17302

Технологія адаптивного управління інформаційною безпекою

Лекция

Информатика, кибернетика и программирование

Лекція 12. Технологія адаптивного управління інформаційною безпекою Рішення проблем безпеки корпоративних інформаційних систем вимагає застосування адаптивного механізму що працює в режимі реального часу і володіє високою чутливістю до змін в інформаційній інфраст...

Украинкский

2013-06-30

632.5 KB

3 чел.

Лекція 12. Технологія адаптивного управління  інформаційною безпекою

Рішення проблем безпеки корпоративних інформаційних систем вимагає застосування адаптивного механізму, що працює в режимі реального часу і володіє високою чутливістю до змін в інформаційній інфраструктурі. Ефективність захисту корпоративної інформаційної системи залежить від прийняття правильних рішень, які підтримують захист, що адаптується до умов мережевого оточення, що змінюються.

Декілька провідних зарубіжних організацій, що займаються мережевою безпекою, розробили підходи, що дозволяють не тільки розпізнавати існуючі уразливості і атаки, але і виявляти старі, що змінилися, або нові уразливості і протиставляти їм відповідні засоби захисту. Компанія ISS (internet Security Systems) уточнила і розвинула ці підходи і створила Модель адаптивного управління безпекою ANS (Adaptive Network Security). Цією компанією розроблене сімейство засобів SAFEsuite, яке є першим і поки єдиним комплексом систем, що включає всі компоненти моделі адаптивного управління безпекою мережі.

Концепція адаптивного управління безпекою мережі

Для компанії будь-якого профілю (фінансової, страхової, торгової і т.п.) існує своя типова корпоративна інформаційна система, що складається з компонентів, що вирішують свої специфічні задачі. У загальному випадку архітектура КІС включає чотири рівні:

  •  Рівень прикладного програмного забезпечення, що відповідає за взаємодію з користувачем. Прикладами елементів ІС, що працюють на цьому рівні, служать текстовий редактор WinWord, редактор електронних таблиць Excel, поштова програма Outlook, системи MS Query і т.д.
  •  Рівень системи управління базами даних, що відповідає за зберігання і обробку даних інформаційної системи. Серед елементів ІС, що працюють на цьому рівні, можна назвати СУБД Oracle, MS SQL Server, Sybase і навіть MS Access.
  •  Рівень операційної системи, що відповідає за обслуговування СУБД і прикладного програмного забезпечення. Прикладами елементів ІС, що працюють на цьому рівні, є ОС MS Windows NT, Sun Solaris, Novell NetWare.
  •  Рівень мережі, що відповідає за взаємодію вузлів інформаційної системи. У числі елементів ІС, що працюють на цьому рівні, можна назвати стеки протоколів TCP/IP, IPS/SPX і SMB/NetBIOS.

Ще кілька років тому можна було надійно забезпечити безпеку інформаційних систем, використовуючи такі традиційні засоби захисту, як ідентифікація і автентифікація, розмежування доступу, шифрування і т.п. Проте з появою і розвитком відкритих комп'ютерних мереж ситуація різко змінилася. Кількість уразливостей мережевих операційних систем і прикладних програм, а також число можливих атак на КІС постійно росте. Атакою на корпоративну інформаційну систему вважається будь-яка дія, виконувана порушником для реалізації загрози шляхом використовування уразливостей КІС. Під уразливістю корпоративної інформаційної системи розуміється будь-яка характеристика або елемент КІС, використовування яких порушником може привести до реалізації загрози.

Уразливі практично всі компоненти корпоративної інформаційної системи. По-перше, це мережеві протоколи (TCP/IP, IPX/SPX, NetBIOS/SMВ) і пристрої (маршрутизатори, комутатори), створюючі мережу. По-друге, операційні системи (Windows NT, UNIX, NetWare). По-третє, бази даних і додатки (SAP, поштові і Web-сервери і т.д.).

