Incidensek leírása, osztályozása

A dokumentumban a számítógépes visszaélések és biztonsági incidensek típusai és leírása található.

Egész Európában és a nemzetközi CSIRT közösségen belül is számottevő munka folyik, hogy a számítógépes biztonsági incidensek leírásának szabványosítása megtörténjen. A sebezhetőségek szabványos leírása már megszületett (CVE - Common Vulnerabilities and Exposure Database), ami jó alapot ad ennek a munkának a befejezéséhez is.

A szabványosítási munkában sokan vesznek részt, többek között:

• Az európai CSIRT-ek hálózata (eCSIRT),
• Common Intrusion Detection Framework (CIDF),
• A TERENA munkacsoportja: Incident Object Description and Exchange Format Working Group (IODEF WG),
• Az IETF munkacsoportja: Extended Incident Handling (INCH) Working Group,
• és még G-8, más kormányközi és üzleti kezdeményezések.

Az alábbiakban felsorolásra kerül az incidens típusának megnevezése, definíciója, a használt eljárások és a támadási vektor. (Ez utóbbi az eszközökből és az ismertetőjelekből áll.)

Számítógépes ujjlenyomat (Computer Fingerprinting)

Meghatározás: Olyan akció, melynek során a célgépról/célhálózatról információt gyűjtenek.
Technikák: próbálgatás, pásztázás, DNS lekérdezés, Ping
Támadási vektor: UDP/TCP aktív portok, operációs rendszer, host címek, SNMP szerver jellemzők, CGI nevek, ICMP, tömeges tárcsázás (war dialling)

Rosszindulató kód (Malicious Code)

Meghatározás: A célgépet a idegen program végrehajtásával veszélyeztetik.
Technikák: tudatos vagy nem tudatos módon idegen program végrehajtása
Támadási vektor: számítógépes vírus, féreg, hátsó kapu (backdoor), trójai és kémszoftverek

Szolgáltatásmegtagadás (Denial of Service)

Meghatározás: A szolgáltatás ismételt igénybevétele, melynek révén a szolgáltatás túlterhelésre kerül vagy leáll.
Technikák: a számítógép erőforrásait újra és újra igénylő program végrehajtása (erőforrás lehet a memória, CPU, TCP-UDP kapcsolat, diszkterület)
Támadási vektor: SYN-elárasztás, ping-elárasztás (ping of death - pod), Land, WinNuke, TFN, TFN2K, Trin00, Slice2, MStream, Smurg, Fraggle

Meghatározás: A rendszerhez vagy valamelyik erőforrásához való illegális hozzáférés, akár rendszergazdai akár felhasználói szinten.
Technikák: távolról vagy az adott helyről történő rendszerfeltörés; program sebezhetőségének kihasználása a felhasználói jogosultság megszerzése végett. Ugyanezt a célt el lehet érni az illegálisan megszerzett (lopott, ellesett, kikényszerített) jogosultsággal is.
Támadási vektor: buffer-túlcsordulás, format hiba, CGI támadás vagy lopott jogosultság (azonosító és jelszó) használata.

Behatolási kísérlet (Intrusion Attempt)

Meghatározás: Számítógépes rendszerbe történő jogosulatlan belépés megkísérlése.
Technikák: vagy a felhasználói azonosító/jelszó találgatásával egy rendszerhez való illegális hozzáférés, vagy az alábbi támadási vektorban leírt eszközök sikertelen kipróbálása.
Támadási vektor: többszörös bejelentkezés kísérlet, sikertelen buffer túlcsordulási kísérlet, alapértelmezésként használt azonosító/jelszó páros használata, régebbi sebezhetőség kihasználásának kísérlete, SNMP portra való csatlakozás megkísérlése.

Információkhoz való illetéktelen hozzáférés (Unauthorised Access to Information)

Meghatározás: Adatokhoz való illetéktelen hozzáférés megkísérlése.
Technikák: távolról vagy az adott helyről adatok elérésének megkísérlése a hozzáférési mechanizmus megkerülésével.
Támadási vektor: adatbázis-alapú weblapok feltörése (SQL-injection), CGI paraméterek módosítása.

Adatátvitelhez való illetéktelen hozzáférés (Unauthorised Access to Transmission)

Meghatározás: Számítógépes rendszerek közti vagy egy számítógépes rendszerbe vagy számítógépes rendszerből történő nem publikus adatátvitelhez való illetéktelen hozzáférés valamilyen technikai eszközzel.
Technikák: hálózati csomagok lehallgatása, illegális csomagok bejuttatása a hálózatba, csomagok illetéktelen törlése a hálózatból.
Támadási vektor: munkamenet eltérítése (session hijacking), köztes lehallgatás (man-in-the-middle attack), elfogott csomagok újraküldése (replay attack), hálózat lehallgatása és jelszavak naplózása (sniffing and key logging), ARP tábla hamis adatokkal való feltöltése (ARP cache poisoning)

Információ illetéktelen módosítása (Unauthorised Modification of Information)

Meghatározás: Számítógépes rendszerben elektronikusan tárolt információk illetéktelen módosítása.
Technikák: engedély nélküli adatmódosítás vagy új adat létrehozása, akár helyben, akár távolról.
Támadási vektor: weblapok megváltoztatása (web defacement), vírusok, log fájlok módosítása, szoftverek engedély nélküli telepítése, adatbázis-alapú weblapok feltörése (SQL-injection), archívumok törlése, merevlemezes meghajtó formázása.

Meghatározás: A kommunikációs rendszer illetéktelen használata.
Technikák: személyes előnyök elérésének céljából a kommunikációs rendszer konfigurációjának módosítása.
Támadási vektor: DNS hamisítás; levéltovábbító rendszerek, levelezési átjárók, proxy-k, magán telefonkicserélőközpontok, vezeték nélküli hálózatok jogosulatlan használata.