Кратко

  • В статье 1993 года Dan Farmer и Wietse Venema предложили проверять сетевые службы с позиции возможного нарушителя; SATAN превратил этот подход в повторяемый аудит для администраторов.
  • CERT описал SATAN как средство тестирования и отчётности, но указал, что исследовательский режим мог проверять незаданные узлы, в том числе за пределами административной области оператора.
  • Скан показывает только то, что конкретные проверки наблюдали на указанных целях и в заданный период. Сам по себе он не доказывает разрешение, намерение, взлом или безопасность непроверенных систем.

Взгляд снаружи становится рабочим инструментом

Совет «думать как атакующий» мало помогает, если его нельзя превратить в повторяемую проверку. В статье 1993 года «Improving the Security of Your Site by Breaking Into It» Dan Farmer и Wietse Venema предложили оценивать собственные системы через службы, видимые по сети. Проверка изнутри каждого отдельного хоста может не показать, что доступно наблюдателю, подключённому извне.

В исторических документах SATAN раскрывается по-разному. В статье 1993 года это «Security Analysis Tool for Auditing Networks»; в уведомлении CERT 1995 года используется «Security Administrator Tool for Analyzing Networks». Разница отражает разные документы и этапы. При этом исходная статья была написана Farmer и Venema совместно. В интервью USENIX 2014 года Farmer вспоминал, что упоминание SATAN в статье вызвало больший интерес, чем ожидали соавторы, и подтолкнуло их подробнее задуматься о создании инструмента. Это поздний рассказ самого Farmer, а не свидетельство конкретного развёртывания или использования.

CERT описывал SATAN как инструмент тестирования и составления отчётов о сетевых узлах. Он проверял службы finger, NFS, NIS, FTP, rexd и другие, мог сводить данные в обзор и применять простые правила для поиска потенциальных проблем. К кратким описаниям добавлялись ссылки на исправления или обходные решения. Инструмент также собирал сведения о топологии сети, используемых службах, оборудовании и программном обеспечении. Разрозненные ручные проверки становились воспроизводимым процессом.

Но отчёт не равен заключению. Указание на возможную проблему требует проверки и устранения; оно не доказывает, что кто-то воспользовался уязвимостью. Отсутствие находок тоже не подтверждает безопасность: результат ограничен списком узлов и служб, набором проверок и временем запуска. Сканер описывает свою область наблюдения, а не всю сеть.

Граница входит в проектирование проверки

Уведомление CERT CA-1995-06 от 3 апреля 1995 года первоначально опиралось на изучение бета-версии 0.51, а затем было обновлено после официального выпуска 1.1.1. CERT пояснил, что исследовательский режим мог проверять узлы, не заданные явно, возможно за пределами административного домена оператора. В предупреждении учитывались и злонамеренный поиск уязвимых машин, и случайное сканирование чужой площадки добросовестным администратором.

Поэтому область проверки нельзя выводить только из заявленной цели. Нужно знать исходный перечень, какие адреса инструмент обнаруживал по ходу работы и куда распространялись последующие запросы. Общий сервис, сторонняя инфраструктура или соседняя сеть могли получить трафик, хотя не входили в намеренный набор целей. Формулировка «проверить свою сеть» недостаточна, если правила обнаружения меняют список адресов.

CERT отдельно рассмотрел другой риск. После выпуска SATAN 1.0 появилось уведомление CA-95.07a об уязвимости в самом SATAN. Выход за пределы явно заданных целей и дефект сканирующей программы — разные проблемы. Их разделение сохраняет точность исторического разбора.

Документы подтверждают ограниченный вывод: SATAN упростил сетевой аудит, а его исследовательский режим мог выходить за список явно заданных узлов. Они не устанавливают конкретный инцидент, успешное проникновение или злой умысел Farmer либо определённого оператора. Note 65 Хэнга Лу «Running-Code Primacy» служит здесь только редакционной рамкой: работающая проверка должна доказывать лишь то, что она действительно выполнила. Это не исторический источник о Farmer, Venema или SATAN.

Источники