адреса. Потом зайдите на сайт своего провайдера услуг для КПК BlackBerry. Нажмите на кнопку «Профиль», найдите там раздел Email Accounts («почтовые ящики») и выберите Other Email Accounts («другие почтовые ящики»). Потом нажмите на Add Account («добавить ящик») и введите информацию о своем персональном электронном адресе. Теперь ваша личная почта будет приходить туда же, куда и корпоративная.
Риск: Ваша компания, вероятно, использует целый арсенал средств для обеспечения безопасности и борьбы с вирусами и шпионскими программами. Когда вы получаете на BlackBerry личную почту, она приходит, минуя эти защитные барьеры. Это означает, что шпионский софт или вирусы могут проникнуть в ваш КПК через личную почту, говорит Шмугар из McAfee.
Что еще хуже, говорит он, когда вы подключите BlackBerry к своему рабочему компьютеру, существует вероятность, что этот шпионский софт перенесется на жесткий диск.
Как защитить себя: Скрестите пальцы и уповайте на то, что ваш провайдер электронной почты делает все, что от него зависит, для защиты от вирусов и шпионского ПО (возможно, так оно и есть).
10. Как сделать вид, что вы работаете
Проблема: Вы заняты жизненно важным поиском в интернете, и вдруг у вас за спиной появляется начальник. Ваши действия?
Обходной маневр: Быстро нажмите Alt-Tab, чтобы свернуть одно окно (например, в котором вы исследуете сайт ESPN.com) и открыть другое (с подготовкой к сегодняшней презентации).
Риск: Хорошая новость: в том, что касается безопасности компании, это ничем не грозит.
Используем NMAP для обхода сетевых средств защиты
В качестве одного из инструментов сбора данных будет использоваться известнейший сканер Nmap. Но вот беда, современные IDS\IPS, Firewall, NGFW и им подобные средства будут этому препятствовать.
А вот в сегодняшней статье мы поговорим о том как грамотно использовать фичи и специфические особенности Nmap для обхода IDS\IPS, Firewall средств защиты корпоративного периметра.
Сетевые средства защиты против Nmap.
Корпоративные средства сетевой защиты, такие как фаерволы (брандмауэры), могут сделать процесс исследования сети для пентестера чрезвычайно сложным занятием. Поэтому сканер Nmap предоставляет множество фич для облегчения процесса сканирования, формирования структуры тестируемой сети и для проверки того факта, что сетевые фильтры (фаерволы, системы обнаружения вторжений, анализ аномалий и т.д.) выполняют свою работу как положено.
Но, ведь, сканирование сети это довольно банальный процесс и используется не только хакерами, но часто и сетевыми администраторами. Тогда в чем же собственно возникает проблема? А в том, что все эти системы защиты используют правила, сигнатуры и шаблоны, для обнаружения различного рода сканирований с помощью Nmap (т.к. сканирование часто оказывается предвестником атак) и блокируют его активность. В итоге мы не можем получить карту сети и определить атакуемые цели в случае использования «черного ящика». Как же тогда быть? А вот об этом мы сейчас и поговорим! Погнали.
Описание общих опций сканирования (теория).
При задании опции -f все типы сканирования (включая различные типы пингования) будут использовать маленькие фрагментированные IP пакеты. Идея состоит в том, чтобы разбить TCP заголовок на части и посылать их в различных пакетах для того, чтобы не дать определить пакетным фильтрам и системам обнаружения вторжения, что вы делаете. Будьте осторожны с этой опцией! Некоторые программы имеют проблемы с обработкой таких маленьких пакетов. Один старый сниффер Sniffit аварийно завершал работу после принятия первого фрагмента.
Производится сканирование с использованием фиктивных хостов; в этом случае цель сканирования считает, что заданные вами фиктивные хосты также производят ее сканирование. Хотя IDS цели может сообщить о том, что было произведено 5-10 сканирований портов с каждого IP адреса, система не сможет узнать, с какого из этих IP адресов действительно производилось сканирование, а какие были лишь безвредными ловушками.
В некоторых обстоятельствах Nmap может не определить ваш адрес (в этом случае Nmap сообщит вам об этом). В этом случае используйте опцию -S, передав ей в качестве параметра IP адрес, чтобы указать интерфейс, который вы хотите использовать для отправки пакетов.
