Benchè non esista una procedura standard che gli hacker seguono durante le loro at tività illecite possiamo riassumere il loro percorso nei seguenti passi: * * * * * * * * *
Footprinting Scanning Enumeration Gaining access Escalating privilege Pilfering Copertura tracce Creazione Backdoors Denial of Service
Analizziamo nello specifico questi step. Footprinting: In questa fase l'attacker (l'hacker) reperisce informazioni sulla sua vittima, p artendo anche da un semplice nome si mette alla ricerca di siti internet, numeri di telefono, range di indirizzi IP e tutto cio' che puo' servire per avere il m aggior numero di informazioni sulla sua vittima. Su internet esistono un'infinità di strumenti gratuiti (e perfettamente legali) per acquisire informazioni. Ad es empio partendo da un nome di dominio è possibile consultare dei database whois pub blici che permettono di identificare il proprietario del sito con relative infor mazioni personali, indirizzo e numero di telefono. Scanning: Una volta indivuata la vittima si prosegue isolando i sistemi che diventeranno o ggetto dell'attacco. Si cerca in questa fase di isolare gli indirizzi IP delle m acchine esposte su internet che forniscono servizi. L'hacker agisce in base al p rincipio che dice che laddove c'e' un servizio fornito c'e' una porta TCP o UDP aperta, di conseguenza c'e' un'applicazione che la gestisce... e le applicazioni sono vulnerabili. Enumeration: L'hacker ha individuato la macchina che subirà l'attacco, vuole ora capire che tip o di servizi sono presenti sul computer. Tramite dei tool di port scanning indiv idua le porte aperte e le applicazioni che le gestiscono. In questa fase si usa una tecnica mista tramite l'uso di tools automatici ma anche di comandi manuali, ciò ovviamente presumedo che l'attacker disponga delle conoscenze tecniche adegua te. Una tecnica che in molti casi produce buoni risultati è quella del banner grab bing, che consiste nel catturare via telnet il banner iniziale che alcune applic azioni propongono, dove viene esplicitamente dichiarata l'applicazione, la versi one e l'eventuale livello di patching. Tutte informazioni preziosissime per chi attacca. Gaining Access: E' una delle fasi più delicate, l'attacker penetra nei sistemi sfruttando le vulne rabilità individuate grazie agli step precedenti, ma anche utilizzando metodi più se mplici come ad esempio il brute force, un tipo i attacco che prevede di indovina re la password di un utente. benchè possa sembrare impossibile indovinare la passw ord in realtà è molto più facile di quello che si pensi, molti utenti infatti hanno la pessima abitudine di scegliere password facili da ricordare come ad esempio il nome del figlio, o della moglie, la propria data di nascita o il codice fiscale. L'hacker che sa compiere opera di social engineering entra ben presto in posses so di queste informazioni e di conseguenza è in grado di indovinare la password en tro breve. Il brute force prevede anche l'uso di "dizionari di password", ovvero
un elenco di parole generalmente usate come password, un tool automatico si occ upa poi di provare tutte le password dell'elenco fino a trovare quella giusta (q uesto tipo di attacco tutt'oggi funziona 2 volte su 3!) Escalating privilege: L'hacker è dentro il sistema, ma è riuscito solamente ad acquisire accesso come uten te normale, un livello di privilegio non sufficiente per compiere attività illecit e. L'attacker ha bisogno di acquisre i privilegi di amministratore (o superuser) . Anche in questo caso vale il discorso del brute force, ma più geeralmente si ten ta di sfruttare vulnerabilità di applicazioni che risiedono sulla macchina vittima . Il metodo più diffuso è quello del buffer overflow, ovvero l'hacker cerca di passa re una quantità di dati superiore a quella che l'applicazione riesce a gestire, in genere questo causa lo stop dell'applicazione mettendo in grado l'attacker di e ntrare automaticamente nel sistema con i privilegi massimi, cioè esattamente quell o che stava cercando! Pilfering: Il sistema nel quale l'hacker è entrato potrebbe non essere quello di destinazione finale, ma solamente un punto intermedio. Il pilfering consiste nel trovare la strada verso il sistema target che può essee il repository del database centrale o il computer dell'amministratore delegato. Le informazioni necessarie si trovano proprio all'interno della macchina dove l'hacker è riuscito ad avere accesso, la lista degli host che godono di una trust relationship può essere un buon punto di partenza. Copertura tracce: Come tutti i ladri che si rispettino anche l'hacker non deve lasciare tracce, e le tracce in gergo informatico si chiamano "log", ovvero dei file dove vengono r egistrate le attività che gli amministratori compiono. I log hanno proprio lo scop o di individuare intrusi e permetterne il rintracciamento. A seconda del tipo di macchina e di sistema operativo l'hacker sa esattamente dove andare a cercare i log di sistema e come modificarli a mano per fare in modo che non risulti la su a presenza, in pratica diventa invisibile all'occhio di chi analizza i log. Creazione backdoor: Compiere un'intrusione informatica è tutt'altro che semplice, una volta che l'atta cker è riuscito a penetrare un sistema non può permettersi di dover ripetere tutte l e volte la stessa procedura, sarebbe un'enorme perdita di tempo. La soluzione è ra ppresentata dalle backdoor, ovvero da piccoli programmi che permettono a chi att acca di potersi collegare in maniera quasi trasparente e diretta alla macchina, permettendogli di compiere tutte le operazioni di amministrazione, comprese quel le di estrazione dati. Una backdoor può anche essere un semplice account creato ad oh dall'hacker con privilegi di amministratore, mascherato in modo che non dia troppo nell'occhio al vero amministratore della macchina. Denial of service: L'attacco DoS può essere portato una volta concluse le attività per cui ci si è intruf olati nel sistema vittima. Una volta acquisiti i privilegi di amministratore è est remamente semplice avviare o fermare i processi che regolano il funzionamento de lle applicazioni. nei casi più gravi l'hacker può provocare danni permanenti che, co me unica soluzione, prevedono la reinstallazione totale del sistema. Non è facile dire quanto duri un attacco in termini di tempo, sicuramente possiamo dire che esiste tutta una fase di analisi che può andare avanti per settimane pri ma che l'attacco venga effettivamente sferrato, ecco perchè è importante che gli amm
inistratori controllino periodicamente le attività che vengono svolte sulle loro m acchine in maniera approfondita cercando di individuare le connessioni sospette. Esistono strumenti per il rilevamento di attacchi hacker, ma, come dice una famo sa pubblicità, prevenire è meglio che curare.
