Технология анализа защищенности. Технология анализа защищенности
 Скачать 350.82 Kb.
|
1 2 Технология анализа защищенности Технология анализа защищённости представляет собой совокупность методов обнаружения технологических и эксплуатационных уязвимостей ПО АС. Данная технология реализуется при помощи систем анализа защищённости (securityassessmentsystems) или сканеров безопасности (securityscanners), представляющих собой специализированное ПО. Рассмотрим более подробно методы выявления технологических и эксплуатационных уязвимостей и проанализируем возможность использования существующих средств, реализующих эти методы, для выявления уязвимостей ПО узлов ГСПД и ЦУС. Выявление и своевременное устранение обнаруженных технологических и эксплуатационных уязвимостей в ПО узлов ГСПД и ЦУС позволит предотвратить следующие типы ВН: ВН, направленные на получение НСД к информационным ресурсам и инфраструктурам ЦУС и узлов ГСПД; ВН, направленные на нарушение работоспособности ЦУС и узлов ГСПД; ВН, направленные на активизацию «закладок», внедрённых в По узлов ГСПД и ЦУС. Методы выявления технологических уязвимостей ПО Процесс выявления технологических уязвимостей ПО АС может осуществляться при помощи одного из следующих методов: путём анализа исходных текстов ПО АС; при помощи исполняемого кода ПО АС; посредством имитации ВН на ПО АС. Обнаружение технологических уязвимостей ПО АС путём анализа исходных текстовПО, как правило, осуществляется при помощи составления алгоритма работы программы и последующей проверки его правильности. Алгоритм работы программы АС может быть составлен в виде блок-схем или формализован при помощи различных математических аппаратов. Так, например, системы обнаружения уязвимостей АСТМА (Ассемблер - Тензорно-Множественный Аппарат) и СОТМА (Словесное Описание - Тензорно-Множественный Аппарат), разработанные в пензенском филиале НТЦ «Атлас», в процессе анализа исходных текстов программы используют тензорно-множественный математический аппарат. Другим примером системы анализа защищённости такого типа является анализатор исходный текстов Си и Си++ программ (АИСТ-С), разработанный в ЗАО «ЦБИ-Сервис». Главным недостатком данного метода обнаружения уязвимостей является высокая сложность его практической реализации, а также отсутствие чётко определённой методики анализа исходных текстов, позволявшей бы гарантировать отсутствие уязвимостей в анализируемом коде ПО АС. Существующие средства анализа защищённости, реализующие метод анализа исходных текстов ПО, не могут быть использованы для обнаружения технологических уязвимостей ПО узлов ГСПД и ЦУС, поскольку основная часть исходных текстов ПО узлов ГСПД и ЦУС является «закрытой», т. е. интеллектуальной собственностью производителей ПО, и не подлежит распространению вне рамок компании-разработчика. Процедура же дизассемблирования, которая может быть применена для получения исходного кода ПО узлов ГСПД и ЦУС из исполняемых модулей программ, не может однозначно гарантировать, что полученный в результате этой процедуры исходный код соответствует дизассемблированной программе. Это связано с тем, что в процессе дизассемблирования не всегда имеется возможность определить разницу между исполняемыми командами и данными программы. Обнаружение технологических уязвимостей ПО АС при помощи анализа исполняемого кодаПО осуществляется путём запуска программы АСв рамках тестовой среды, которая проверяет правильность выполнения этой программы. В процессе выполнения программы для неё формируется ряд запросов, после чего анализируется реакция тестируемой программы, т.е. каким образом исполняемый код программы влияет на состояние тестовой среды. Если в результате сформированного запроса тестовая среда переходит в небезопасное состояние, приводящее, например, к нарушению работоспособности АС, то делается вывод о наличие ряда уязвимостей в тестируемой программе. Такой метод обнаружения уязвимостей позволяет выявить ряд ошибок, внесённых на технологическом этапе, например ошибки, приводящие к переполнению буфера, ошибки неправильного доступа к памяти, выход за границы массива данных и др. Основным недостатком рассмотренного метода является отсутствие гарантий обнаружения всех технологических уязвимостей ПО АС, поскольку смоделировать все возможные состояния среды, в рамках которой выполняется программа АС, не представляется возможным. Примером практической реализации описанного метода обнаружения технологических уязвимостей является программный комплекс тестирования, разработанный в специализированном центре защиты информации