Одной из удивительно часто встречаюшиься ошибок при конфигурировании системы безопасности является тенденция доверять траффику основываясь только на номере исходного порта. Легко понять как это происходит. Администратор устанавливает новенький брандмауэр, и его заваливают жалобы от неблагодарных пользователей, чьи приложения перестали работать. В частности, может не работать DNS, т.к. UDP DNS ответы от внешних серверов больше не могут войти в сеть. Еще одним распространенным примером ялвяется FTP. При активной FTP передаче, удаленный сервер пытается установить соединение с клиентом, чтобы послать запрашиваемый файл.
В обычных условиях Nmap посылает минимальные пакеты, содержащие только заголовок. Так TCP пакеты составляют 40 байтов, а запросы на ICMP эхо ответ всего 28. Эта опция указывет Nmap добавлять заданное число произвольных байтов к посылаемым пакетам.
Устанавливает IPv4 поле time-to-live в посылаемых пакетах в соответствии с заданным значением.
Указывает Nmap перемешать каждую группу, содержащую до 16384 хостов, перед началом сканирования. Это может сделать сканирование менее заметным для различного рода систем сетевого мониторинга, особенно если вы используете низкие значения таймингов.
Эта опция указывает Nmap использовать заданный MAC адрес для всех отсылаемых сырых ethernet фреймов. Эта опция подразумевает использование, —send-eth чтобы быть уверенным, что Nmap действительно использует пакеты уровня ethernet. MAC адрес может быть задан в нескольких форматах. Если это просто число 0, то Nmap выбирает польностью произвольный MAC адрес для сессии.
Опции Nmap для противодействия сетевым средствам защиты.
1.Форсируем многопоточное сканирование
Nmap известен своей феноменальной производительностью. Сканер применяет множество техник и специфических TCP\IP хаков, многопоточный режим с динамически изменяемым количеством портов на поток, умеет использовать несколько ядер процессора. Но даже с целым вагоном оптимизаций в своем коде по умолчанию Nmap не такой быстрый, каким мог бы быть на самом деле.
Nmap поддерживает десяток флагов, позволяющих тонко контролировать такие параметры, как задержка между попытками подключения к порту или количество попыток подключения. Разобраться с ними с наскоку довольно тяжело, поэтому в Nmap есть набор преднастроенных шаблонов агрессивности сканирования. Всего их шесть (от 0 до 5), а сделать выбор можно с помощью опции -T:
В данном случае мы выбрали шаблон номер 3. Это дефолтовое значение, своеобразный компромисс между скоростью и точностью сканирования в медленных сетях. Однако в современных условиях, когда минимальная скорость проводного доступа в сеть уже перешагнула за 30 Мбит/с, лучшим выбором будет -T4 или даже -T5. Последний стоит применять только в стабильных сетях без провалов скорости.
Более низкие значения предназначены для обхода систем обнаружения вторжений. Например, -T0 отключает многопоточное сканирование и устанавливает задержку между пробами портов в пять минут; потратив весь день (ночь) на сканирование, ты можешь надеяться, что сама попытка сканирования будет не замечена (тем более что Nmap перебирает порты в случайном порядке). Так шаблон -T1 — более быстрый режим с задержкой в 15 с, -T2 — 0,4 с, -T3 — 10 мс, -T4 — 5 мс.
2.Скрываем следы сетевой активности
Увеличение задержки между пробами портов — не единственный способ скрыть, что машина сканируется. Еще один интересный метод — одновременно запустить несколько потоков сканирования, подменяя обратный IP-адрес во всех случаях, кроме одного. Смысл здесь в том, чтобы запутать IDS и администратора машины. В логах IDS окажется сразу несколько попыток сканирования с разных адресов, среди которых будет только один настоящий.
Использовать такой метод довольно просто:
Ты можешь указать сколько угодно фиктивных адресов или позволить Nmap сгенерировать рандомные адреса за тебя (в данном случае десять адресов):
Однако тут необходимо иметь в виду, что рандомные адреса часто будут указывать на несуществующие или отключенные машины. IDS и хороший админ смогут отсеять их, чтобы вычислить реальный адрес.
