Snowblind на подслушвателите
November 25th, 2009 от singu
Със snowblind се означава атака, насочена срещу IDS или мониторинг система по принцип, като се претоварва самата наблюдаваща система, в резултат на което действителната атака остава незабелязана. Обикновено се търсят начини подобно “заслепяване” да бъде направено без това да причини задръстване на комуникационния канал на целта. Типичен пример е, ако имаме IDS/IPS настроен да логва пълните пакети на диска ( и разбира се знаем кои точно пакети се логват ), лесно може да генерираме достатъчно трафик, който да претовари дисковата подсистема ( особено ако разполагаме с 1 Gb връзка ), но все пак мрежата ще има достатъчно свободен ресурс да пренесе и реалната атака.
Та експерти от Пенсилванския университет са анализирали американският ANSI Standard J-STD-025, който описва как прехваната информация се препраща от доставчика на услуга към силовото министерство/заинтересувана държавна организация ( да, това е същият този “пасивен интерфейс”, за който говори Делян ). Откритието е, че комуникационните канали са дефинирани доста тесни – 64 кб/с ( което за 90-те, когато е писан стандарта си е било ехееее ) и лесно могат да бъдат претоварени като се генерирарат например множество едновременни VoIP обаждания или SMS, като по този начин се прикрива истинският трафик на наблюдаваният потребител. Разбира се, подобен фокус определено не е незабележим и най-вероятно ще последват други “репресивни действия”, но все пак е начин да прекарате системата. Интересно дали в България ще се опитат да използват нещо подобно на този стандарт, което е също така податливо…
За повече информация – ето публикацията.
Подобни статии:
