Wprowadzenie do spoofingu IP (i jak temu zapobiec)

Kradzież tożsamości zawsze stanowi zagrożenie, niezależnie od medium. Tak zwane „podszywanie się pod IP” to powszechny sposób, w jaki złośliwi użytkownicy mogą szybko uzyskać wiarygodność swoich prób włamania.

Biorąc pod uwagę, że każdy komputer i serwer ma unikalny identyfikator (adres „protokołu internetowego” — lub IP —), prawie każdy korzystający z Internetu może być narażony na ataki. Spoofing IP to sposób na „sfałszowanie” wyglądu adresu źródłowego (takiego jak adres e-mail) jako technika podszywania się. Może przybierać różne formy, więc musisz mieć się na baczności.

W tym poście omówimy spoofing IP, co to jest, dlaczego jesteś celem i nie tylko. Porozmawiamy również o niektórych z najczęstszych ataków spoofingu IP, z którymi możesz się spotkać, a także o kilku uzasadnionych zastosowaniach spoofingu IP.

Co to jest podszywanie się pod IP?

Ogólnie rzecz biorąc, fałszowanie adresów IP zabiera część danych przesyłanych przez Internet i sprawia wrażenie, jakby pochodziła z legalnego źródła. Spoofing IP to termin obejmujący wiele różnych ataków:

• Podszywanie się pod adres IP: jest to proste zaciemnianie adresu IP atakującego w celu przeprowadzania ataków typu „odmowa usługi” (DoS) i nie tylko.
• Podszywanie się pod serwer nazw domen (DNS): Spoofing spowoduje modyfikację źródłowego adresu IP DNS w celu przekierowania nazwy domeny na inny adres IP.
• Spoofing protokołu rozpoznawania adresów (ARP): próba spoofingu ARP jest jednym z bardziej złożonych ataków. Polega ona na łączeniu adresu kontroli dostępu do nośnika (MAC) komputera z legalnym adresem IP za pomocą sfałszowanych wiadomości ARP.

Aby uzyskać bardziej techniczne, fałszowanie adresów IP pobiera dane i zmienia niektóre informacje umożliwiające identyfikację na poziomie sieci. To sprawia, że ​​podszywanie się jest prawie niewykrywalne.

Na przykład weź atak DoS.

Wykorzystuje to kolekcję botów używających sfałszowanych adresów IP do wysyłania danych do określonej witryny i serwera, przenosząc je w tryb offline. W tym przypadku fałszowanie adresu IP sprawia, że ​​atak jest trudny do wykrycia, dopóki nie jest za późno, i podobnie trudno jest go wyśledzić po fakcie.

Ataki typu machine-in-the-middle (MITM) wykorzystują również fałszowanie adresów IP, ponieważ podejście MITM opiera się na fałszowaniu zaufania między dwoma punktami końcowymi. O obu tych atakach porozmawiamy bardziej szczegółowo później.

Jak dochodzi do spoofingu IP?

Aby lepiej zrozumieć fałszowanie adresów IP, dajmy kontekst tego, w jaki sposób internet wysyła i wykorzystuje dane.

Każdy komputer używa adresu IP, a wszelkie wysyłane dane są podzielone na wiele fragmentów („pakietów”). Każda paczka podróżowana jest indywidualnie. Następnie, gdy dotrą do końca łańcucha, są ponownie składane i prezentowane jako całość. Co więcej, każdy pakiet zawiera również informacje umożliwiające identyfikację („nagłówek”), które będą zawierać adres IP zarówno ze źródła, jak i miejsca docelowego.

Teoretycznie ma to zapewnić, że dane dotrą do miejsca docelowego bez manipulacji. Jednak nie zawsze tak jest.

Podszywanie się pod IP wykorzystuje źródłowy nagłówek IP i zmienia niektóre szczegóły, aby wyglądało na autentyczne. W związku z tym może to naruszać nawet najbardziej rygorystyczne i bezpieczne sieci. W rezultacie inżynierowie sieci często próbują znaleźć nowe sposoby ochrony informacji przesyłanych w sieci.

Na przykład IPv6 to nowszy protokół, który buduje szyfrowanie i uwierzytelnianie. W przypadku użytkowników końcowych bezpieczna powłoka (SSH) i bezpieczne warstwy gniazd (SSL) pomagają w łagodzeniu ataków, ale omówimy, dlaczego nie można wyeliminować problemu później. Im większa liczba kroków szyfrowania, które zaimplementujesz, tym lepiej możesz chronić swój komputer, przynajmniej teoretycznie.

Warto również zauważyć, że spoofing IP nie jest nielegalną praktyką, dlatego jest powszechny. Istnieje wiele uzasadnionych zastosowań fałszowania adresów IP, które omówimy w innej sekcji. W związku z tym, chociaż samo podszywanie się pod IP powoduje, że haker staje w drzwiach, może to nie być jedyna technika wykorzystywana do naruszania zaufania.