Более сложный способ — организовать так называемое Idle-сканирование. Это очень интересная техника, которая базируется на трех простых фактах:
При выполнении SYN-сканирования удаленная сторона посылает пакет SYN/ACK в случае, если порт открыт, и пакет RST, если нет.
Машина, получившая незапрошенный пакет SYN/ACK, должна отвечать пакетом RST, а при получении незапрошенного RST — игнорировать его.
Каждый IP-пакет, отправленный машиной, имеет IPID, а многие ОС при отправке пакета просто увеличивают IPID.
Сама техника заключается в том, чтобы найти неактивную сетевую машину, которая просто ничего не делает (Idle), но при этом находится в рабочем состоянии и способна отвечать на сетевые запросы. Более того, машина должна работать на древней ОС, которая увеличивает IPID пакетов вместо рандомизации, как современные ОС. Сделать это можно с помощью все тех же флагов -O -v Nmap (строка IP ID Sequence Generation в выводе) либо с помощью Metasploit Framework (это удобнее и быстрее):
Далее ты запускаешь сканирование портов:
На каждую пробу порта Nmap сначала будет посылать запрос Idle-машине, записывать IPID пакета, затем посылать SYN-пакет жертве, подменяя обратный адрес на IP Idle-машины, затем снова посылать запрос Idle-машине и сверять IPID с ранее сохраненным. Если IPID увеличился со времени прошлой проверки, значит, машина посылала пакеты, а, как мы знаем из второго пункта выше, это означает, что она ответила пакетом RST. Это, в свою очередь, говорит, что проверяемый порт жертвы открыт. Если IPID не увеличился, значит, порт закрыт.
3.Уходим от IDS\IPS и пролазим через Firewall
Сразу оговорюсь: сегодняшние IDS и брандмауэры намного умнее тех, что существовали во времена, когда в Nmap появились средства борьбы с ними. Поэтому многие приведенные здесь техники могут уже не работать, но это не повод ими не пользоваться, в Сети полно доисторического оборудования.
Начнем с того, что даже без дополнительных опций Nmap уже способен хоть и не обойти, но обнаружить брандмауэр. Происходит так потому, что при SYN-сканировании состояние открыт/закрыт определяется путем анализа ответа машины: SYN/ACK — открыт, FIN — закрыт. Однако брандмауэры, чтобы минимизировать процессорные ресурсы, зачастую просто дропают пакеты, адресуемые фильтруемым портам (даже при настройке iptables в Linux стандартная практика — это дропнуть пакет с помощью -j DROP). Nmap отслеживает, при пробе каких портов не было получено ответа, и помечает эти порты filtered.
Еще одна техника обнаружения брандмауэра заключается в том, чтобы заставить Nmap генерировать «невероятные пакеты», такие как пакеты без единого флага (-sN), FIN-пакеты (-sF) и Xmas-пакеты, содержащие флаги FIN, PSH и URG (-sX). RFC описывает все эти ситуации, поэтому любое расхождение с RFC Nmap интерпретирует как наличие брандмауэра.
Многие брандмауэры можно обойти и точно определить, фильтруется порт или нет. Для этого можно использовать ACK-сканирование:
Теория здесь следующая: брандмауэр должен отбивать все новые TCP-подключения к порту, но также обязан не препятствовать прохождению пакетов в рамках уже установленных соединений. Простой способ сделать это — отбивать все SYN-пакеты (используется для установки соединения), но не мешать ACK-пакетам (используется для отправки пакетов в рамках уже открытого соединения).
Но есть одна тонкость. Дело в том, что есть так называемые stateful- брандмауэры. Они умеют отслеживать состояние соединения и проверяют такие поля пакетов, как IP-адрес и номер последовательности TCP, чтобы отслеживать, какие пакеты действительно пришли в рамках открытого ранее соединения, а какие были отправлены Nmap в рамках ACK-сканирования (iptables в Linux может работать в обоих режимах, но по умолчанию он не stateful, это более производительный вариант).
