книги хакеры / журнал хакер / 197_Optimized

Идеи для сиквела

SSMSBoost (ssmsboost.com). Эта надстройка добавляет разные полезности, позволяющие ускорить выполнение большинства ежедневных задач, которые возникают при работе DBA. Она обеспечивает быстрый доступ к процедурам, работу с сессиями, функциями и кодом, форматирование и генерацию кода для данных, выгрузку в Excel и многое другое. Одна из самых востребованных функций — возможность сохранения текущей работы (открытых документов и соединения с базами данных) в сессию и восстановление рабочего окружения по необходимости. При включении компьютера это позволяет сразу вернуться к тому, с чем работал. Ранее для этого приходилось использовать спящий режим компьютера, что не всегда удобно. Также поддерживается история запросов и всего, что редактировалось в окне SSMS. Это означает, что после небольшого поиска можно найти и повторить любую операцию, а не составлять запрос повторно, если такая необходимость возникнет после определенного времени.

SSMS позволяет переключаться только между базами

впределах сервера, а с SSMSBoost мы можем быстро переключаться между несколькими серверами, для этого достаточно лишь заполнить список Preferred Connections. Чтобы не запутаться, в заголовке окна SSMS отображается имя документа и данные соединения.

Спомощью SSMSBoost легко открыть скрипт или создать объект из SQL-редактора без поиска его в дереве. Для этого достаточно выбрать идентификатор объекта и нажать F2 или

вконтекстном меню щелкнуть по пункту Script Object. Будет выполнен поиск допустимых идентификаторов на месте курсора, после чего выводится их список. Просто отмечаем нужный, и все. Так же легко находится объект в общем дереве (<Ctrl + F2>). Возможно автоматическое форматирование блока или всего кода. Реализован расширенный поиск объектов по всем или выбранным серверам и базам. Предусмотрено создание из команд SSMS мини-макросов, которые можно выполнить при помощи одной клавиши. Для генерации скриптов доступно большое количество опций. Горячие клавиши можно переназначить (в SSMS это стало возможным с 2012).

Предлагается автозамена текста на код, настраиваемая через Extras → Settings. Работает она просто: набираем начало комбинации, затем пробел, плагин сам допишет остальное. По умолчанию список автозамены содержит шесть вариантов, но при желании его можно дополнить своими инструкциями.

Так же легко можно сгенерировать условие отбора отмеченных данных (Script Data as → Where ...).

В отличие от своего ближайшего конкурента SSMS Tools Pack (ssmstoolspack.com), предлагающего только платную лицензию с демопериодом 60 дней, SSMSBoost можно ис-

пользовать бесплатно. Для активации необходимо получить код в Extras → About/License → User/Machine и заполнить форму (goo.gl/DHPJRm). Функциональных различий между Free и коммерческой Professional нет. Единственный нюанс: придется каждые 120 дней устанавливать новую версию программы (без повторной активации). Установка без сюрпризов, после нее следует перезапустить SSMS, в котором появится новый пункт в меню и в контекстном меню некоторых объектов.

SQLSentryPlanExplorer

Частенько бывает, что некоторый запрос работает медленно, хотя вроде как проблем быть не должно совсем. В этом случае ситуацию необходимо исследовать более глубоко. SQL Profiler и Management Studio предоставляют очень хороший интерфейс для изучения запросов и планов выполнения (Execution Plan), но его информация не всегда очевидна. Здесь выручает продукт SQL Sentry Plan Explorer (goo.gl/3BcqA5), который изначально разрабатывался для службы поддержки SQL Sentry, но впоследствии компания решила сделать его доступным остальным. Позволяет просматривать план выполнения различными способами и легко переключаться между многочисленными запросами, оценивать и настраивать запросы при помощи интуитивного анализа плана выполнения. Программа оценивает запрос, использование ресурсов (интенсивность I/O, CPU), определяет объем данных, количество строк, результат наглядно выводится в виде таблицы и схемы, показывающей иерархическое представление плана запроса, где можно быстро определить тяжелые запросы и несбалансированное распределение потоков в параллельных опера-

Вывод

SYN/ACK

Систем обнаружения вторжений сейчас существует великое множество. Какие-то из них более известны, какие-то менее. Одни предназначены для маленьких сетей, другие для крупных корпораций. Чаще всего в контексте IDS вспоминают Snort, однако это не единственная свободная система подобного рода. Одну из альтернатив, Bro, мы и опишем.

