24-12-2014, 11:18
|
|
מנהל פורומי "תכנות ובניית אתרים" ו"חומרה ורשתות"
|
|
חבר מתאריך: 25.10.01
הודעות: 42,776
|
|
זה לא העניין.
בשביל לזהות שמערכת כלשהי A מותקפת על ידי תוקף B, אתה צריך להיות מסוגל להאזין לתעבורת הרשת בין A ל B (או שאתה בעצמך תהיה A או B). כיוון שבאינטרנט יש אלפי מסלולים אפשריים עבור כל packet ו packet, שעוברים דרך חברות שונות, במדינות שונות, גם אם תקבל הסכמה של כל ספקי האינטרנט השונים להאזין לתעבורה שלהם, אתה תצטרך אלפי מחשבים (וצפונה מכך) שיקבלו העתק של כל התעבורה, וינתחו אותה.
אלו כמויות אדירות של מידע. גם אם נניח שזה אפשרי (ולעניות דעתי - זה לא) - גם אז אתה צריך לדעת איזו תעבורה היא התקפה, ולא תעבורת רשת רגילה. הרבה פעמים הן נראות אותו דבר. למשל - נסיון כניסה למערכת על ידי תוקף עם סיסמה שגויה - נראה בדיוק כמו אותו נסיון של משתמש לגיטימי, שפשוט טעה בסיסמה שלו. אולי אם יהיה רצף של "טעויות", תוכל להגיד שיש כאן נסיון פריצה. מצד שני, אם זה משהו כל כך טריוויאלי לגילוי על ידי אנליזה בסיסית, אז לרוב הרשת עצמה / יכולה לזהות זאת גם (IDS/IPS) ולהגן על עצמה, או לחלופין, השירות עצמו, בהנחה שזה, נניח, אתר אינטרנט.
יש דברים שבאמת קל לזהות, כי יש להם חתימה מאוד מוגדרת, של קלט לא סטנדרטי, שנועד לגרום לדברים כמו buffer overflow וכו', ואז זה באמת משהו שאפשר לזהות פוזיטיבית.
אבל שתי הדוגמאות שהבאתי דורשות ניתוח בשכבה 7, שדורש אף יותר משאבים מסתם ניתוח של שכבה 3/4. וגם הוא לא יכול לפעול על כל תעבורה שהיא מוצפנת, שזה, כיום, כמעט כל התעבורה החשובה, בגלל שזה לא יכול לעשות MITM, כי אחרת כל הלקוחות באינטרנט יקבלו התראה ולא יגלשו לאתר.
אה, וזה גם יותר מדי כמו סרט... "סין נגד ארה"ב"... וגם, ת'אכלס, מעט מדי "התקפות". השרתים שאני מנהל בעצמי מקבלים בקשות שהייתי מגדיר "נסיון התקפה" בקצב לא רחוק מהקצב של כל העולם לפי האתר הזה... (ואני מנהל כמות שרתים שמספיקות אצבעות של בנאדם כדי לספור...)
אז אתה מבין... לא נראה לי.
|
ראשי
צ'אט
מצב כלאיים