Выяснить, какой тип брандмауэра используется, можно, выполнив SYN-сканирование и сразу за ним — ACK-сканирование:
Если во втором случае порты, отмеченные во время SYN-сканирования как filtered, стали unfiltered, значит, перед тобой не stateful-брандмауэр.
Кроме того, можно попробовать обойти брандмауэр с помощью изменения номера исходящего порта:
Это эксплуатация старой как мир ошибки настройки брандмауэра, которая заключается в том, что админ открывает доступ всему входящему трафику (включая протокол TCP) с порта 53, чтобы позволить приложениям беспрепятственно выполнять DNS-запросы. Сегодня такое встречается редко, но, как показывает практика, некомпетентность со временем не исчезает.
Кроме всего прочего, в Nmap есть средства для скрытия факта сканирования от глаз брандмауэров и IDS:
В этом случае Nmap будет разбивать пакеты на крохотные фрагменты размером 8 байт. Делает он это в надежде на то, что брандмауэр или IDS не сможет собрать пакет из фрагментов и проанализировать его заголовок (по причине плохой реализации или в угоду производительности) и просто пропустит пакет или отбросит.
Та же история, только с возможностью контролировать размер пакета (в данном случае 16). Можно использовать против брандмауэров и IDS, которые умеют ловить факты сканирования с помощью Nmap, анализируя размер фрагмента.
Добавляет в конец пакета указанное количество рандомных байтов. Цель та же, что и в предыдущем случае: обмануть IDS, которая может быть способна обнаружить сканирование, анализируя размер пакета (Nmap всегда посылает пакеты длиной 40 байт при использовании протокола TCP).
Некоторые фичи и баги для преодоления IDS\IPS.
1.Firewall-bypass NSE Script (скрипт байпассинга)
А вот и скрпит от коллег с Vulners, который использует некоторые специфические особенности стека TCP\IP для преодоления фильтрации на фаерволах.
Вот так описывает функционал данного скрипта сам разработчик:
The script works by spoofing a packet from the target server asking for opening a related connection to a target port which will be fulfilled by the firewall through the adequate protocol helper port. The attacking machine should be on the same network segment as the firewall for this to work. The script supports ftp helper on both IPv4 and IPv6. Real path filter is used to prevent such attacks. Based on work done by Eric Leblond.
Опции использования.
Вывод после работы скрипта.
Сам скрипт и его подробное описание доступен на официальной страничке Vulners.
2.Скрытное сканирование портов через системы с уязвимой генерацией IP ID
IP ID (dumb host) сканирование — относительно новая и очень мощная технология, которая позволяет:Сканировать системы, доступ к которым закрыт для атакующего.
Не использовать при сканировании свой адрес, оставаясь неизвестным для жертвы.
Частично исследовать правила файрволов.
Исследование правил файрвола и обход файрвола при сканировании. Метод оказывает некоторую помощь в исследовании настроек файрволов. Фактически, проверка каждого порта на стороне victim выглядит как попытка установления соединения от хоста dumb, и результаты сканирования показывают картину victim с точки зрения dumb. Если dumb использует требуемую здесь генерацию IP ID, есть возможность проверить, доступен ли какой-либо порт на victim для dumb.
Для сканирования машин за файрволом требуется только чтобы у атакующего была возможность послать пакет на victim c saddr=dumb. Часто это не проблема, так как тяжело определить кто на самом деле отправил пакет, но если атакующий и dumb находятся на разных интерфейсах роутера/файрвола жертвы, то правильная настройка файрвола может быть серьезным препятствием для такого сканирования.
Сканирование машин с приватными адресами. Elie Bursztein aka lupin опубликовал advisory, где указал на применимость этого сканирования для случая когда dumb — гейтвей в приватную сеть, а victim — машина, находящаяся во внутренней сети за dumb.
Сканирование выполняется тем же путем. Но следует учесть, что возможно это только в случае (см. выше) когда атакующий может послать спуфленый пакет на victim. А это возможно только когда ВСЕ роутеры на пути от атакующего до жертвы пропустят такой пакет, и более того, будут маршрутизировать его в направлении, указанном атакующим. На практике это возможно только в случае когда dumb не имеет элементарной защиты от spoof’инга, а взломщик атакует с машины непосредственно общающейся с dumb (e.g. с роутера провайдера). Но в этом случае, как правило, у атакующего есть и обычная возможность выполнить сканирование victim, единственное ограничение, которое в этом случае снимается — нет необходимости в получении атакующим трафика с victim. Так же следует помнить, что поскольку в качестве dumb выступает машина из той же сети что и victim, для расследования инцидента могут быть использованы логи траффика на ней — в них будет присутствовать ip атакующего.
