Angriffe auf das IS-IS-Protokoll.
Falsche Routen.
IS-IS verwendet eine erforderliche, standardmäßige Metrik mit einem maximalen Pfadwert von 1024. Diese Kennzahl ist willkürlich und wird normalerweise vom Netzwerkadministrator zugewiesen. Jeder einzelne Kanal kann einen maximalen Wert von 64 haben. Die Pfadlänge wird durch Summieren der Kanalwerte berechnet. Die maximalen Kanalwerte werden auf diesen Ebenen festgelegt, um die Detailgenauigkeit zu gewährleisten, um verschiedene Kanaltypen zu unterstützen und gleichzeitig eine ausreichende Effizienz des für die Routenberechnung verwendeten Suchalgorithmus für den kürzesten Weg zu gewährleisten.
IS-IS definiert außerdem drei zusätzliche Metriken (Kosten) als Optionen für Administratoren, die sie benötigen. Die Kosten für die Verzögerung (delay) spiegeln die Höhe der Verzögerung im Kanal wider. Die Kosten (expense) spiegeln die Kommunikationskosten wider, die mit der Verwendung eines bestimmten Kanals verbunden sind. Die Kosten für Fehler (error) spiegeln die Fehlerquote dieses Kanals wider.
IS-IS stellt sicher, dass diese vier Parameter der QOS-Option (quality-of–service - QOS) im CLNP-Paketheader übereinstimmen. Mit dieser Übereinstimmung kann IS-IS Routen über ein verbundenes Netzwerk berechnen.
Der Kern von Angriffen mit der Erstellung falscher IS-IS-Routen besteht darin, dass ein Angreifer einen falschen Knoten mit minimalen Kanalkosten erstellt. Gemäß dem Algorithmus zur Berechnung der optimalen IS-IS-Route beginnt der gesamte Datenverkehr über diesen Router zu fließen, wodurch ein Angreifer sensible Informationen sammeln kann.
Eine Variante dieses Angriffs besteht darin, einen legalen IS-IS-Router durch Denial-of-Service-Angriffe zu deaktivieren und durch ein gefälschtes Gerät zu ersetzen.
Ein Angreifer muss IS-IS-Pakete des entsprechenden Formats erstellen, um die Daten des Angreifers verarbeiten zu können.
IS-IS verwendet drei grundlegende Paketformate:
IS–IS hello packets - Willkommenspakete von IS-IS;
Link state packets (LSPs) - Channel state packs;
Sequence numbers packets (SNPs) - Sequenznummernpakete.
Jedes dieser drei IS-IS-Pakete hat ein komplexes Format mit drei verschiedenen logischen Teilen. Der erste Teil ist ein 8-Byte-fester Header, der allen drei Pakettypen gemeinsam ist. Der zweite Teil ist der für diesen Pakettyp spezifische Teil mit einem festen Format. Der dritte logische Teil ist auch spezifisch für den Pakettyp, hat aber eine variable Länge.
Common header Packet-type-specific, fixed header Packet-type-specific, variable-length header
Das erste Feld im allgemeinen IS-IS-Header ist der Protokollbezeichner (protocol identifier), der das IS-IS-Protokoll identifiziert. Dieses Feld enthält eine Konstante (131).
Das nächste Feld für die allgemeine Kopfzeile ist das Feld für die Kopflängenlänge. Dieses Feld enthält eine feste Kopfzeilenlänge. Diese Länge beträgt immer 8 Bytes, ist aber so aktiviert, dass sich die IS-IS-Pakete geringfügig von den CLNP-Paketen unterscheiden.
Auf das Längenfeld folgt das Versionsfeld, das der Einheit in der aktuellen IS-IS-Spezifikation entspricht.
Hinter dem Versionsfeld befindet sich ein ID-Längenfeld, das die Größe des NSAP-ID-Teils bestimmt, wenn sein Wert zwischen 1 und 8 (einschließlich) liegt. Wenn das Feld Null enthält, entspricht der ID-Teil 6 Bytes. Wenn das Feld 255 (eine Einheit) enthält, ist der ID-Teil 0 Byte.
Das nächste Feld ist das Pakettyp-Feld, das den Pakettyp IS-IS (hello, LSP oder SNP) angibt.
Das Feld "Pakettyp" folgt erneut dem Feld "Version".
Hinter dem zweiten Versionsfeld befindet sich ein Reserved-Feld, das Null ist und vom Empfänger ignoriert wird.
Das letzte Feld für die allgemeine Kopfzeile ist das Feld für die maximale Bereichsadresse. Dieses Feld gibt die Anzahl der Adressen an, die für diesen Bereich zulässig sind.
Dem allgemeinen Header folgt ein zusätzlicher fester Teil, der für jeden Pakettyp unterschiedlich ist, gefolgt von einem variablen Teil.
Eine Möglichkeit, diesen Angriff zu implementieren, ist die Verwendung des Konstruktors für «rohe» IP-Pakete.
Ȇberschwemmung" durch HELLO-Pakete.
Das IS-IS-Protokoll verwendet HELLO-Pakete, um Routeninformationen zu senden. Dementsprechend ist eine Form der Implementierung von Angriffen auf IS-IS die Überflutung mit diesen Paketen.
Das Wesen des Angriffs besteht darin, eine große Anzahl von HALLO-Paketen an andere Router zu senden, was zu einem Überlauf der Routingtabellen auf diesen Geräten und einem vorübergehenden Ausfall der Routingtabellen führen kann.
Ein Angreifer kann auch den oben beschriebenen Paketdesigner verwenden, um diese Art von Angriffen zu implementieren.
Oleg Petukhov, Rechtsanwalt im Bereich des Völkerrechts und des Schutzes personenbezogener Daten, Spezialist für Informationstechnik sicherheit, Schutz von Informationen und persönlichen Daten.
Telegramm-Kanal: https://t.me/datenschutzmit
Die Gruppe im Telegramm: https://t.me/datenschutzmit1
Website: https://legascom.ru
E-Mail: online@legascom.ru
#informationssicherheit #informationssicherheit
