Модель TCP/IP и распространённые порты

Модель OSI (взаимодействия открытых систем) разделяет сетевое взаимодействие на семь уровней: Physical, Data Link, Network, Transport, Session, Presentation и Application. Каждый уровень выполняет отдельную функцию и взаимодействует только с непосредственно вышестоящим и нижестоящим уровнями. Средства защиты можно применять на любом уровне, поэтому понимание модели помогает определить, где действует конкретная атака или мера защиты. Мнемоническая фраза Please Do Not Throw Sausage Pizza Away помогает запомнить уровни снизу вверх.

Модель TCP/IP (также называемая моделью DoD) объединяет уровни OSI в четыре: Network Access (уровни OSI 1–2), Internet (уровень OSI 3), Transport (уровень OSI 4) и Application (уровни OSI 5–7). В большинстве практических задач сетевого взаимодействия и анализа безопасности используется терминология TCP/IP. Понимание соответствия между обеими моделями необходимо для Security+, поскольку в вопросах экзамена может использоваться любая из них при описании уровня, на котором действует атака или средство защиты.

IP-адреса однозначно идентифицируют устройства в сети. IPv4 использует 32-битные адреса, записываемые в десятичной точечной нотации (например, 192.168.1.10), а IPv6 — 128-битные адреса. Маска подсети определяет, какая часть адреса идентифицирует сеть, а какая — узел. Нотация CIDR (например, /24) позволяет компактно записывать маску подсети. Специалисты по безопасности используют подсети для сегментации сетей и ограничения потока трафика между зонами доверия.

Перед обменом данными по TCP трёхэтапное рукопожатие устанавливает соединение: Client отправляет SYN, сервер отвечает SYN-ACK, а Client завершает процесс сообщением ACK. Злоумышленники используют эту последовательность в DoS-атаках типа SYN flood, отправляя множество пакетов SYN и не завершая рукопожатие, из-за чего исчерпываются ресурсы сервера. Понимание нормального поведения рукопожатия помогает аналитикам обнаруживать аномалии в захваченных пакетах и журналах SIEM.

UDP (User Datagram Protocol) — это транспортный протокол без установления соединения, который отправляет пакеты, предварительно не устанавливая сеанс. Он работает быстрее, но менее надёжен, чем TCP, поскольку не предусматривает подтверждений или повторной передачи. Такие службы, как DNS, DHCP, NTP и SNMP, используют UDP, потому что низкая задержка важнее гарантированной доставки. К последствиям для безопасности относятся атаки с усилением на основе UDP, при которых небольшие запросы порождают большие ответы, перегружающие жертву.

Хорошо известные порты (0–1023) зарезервированы для распространённых служб и назначаются организацией IANA. Запомнить наиболее важные из них необходимо для экзамена Security+. Порт 22 — это SSH, порт 443 — HTTPS, порт 80 — HTTP, порт 25 — SMTP, а порт 53 — DNS. Знание порта, который использует служба, помогает аналитикам отличать легитимный трафик от атак и составлять точные правила брандмауэра.

Зарегистрированные порты (1024–49151) используются приложениями, которым нужен постоянный, но непривилегированный порт. Примеры: 3389 (RDP), 3306 (MySQL), 1433 (MSSQL) и 8080 (альтернативный HTTP). Dynamic (ephemeral) порты (49152–65535) временно назначаются операционной системой для соединений со стороны клиента. Иногда злоумышленники запускают вредоносные службы на портах с большими номерами, чтобы обойти правила брандмауэра, блокирующие только хорошо известные порты.

ICMP (Internet Control Message Protocol) используется для диагностики и передачи сообщений об ошибках. Команда ping использует запрос и ответ ICMP Echo, чтобы проверить доступность. Несмотря на полезность, ICMP может быть использован злоумышленниками: ping sweeps обнаруживают активные узлы, сообщения ICMP redirect могут изменять таблицы маршрутизации, а скрытые каналы позволяют передавать данные внутри полезной нагрузки ICMP. Многие организации блокируют ICMP на границе сети, разрешая его внутри сети для устранения неполадок.

ARP (Address Resolution Protocol) сопоставляет IP-адреса с MAC-адресами в локальном сегменте сети. Когда узлу нужно отправить трафик на 192.168.1.1, он широковещательно отправляет ARP-запрос: «У кого адрес 192.168.1.1?», — и владелец адреса отвечает своим MAC-адресом. В ARP отсутствует аутентификация, поэтому протокол уязвим для ARP spoofing (также называемого ARP poisoning): злоумышленник отправляет поддельные ARP-ответы и перенаправляет трафик через свой компьютер для проведения атак типа «человек посередине».

DNS (Domain Name System) преобразует понятные человеку имена узлов (www.example.com) в IP-адреса. DNS-запрос проходит через иерархию: клиент обращается к рекурсивному преобразователю, который затем обращается к корневым серверам, серверам TLD и авторитетным серверам имён. Последствия для безопасности значительны: DNS cache poisoning добавляет поддельные записи, DNS tunneling кодирует данные в запросах для их кражи или связи с серверами C2, а typosquatting регистрирует похожие домены для фишинга пользователей.

Два основных инструмента для анализа трафика TCP/IP — Wireshark и Nmap. Wireshark — это анализатор пакетов, который позволяет просматривать отдельные кадры, фильтровать их по протоколу и отслеживать потоки TCP для восстановления сеансов. Nmap — это сканер сети, который обнаруживает активные узлы, открытые порты, запущенные службы и версии операционных систем. Вместе эти инструменты дают специалистам по безопасности представление о том, какой трафик действительно проходит по сети, помогают обнаруживать аномалии и проверять, что правила брандмауэра работают как задумано.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что модели OSI и TCP/IP описывают сетевые уровни, на которых работают средства защиты; хорошо известные порты (0–1023) обозначают распространённые службы, и их необходимо запомнить для экзамена; а протоколы ARP, DNS и ICMP имеют уникальные риски для безопасности, включая подмену, отравление кэша и туннелирование. Далее мы рассмотрим брандмауэры и то, как они фильтруют сетевой трафик.