Скрипт с опциями (с русскими комментариями) в офф репозитории
Как обойти файрвол на работе
В 1999 году я написал статью «Firewall — не панацея», которая рассказывала о различных недостатках, присущих технологии, используемой в межсетевых экранах (МСЭ). Я надеялся, что отечественные поставщики и, особенно разработчики, перестанут «дурить голову» заказчикам, утверждая, что именно их межсетевой экран — это панацея от всех бед, и он решит все проблемы заказчика, обеспечив надежную защиту всех ресурсов корпоративной сети. Однако этого не произошло, и я вновь хочу вернуться к этой теме. Тем более что, как показывает мой опыт чтения лекций по защите информации, этот вопрос живо интересует специалистов, которые уже используют межсетевые экраны (firewall) в своих организациях.
Существует ряд проблем, о которых я хотел бы рассказать и которые можно проиллюстрировать на примере. Межсетевой экран — это просто ограждение вокруг вашей сети. Оно может быть очень высоким или очень толстым, чтобы его можно было перелезть или проделать в нем дыру. Но… это ограждение не может обнаружить, когда кто-то роет под ним подкоп или пытается пройти по мостику, переброшенному через ограждение. МСЭ просто ограничивает доступ к некоторым точкам за вашим ограждением.
Людям свойственно ошибаться
Как известно, межсетевые экраны, как и другие средства защиты, настраиваются людьми. А людям свойственно ошибаться, даже специалистам по защите информации. Именно этот факт и используется многими злоумышленниками. Достаточно найти всего лишь одну слабину в настройках межсетевого экрана и все, можно считать, что «ваше дело табак». Это подтверждается и различными исследованиями. Например, собранная в 1999 году ассоциацией ICSA (http://www.icsa.net) статистика показывает, что до 70% всех межсетевых экранов уязвимы из-за неправильной конфигурации и настройки. Я не хочу говорить о некомпетентности или низкой квалификации администратора МСЭ (хотя эти причины отнюдь не редки), — опишу другой примера. Сразу после института я попал в отдел автоматизации одной крупной компании. Защита Internet обеспечивалась межсетевым экраном, которым «рулил» администратор отдела защиты информации. Мне не раз приходилось сталкиваться с ситуацией, когда к этому администратору подходили друзья из других отделов компании и просили на время разрешить им доступ к серверам с игрушками. Однажды я был свидетелем вопиющего случая. К администратору МСЭ подошел начальник отдела по работе с партнерами и потребовал дать ему доступ к одному из Internet-ресурсов. На ответ, что это невозможно, начальник пригрозил устроить администратору «веселую жизнь», после чего последнему пришлось выполнить распоряжение и изменить настройки межсетевого экрана. Самое удивительное, что со временем ситуация не улучшается. Недавно мы проводили обследование в одной из организаций и обнаружили там точно такую же ситуацию. На межсетевом экране был открыт доступ по протоколам ICQ, RealAudio и т.д. Стали выяснять — оказалось, это было сделано по просьбе сотрудника одного из отдела, с которым у администратора сложились дружеские отношения.
