spoofing z publicznych serwerów

Spoofing z publicznych serwerów wykorzystuje ogólnodostępną infrastrukturę do ukrycia tożsamości atakującego.

Na czym polega spoofing z publicznych serwerów

Spoofing z publicznych serwerów to sposób prowadzenia komunikacji sieciowej, w którym osoba atakująca korzysta z ogólnodostępnych zasobów internetowych, aby utrudnić ustalenie prawdziwego źródła ruchu. Publicznym serwerem może być między innymi otwarty serwer proxy, błędnie skonfigurowany serwer pośredniczący, przejęty host dostępny w centrum danych albo usługa umożliwiająca przekazywanie żądań dalej do wskazanego celu. Taki serwer nie musi należeć do atakującego. Może zostać wykorzystany dlatego, że przyjmuje połączenia od dowolnego klienta, został niewłaściwie zabezpieczony albo działa na nim wcześniej zainstalowane złośliwe oprogramowanie.

Samo użycie publicznego serwera nie jest jeszcze spoofingiem. Istotą spoofingu jest podszywanie się pod inny adres, urządzenie, usługę, domenę, nadawcę lub element komunikacji. Publiczna infrastruktura może jednak ukrywać rzeczywisty punkt rozpoczęcia połączenia. W dzienniku serwera docelowego jako adres źródłowy może pojawić się adres serwera pośredniczącego, a nie adres komputera, z którego przygotowano atak. Jeżeli po drodze wykorzystano kilka niezależnych hostów, analiza pojedynczego wpisu w logu nie wystarcza do odtworzenia całej ścieżki.

Adres źródłowy, proxy i przekazywanie ruchu

W sieciach opartych na protokole IP urządzenie odbierające pakiety korzysta z adresu źródłowego umieszczonego w nagłówku pakietu. W określonych rodzajach spoofingu ten adres może zostać zmieniony lub sfałszowany. Nie każdy taki pakiet pozwala jednak na dwukierunkową komunikację. W protokole TCP odbiorca wysyła odpowiedź na wskazany adres źródłowy, dlatego bez kontroli nad tym adresem atakujący często nie otrzyma odpowiedzi. Z tego powodu publiczny serwer pośredniczący bywa używany nie do prostego podmienienia pola adresu, lecz do przekazania całej sesji sieciowej.

Proxy działające w trybie przekazywania odbiera żądanie od jednego klienta, nawiązuje własne połączenie z serwerem docelowym i przesyła dalej dane aplikacyjne. Dla celu widoczny jest wtedy adres proxy. W zależności od protokołu i konfiguracji proxy może także przekazywać nagłówki HTTP, takie jak Forwarded lub X-Forwarded-For, zawierające adres wcześniejszego klienta. Nie są one jednak kryptograficznym dowodem pochodzenia połączenia, ponieważ ich treść może zostać zmieniona przez pośrednika. Wiarygodność takiej informacji zależy od tego, czy pochodzi ona z kontrolowanego i zaufanego elementu infrastruktury.

Ślady w logach i ograniczenia identyfikacji

Rozpoznanie spoofingu z publicznych serwerów wymaga porównania wielu źródeł danych. Przydatne są między innymi czasy połączeń, adresy IP, porty źródłowe, identyfikatory sesji, wartości nagłówków, przebieg przekierowań DNS oraz powtarzalność żądań. Ważne jest również sprawdzenie, czy adres źródłowy należy do centrum danych, otwartego proxy, sieci anonimizującej albo dostawcy usług chmurowych. Sam fakt użycia adresu należącego do serwera publicznego nie przesądza jednak o ataku, ponieważ legalne aplikacje również korzystają z usług pośredniczących i sieci dostarczania treści.

Podrobiony adres źródłowy może powodować niespójności widoczne w warstwie transportowej. Przykładem jest pakiet TCP z adresem, z którego nie następuje późniejsze potwierdzenie, albo ruch UDP, w którym brak ustanawiania sesji ułatwia wysyłanie pakietów z fałszywym adresem nadawcy. Przy analizie trzeba odróżnić spoofing adresu IP od podszywania się na poziomie aplikacji. Fałszywy adres w pakiecie, zmanipulowany nagłówek HTTP, sfałszowana wiadomość DNS i podrobiony adres nadawcy poczty to różne zjawiska, choć mogą występować w jednym łańcuchu działania. Skuteczne ustalenie źródła wymaga danych z urządzeń pośredniczących, a nie tylko logu końcowego serwera.

Objawy na komputerze i zakres diagnostyki

Na laptopie lub komputerze PC skutki wykorzystania spoofingu mogą być pośrednie. Może pojawić się przekierowanie do innej witryny, komunikat o nieoczekiwanym certyfikacie, niestabilne działanie połączenia, powtarzające się próby logowania albo ruch sieciowy nawiązujący połączenia z nieznanymi adresami. Żaden z tych objawów samodzielnie nie potwierdza spoofingu. Podobne zachowanie mogą powodować błędne ustawienia DNS, zainstalowane rozszerzenie przeglądarki, złośliwy program, awaria routera lub problem po stronie dostawcy internetu. Diagnostyka powinna obejmować ustalenie, które aplikacje inicjują połączenia, jakie adresy są rozwiązywane przez DNS oraz czy problem występuje w jednej sieci, czy również po zmianie punktu dostępu.

Warszawskie Pogotowie Komputerowe świadczy usługi naprawy laptopów, komputerów PC i podzespołów. W przypadku podejrzenia, że nietypowe zachowanie urządzenia ma związek z ruchem sieciowym, podstawą jest zabezpieczenie istotnych informacji diagnostycznych, zapisanie dokładnych komunikatów i określenie czasu występowania problemu. Pozwala to oddzielić usterkę sprzętową od problemu systemowego lub sieciowego i ograniczyć ryzyko wyciągnięcia wniosku wyłącznie na podstawie jednego adresu IP.