Asosiy tarmoq hujumlari
Mamlakatimiz siyosatining ustuvor yo‘nalishlariga kiritilgan kompyuter va axborot texnologiyalari,
telekomunikatsiya, ma’lumotlarni uzatish tarmoqlari, Internet xizmatlaridan foydalanish rivojlanmoqda va
modernizatsiyalashmoqda. Jamiyatimizning barcha sohalariga kundalik hayotimizga zamonaviy axborot
texnologiyalarini keng joriy etish istiqboldagi maqsadlarimizga erishishni ta’minlaydi. Har bir soha faoliyatida
Internet tarmog‘idan foydalanish ish unumdorligini oshirmoqda. Aynan tarmoqdan foydalangan holda tezkor
ma’lumot almashish vaqtdan yutish imkonini beradi. Xususan, yurtimizda Elektron hukumat tizimi
shakllantirilishi va uning zamirida davlat boshqaruv organlari hamda aholi o‘rtasidagi o‘zaro aloqaning
mustahkamlanishini tashkil etish tarmoqdan foydalangan holda amalga oshadi. Tarmoqdan samarali
foydalanish demokratik axborotlashgan jamiyatni shakllantirishni ta’minlaydi. Bunday jamiyatda, axborot
almashinuv tezligi yuksaladi, axborotlarni yig‘ish, saqlash, qayta ishlash va ulardan foydalanish bo‘yicha
tezkor natijaga ega bo‘linadi. Biroq tarmoqqa noqonuniy kirish, axborotlardan foydalanish va o‘zgartirish,
yo‘qotish kabi muammolardan himoya qilish dolzarb masala bo‘lib qoldi. Ish faoliyatini tarmoq bilan
bog‘lagan korxona, tashkilotlar hamda davlat idoralari ma’lumot almashish uchun tarmoqqa bog‘lanishidan
oldin tarmoq xavfsizligiga jiddiy e’tibor qara-tishi kerak. Tarmoq xavfsizligi uzatilayotgan, saqlanayotgan va
qayta ishlanayotgan axborotni ishonchli tizimli tarzda ta’minlash maqsadida turli vositalar va usullarni
qo‘llash, choralarni ko‘rish va tadbirlarni amalga oshirish orqali amalga oshiriladi. Tarmoq xavsizligini
ta’minlash maqsadida qo‘llanilgan vosita xavf-xatarni tezda aniqlashi va unga nisbatan qarshi chora ko‘rishi
kerak.
Tarmoq xavfsizligiga tahdidlarning ko‘p turlari bor, biroq ular bir necha toifalarga bo‘linadi:
o
axborotni uzatish jarayonida hujum qilish orqali, eshitish va o‘zgartirish (Eavesdropping);
o
xizmat ko‘rsatishdan voz kechish; (Denial-of-service)
o
portlarni tekshirish (Port scanning).
Axborotni uzatish jarayonida, eshitish va o‘zgartirish hujumi bilan telefon aloqa liniyalari, internet orqali
tezkor xabar almashish, videokonferensiya va faks jo‘natmalari orqali amalga oshiriladigan axborot
almashinuvida foydalanuvchilarga sezdirmagan holatda axborotlarni tinglash, o‘zgartirish hamda to‘sib
qo‘yish mumkin. Bir qancha tarmoqni tahlillovchi protokollar orqali bu hujumni amalga oshirish mumkin.
Hujumni amalga oshiruvchi dasturiy ta’minotlar orqali CODEC (video yoki ovozli analog signalni raqamli
signalga aylantirib berish va aksincha) standartidagi raqamli tovushni osonlik bilan yuqori sifatli, ammo katta
hajmni egallaydigan ovozli fayllar (WAV)ga aylantirib beradi. Odatda bu hujumning amalga oshirilish
jarayoni foydalanuvchiga umuman sezilmaydi. Tizim ortiqcha zo‘riqishlarsiz va shovqinsiz belgilangan
amallarni bajaraveradi. Axborotning o‘g‘irlanishi haqida mutlaqo shubha tug‘ilmaydi. Faqatgina oldindan
ushbu tahdid haqida ma’lumotga ega bo‘lgan va yuborilayotgan axborotning o‘z qiymatini saqlab qolishini
xohlovchilar maxsus tarmoq xafvsizlik choralarini qo‘llash natijasida himoyalangan tarmoq orqali ma’lumot
almashish imkoniyatiga ega bo‘ladilar. Tarmoq orqali ma’lumot almashish mobaynida yuborilayotgan
axborotni eshitish va o‘zgartirishga qarshi bir necha samarali natija beruvchi texnologiyalar mavjud:
o
IPSec (Internet protocol security) protokoli;
o
VPN (Virtual Private Network) virtual xususiy tarmoq;
o
IDS (Intrusion Detection System) ruxsatsiz kirishlarni aniqlash tizimi.
