Jak nazywamy atak na sieć komputerową polegający na podszywaniu się pod inny komputer, np. przez fałszowanie adresu IP nadawcy?
A. nasłuchiwanie
B. spoofing
C. ICMP echo
D. skanowanie sieci
Spoofing to właściwa nazwa ataku polegającego na podszywaniu się pod inny komputer, użytkownika albo usługę. W podanym przykładzie chodzi głównie o IP spoofing, czyli fałszowanie adresu IP nadawcy w pakietach sieciowych. Atakujący próbuje wtedy wyglądać tak, jakby ruch pochodził z zaufanego hosta, np. z serwera w tej samej podsieci albo z adresu dopuszczonego przez reguły zapory. W praktyce spoofing może dotyczyć nie tylko IP, ale też ARP, DNS, MAC czy poczty e-mail. Moim zdaniem warto to kojarzyć z jednym słowem: podszywanie. Dobre praktyki branżowe mówią, żeby ograniczać takie ryzyko przez filtrowanie pakietów na routerach i firewallach, mechanizmy anti-spoofing, DHCP snooping, Dynamic ARP Inspection, segmentację VLAN, uwierzytelnianie usług oraz stosowanie szyfrowanych protokołów, np. SSH, TLS czy IPsec. W sieciach operatorów stosuje się też filtrowanie zgodne z zaleceniami BCP 38, żeby pakiety z fałszywymi adresami źródłowymi nie wychodziły poza daną sieć. To jest bardzo praktyczna wiedza, bo spoofing często jest elementem większych ataków, np. przechwytywania sesji, omijania prostych list kontroli dostępu albo ataków DDoS z ukryciem prawdziwego źródła.
W tym pytaniu łatwo pomylić kilka pojęć, bo wszystkie brzmią sieciowo i faktycznie występują przy analizie bezpieczeństwa. Skanowanie sieci polega na sprawdzaniu, jakie hosty, porty i usługi są dostępne w danym zakresie adresów. Narzędzia typu Nmap mogą wykrywać otwarte porty TCP, aktywne hosty albo wersje usług, ale samo skanowanie nie oznacza podszywania się pod inny komputer. Może być legalnym elementem audytu, diagnostyki i inwentaryzacji, o ile jest wykonywane za zgodą administratora. Nasłuchiwanie, często nazywane sniffingiem, to przechwytywanie i analizowanie ruchu sieciowego, np. w Wiresharku. Tutaj atakujący raczej obserwuje pakiety, hasła przesyłane otwartym tekstem albo nagłówki protokołów, ale nie musi fałszować adresu nadawcy. ICMP echo to z kolei mechanizm używany między innymi przez polecenie ping. Służy do sprawdzania osiągalności hosta i czasu odpowiedzi, więc jest bardziej związany z diagnostyką niż z nazwą ataku polegającego na podszywaniu. Owszem, ICMP bywa wykorzystywany w nadużyciach, na przykład przy rozpoznaniu sieci albo niektórych atakach DDoS, ale sam termin ICMP echo nie opisuje fałszowania tożsamości. Typowy błąd myślowy polega na tym, że ktoś widzi adres IP i od razu kojarzy temat z pingiem albo skanowaniem. Tutaj kluczowe jest jednak słowo podszywanie, a ono w bezpieczeństwie sieciowym prowadzi właśnie do pojęcia spoofing.