TCP/IP-modellen og vanlige porter

OSI-modellen (Open Systems Interconnection) deler nettverkskommunikasjon inn i sju lag: fysisk lag, datalinklag, nettverkslag, transportlag, sesjonslag, presentasjonslag og applikasjonslag. Hvert lag har et eget formål og kommuniserer bare med lagene rett over og under seg. Sikkerhetskontroller kan brukes på alle lag, så forståelse av modellen gjør det lettere å identifisere hvor et bestemt angrep eller forsvarstiltak opererer. Huskeregelen Please Do Not Throw Sausage Pizza Away hjelper Dem med å huske lagene nedenfra og opp.

TCP/IP-modellen (også kalt DoD-modellen) samler OSI-lagene i fire lag: nettverkstilgang (OSI-lag 1–2), Internett (OSI-lag 3), transport (OSI-lag 4) og applikasjon (OSI-lag 5–7). I de fleste praktiske nettverks- og sikkerhetsanalyser brukes TCP/IP-terminologi. Det er viktig å forstå samsvaret mellom de to modellene for Security+, fordi eksamensoppgaver kan vise til hvilken som helst av dem når de beskriver hvor et angrep eller en kontroll opererer.

IP-adresser identifiserer enheter entydig i et nettverk. IPv4 bruker 32-biters adresser skrevet med punktumdelt desimalnotasjon (for eksempel 192.168.1.10), mens IPv6 bruker 128-biters adresser. En subnettmaske bestemmer hvilken del av en adressen som identifiserer nettverket, og hvilken del som identifiserer verten. CIDR-notasjon (for eksempel /24) uttrykker subnettmasken på en kompakt måte. Sikkerhetseksperter bruker subnett til å segmentere nettverk og begrense trafikkflyten mellom tillitssoner.

Før data utveksles over TCP, oppretter et treveishåndtrykk en forbindelse: Klienten sender en SYN, serveren svarer med en SYN-ACK, og klienten fullfører prosessen med en ACK. Angripere utnytter denne sekvensen i SYN flood-DoS-angrep ved å sende mange SYN-pakker uten å fullføre håndtrykket, slik at serverens ressurser tømmes. Forståelse av normal håndtrykksatferd hjelper analytikere med å oppdage avvik i pakkefangster og SIEM-logger.

UDP (User Datagram Protocol) er en tilkoblingsløs transportprotokoll som sender pakker uten å opprette en økt først. Den er raskere, men mindre pålitelig enn TCP fordi det ikke finnes noen bekreftelse eller retransmisjon. Tjenester som DNS, DHCP, NTP og SNMP bruker UDP fordi lav forsinkelse er viktigere enn garantert levering. Sikkerhetsmessige konsekvenser omfatter UDP-baserte forsterkningsangrep, der små forespørsler genererer store svar som overbelaster ofrene.

Velkjente porter (0–1023) er reservert for vanlige tjenester og tildeles av IANA. Det er viktig å kunne de viktigste utenat til Security+-eksamenen. Port 22 er SSH, port 443 er HTTPS, port 80 er HTTP, port 25 er SMTP, og port 53 er DNS. Når analytikere vet hvilken port en tjeneste bruker, kan de skille legitim trafikk fra angrep og skrive nøyaktige brannmurregler.

Registrerte porter (1024–49151) brukes av applikasjoner som krever en fast, men ikke-privilegert port. Eksempler er 3389 (RDP), 3306 (MySQL), 1433 (MSSQL) og 8080 (alternativ HTTP-port). Dynamiske (flyktige) porter (49152–65535) tildeles midlertidig av operativsystemet til klienttilkoblinger. Angripere kjører noen ganger ondsinnede tjenester på porter med høye portnumre for å unngå brannmurregler som bare blokkerer velkjente porter.

ICMP (Internet Control Message Protocol) brukes til diagnostikk og feilrapportering. Kommandoen ping bruker ICMP Echo Request/Reply til å teste om en vert kan nås. ICMP er nyttig, men kan utnyttes: ping-sveip finner aktive verter, ICMP-redirect-meldinger kan manipulere rutingtabeller, og skjulte kanaler kan tunnelere data i ICMP-nyttelaster. Mange organisasjoner blokkerer ICMP ved perimeterskillet, samtidig som de tillater det internt for feilsøking.

ARP (Address Resolution Protocol) knytter IP-adresser til MAC-adresser på et lokalt nettverkssegment. Når en vert vil sende trafikk til 192.168.1.1, kringkaster den en ARP-forespørsel som spør «Who has 192.168.1.1?», og eieren svarer med MAC-adressen sin. ARP har ingen autentisering, noe som gjør protokollen sårbar for ARP-spoofing (også kalt ARP-forgiftning), der en angriper sender falske ARP-svar for å omdirigere trafikken gjennom sin egen maskin og utføre man-in-the-middle-angrep.

DNS (Domain Name System) oversetter menneskelesbare vertsnavn (www.example.com) til IP-adresser. Et DNS-oppslag går gjennom et hierarki: Klienten spør en rekursiv resolver, som spør rotservere, deretter TLD-servere og til slutt autoritative navneservere. Sikkerhetskonsekvensene er betydelige: DNS-bufferforgiftning setter inn falske oppføringer, DNS-tunnelering koder data i forespørsler for å eksfiltrere data eller nå C2-servere, og typosquatting innebærer å registrere domenenavn som ligner på legitime navn, for å lure brukere gjennom phishing.

To viktige verktøy for analyse av TCP/IP-trafikk er Wireshark og Nmap. Wireshark er en pakkeanalysator som lar Dem undersøke individuelle rammer, filtrere etter protokoll og følge TCP-strømmer for å rekonstruere økter. Nmap er en nettverksskanner som identifiserer aktive verter, åpne porter, kjørende tjenester og OS-versjoner. Til sammen gir de sikkerhetseksperter innsikt i hva som faktisk passerer gjennom et nettverk, slik at de kan oppdage avvik og bekrefte at brannmurreglene fungerer som de skal.

I denne leksjonen har De lært at OSI- og TCP/IP-modellene beskriver nettverkslag der sikkerhetskontroller fungerer, at velkjente porter (0–1023) identifiserer vanlige tjenester og må læres utenat til eksamen, og at protokoller som ARP, DNS og ICMP har unike sikkerhetsrisikoer, blant annet spoofing, bufferforgiftning og tunnelering. Neste tema er brannmurer og hvordan de filtrerer nettverkstrafikk.