Ipsec (Internet protocol security) bu xavfsizlik protokollari hamda shifrlash algoritmlaridan foydalangan holda
tarmoq orqali xavfsiz ma’lumot almashish imkonini beradi. Bu maxsus standart orqali tarmoqdagi
kompyuterlarning o‘zaro aloqasida dastur va ma’lumotlar hamda qurilmaviy vositalar bir-biriga mos kelishini
ta’minlaydi. Ipsec protokoli tarmoq orqali uzatilayotgan axborotning sirliligini, ya’ni faqatgina yubo-ruvchi
va qabul qiluvchiga tushunarli bo‘lishini, axborotning sofligini hamda paketlarni autentifikatsiyalashni amalga
oshiradi. Zamonaviy axborot texnologiyalarni qo‘llash har bir tashkilotning rivojlanishi uchun zaruriy vosita
bo‘lib qoldi, Ipsec protokoli esa aynan quyidagilar uchun samarali himoyani ta’minlaydi:
o
bosh ofis va filiallarni global tarmoq bilan bog‘laganda;
o
uzoq masofadan turib, korxonani internet orqali boshqarishda;
o
homiylar bilan bog‘langan tarmoqni himoyalashda;
o
elektron tijoratning xavfsizlik darajasini yuksaltirishda.
VPN (Virtual Private Network) virtual xususiy tarmoq sifatida ta’riflanadi. Bu texnologiya
foydalanuvchilar o‘rtasida barcha ma’lumotlarni almashish boshqa tarmoq doirasida ichki tarmoqni
shakllantirishga asoslangan, ishonchli himoyani ta’minlashga qaratilgan. VPN uchun tarmoq asosi sifatida
Internetdan foydalaniladi. VPN texnologiyasining afzalligi. Lokal tarmoqlarni umumiy VPN tarmog‘iga
birlashtirish orqali kam xarajatli va yuqori darajali himoyalangan tunelni qurish mumkin. Bunday tarmoqni
yaratish uchun sizga har bir tarmoq qismining bitta kompyuteriga filiallar o‘rtasida ma’lumot almashishiga
xizmat qiluvchi maxsus VPN shlyuz o‘rnatish kerak. Har bir bo‘limda axborot almashishi oddiy usulda
amalga oshiriladi. Agar VPN tarmog‘ining boshqa qismiga ma’lumot jo‘natish kerak bo‘lsa, bu holda barcha
ma’lumotlar shlyuzga jo‘natiladi. O‘z navbatida, shlyuz ma’lumotlarni qayta ishlashni amalga oshiradi,
ishonchli algoritm asosida shifrlaydi va Internet tarmog‘i orqali boshqa filialdagi shlyuzga jo‘natadi.
Belgilangan nuqtada ma’lumotlar qayta deshifrlanadi va oxirgi kompyuterga oddiy usulda uzatiladi.
Bularning barchasi foydalanuvchi uchun umuman sezilmas darajada amalga oshadi hamda lokal tarmoqda
ishlashdan hech qanday farq qilmaydi. Eavesdropping hujumidan foydalanib, tinglangan axborot tushunarsiz
bo‘ladi. Bundan tashqari, VPN alohida kompyuterni tashkilotning lokal tarmog‘iga qo‘shishning ajoyib usuli
hisoblanadi. Tasavvur qilamiz, xizmat safariga noutbukingiz bilan chiqqansiz, o‘z tarmog‘ingizga ulanish
yoki u yerdan biror-bir ma’lumotni olish zaruriyati paydo bo‘ldi. Maxsus dastur yordamida VPN shlyuz
bilan bog‘lanishingiz mumkin va ofisda joylashgan har bir ishchi kabi faoliyat olib borishigiz mumkin. Bu
nafaqat qulay, balki arzondir. VPN ishlash tamoyili. VPN tarmog‘ini tashkil etish uchun yangi qurilmalar va
dasturiy ta’minotdan tashqari ikkita asosiy qismga ham ega bo‘lish lozim: ma’lumot uzatish protokoli va
uning himoyasi bo‘yicha vositalar. Ruxsatsiz kirishni aniqlash tizimi (IDS) yordamida tizim yoki tarmoq
xavfsizlik siyosatini buzib kirishga harakat qilingan usul yoki vositalar aniqlanadi. Ruxsatsiz kirishlarni
aniqlash tizimlari deyarli chorak asrlik tarixga ega. Ruxsatsiz kirishlarni aniqlash tizimlarining ilk modellari
va prototiplari kompyuter tizimlarining audit ma’lumotlarini tahlillashdan foydalangan. Bu tizim ikkita
asosiy sinfga ajratiladi. Tarmoqqa ruxsatsiz kirishni aniqlash tizimi (Network Intrusion Detection System) va
kompyuterga ruxsatsiz kirishni aniqlash tizimiga (Host Intrusion Detection System) bo‘linadi.