Санкт-Петербургского государственного технического университета. Существующие средства обнаружения технологических уязвимостей при помощи анализа исполняемого кода могут быть использованы только для анализа защищённости ПО ЦУС, поскольку оно базируется на стандартных ОС, таких как Windows и UNIX. В настоящее время на отечественном рынке ИБ отсутствуют средства анализа защищённости ПО узлов ГСПД, которые используют специализированные ОС (например, ОС Cisco IOS маршрутизаторов и коммутаторов компании Cisco). Последний способ обнаружения технологических уязвимостей заключается в имитации ВН на АС и анализе результатов моделирования этих ВН. В случае, если процесс моделирования ВН завершается успехом, то система делает вывод о наличии уязвимости в ПО тестируемой АС. Примерами систем анализа защищённости этого класса являются: анализатор уязвимостей «НКВД» (ООО «Кировский региональный центр деловой информации»), система анализа защищённости CiscoSecureScanner (компания «Cisco Systems»), программный комплекс анализа защищённости InternetScanner (компания «Internet Security Systems»), сканер безопасности Nessus (проект «Nessus Project») и др. К преимуществам этого метода обнаружения уязвимостей можно отнести простоту его реализации, а к недостаткам - невозможность обнаружения уязвимостей АС, которые отсутствуют в базе данных системы анализа защищённости. Рассмотренные выше средства анализа защищённости, функционирующие посредством имитации ВН, могут быть использованы для выявления уязвимостей ПО как узлов ГСПД, так и ЦУС. Тем не менее необходимо отметить, что в настоящее время системы этого класса, представленные на отечественном рынке ИБ, могут применяться только в ГСПД функционирующих на основе стека протоколов TCP/IP. Методы выявления эксплуатационных уязвимостей ПО Выявление эксплуатационных уязвимостей АС может осуществляться двумя способами: при помощи проверки настроек программно-аппаратного обеспечения АС или посредством имитации ВН на АС. Проверка настроек заключается в выявлении тех параметров работы программно-аппаратного обеспечения АС, которые могут быть использованы нарушителем при реализации воздействия. Процедура имитации ВН реализуется рассмотренными выше средствами моделирования атак, предназначенными для обнаружения технологических уязвимостей. Средства выявления эксплуатационных уязвимостей также могут быть использованы для анализа защищённости узлов ГСПД и ЦУС. Проведённый анализ существующих на отечественном рынке средств выявления технологических и эксплуатационных уязвимостей показывает, что ни одно из существующих средств не позволяет гарантировать стопроцентное обнаружение всех уязвимостей, присутствующих в ПО узлов ГСПД и ЦУС. Так, например, в настоящее время отсутствует возможность обнаружения при помощи систем анализа защищённости тех «закладок», подробное описание параметров которых не заложено в систему анализа защищённости. Кроме того, в настоящее время отсутствуют средства анализа защищённости узлов ГСПД, построенных на базе технологий Х.25, Frame Relay и ATM. Системы обнаружения воздействий нарушителя и их функции Технология обнаружения ВН представляет собой совокупность методов обнаружения атак нарушителя на АС. Данная технология реализуется при помощи специализированных программно-аппаратных комплексов, называемых системами обнаружения ВН (Intrusiondetectionsystems), выполняющими две основные функции: формирование банка данных, содержащего сведения о работе АС, который впоследствии может быть использован для выявления ВН на АС, защищаемые системой обнаружения ВН. Банк данных, формируемый системой обнаружения, может включать в себя: параметры заголовков сообщений, поступающих в АС, время, количество и объём данных, поступающих в АС, число установленных логических соединений с АС за единицу времени, текущий уровень загрузки АС, контрольные суммы программного обеспечения АС и др.; определение на базе сформированного банка данных фактов проведения ВН на информационные ресурсы и инфраструктуры АС, защищаемых системой обнаружения. Первую функцию систем обнаружения ВН выполняют сенсоры, а вторую - анализаторы. Настройка параметров работы сенсоров и анализаторов осуществляется центром управления системой обнаружения ВН. В настоящее время существует два основных типа сенсоров: сенсоры, функционирующие на базе анализа журналов аудита АС, и сенсоры, функционирующие на базе анализа трафика, передаваемого по каналу связи, к которому подключена АС. Сенсоры и их функции Основная задача сенсоров, функционирующих на базе анализа журналов аудита АС, заключается в формировании банка данных, содержащего сведения о работе АС. Такой банк данных создаётся на базе регистрационных записей журналов аудита, формируемых АС. Схематично структура системы обнаружения ВН, включающая сенсоры, функционирующие на базе анализа журнала аудита, изображена на рис. 21.1.  