Model TCP/IP i popularne porty

Model OSI (Open Systems Interconnection) dzieli komunikację sieciową na siedem warstw: fizyczną, łącza danych, sieciową, transportową, sesji, prezentacji i aplikacji. Każda warstwa ma odrębne zadanie i komunikuje się wyłącznie z warstwami znajdującymi się bezpośrednio nad nią i pod nią. Mechanizmy bezpieczeństwa można stosować na dowolnej warstwie, dlatego znajomość tego modelu pomaga określić, gdzie działa dany atak lub mechanizm obronny. Mnemonik Please Do Not Throw Sausage Pizza Away pomaga zapamiętać warstwy od dołu do góry.

Model TCP/IP (nazywany również modelem DoD) łączy warstwy modelu OSI w cztery: dostępu do sieci (warstwy OSI 1–2), Internetu (warstwa OSI 3), transportową (warstwa OSI 4) i aplikacji (warstwy OSI 5–7). W większości analiz rzeczywistych sieci i ich bezpieczeństwa stosuje się terminologię TCP/IP. Zrozumienie odwzorowania między tymi modelami jest niezbędne na egzaminie Security+, ponieważ pytania mogą odwoływać się do dowolnego z nich, opisując miejsce działania ataku lub mechanizmu zabezpieczającego.

Adresy IP jednoznacznie identyfikują urządzenia w sieci. IPv4 używa adresów 32-bitowych zapisywanych w notacji dziesiętnej z kropkami (np. 192.168.1.10), natomiast IPv6 używa adresów 128-bitowych. Maska podsieci określa, która część adresu identyfikuje sieć, a która hosta. Notacja CIDR (np. /24) pozwala zwięźle zapisać maskę podsieci. Specjaliści ds. bezpieczeństwa używają podsieci do segmentowania sieci i ograniczania przepływu ruchu między strefami zaufania.

Zanim dane zostaną przesłane przez TCP, trójetapowe uzgadnianie ustanawia połączenie: klient wysyła pakiet SYN, serwer odpowiada pakietem SYN-ACK, a klient kończy proces pakietem ACK. Atakujący wykorzystują tę sekwencję w atakach DoS typu SYN flood, wysyłając wiele pakietów SYN bez ukończenia uzgadniania i wyczerpując zasoby serwera. Znajomość prawidłowego przebiegu uzgadniania pomaga analitykom wykrywać anomalie w przechwyconych pakietach i dziennikach SIEM.

UDP (User Datagram Protocol) to bezpołączeniowy protokół transportowy, który wysyła pakiety bez wcześniejszego ustanawiania sesji. Jest szybszy, ale mniej niezawodny niż TCP, ponieważ nie korzysta z potwierdzeń ani retransmisji. Usługi takie jak DNS, DHCP, NTP i SNMP używają UDP, ponieważ małe opóźnienia są ważniejsze niż gwarancja dostarczenia. Implikacje bezpieczeństwa obejmują ataki amplifikacyjne oparte na UDP, w których niewielkie żądania generują duże odpowiedzi przeciążające ofiary.

Porty dobrze znane (0–1023) są zarezerwowane dla typowych usług i przydzielane przez IANA. Zapamiętanie najważniejszych z nich jest niezbędne na egzaminie Security+. Port 22 to SSH, port 443 to HTTPS, port 80 to HTTP, port 25 to SMTP, a port 53 to DNS. Wiedza o tym, z którego portu korzysta dana usługa, pomaga analitykom odróżniać prawidłowy ruch od ataków i tworzyć precyzyjne reguły zapory sieciowej.

Porty zarejestrowane (1024–49151) są używane przez aplikacje, które wymagają stałego, ale nieuprzywilejowanego portu. Przykłady to 3389 (RDP), 3306 (MySQL), 1433 (MSSQL) i 8080 (alternatywny port HTTP). Porty dynamiczne (efemeryczne) (49152–65535) są tymczasowo przydzielane przez system operacyjny połączeniom po stronie klienta. Atakujący czasami uruchamiają złośliwe usługi na portach o wysokich numerach, aby ominąć reguły zapory blokujące tylko porty dobrze znane.

ICMP (Internet Control Message Protocol) służy do diagnostyki i raportowania błędów. Polecenie ping używa komunikatów ICMP Echo Request/Reply do sprawdzania dostępności. Choć ICMP jest przydatny, może zostać wykorzystany do ataku: ping sweeps umożliwiają wykrywanie aktywnych hostów, komunikaty ICMP redirect mogą modyfikować tablice routingu, a kanały ukryte mogą tunelować dane w ładunkach ICMP. Wiele organizacji blokuje ICMP na brzegu sieci, jednocześnie zezwalając na niego wewnątrz sieci w celu rozwiązywania problemów.

ARP (Address Resolution Protocol) odwzorowuje adresy IP na adresy MAC w obrębie lokalnego segmentu sieci. Gdy host chce wysłać ruch do 192.168.1.1, rozgłasza żądanie ARP z pytaniem „Kto ma 192.168.1.1?”, a właściciel tego adresu odpowiada swoim adresem MAC. ARP nie zapewnia uwierzytelniania, dlatego jest podatny na ARP spoofing (nazywany również zatruciem ARP), w którym atakujący wysyła fałszywe odpowiedzi ARP, aby przekierować ruch przez swoją maszynę i przeprowadzić atak man-in-the-middle.

DNS (Domain Name System) tłumaczy przyjazne dla człowieka nazwy hostów (www.example.com) na adresy IP. Zapytanie DNS przechodzi przez hierarchię: klient wysyła zapytanie do rekursywnego resolvera, który następnie pyta serwery główne, serwery TLD, a na końcu autorytatywne serwery nazw. Implikacje bezpieczeństwa są istotne: zatrucie pamięci podręcznej DNS wstawia fałszywe rekordy, tunelowanie DNS koduje dane w zapytaniach w celu eksfiltracji danych lub połączenia z serwerami C2, a typosquatting polega na rejestrowaniu łudząco podobnych domen w celu wyłudzania danych od użytkowników.

Dwa niezbędne narzędzia do analizowania ruchu TCP/IP to Wireshark i Nmap. Wireshark to analizator pakietów, który umożliwia inspekcję pojedynczych ramek, filtrowanie według protokołu oraz śledzenie strumieni TCP w celu odtworzenia sesji. Nmap to skaner sieci identyfikujący aktywne hosty, otwarte porty, uruchomione usługi i wersje systemów operacyjnych. Razem zapewniają specjalistom ds. bezpieczeństwa wgląd w rzeczywisty ruch przechodzący przez sieć, umożliwiając wykrywanie anomalii i potwierdzanie, że reguły zapory działają zgodnie z założeniami.

W tej lekcji poznali Państwo następujące zagadnienia: modele OSI i TCP/IP opisują warstwy sieci, w których działają mechanizmy bezpieczeństwa; porty dobrze znane (0–1023) identyfikują typowe usługi i trzeba je zapamiętać na egzamin; natomiast protokoły takie jak ARP, DNS i ICMP wiążą się z unikatowymi zagrożeniami, w tym spoofingiem, zatruciem pamięci podręcznej i tunelowaniem. W następnej części omówimy zapory sieciowe oraz sposób filtrowania przez nie ruchu sieciowego.