Обнаружение хакерских атак
Злонамеренный хакер (при погонах или без таковых) может использовать уязвимости вашей системы несколькими способами. Атака может произойти через одну конкретную уязвимость, несколько разных уязвимостей одновременно, неправильную настройку одного из компонентов вашей системы или, вероятнее всего, через заднюю дверь (backdoor), созданную во время предыдущей атаки. Именно поэтому часто сложно определить, был ли ваш компьютер взломан или нет, особенно если вы неопытный пользователь. Ниже приведены рекомендации, которые помогут вам обнаружить возможные хакерские атаки. Помните, что невозможно быть полностью уверенным в том, что ваша система скомпрометирована только потому, что ваш компьютер проявляет указанные признаки. Однако, если ваша система проявляет несколько из этих признаков, то вероятно, что вас взломали. Ниже приведены рекомендации для компьютеров под управлением операционных систем Windows или UNIX.
Для ОС Windows:
• Необычно высокий уровень исходящего сетевого трафика. Если вы используете ADSL или учетную запись для подключения через модем и замечаете подозрительно большой объем исходящего трафика, но не загружаете ничего активно, ваша система может быть подвергнута атаке. Злонамеренный хакер может использовать ваш компьютер для отправки спама, или сетевой червь может использовать вашу систему для своего распространения и размножения. Однако, если вы используете сетевой кабель для просмотра веб-страниц, то дело становится сложнее, так как исходящий и входящий трафик обычно практически одинаковы.
• Повышенный уровень активности диска и неизвестные файлы в корневом каталоге. Большинство злонамеренных хакеров сканируют компьютеры своих целей в поисках ценных документов или файлов. Эти сканирования увеличивают активность диска, даже когда компьютер находится в режиме простоя. Целью этих сканирований является обнаружение паролей для веб-сайтов, учетных записей онлайн-платежей или данных для входа в банк. Также есть черви, которые заражают вашу систему и затем ищут документы с электронными адресами. Это может быть использовано для распространения червя на других пользователей сети. Если вы обнаружите повышение активности диска вместе с папками с подозрительными именами, то вас могли взломать или ваша система может быть заражена вредоносным программным обеспечением.
• Ваш персональный брандмауэр блокирует огромное количество пакетов от одного источника. Злонамеренные хакеры обычно используют автоматизированные инструменты для проникновения в систему. Если вы обнаружите, что ваш брандмауэр блокирует подозрительно большое количество пакетов, исходящих от одного адреса, то вас могут атаковать. Факт, что ваш брандмауэр может остановить эти атаки, хорош, но есть вероятность того, что хакер нацелится на определенную FTP-службу в вашей системе, которую вы могли раскрыть во время пребывания в Интернете. Лучшее действие, которое можно предпринять, — временно заблокировать IP-адрес хакера, пока он не прекратит попытки подключиться к вашей системе.
• Внезапное обнаружение троянов и задних дверей вашим антивирусом. Часто существует мнение, что злонамеренные хакеры всегда используют сложные методы атаки, однако на самом деле они всегда выбирают самый простой путь, если это возможно. Если ваша система была скомпрометирована ранее, злонамеренный хакер просто использует заднюю дверь или троян, чтобы получить полный доступ к ней. Если ваш антивирус сообщает о таком вредоносном программном обеспечении, а вы не вносили никаких недавних изменений в систему, кто-то может удаленно получать доступ к вашей системе.
Для UNIX-систем:
• Любые файлы с подозрительными именами в папке /tmp. Большинство злонамеренных хакеров создают временные файлы и скрывают их в папке /tmp. Обычно эти файлы не удаляются, что позволяет обнаружить, проникли ли хакеры в систему. Также существуют определенные черви, которые нацелены на UNIX-системы. Они обживаются в папке /tmp и используют ее для своей перекомпиляции. Вам нужно обратить внимание на эти признаки.
Злонамеренный хакер (при погонах или без таковых) может использовать уязвимости вашей системы несколькими способами. Атака может произойти через одну конкретную уязвимость, несколько разных уязвимостей одновременно, неправильную настройку одного из компонентов вашей системы или, вероятнее всего, через заднюю дверь (backdoor), созданную во время предыдущей атаки. Именно поэтому часто сложно определить, был ли ваш компьютер взломан или нет, особенно если вы неопытный пользователь. Ниже приведены рекомендации, которые помогут вам обнаружить возможные хакерские атаки. Помните, что невозможно быть полностью уверенным в том, что ваша система скомпрометирована только потому, что ваш компьютер проявляет указанные признаки. Однако, если ваша система проявляет несколько из этих признаков, то вероятно, что вас взломали. Ниже приведены рекомендации для компьютеров под управлением операционных систем Windows или UNIX.
Для ОС Windows:
• Необычно высокий уровень исходящего сетевого трафика. Если вы используете ADSL или учетную запись для подключения через модем и замечаете подозрительно большой объем исходящего трафика, но не загружаете ничего активно, ваша система может быть подвергнута атаке. Злонамеренный хакер может использовать ваш компьютер для отправки спама, или сетевой червь может использовать вашу систему для своего распространения и размножения. Однако, если вы используете сетевой кабель для просмотра веб-страниц, то дело становится сложнее, так как исходящий и входящий трафик обычно практически одинаковы.
• Повышенный уровень активности диска и неизвестные файлы в корневом каталоге. Большинство злонамеренных хакеров сканируют компьютеры своих целей в поисках ценных документов или файлов. Эти сканирования увеличивают активность диска, даже когда компьютер находится в режиме простоя. Целью этих сканирований является обнаружение паролей для веб-сайтов, учетных записей онлайн-платежей или данных для входа в банк. Также есть черви, которые заражают вашу систему и затем ищут документы с электронными адресами. Это может быть использовано для распространения червя на других пользователей сети. Если вы обнаружите повышение активности диска вместе с папками с подозрительными именами, то вас могли взломать или ваша система может быть заражена вредоносным программным обеспечением.
• Ваш персональный брандмауэр блокирует огромное количество пакетов от одного источника. Злонамеренные хакеры обычно используют автоматизированные инструменты для проникновения в систему. Если вы обнаружите, что ваш брандмауэр блокирует подозрительно большое количество пакетов, исходящих от одного адреса, то вас могут атаковать. Факт, что ваш брандмауэр может остановить эти атаки, хорош, но есть вероятность того, что хакер нацелится на определенную FTP-службу в вашей системе, которую вы могли раскрыть во время пребывания в Интернете. Лучшее действие, которое можно предпринять, — временно заблокировать IP-адрес хакера, пока он не прекратит попытки подключиться к вашей системе.
• Внезапное обнаружение троянов и задних дверей вашим антивирусом. Часто существует мнение, что злонамеренные хакеры всегда используют сложные методы атаки, однако на самом деле они всегда выбирают самый простой путь, если это возможно. Если ваша система была скомпрометирована ранее, злонамеренный хакер просто использует заднюю дверь или троян, чтобы получить полный доступ к ней. Если ваш антивирус сообщает о таком вредоносном программном обеспечении, а вы не вносили никаких недавних изменений в систему, кто-то может удаленно получать доступ к вашей системе.
Для UNIX-систем:
• Любые файлы с подозрительными именами в папке /tmp. Большинство злонамеренных хакеров создают временные файлы и скрывают их в папке /tmp. Обычно эти файлы не удаляются, что позволяет обнаружить, проникли ли хакеры в систему. Также существуют определенные черви, которые нацелены на UNIX-системы. Они обживаются в папке /tmp и используют ее для своей перекомпиляции. Вам нужно обратить внимание на эти признаки.