«Нормальные герои всегда идут в обход»
Фрагмент песни из детского фильма «Айболит-69» как нельзя лучше иллюстрирует следующую проблему, присущую межсетевым экранам. Зачем пытаться проникнуть к защищаемым ресурсам через защитные средства, когда можно попытаться обойти их? Это можно проиллюстрировать примером из смежной области. В среду, 21 февраля 1990 г. Мэри Пирхем, аналитик по бюджету одной американской компании, пришла на работу. Однако она не смогла пройти на свое рабочее место даже после набора четырехзначного кода и произнесения кодового слова в системе контроля доступа. Желая все-таки попасть на работу, Мэри обошла здание и открыла дверь черного хода при помощи пилки для ногтей и пластмассовой расчески. Новейшая защитная система, которую обошла Мэри Пирхем, рекламировалась как «безотказная и надежная» и стоила несколько десятков тысяч долларов. Аналогично и с межсетевыми экранами, только роль черного хода может выполнять модем. Знаете ли вы, сколько в вашей сети установлено модемов и для чего они используются? Не отвечайте сразу утвердительно, подумайте. При обследовании одной сети начальники отдела защиты информации и автоматизации рвали на себе рубаху, утверждая, что они знают все до единого модема, установленные в их сети. Запустив систему анализа защищенности Internet Scanner, мы действительно обнаружили указанные ими модемы, используемые для обновления баз данных бухгалтерской и юридической систем. Однако было обнаружено и два неизвестных модема. Один использовался сотрудником аналитического отдела с целью получения доступа к рабочим каталогам из дома. Второй модем использовался для доступа в Internet, в обход межсетевого экрана.
С возможностью обхода МСЭ связан и другой пример. Не всегда угрозы идут только с внешней стороны МСЭ, из сети Internet. Большое количество потерь связано как раз с инцидентами защиты со стороны внутренних пользователей (по статистике — до 80% инцидентов исходят изнутри). Необходимо уточнить, что межсетевой экран только просматривает трафик на границах между внутренней сетью и сетью Internet. Если трафик, использующий «бреши» в защите, никогда не проходит через межсетевой экран, то МСЭ и не находит никаких проблем. В 1985 году на одном из российских судостроительных заводов была разоблачена преступная группа из свыше 70 (!) человек, которая в течение 1981-1985 гг. путем введения в информационную систему расчета зарплаты фальшивых документов похитила более 200 тыс. рублей. Аналогичные случаи были зафиксированы на заводах г. Ленинграда и г. Горького. Ни один, даже самый эффективный межсетевой экран, не смог бы обнаружить такую деятельность.
Туннели используются не только в метро
Но даже просмотр трафика на границе между внешней и внутренней сетями не гарантирует полной защиты. Межсетевой экран фильтрует трафик и принимает решения о пропуске или блокировании сетевых пакетов, опираясь на информацию об используемом протоколе. Как правило, правила предусматривают соответствующую проверку с целью определения того, разрешен или нет конкретный протокол. Например, если на МСЭ разрешен 25 и 80 порты, то тем самым разрешается пропуск во внутреннюю сеть почтового (SMTP) и Web (HTTP) трафика. Именно этот принцип обработки и используется квалифицированными злоумышленниками. Вся несанкционированная деятельность осуществляется в рамках разрешенного протокола, создавая тем самым в нем туннель, по которому злоумышленник и реализует атаку. Самый простой пример, демонстрирующий применение туннелей — Internet-черви и макровирусы, заносимые в корпоративную сеть в виде вложений (attachments) в сообщения электронной почты. Если межсетевой экран разрешает прохождение SMTP-трафика (а мне не приходилось видеть МСЭ, который бы этого не делал), то во внутреннюю сеть может попасть и «вирусная инфекция». Приведу более сложный пример. Например, Web-сервер, функционирующий под управлением программного обеспечения компании Microsoft (Internet Information Server), защищается межсетевым экраном, на котором разрешен только 80-ый порт. На первый взгляд обеспечивается полная защита. Но только на первый взгляд. Если используется IIS версии 3.0, то обращение по адресу: http://www.domain.ru/default.asp. (с точкой в конце) позволяет злоумышленнику получить доступ к содержимому ASP-файла, который может хранить конфиденциальные данные (например, пароль доступа к базе данных). В системе обнаружения атак RealSecure эта атака получила название «HTTP IIS 3.0 Asp Dot». И даже, если вы установили самую последнюю версию IIS 5.0, то и в этом случае вы не можете чувствовать себя в полной безопасности. Обращение к адресу:
приводит к выполнению команды «dir C:\». Аналогичным образом можно прочитать любой файл, в том числе и содержащий конфиденциальную информацию:
Последним примером может служить атака Loki, которая позволяет туннелировать различные команды (например, запрос на передачу файла паролей /etc/passwd) в запросы ICMP Echo Request и реакцию на них в ответы ICMP Echo Reply.
