Атаки на протокол IS-IS.
Ложные маршруты.
IS-IS использует один обязательный, устанавливаемый по умолчанию показатель с максимальным значением пути 1024. Этот показатель является произвольным и обычно назначается администратором сети. Любой отдельный канал может иметь максимальное значение 64. Длина путей вычисляется путем суммирования значений каналов. Максимальные значения каналов установлены на этих уровнях для обеспечения степени детализации, чтобы поддерживать различные типы каналов, одновременно обеспечивая достаточную эффективность алгоритма поиска наикратчайшего пути, используемого для расчета маршрута.
IS-IS также определяет три дополнительных показателя (затраты) в качестве опций для тех администраторов, которые испытывают в них необходимость. Затраты задержки (delay) отражают величину задержки в канале. Затраты на издержки (expense) отражают коммуникационные затраты, связанные с использованием данного канала. Затраты на ошибки (error) отражают коэффициент ошибок данного канала.
IS-IS обеспечивает соответствие этих четырех показателей опции качества обслуживания (quality-of-service – QOS) в заголовке пакета CLNP. Пользуясь этим соответствием, IS-IS может вычислять маршруты через объединенную сеть.
Суть атак с созданием ложных маршрутов IS-IS заключается в создании злоумышленником поддельного узла с минимальными стоимостями каналов. В соответствии с алгоритмом вычисления оптимального маршрута IS-IS через этот маршрутизатор начинает идти весь трафик, в результате чего злоумышленник может собирать конфиденциальную информацию.
Вариантом данной атаки являются вывод из строя легального IS-IS маршрутизатора посредством атак на отказ в обслуживании и замена на поддельное устройство.
Для осуществления данных КА злоумышленнику необходимо создать IS-IS пакеты соответствующего формата.
IS-IS использует три базовых формата пакета:
IS-IS hello packets – приветственные пакеты IS-IS;
Link state packets (LSPs) - пакеты состояния канала;
Sequence numbers packets (SNPs) - пакеты номеров последовательностей.
Каждый из этих трех пакетов IS-IS имеет сложный формат с тремя различными логическими частями. Первой частью является 8-байтовый фиксированный заголовок, общий для всех трех типов пакетов. Второй частью выступает специфичная для данного типа пакета часть с фиксированным форматом. Третья логическая часть также является специфичной для типа пакета, но имеет переменную длину.
Common header Packet-type-specific, fixed header Packet-type-specific, variable-length header
Первым полем в общем заголовке IS-IS является идентификатор протокола (protocol identifier), который идентифицирует протокол IS-IS. Это поле содержит константу (131).
Следующим полем общего заголовка является поле длины заголовка (header length). Это поле содержит фиксированную длину заголовка. Эта длина всегда равна 8 байтам, но она включена таким образом, чтобы пакеты IS-IS незначительно отличались от пакетов CLNP.
За полем длины следует поле версии (version), которое равняется единице в текущей спецификации IS-IS.
За полем версии идет поле длины ID, которое определяет размеры части ID (идентификатора) NSAP, если eго значение лежит в пределах от 1 до 8 (включительно). Если поле содержит нуль, то часть ID равняется 6 байтам. Если поле содержит 255 (одни единицы), то часть ID равна 0 байт.
Следующим полем является поле типа пакета (packet type), которое определяет тип пакета IS-IS (hello, LSP или SNP).
За полем типа пакета повторно следует поле версии.
За вторым полем версии идет поле резерва (reserved), которое равно нулю и игнорируется получателем.
Последним полем общего заголовка является поле максимума адресов области. Это поле определяет число адресов, разрешeнных для этой области.
За общим заголовком идет дополнительная фиксированная часть, разная для каждого типа пакета, за которой следует переменная часть.
Одним из вариантов реализации данной атаки является использование конструктора «сырых» IP-пакетов.
«Затопление» HELLO-пакетами.
Протокол IS-IS использует для передачи информации о маршрутах HELLO-пакеты. Соответственно, одной из форм реализации атак на IS-IS является осуществление затопления данными пакетами.
Суть атаки сводится к передаче большого числа HELLO-пакетов другим маршрутизаторам, в результате чего возможно переполнение маршрутных таблиц на данных устройствах и их временный выход из строя.
Для реализации данного вида атак злоумышленник также может воспользоваться представленным выше конструктором пакетов.
Петухов Олег, юрист в области международного права и защиты персональных данных, специалист в области информационной безопасности, защиты информации и персональных данных.
Телеграм-канал: https://t.me/zashchitainformacii
Группа в Телеграм: https://t.me/zashchitainformacii1
Сайт: https://legascom.ru
Электронная почта: online@legascom.ru
#защитаинформации #информационнаябезопасность