Рисунок 21.1 - Структура системы обнаружения ВН с сенсорами, функционирующими на базе анализа журнала аудита Недостатком сенсоров, функционирующих на базе анализа журналов аудита АС, является платформенная зависимость, поскольку необходимая для системы обнаружения ВН информация по-разному представлена в различных ОС, под управлением которых функционируют АС. Так, например, характер представления регистрационной информации в журналах ОС Windows рабочих станций пользователей отличается от варианта представления ОС UNIX, используемой в большинстве серверов. К преимуществам сенсоров, функционирующих на базе анализа журналов аудита АС, можно отнести относительно небольшой объём и высокую точность данных, извлекаемых сенсором из журналов аудита АС. Поскольку извлечённая информация не требует дальнейших преобразований и готова к обработке, то системы обнаружения с сенсорами на базе анализа журнала аудита АС обладают высоким быстродействием. Основная задача сенсоров, функционирующих на базе анализа трафика, заключается в перехвате сообщений, передаваемых по каналам связи, к которым подключена АС, и формировании банка данных, содержащего информацию о работе АС. Критерии перехвата сообщений должны задаваться администратором безопасности. Схематично структура системы обнаружения ВН с сенсорами на базе анализа сетевого трафика отражена на рис. 21.2.  Рисунок 21.2 - Структура системы обнаружения ВН с сенсорами, функционирующими на базе анализа канального трафика После того как сенсор осуществил перехват сообщения, он должен извлечь из заголовка сообщения и поместить в банк данных системы обнаружения необходимую информацию, такую как типы и параметры протоколов, используемых для формирования сообщений, поступающих в АС, время, количество и объём передаваемых сообщений и др. Накопленный в базе данных материал позволит анализатору системы сделать вывод о наличии ВН на АС. В сравнении с сенсорами, функционирующими на базе анализа журналов аудита АС, данный тип сенсоров, базирующийся на анализе канального трафика, позволяет получать больший объём информации о работе АС, что позволяет обнаруживать большее число ВН. Так, например, сенсоры, функционирующие на базе анализа журналов аудита, как правило, не фиксируют аппаратные адреса АС, обменивающихся между собой сообщениями, что позволяет нарушителю выполнить несанкционированные действия путём фальсификации своего аппаратного адреса. В этом случае обнаружить ВН этого типа способна лишь система обнаружения, включающая сенсоры, функционирующие на базе анализа канального трафика. Другим преимуществом сенсоров этого типа является высокая степень отказоустойчивости. Это объясняется тем, что сенсоры, функционирующие на базе анализа журналов аудита, жёстко привязаны к АС, на которой хранится журнал, т.е. в случае выведения из строя АС перестанет функционировать и сенсор. В то же время сенсоры, функционирующие на основе анализа канального трафика, устанавливаются в каналы связи и не зависят от работоспособности окружающих их АС. К недостаткам же сенсоров, функционирующих на базе анализа сетевого трафика, можно отнести повышенные требования к аппаратному обеспечению, на основе которого создаётся сенсор. При использовании сенсоров этого типа на магистральных участках передачи данных может сложиться ситуация, при которой сенсор будет «терять» сообщения, т.е. не учитывать их при дальнейшей обработке и соответственно пропускать возможные ВН. Это может быть связано с недостаточным количеством вычислительных ресурсов. Для решения этой проблемы необходимо увеличить вычислительную мощность аппаратного обеспечения сенсора или расширить критериальную базу фильтров, на основе которых происходит перехват сообщений. Гибридные сенсорысочетают в себе возможности двух рассмотренных выше сенсоров, т.е. часть сенсоров может извлекать информацию как посредством анализа сетевого трафика, так и при помощи анализа информации, извлечённой из журналов аудита. После извлечения сенсором необходимой информации посредством анализа журнала аудита или трафика, передаваемого по каналам связи, к которым подключена АС, он должен записать её в банк данных системы обнаружения ВН. На базе содержимого этого банка данных анализатор системы обнаружения ВН определяет факт проведения ВН. 1 2 |