Dlaczego Twoje IP jest celem podszywania się

Pomijając wszelkie względy moralne i etyczne, tożsamość innego użytkownika ma ogromną wartość i wartość. W końcu jest wielu złych aktorów, którzy gdyby nadarzyła się okazja, chętnie wykorzystaliby cudzą tożsamość, by coś uzyskać, bez moralnych reperkusji.

Fałszowanie adresów IP to zadanie o wysokiej wartości dla wielu złośliwych użytkowników. Podszywanie się pod IP nie ma dużej wartości, ale szanse, które zyskasz, mogą być jackpotem.

Na przykład poprzez fałszowanie adresu IP użytkownik może podszywać się pod bardziej zaufany adres, aby uzyskać dane osobowe (i nie tylko) od niczego niepodejrzewającego użytkownika.

Może to również wywołać efekt domina, jeśli chodzi o innych użytkowników. Haker nie musi fałszować adresu IP każdego celu — potrzebuje tylko jednego, aby przełamać obronę. Korzystając z tych niezasłużonych danych uwierzytelniających, ten sam haker może również zdobyć zaufanie innych osób w sieci i nakłonić ich do udostępniania danych osobowych.

W związku z tym samo IP nie jest wartościowe. Jednak w zależności od tego, co zostanie zrobione ze sfałszowanym adresem IP, korzyści mogą być ogromne, a potencjał dostępu do innych systemów poprzez fałszowanie adresu IP również nie jest bez znaczenia.

3 najczęstsze typy ataków ze spoofingu IP

Spoofing IP dobrze nadaje się do niektórych rodzajów ataków. Przejdźmy do trzech następnych.

1. Maskujące botnety

Botnet to sieć komputerów, które atakujący kontroluje z jednego źródła. Na każdym z tych komputerów działa dedykowany bot, który przeprowadza ataki w imieniu złego aktora. Przekonasz się, że możliwość maskowania botnetów nie byłaby możliwa bez fałszowania adresów IP.

W normalnych okolicznościach hakerzy uzyskują kontrolę poprzez infekcję, taką jak złośliwe oprogramowanie. Korzystanie z botnetów może pomóc złośliwemu użytkownikowi w przeprowadzaniu ataków spamowych, ataków DDoS, oszustw reklamowych, ataków ransomware i wielu innych. To wszechstronny sposób na prowadzenie ukierunkowanych potyczek z innymi użytkownikami.

Jednym z powodów jest podszywanie się pod IP. Każdy bot w sieci często ma sfałszowany adres IP, co utrudnia śledzenie złośliwemu graczowi.

Główną zaletą podszywania się pod adresy IP jest unikanie organów ścigania. Jednak to nie jedyny.

Na przykład korzystanie z botnetów z fałszywymi adresami IP również uniemożliwia celowi powiadamianie właścicieli o problemie. Na początek może to przedłużyć atak i pozwolić hakerowi „skupić się” na innych znakach. Teoretycznie może to spowodować, że atak będzie trwał w nieskończoność, aby zmaksymalizować wypłatę.

2. Bezpośrednie ataki typu „odmowa usługi” (DDoS)

Jeśli witryna ulegnie awarii z powodu nadmiernego i przytłaczającego złośliwego ruchu na serwerze, jest to atak DDoS. Może to być paraliżujące dla każdego właściciela witryny, a istnieje wiele sposobów na złagodzenie skutków.

Obejmuje to kilka powiązanych ataków i technik spoofingu, które łączą się, aby stworzyć cały atak.

Podszywanie się pod DNS

Po pierwsze, złośliwy użytkownik będzie szukał spoofingu DNS w celu infiltracji sieci. Złośliwy aktor użyje fałszowania, aby zmienić nazwę domeny skojarzoną z DNS na inny adres IP.

Stąd możesz przeprowadzić dowolną liczbę dalszych ataków, ale infekcja złośliwym oprogramowaniem jest popularnym wyborem. Ponieważ zasadniczo przekierowuje ruch z legalnych źródeł do złośliwych bez wykrycia, łatwo jest zainfekować inny komputer. Stamtąd więcej maszyn ulegnie infekcji i utworzy botnet, aby skutecznie przeprowadzić atak DDoS.

Podszywanie się pod adres IP

Po sfałszowaniu DNS atakujący przeprowadzi inne fałszowanie adresów IP, aby pomóc zaciemnić poszczególne boty w sieci. Często następuje to po procesie ciągłej randomizacji. W związku z tym adres IP nigdy nie pozostaje taki sam zbyt długo, co praktycznie uniemożliwia jego wykrycie i śledzenie.

