spoofing IP nadawcy

Spoofing IP nadawcy to fałszowanie adresu źródłowego pakietów sieciowych, utrudniające identyfikację atakującego.

Na czym polega spoofing IP nadawcy

Spoofing IP nadawcy, nazywany także fałszowaniem źródłowego adresu IP, polega na umieszczeniu w nagłówku pakietu sieciowego adresu, który nie identyfikuje rzeczywistego urządzenia wysyłającego dane. Adres źródłowy znajduje się w nagłówku protokołu IP i jest używany przez urządzenia sieciowe do kierowania odpowiedzi oraz obsługi ruchu. Jego wartość może zostać zmieniona przez oprogramowanie generujące pakiety, sterownik, urządzenie sieciowe albo system znajdujący się na drodze transmisji.

Fałszowanie adresu IP nie oznacza automatycznie przejęcia komputera ani uzyskania dostępu do konta. Jest techniką modyfikowania informacji identyfikacyjnej w ruchu sieciowym. Jej skuteczność zależy od rodzaju komunikacji, filtrów stosowanych przez routery i zapory oraz od tego, czy mechanizm wymaga poprawnej komunikacji dwukierunkowej. W wielu połączeniach odpowiedź zostanie wysłana do podstawionego adresu, dlatego urządzenie fałszujące nie otrzyma jej bez dodatkowego wpływu na trasę ruchu.

Dlaczego fałszywy adres utrudnia analizę ruchu

Adres źródłowy IP jest jednym z podstawowych elementów widocznych w logach routerów, zapór sieciowych i serwerów. Jeżeli pakiet zawiera podrobiony adres, sam wpis w dzienniku nie wystarcza do ustalenia, z którego urządzenia fizycznie rozpoczęła się transmisja. Analiza wymaga wtedy porównania wielu informacji: czasu, kierunku ruchu, interfejsu wejściowego, numerów portów, identyfikatorów połączeń oraz danych z urządzeń znajdujących się wcześniej na trasie.

W przypadku protokołu TCP spoofing jest trudniejszy do wykorzystania w pełnej sesji, ponieważ komunikacja obejmuje między innymi numery sekwencyjne i potwierdzenia. Urządzenie inicjujące połączenie musi przewidzieć lub uzyskać odpowiedzi potrzebne do dalszej wymiany danych, a odpowiedzi mogą trafić pod sfałszowany adres. Protokół UDP nie ustanawia sesji w taki sam sposób, więc podrobiony adres źródłowy może być łatwiejszy do zastosowania przy wysyłaniu pojedynczych datagramów, zapytań albo dużej liczby krótkich komunikatów.

Spoofing może również powodować, że komputer lub router odpowie na ruch, którego faktyczny nadawca nie kontroluje. W ten sposób można wykorzystać urządzenia odpowiadające większym komunikatem niż otrzymane zapytanie. Zjawisko to określa się jako odbicie i wzmocnienie ruchu. Samo fałszowanie adresu nie tworzy jednak takiego mechanizmu; konieczne jest istnienie usługi, która przyjmuje pakiet i odsyła odpowiedź pod wskazany adres.

Filtry wejściowe i rozpoznawanie niespójności

Podstawową metodą ograniczania spoofingu jest filtrowanie źródłowych adresów IP zgodnie z miejscem, z którego pakiet może legalnie nadejść. Router na brzegu sieci może odrzucać pakiety z prywatnymi adresami źródłowymi otrzymane od strony Internetu, a router sieci lokalnej może blokować adresy, które nie należą do przypisanej podsieci. Takie reguły są przykładem filtrowania wejściowego i wyjściowego. Ich dokładny zakres powinien odpowiadać rzeczywistej topologii sieci, ponieważ zbyt szerokie reguły mogą blokować poprawny ruch.

Przy analizie podejrzanego zdarzenia warto sprawdzać, czy adres źródłowy pasuje do interfejsu, przez który pakiet wszedł do urządzenia, oraz czy zachowanie pakietów tworzy logiczną sesję. Niespójność może polegać na pojawieniu się adresu prywatnego poza siecią lokalną, nagłej zmianie źródła w ramach jednego połączenia, braku oczekiwanych odpowiedzi TCP albo występowaniu ruchu z adresem należącym do innego segmentu. Pomocne są przechwycenia pakietów wykonane na kilku punktach sieci, ponieważ pojedynczy log może przedstawiać tylko fragment zdarzenia.

Nie należy utożsamiać spoofingu IP z fałszowaniem nazwy domeny, adresu nadawcy wiadomości elektronicznej ani z podmianą adresu MAC. Są to odrębne warstwy i mechanizmy. Adres IP opisuje logiczny punkt w sieci, adres MAC identyfikuje interfejs w lokalnym segmencie Ethernet, a nazwa domeny jest tłumaczona na adres przez system DNS. W praktycznej diagnostyce trzeba więc ustalić, który element został zmieniony, zamiast traktować każdy fałszywy identyfikator jako ten sam rodzaj ataku.

Diagnostyka połączeń z podejrzanym adresem źródłowym

Diagnostyka powinna rozpocząć się od ustalenia, czy problem dotyczy pojedynczego komputera, routera, całej sieci lokalnej czy ruchu obserwowanego dopiero po stronie zewnętrznego serwera. Należy zebrać dokładny czas zdarzenia, adresy źródłowe i docelowe, protokół transportowy, porty oraz kierunek transmisji. Warto także sprawdzić konfigurację interfejsów sieciowych, tablicę routingu i reguły zapory. Sam fakt, że serwer odnotował nietypowy adres, nie dowodzi jeszcze, że lokalny komputer go wygenerował.

Jeżeli podejrzenie dotyczy domowego lub biurowego laptopa albo komputera PC, analizuje się aktywne połączenia, procesy korzystające z sieci, ustawienia routera i aktualność oprogramowania układowego. Przechwycenie pakietów pozwala porównać nagłówki IP z ruchem widocznym na interfejsie lokalnym. Gdy fałszywy adres pojawia się już na wyjściu komputera, trzeba sprawdzić system i aplikacje generujące ruch. Jeżeli na komputerze widoczny jest prawidłowy adres, a inny pojawia się dopiero dalej, uwagę kieruje się na router, urządzenie pośrednie albo operatora sieci.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, gdy podejrzane zachowanie sieciowe wymaga sprawdzenia konfiguracji systemu, sterowników lub lokalnego sprzętu. Wnioski powinny wynikać z przechwyconych danych i logów, a nie wyłącznie z nazwy adresu widocznej w pojedynczym komunikacie.