IDS tizimlari arxitekturasi tarkibiga quyidagilar kiradi:
o
himoyalangan tizimlar xavfsizligi bilan bog‘liq holatlarni yig‘ib tahlillovchi sensor qism tizimi;
o
sensorlar ma’lumotlariga ko‘ra shubhali harakatlar va hujumlarni aniqlashga mo‘ljallangan tahlillovchi qism
tizimi;
o
tahlil natijalari va dastlabki holatlar haqidagi ma’lumotlarni yig‘ishni ta’minlaydigan omborxona;
o
IDS tizimini konfiguratsiyalashga imkon beruvchi, IDS va himoyalangan tizim holatini kuzatuvchi, tahlil qism
tizimlari aniqlagan mojarolarni kuzatuvchi boshqaruv konsoli.
Bu tizim ikkita asosiy sinfga ajratiladi. Tarmoqqa ruxsatsiz kirishni aniqlash tizimi (Network Intrusion
Detection System) va kompyuterga ruxsatsiz kirishni aniqlash tizimiga (Host Intrusion Detection System)
bo‘linadi. Tarmoqqa ruxsatsiz kirishni aniqlash tizimi (NIDS) ishlash tamoyili quyidagicha:
o
tarmoqqa kirish huquqiga ega bo‘lgan trafiklarni tekshiradi;
o
zararli va ruxsatga ega bo‘lmagan paketlarga cheklov qo‘yadi.
Sanab o‘tilgan xavfsizlik bosqichlarini qo‘llagan holda Eavesdropping tahdidiga qarshi samarali tarzda
himoyalanish mumkin.
DOS (Denial-of-service) tarmoq hujumning bu turi xizmat qilishdan voz kechish hujumi deb nomlanadi.
Bunda hujum qiluvchi legal foydalanuvchilarning tizim yoki xizmatdan foydalanishiga to‘sqinlik qilishga
urinadi. Tez-tez bu hujumlar infratuzilma resurslarini xizmatga ruxsat so‘rovlari bilan to‘lib toshishi orqali
amalga oshiriladi. Bunday hujumlar alohida xostga yo‘naltirilgani kabi butun tarmoqqa ham yo‘naltirilishi
mumkin. Hujumni amalga oshirishdan oldin obyekt to‘liq o‘rganilib chiqiladi, ya’ni tarmoq hujumlariga
qarshi qo‘llanilgan himoya vositalarining zaifligi yoki kamchliklari, qanday operatsion tizim o‘rnatilgan va
obyekt ish faoliyatining eng yuqori bo‘lgan vaqti. Quyidagilarni aniqlab va tekshirish natijalariga asoslanib,
maxsus dastur yoziladi. Keyingi bosqichda esa yaratilgan dastur katta mavqega ega bo‘lgan serverlarga
yuboriladi. Serverlar o‘z bazasidagi ro‘yxatdan o‘tgan foydalanuvchilarga yuboradi. Dasturni qabul qilgan
foydalanuvchi ishonchli server tomonidan yuborilganligini bilib yoki bilmay dasturni o‘rnatadi. Aynan shu
holat minglab hattoki, millionlab kompyuterlarda sodir bo‘lishi mumkin. Dastur belgilangan vaqtda barcha
kompyuterlarda faollashadi va to‘xtovsiz ravishda hujum qilinishi mo‘ljallangan obyektning serveriga
so‘rovlar yuboradi. Server tinimsiz kelayotgan so‘rovlarga javob berish bilan ovora bo‘lib, asosiy ish
faoliyatini yurgiza olmaydi. Server xizmat qilishdan voz kechib qoladi.
Xizmat qilishdan voz kechish hujumidan himoyalanishning eng samarali yo‘llari quyidagilar:
o
tarmoqlararo ekranlar texnologiyasi (Firewall);
o
IPsec protokoli.
Tarmoqlararo ekran ichki va tashqi perimetrlarning birinchi himoya qurilmasi hisoblanadi. Tarmoqlararo
ekran axborot-kommunikatsiya texnologiya (AKT)larida kiruvchi va chiquvchi ma’lumotlarni boshqaradi va
ma’lumotlarni filtrlash orqali AKT himoyasini ta’minlaydi, belgilangan mezonlar asosida axborot tekshiruvini
amalga oshirib, paketlarning tizimga kirishiga qaror qabul qiladi. Tarmoqlararo ekran tarmoqdan o‘tuvchi
barcha paketlarni ko‘radi va ikkala (kirish, chiqish) yo‘nalishi bo‘yicha paketlarni belgilangan qoidalar asosida
tekshirib, ularga ruxsat berish yoki bermaslikni hal qiladi. Shuningdek, tarmoqlararo ekran ikki tarmoq
orasidagi himoyani amalga oshiradi, ya’ni himoyalanayotgan tarmoqni ochiq tashqi tarmoqdan himoyalaydi.