Zapisz się do newslettera

Chcesz wiedzieć, jak zwiększyliśmy ruch o ponad 1000%?

Dołącz do ponad 20 000 innych osób, które otrzymują nasz cotygodniowy biuletyn z poufnymi wskazówkami dotyczącymi WordPressa!

Zapisz się teraz

Ten atak na poziomie sieci jest niemożliwy do wykrycia przez użytkownika końcowego (i zniechęca również wielu ekspertów po stronie serwera). To skuteczny sposób na przeprowadzanie złośliwych ataków bez konsekwencji.

Zatrucie ARP

Spoofing ARP (lub „zatruwanie”) to kolejny sposób przeprowadzania ataków DDoS. Jest znacznie bardziej złożona niż metoda brute force polegająca na maskowaniu botnetów i fałszowaniu adresów IP, ale wykorzystuje je obie w celu przeprowadzenia ataku.

Chodzi o to, aby skierować się do sieci lokalnej (LAN) i wysłać przez złośliwe pakiety danych ARP w celu zmiany adresów IP ustawionych w tabeli MAC. To łatwy sposób na uzyskanie przez atakującego dostępu do dużej liczby komputerów jednocześnie.

Celem zatrucia ARP jest kierowanie całego ruchu sieciowego przez zainfekowany komputer, a następnie manipulowanie nim z tego miejsca. Jest to proste do wykonania za pomocą komputera atakującego i pozwala mu wybrać między atakiem DDoS lub MITM.

3. Ataki MITM

Ataki typu Machine-in-the-Middle (MITM) są szczególnie złożone, wysoce skuteczne i całkowicie katastrofalne dla sieci.

Ataki te są sposobem na przechwycenie danych z komputera, zanim dotrą one do serwera, z którym się łączysz (powiedzmy, za pomocą przeglądarki internetowej). Dzięki temu osoba atakująca może wchodzić w interakcję z Tobą za pomocą fałszywych witryn internetowych w celu kradzieży Twoich informacji. W niektórych przypadkach atakującym jest osoba trzecia, która przechwytuje transmisję między dwoma legalnymi źródłami, co zwiększa skuteczność ataku.

Oczywiście ataki MITM polegają na fałszowaniu adresów IP, ponieważ musi nastąpić naruszenie zaufania bez świadomości użytkownika. Co więcej, przeprowadzenie ataku MITM ma większą wartość w porównaniu z innymi, ponieważ haker może nadal zbierać dane przez długi czas i sprzedawać je innym.

Rzeczywiste przypadki ataków MITM pokazują, jak w grę wchodzi fałszowanie adresów IP. Jeśli sfałszujesz adres IP i uzyskasz dostęp do osobistych kont komunikacyjnych, umożliwi to śledzenie dowolnego aspektu tej komunikacji. Stamtąd możesz wybierać informacje, kierować użytkowników do fałszywych witryn i wiele więcej.

Ogólnie rzecz biorąc, atak MITM jest niebezpiecznym i bardzo lukratywnym sposobem uzyskiwania informacji o użytkowniku, a fałszowanie adresu IP jest jego centralną częścią.

Dlaczego podszywanie się pod IP jest niebezpieczne dla Twojej witryny i użytkowników

Ponieważ spoofing IP to coś, co dzieje się na niskim poziomie sieci, stanowi zagrożenie dla prawie każdego użytkownika w Internecie.

Wyłudzanie informacji i podszywanie się idą w parze. A dobry atak polegający na podszywaniu się nie będzie przedstawiał się jako próba wyłudzenia informacji. Oznacza to, że użytkownicy nie będą mieli żadnych wskazówek, aby zachować ostrożność i w rezultacie mogą przekazać poufne informacje.

Głównym celem będą elementy krytyczne dla biznesu, takie jak systemy bezpieczeństwa i zapory. Dlatego bezpieczeństwo witryny jest dla wielu problemem numer jeden. Nie tylko musisz zaimplementować wystarczającą funkcjonalność, aby złagodzić atak, ale musisz również upewnić się, że użytkownicy Twojej sieci są czujni i stosują dobre praktyki bezpieczeństwa.

Jednak jeden aspekt spoofingu IP sprawia, że ​​ograniczenie go jest mniej proste: technika ta ma wiele uzasadnionych przypadków użycia w sieci.

Uzasadnione zastosowania do podszywania się pod IP

Ponieważ fałszowanie adresów IP ma wiele przypadków niezłośliwych zastosowań, niewiele można zrobić, aby uniemożliwić innym korzystanie z niego.

Na przykład tysiące „etycznych hakerów” poszukuje systemów dla firm. Ten rodzaj etycznego hakowania jest usankcjonowanym naruszeniem systemu, mającym na celu przetestowanie zasobów i siły bezpieczeństwa.

