オペレーティングシステム識別プローブ

攻撃者は、エクスプロイトを開始する前に、標的となるホストを調査して、そのオペレーティングシステム(OS)を学習しようとする可能性があります。その知識があれば、どの攻撃を開始し、どの脆弱性を悪用するかをより適切に決定できます。Junos OSは、OSタイプに関する情報を収集するために一般的に使用される偵察プローブをブロックできます。

Junos OS リリース 12.1X47 以前までは、DNS 解決はトランスポートとして UDP のみを使用して実行されていました。UDP によって伝送されるメッセージは 512 バイトに制限されています。これより長いメッセージは切り捨てられ、トラフィック クラス(TC)ビットがヘッダーに設定されます。UDP DNS 応答メッセージの最大長は 512 バイトですが、TCP DNS 応答メッセージの最大長は 65,535 バイトです。DNS リゾルバーは、ヘッダーに TC ビットが設定されている場合、応答が完了したかどうかを認識します。したがって、TCP DNS 応答は、UDP DNS 応答よりも多くの情報を伝送できます。

DNS 解決の動作には、次の 3 種類があります。

• UDP DNS解決

• TCP DNS解決

• UDP/TCP DNS 解決

通常、SYN と FIN の両方の制御フラグは、同じ TCP セグメント ヘッダーに設定されません。SYN フラグは、シーケンス番号を同期して TCP 接続を開始します。FIN フラグは、TCP 接続を終了するためのデータ転送の終了を示します。それらの目的は相互に排他的です。SYNフラグとFINフラグが設定されたTCPヘッダーは、異常なTCP動作であり、OSによって受信者からさまざまな応答が発生します。 図1を参照してください。

図 1: SYN フラグと FIN フラグが設定された TCP ヘッダー

攻撃者は、両方のフラグが設定されたセグメントを送信して、返されるシステム応答の種類を確認し、受信側にあるOSの種類を判断できます。その後、攻撃者は既知のシステムの脆弱性を使用して、さらに攻撃を行うことができます。

この画面オプションを有効にすると、Junos OSは、TCPヘッダーにSYNフラグとFINフラグが設定されているかどうかを確認します。そのようなヘッダーを検出すると、パケットをドロップします。

この例では、SYN フラグと FIN フラグが設定されたパケットをブロックする画面を作成する方法を示します。

図 2 は、(セッションの終了を通知し、接続を終了するために) FIN 制御フラグが設定された TCP セグメントを示しています。通常、FIN フラグが設定された TCP セグメントには、(受信した前のパケットを確認するために) ACK フラグも設定されます。FIN フラグが設定され、ACK フラグが設定されていない TCP ヘッダーは異常な TCP 動作であるため、これに対する統一された応答はありません。OS は、RST フラグが設定された TCP セグメントを送信することで応答する場合があります。別の人はそれを完全に無視するかもしれません。被害者の応答は、攻撃者にそのOSに関する手がかりを提供することができます(FINフラグが設定されたTCPセグメントを送信する他の目的は、アドレスとポートのスキャンを実行している間の検出を回避することと、代わりにFINフラッドを実行することによってSYNフラッドに対する防御を回避することです)。

図2: FINフラグが設定された TCPヘッダー

この画面オプションを有効にすると、Junos OSはFINフラグが設定されているかどうかをチェックしますが、TCPヘッダーのACKフラグは設定しません。このようなヘッダーを持つパケットを検出すると、そのパケットをドロップします。

この例では、FIN フラグは設定されているが ACK フラグが設定されていないパケットをブロックする画面を作成する方法を示します。

通常の TCP セグメント ヘッダーには、少なくとも 1 つのフラグ コントロール セットがあります。制御フラグが設定されていない TCP セグメントは異常イベントです。オペレーティングシステムが異なれば、このような異常に対する応答も異なるため、ターゲットデバイスからの応答(または応答の欠如)は、実行しているOSの種類に関する手がかりを提供できます。 図3を参照してください。

図 3: フラグが設定され ていない TCP ヘッダー

フラグが設定されていない状態でデバイスがTCPセグメントヘッダーを検出できるようにすると、デバイスはフラグフィールドがないか形式が正しくないすべてのTCPパケットをドロップします。

この例では、フラグが設定されていないパケットをブロックする画面を作成する方法を示しています。