Шифруй, не шифруй, все равно…
Очень часто из уст многих отечественных разработчиков средств VPN можно услышать, что разработанное им средство построения виртуальных частных сетей способно решить многие проблемы безопасности. Они упирают на то, что раз защищаемая сеть общается со своими оппонентами (удаленными офисами, партнерами, заказчиками и т.д.) только по VPN-соединению, то никакая «зараза» в нее не проникнет. Отчасти это так, но только при условии, что и оппоненты также ни с кем не общаются по незащищенным каналам. А это уже представить себе трудно. И поскольку большинство организаций используют шифрование для защиты внешних сетевых соединений, интерес злоумышленника будет направлен к тем местам в сети, где информация, представляющая для него интерес, вероятно, не является защищенной, то есть к узлам или сетям, с которым установлены доверенные отношения. И даже в случае создания VPN-соединений между сетью, защищаемой при помощи МСЭ с функциями VPN, и доверенной сетью, злоумышленник сможет с той же эффективностью реализовывать свои атаки. Мало того, эффективность его атак будет еще выше, поскольку зачастую требования по безопасности к доверенным узлам и сетям намного ниже всех остальных узлов. Злоумышленник сможет проникнуть в доверенную сеть, а уж затем из нее осуществлять свои несанкционированные действия по отношению к цели своей атаки. В марте 1995 г. администратор безопасности Космического Центра Джонсона (Johnson Space Center) получил сообщение о том, что два компьютера этого центра были атакованы злоумышленниками. Однако в результате расследования выяснилось, что данные компьютеры были скомпрометированы еще в декабре 1994 года и на них были установлены программы-перехватчики пользовательских идентификаторов и паролей. Журналы регистрации этих программ содержали около 1300 идентификаторов и паролей пользователей из более 130 систем, подключенных к скомпрометированным узлам.
И вновь о подмене
Подмена адреса — это способ сокрытия реального адреса злоумышленника. Однако он может использоваться и для обхода защитных механизмов межсетевого экрана. Такой простейший способ, как замена адреса источника сетевых пакетов на адрес из защищаемой сети, уже не может ввести в заблуждение современные межсетевые экраны. Все они используют различные способы защиты от такой подмены. Однако сам принцип подмены адреса остается по-прежнему актуальным. Например, злоумышленник может подменить свой реальный адрес на адрес узла, у которого установлены доверенные отношения с атакуемой системой и реализовать атаку типа «отказ в обслуживании» на нее.
Межсетевой экран — как цель атаки
Межсетевые экраны часто сами являются объектами атаки. Атаковав МСЭ и выведя его из строя, злоумышленники могут спокойно, не боясь быть обнаруженными, реализовывать свои преступные замысли по отношению к ресурсам защищаемой сети. Например, с начала 2001 года было обнаружено немало уязвимостей в реализации различных известных межсетевых экранов. Например, неправильная обработка TCP-пакетов с флагом ECE в МСЭ ipfw или ip6fw позволяла удаленному злоумышленнику обойти созданные правила. Еще одна уязвимость была обнаружена в межсетевом экране BorderWare Firewall Server 6.1.2. Использование данной уязвимости, связанной с широковещательной посылкой запросов ICMP Echo Request, приводила к нарушению доступности МСЭ BorderWare. В стороне не остались и другие межсетевые экраны — Cisco Secure Pix Firewall, WatchGuard Firebox и т.д.
Стой, кто идет? Предъявите паспорт!
Абсолютное большинство межсетевых экранов построено на классических моделях разграничения доступа, разработанных в 70-х, 80-х годах прошлого столетия в военных ведомствах. Согласно этим моделям субъекту (пользователю, программе, процессу или сетевому пакету) разрешается или запрещается доступ к какому-либо объекту (например, файлу или узлу сети) при предъявлении некоторого уникального, присущего только этому субъекту, элемента. В 80% случаев этим элементом является пароль. В других случаях таким уникальным элементом является таблетка Touch Memory, Smart или Proximity Card, биометрические характеристики пользователя и т.д. Для сетевого пакета таким элементом являются адреса или флаги, находящиеся в заголовке пакета, а также некоторые другие параметры.