Będzie to przebiegać zgodnie z tym samym procesem, co złośliwe hakowanie. Użytkownik będzie wykonywał prace rozpoznawcze na celu, uzyska i utrzyma dostęp do systemu oraz zamaskuje jego penetrację.

Często zdarza się, że nieetyczni hakerzy przechodzą na etyczne typy i znajdują zatrudnienie w firmach, które w przeszłości mogli uważać za cel. Możesz nawet znaleźć oficjalne egzaminy i certyfikaty, które pomogą Ci zdobyć odpowiednie referencje.

Niektóre firmy będą również wykorzystywać spoofing IP w ćwiczeniach symulacyjnych niezwiązanych z naruszeniami systemu. Na przykład masowe wysyłki są dobrym przykładem użycia dla tysięcy adresów IP i wszystkie będą musiały zostać utworzone poprzez (uzasadnione) fałszowanie.

Testy rejestracji użytkowników również wykorzystują spoofing IP do symulacji wyników. Każda sytuacja, w której trzeba symulować wielu użytkowników, jest idealnym przypadkiem etycznego fałszowania adresów IP.

Dlaczego nie można zapobiec podszywaniu się pod IP?

Ponieważ spoofing jest tak trudny do wykrycia, a natura tej metody polega na ukryciu prawdziwej tożsamości, niewiele można zrobić, aby temu zapobiec. Możesz jednak zminimalizować ryzyko i zanegować wpływ.

Należy zauważyć, że użytkownik końcowy (tj. komputer po stronie klienta) nie może w żaden sposób przestać fałszować. Zadaniem zespołu po stronie serwera jest zapobieganie fałszowaniu adresów IP najlepiej, jak potrafią.

Istnieje kilka sposobów na dodawanie przeszkód między hakerem a potencjalnym celem. Niektóre z wymienionych do tej pory to:

• Korzystanie z bezpieczniejszego protokołu, takiego jak IPv6
• Zapewnienie bazy użytkowników zapewnia dobre indywidualne bezpieczeństwo podczas korzystania z witryny i sieci
• Wdrażanie SSL i SSH w Twojej witrynie

Możesz jednak zrobić więcej. Na przykład możesz użyć dedykowanej zapory sieciowej (WAF), takiej jak Sucuri, która pomoże „budować wysokie mury” wokół Twojej witryny.

Możesz także zaimplementować publiczną infrastrukturę krytyczną (PKI), aby pomóc w uwierzytelnianiu użytkowników i powiązanych danych. Opiera się to na kombinacji klucza prywatnego i publicznego do szyfrowania i odszyfrowywania danych. Ze względu na charakter szyfrowania hakerom znacznie trudniej jest włamać się.

Monitorowanie sieci to podstawowa technika, która może również pomóc w wykryciu oznak spoofingu IP lub powiązanych ataków. Może to przybierać różne formy, ale im lepiej znasz swój system, tym większa szansa na wykrycie złośliwych ataków.

Filtrowanie pakietów może również pomóc w zwalczaniu prób fałszowania adresów IP. Filtrowanie „przychodzące” i „wychodzące” sprawdza nagłówki źródłowe dla komunikacji przychodzącej i wychodzącej. Jeśli coś nie przejdzie przez ten filtr, nie wpłynie to na użytkowników w sieci.

Podobną techniką, która jest równie skuteczna, jest głęboka inspekcja pakietów (DPI). To, wraz z innymi tutaj metodami, można nawet połączyć, aby pomóc wzmocnić sieć lub serwer.

Streszczenie

Twój adres IP jest unikalny dla Ciebie, tak jak w przypadku każdego używanego obecnie komputera. Ten adres pomaga w realizacji wielu zadań, takich jak uwierzytelnianie, szyfrowanie i nie tylko. Co za tym idzie, sprawia to, że prawie każdy adres IP staje się celem hakerów lub przestępców.

Spoofing IP fałszuje wiarygodność adresu i wykorzystuje go do włamywania się do bezpiecznych sieci w celu uzyskania dalszych korzyści.

Naprawianie fałszowania adresów IP jest czymś poza kontrolą użytkownika końcowego i może być trudne również dla administratorów systemu. Ogólnie rzecz biorąc, możesz tylko złagodzić wpływ fałszowania adresów IP na twoją sieć, zamiast całkowicie je wyeliminować.

Mimo to istnieje wiele przeszkód, które możesz postawić na drodze potencjalnie złośliwemu użytkownikowi. Pomocne są typowe metody szyfrowania, podobnie jak dobra strategia zapory i monitorowania sieci.

Czy padłeś ofiarą spoofingu IP, a jeśli tak, jak rozwiązałeś tę sytuację? Podziel się swoimi przemyśleniami w sekcji komentarzy poniżej!