Bruce Rolff@shutterstock.com

На удивление, никаких зависимостей ставить не понадобилось. После установки нужно добавить путь к исполняемым файлам Bro в общесистемную переменную PATH, для чего в каталоге имеется /etc/profile.d/ файл bro.sh со следующим содержимым:

export PATH=/opt/bro/bin:$PATH

Затем нужно установить базовые параметры конфигурации. Для standalone-конфигурации в файле /opt/bro/etc/node. cfg достаточно указать интерфейс, на котором Bro будет слушать, — в моем случае (тестовая конфигурация) это был eth1:

[bro]

type=standalone

host=localhost

interface=eth1

В файле /opt/bro/etc/networks.cfg указываем сеть или сети, которые нужно будет защищать:

192.168.13.0/24 Private IP space

где Private IP space — необязательный комментарий. Наконец, в файле /opt/bro/etc/broctl.cfg указываем интер-

вал ротации логов (в секундах), интервал, по истечении которого они удаляются (в днях), и, при необходимости, email, куда отправлять письма:

MailTo = root@localhost

# <...>

LogRotationInterval = 3600

LogExpireInterval = 30

Запустим консоль управления и уже из нее сам Bro с дефолтными скриптами:

# broctl

[BroControl] > install

[BroControl] > start

В случае изменения скриптов нужно использовать приведенную выше цепочку команд, предваряя ее еще и командой check.

Отмечу, что Bro требуется возможность контролировать интерфейс для включения неразборчивого режима, поэтому приложение Bro должно запускаться либо от суперпользователя, либо с установленными капабилити CAP_NET_RAW и CAP_NET_ADMIN.

Из консоли broctl можно выходить, но при этом запущенный Bro не останавливается — для его остановки нужно набрать команду stop. К слову, вместо вызова команд из консоли broctl их можно передавать в качестве аргументов — например, broctl stop.

SYN/ACK

Недремлющее око Большого Брата

SYN/ACK

собственно собираемые данные

SumStats::observe("scan.port.fail",

[$host=scanner, $str=cat(victim)],

[$str=cat(scanned_port)]);

}

# <...>

##Событие, при котором происходит сбор данных с помощью функции, описанной выше

event connection_attempt(c: connection)

{

##Проверяем, не является ли сканирование обратным (reverse), для чего смотрим, была ли завершена процедура «рукопожатия» (hand shake) при установлении соединения

local is_reverse_scan = F;

if ( "H" in c$history )

is_reverse_scan = T;

## Вызов функции сбора общей статистики

add_sumstats(c$id, is_reverse_scan);

}

# <...>

Скрипт, как видим, достаточно сложен и демонстрирует кусочек тех поистине невероятных возможностей, что скрыты в Bro. В скрипте (точнее, той его части, что была показана

Настройка опций сканирования во фронтенде для Nmap

Сканирование (используется один из стандартных профилей)

Лог-файл с уведомлением о сканировании

выше) были использованы как минимум десять типов данных и структур, часть из которых вложенная. Кроме того, было использовано мощнейшее средство Bro — статистический анализ потока данных. Как видим, фреймворк недаром разрабатывался в академических кругах — его вполне можно применять не только для обнаружения вторжений, но и для анализа трафика.

При попытке сканирования появляется предупреждение в логе notice (по умолчанию в /var/opt/bro/logs/).

Платформа построена таким образом, что в случае нагрузки часть пакетов отбрасывается — это позволяет избежать перегрузки. Однако по моим тестам (проводились на VirtualBox) в случае использования более-менее современной двухъядерной машины и интенсивного пинг-флуда доля отбрасываемых пакетов составила примерно 0,0085%. Понятно, что в реальных ситуациях нагрузка будет больше и не настолько равномерная, но в целом можно прикинуть количество отбрасываемых пакетов.

Заключение

Платформа Bro предоставляет богатейший набор возможностей для анализа трафика. Помимо обычного анализа заголовков пакетов, здесь имеются и регулярные выражения, и сохранение состояния высокоуровневых соединений, и даже статистический анализ.

Однако за подобный функционал нужно платить. У Bro очень высок порог вхождения. Требуется, во-первых, досконально разбираться в протоколах как низкого уровня, так и того уровня, который необходимо обрабатывать. Вовторых, требуется достаточно долго изучать скриптовый язык и фреймворки, которые данная платформа предоставляет, поскольку имеющихся скриптов для нужд, более специфичных, чем общее выявление подозрительной активности, явно не хватит. В-третьих, для промышленного использования Bro, скорее всего, потребуется использовать кластер, что влечет за собой дополнительные усилия на изучение.

Есть у Bro и еще минусы, один из которых — недостаток хоть какого-нибудь GUI. В недрах LBNL он, судя по одной из презентаций, имеется — хотя и предоставляет, по сути, лишь удобный доступ к логам. Второй же минус — отсутствие до недавнего времени поддержки баз данных. Все сообщения писались в текстовые файлы, что для промышленных объемов трафика сейчас не очень-то удобно. Однако дело сдвинулось с мертвой точки — в последних версиях Bro появилась экспериментальная поддержка ElasticSearch.

В общем и целом, если ты специалист по ИБ и/или тебе нужно автоматизировать анализ гигантских объемов трафика — о Bro стоит иметь представление хотя бы по той причине, что он свободен и бесплатен, в то время как коммерческие аналоги при сходной (или даже чуть меньшей) функциональности стоят неподъемных денег.