الخلاصة

  • دعا مقال Dan Farmer وWietse Venema الصادر عام 1993 إلى اختبار خدمات الشبكة من منظور المهاجم؛ ثم جعلت SATAN هذا النهج قابلاً للتكرار على يد مسؤولي الأنظمة.
  • وصف CERT الأداة بأنها وسيلة للاختبار وإعداد التقارير، لكنه حذّر من أن نمطها الاستكشافي قد يفحص مضيفين لم يحددهم المشغّل، وربما خارج نطاقه الإداري.
  • يبيّن الفحص ما رصدته اختبارات بعينها على أهداف محددة وفي وقت معين. ولا يثبت وحده وجود تفويض أو اختراق أو نية، كما لا يثبت سلامة الأنظمة التي لم يشملها.

تحويل نظرة المهاجم إلى عمل إداري

تطلب إرشادات الأمن كثيراً من المسؤولين أن يفكروا كما يفكر المهاجم. لكن النصيحة لا تصبح عملية إلا حين يمكن تنفيذها على الأنظمة الفعلية وتكرارها ومراجعة نتائجها. في مقالهما الصادر عام 1993 بعنوان “Improving the Security of Your Site by Breaking Into It”، دعا Farmer وWietse Venema إلى فحص الخدمات الظاهرة عبر الشبكة لاكتشاف نقاط الضعف كما قد يراها طرف خارجي. فالتدقيق من داخل كل جهاز على حدة قد لا يكشف ما يظهر عند الاتصال به من الخارج.

تختلف التوسعة المكتوبة للاسم SATAN بين السجلات. استخدم مقال 1993 عبارة “Security Analysis Tool for Auditing Networks”، بينما استخدم تحذير CERT الصادر لاحقاً “Security Administrator Tool for Analyzing Networks”. وينبغي ألا تحجب هذه الاختلافات حقيقة أن المقال الأصلي كان عملاً مشتركاً بين Farmer وVenema. وفي مقابلة استعادية مع USENIX عام 2014، تذكّر Farmer أن ذكر SATAN في المقال أثار اهتماماً أكبر مما توقعه الاثنان، فبدآ التفكير بصورة أعمق في كيفية بنائه. وهذا تذكّر لاحق من صاحبه، لا دليل على كيفية نشر الأداة أو استخدامها في حالة محددة.

شرح CERT الأداة باعتبارها أداة اختبار وتقارير تجمع معلومات عن المضيفين المتصلين بالشبكة. كانت تفحص خدمات مثل finger وNFS وNIS وFTP وrexd، ثم تعرض ملخصاً أو تستخدم قواعد بسيطة للتحري عن مشكلات محتملة، مع إشارات إلى تصحيحات أو حلول بديلة. كما جمعت معلومات عن طوبولوجيا الشبكة والخدمات والأجهزة والبرمجيات. بذلك صار ممكناً جمع ملاحظات كانت تتطلب تفتيشاً يدوياً متفرقاً في عملية قابلة للتكرار.

لكن التقرير ليس حكماً نهائياً. فالإشارة إلى مشكلة محتملة تستدعي التحقق والمعالجة، ولا تثبت أن مهاجماً استغلها فعلاً. وغياب النتائج لا يثبت الأمان، لأن كل تشغيل محدود بالمضيفين والخدمات والقواعد والفترة التي شملها. تستطيع الأداة أن تصف ما رصدته، لا أن تحكم منفردة على الشبكة كلها.

النطاق جزء من تصميم الاختبار

صدر تحذير CERT رقم CA-1995-06 في 3 أبريل 1995، واستند أولاً إلى مراجعة النسخة التجريبية 0.51 ثم حُدّث بعد الإصدار الرسمي 1.1.1. وذكر التحذير أن نمط الاستكشاف يستطيع فحص مضيفين غير محددين صراحة، بما في ذلك مضيفون خارج المجال الإداري للمشغّل. كما تناول احتمالين: استخدام الأداة للعثور على أجهزة ضعيفة لأغراض خبيثة، أو أن يفحص مسؤول شرعي موقعاً آخر عن غير قصد.

لذلك لا تحدد النية وحدها مسار الفحص. يجب معرفة الأهداف التي أُدخلت أولاً، وما اكتشفته الأداة انطلاقاً منها، وإلى أين وصلت الفحوص اللاحقة. قد تستقبل خدمة مشتركة أو شبكة طرف ثالث أو نظام مجاور طلبات فحص من دون أن تكون جزءاً من الهدف الذي ظن المسؤول أنه حدده. عبارة «أفحص شبكتي» لا تكفي إذا كان نمط الاستكشاف قادراً على إضافة عناوين جديدة.

وفصل CERT هذه المسألة عن مسألة أخرى: بعد إصدار SATAN 1.0، نشر تحذيراً مستقلاً CA-95.07a عن ثغرة في البرنامج نفسه. تجاوز النطاق المعلن ووجود خلل في أداة الفحص خطران مختلفان، ولا ينبغي دمجهما في رواية واحدة.

تدعم السجلات استنتاجاً محدداً: سهّلت SATAN تدقيق الشبكات، وكان نمطها الاستكشافي قادراً على تجاوز المضيفين المذكورين صراحة. لكنها لا تحدد حادثة بعينها أو ضحية أو اختراقاً ناجحاً، ولا تثبت نية Farmer أو أي مشغّل محدد. تُستخدم Note 65 لهينغ لو، “Running-Code Primacy”، هنا كعدسة تحريرية فقط: يجب أن تقتصر دلالة الاختبار الحي على ما نفّذه فعلياً. وهي ليست مصدراً تاريخياً عن Farmer أو Venema أو SATAN.

المصادر