Himoya vositasining quyida sanab o‘tilgan qulayliklari, ayniqsa, paketlarni filtrlash funksiyasi DOS hujumiga
qarshi himoyalanishning samarali vositasidir. Paket filtrlari quyidagilarni nazorat qiladi:
o
fizik interfeys, paket qayerdan keladi;
o
manbaning IP-manzili;
o
qabul qiluvchining IP-manzili;
o
manba va qabul qiluvchi transport portlari.
Tarmoqlararo ekran ba’zi bir kamchiliklari tufayli Dos hujumidan to‘laqonli himoyani ta’minlab bera olmaydi:
o
loyihalashdagi xatoliklar yoki kamchiliklar — tarmoqlararo ekranlarning har xil texnologiyalari himoyalana-
yotgan tarmoqqa bo‘ladigan barcha suqilib kirish yo‘llarini qamrab olmaydi;
o
amalga oshirish kamchiliklari — har bir tarmoqlararo ekran murakkab dasturiy (dasturiy-apparat) majmua
ko‘rinishida ekan, u xatoliklarga ega. Bundan tashqari, dasturiy amalga oshirish sifatini aniqlash imkonini
beradigan va tarmoqlararo ekranda barcha spetsifikatsiyalangan xususiyatlar amalga oshirilganligiga ishonch
hosil qiladigan sinov o‘tkazishning umumiy metodologiyasi mavjud emas;
o
qo‘llashdagi (ekspluatatsiyadagi) kamchiliklar — tarmoqlararo ekranlarni boshqarish, ularni xavfsizlik
siyosati asosida konfiguratsiyalash juda murakkab hisoblanadi va ko‘pgina vaziyatlarda tarmoqlararo
ekranlarni noto‘g‘ri konfiguratsiyalash hollari uchrab turadi. Sanab o‘tilgan kamchiliklarni IPsec protokolidan
foydalangan holda bartaraf etish mumkin. Yuqoridagilarni umumlashtirib, tarmoqlararo ekranlar va IPsec
protokolidan to‘g‘ri foydalanish orqali DOS hujumidan yetarlicha himoyaga ega bo‘lish mumkin. Port
scanning hujum turi odatda tarmoq xizmatini ko‘rsatuvchi kompyuterlarga nisbatan ko‘p qo‘llanadi. Tarmoq
xavfsizligini ta’minlash uchun ko‘proq virtual portlarga e’tibor qaratishimiz kerak. Chunki portlar
ma’lumotlarni kanal orqali tashuvchi vositadir. Kompyuterda 65 536ta standart portlar mavjud. Kompyuter
portlarini majoziy ma’noda uyning eshigi yoki derazasiga o‘xshatish mumkin. Portlarni tekshirish hujumi esa
o‘g‘rilar uyga kirishdan oldin eshik va derazalarni ochiq yoki yopiqligini bilishiga o‘xshaydi. Agar deraza
ochiqligini o‘g‘ri payqasa, uyga kirish oson bo‘ladi. Hakker hujum qilayotgan vaqtda port ochiq yoki
foydalanilmayotganligi haqida ma’lumot olishi uchun Portlarni tekshirish hujumidan foydalanadi. Bir vaqtda
barcha portlarni tahlil qilish maqsadida xabar yuboriladi, natijada real vaqt davomida foydalanuvchi
kompyuterning qaysi portini ishlatayotgani aniqlanadi, bu esa kompyuterning nozik nuqtasi hisob-lanadi.
Aynan ma’lum bo‘lgan port raqami orqali foydalanuvchi qanday xizmatni ishlatayotganini aniq aytish
mumkin. Masalan, tahlil natijasida quyidagi port raqamlari aniqlangan bo‘lsin, aynan shu raqamlar orqali
foydalanilayotgan xizmat nomini aniqlash mumkin:
o
Port #21: FTP (File Transfer Protocol) fayl almashish protokoli;
o
Port #35: Xususiy printer server;
o
Port #80: HTTP traffic (Hypertext Transfer [Transport] Protocol) gipermatn almashish protokoli;
o
Port #110: POP3 (Post Office Protocol 3) E-mail portokoli.
Portlarni tekshirish hujumiga qarshi samarali himoya yechimi tarmoqlararo ekran texnologiyasidan unumli
foydalanish kutilgan natija beradi. Barcha portlarni bir vaqtda tekshirish haqidagi kelgan so‘rovlarga nisbatan
tarmoqlararo ekranga maxsus qoida joriy etish yo‘li bilan hujumni bartaraf etish mumkin.
|