Можно заметить, что самым слабым звеном этой схемы является уникальный элемент. Если нарушитель каким-либо образом получил этот самый элемент и предъявил межсетевому экрану, то он воспринимает его, как «своего» и разрешает действовать в рамках прав того субъекта, секретным элементом которого несанкционированно воспользовались. При современных темпах развития технологий получить доступ к такому секретному элементу не составляет большого труда. Его можно «подслушать» при передаче по сети при помощи анализаторов протоколов, в том числе и встроенных в операционные системы (например, Network Monitor в Windows NT 4.0). Его можно подобрать при помощи специальных программ, доступных в Internet, например, при помощи L0phtCrack для Windows или Crack для Unix.
Т.о. даже самый мощный и надежный межсетевой экран не защитит от проникновения в корпоративную сеть нарушителя, если последний смог подобрать или украсть пароль авторизованного пользователя. Мало того, межсетевой экран даже не зафиксирует нарушения, так как для него нарушитель, укравший пароль, является авторизованным пользователем. Например, 22 марта 1995 г. неустановленный злоумышленник при помощи украденного пароля и программного обеспечения Пинского филиала БелАКБ «Магнатбанк» проник в компьютерную сеть Белорусского межбанковского расчетного центра и перевел на расчетный счет ООО «Арэса ЛТД» в Советское отделение БелАКБ «Промстройбанк» 1 млрд. 700 млн. рублей.
Администратор — бог и царь
В каждой организации есть пользователи, обладающие практически неограниченными правами в сети. Это сетевые администраторы. Они никому неподконтрольны и могут делать в сети практически все, что угодно. Как правило, они используют свои неограниченные права для выполнения своих функциональных обязанностей. Но представьте на минуту, что администратор чем-то обижен. Будь-то низкой зарплатой, недооценкой его возможностей, местью и т.п. Известны случаи, когда такие обиженные администраторы «портили кровь» не одной компании и приводили к очень серьезному ущербу. Осенью 1985 года директор по компьютерной безопасности компании USPA & IRA Дональд Берлисон попытался через руководство компании добиться снижения суммы налога на прибыль, которую ему постоянно приходилось выплачивать, и чем он был недоволен. Однако он был уволен. Через три дня после увольнения он пришел на работу и, получив доступ в сеть компании, удалил 168000 записей базы данных о страховании и защите торговых сделок. Затем он запустил в сеть несколько программ-червей, которые должны были продолжать удалять аналогичные записи в будущем. И Россия не осталась в стороне. В 1991 г. при помощи компьютерной техники произошло хищение валютных средств из Внешэкономбанка на сумму 125,5 тыс. долларов и подготовка к хищению еще свыше 500 тыс. долларов. Механизм хищения был очень прост. Житель Москвы совместно с начальником отдела автоматизации неторговых операций ВЦ Внешэкономбанка открыл по шести поддельным паспортам счета и внес на них по 50 долларов. Затем, путем изменения банковского программного обеспечения на открытые счета были переведены 125 тысяч долларов, которые и были получены по поддельным паспортам.
Два этих примера демонстрируют, что даже самый эффективный межсетевой экран не смог бы защитить корпоративную сеть, если бы на нее совершил нападение ее администратор.
Заключение
Межсетевые экраны не обеспечивают достаточного уровня защищенности корпоративных сетей. Хотя ни в коем случае от них нельзя отказываться. Они помогут обеспечить необходимый, но явно недостаточный, уровень защиты корпоративных ресурсов. Как уже не раз отмечалось, традиционные средства, к которым можно отнести и межсетевые экраны, были построены на основе моделей, разработанных в то время, когда сети не получили широкого распространения и способы атак на эти сети не были так развиты, как сейчас. Чтобы на должном уровне противодействовать этим атакам, необходимо применение новых технологий. Например, технология обнаружение атак (intrusion detection), которая стала активно развиваться за рубежом и четыре года назад попала в Россию. Эта технология, ярким представителем которой является семейство средств RealSecure компании Internet Security Systems, позволяет эффективно дополнять существующие межсетевые экраны, обеспечивая более высокий уровень защищенности.