Зловмисник має в своєму розпорядженні широкий спектр можливостей порушення безпеки КІС. Ці можливості можуть бути реалізовані на всіх чотирьох перерахованих вище рівнях КІС. Наприклад, для отримання несанкціонованого доступу до фінансової інформації в СУБД MS SQL Server хакер може реалізувати одну з наступних задач:

  •  Перехопити дані, що передаються по мережі (рівень мережі).
  •  Прочитати файли бази даних, звертаючись безпосередньо до файлової системи (рівень ОС).
  •  Прочитати потрібні дані засобами самої СУБД (рівень СУБД).
  •  Прочитати записи БД за допомогою SQL-запитів через програму MS Query яка дозволяє діставати доступ до записів СУБД (рівень прикладного ПЗ).

При побудові більшості традиційних комп'ютерних засобів захисту використовувалися класичні моделі розмежування доступу, розроблені ще в 70-80-го роки. Недостатня ефективність таких традиційних механізмів захисту, як розмежування доступу, автентифікація, фільтрація і інші, обумовлена тим, що при їх створенні не враховані багато аспектів, пов'язаних з сучасними атаками.

Розглянемо етапи здійснення атаки на КІС (мал. 12).

                               Рисунок 1. Етапи виконання атаки

Перший, підготовчий етап полягає в пошуку зловмисником передумов для здійснення тієї або іншої атаки. На даному етапі порушник шукає уразливості в системі. Використовування цих уразливостей здійснюється на другому, основному етапі реалізації атаки. На третій, завершальній стадії зловмисник завершує атаку і прагне приховати сліди вторгнення. У принципі перший і третій етапи самі по собі можуть бути атаками. Наприклад, пошук хакером уразливостей за допомогою сканерів безпеки сам по собі вважається атакою.

Слід зазначити, що існуючі механізми захисту, реалізовані в МЕ, серверах автентифікації, системах розмежування доступу, працюють тільки па етапі реалізації атаки. По суті, ці механізми захищають від атак, які знаходяться вже в процесі здійснення. Ефективнішим було б попередження атак, запобігання самим передумовам реалізації вторгнення. Комплексна система забезпечення інформаційної безпеки повинна афективно працювати на всіх трьох етапах здійснення атаки.

В більшості випадків для вирішення виникаючих проблем із захистом в організаціях використовуються часткові підходи. Звичайно вони обумовлені, перш за все, поточним рівнем доступних ресурсів. До того ж адміністратори безпеки схильні реагувати тільки на ті ризики безпеки, які їм зрозумілі. Фактично таких ризиків може бути істотно більше. Тільки строгий поточний контроль захищеності КІС і комплексний підхід, що забезпечує єдину ПБ, дозволяють істотно знизити ризики безпеки.

Адаптивний підхід до безпеки дозволяє контролювати, знаходити ризики безпеки і реагувати на них в режимі реального часу, використовуючи правильно спроектовані і добре керовані процеси і засоби.

Адаптивна безпека мережі складається з трьох основних елементів:

  •  технології аналізу захищеності (security assessment);
  •  технології виявлення атак (Intrusion detection);
  •  технології управління ризиками (risk management).

Оцінка ризику полягає у виявленні і ранжируванні уразливостей (за ступенем серйозності потенційних дій та збитку ), підсистем мережі (за ступенем критичності), загроз (виходячи з вірогідності їх реалізації) і т.д. Оскільки конфігурація мережі постійно змінюється, то і процес оцінки ризику повинен проводитися постійно. З оцінки ризиків повинна починатися побудова системи захисту корпоративної інформаційної системи.

Аналіз захищеності – це пошук вразливих місць в мережі. Мережа складається із з'єднань, вузлів, хостів, робочих станцій, додатків і баз даних. Всі вони потребують як оцінки ефективності їх захисту, так і в пошуку невідомих уразливостей в них. Технології аналізу захищеності досліджують мережу і шукають «слабкі» місця в ній, узагальнюють ці відомості і друкують по них звіт. Якщо система, що реалізовує дану технологію, містить і адаптивний компонент, то усунення знайденої уразливості здійснюватиметься не уручну, а автоматично.

Технологія аналізу захищеності – дійовий метод, що дозволяє реалізувати політику мережевої безпеки перш, ніж здійсниться спроба її порушення зовні або зсередини організації.

Перерахуємо деякі проблеми, що ідентифікуються технологією аналізу захищеності:

«люки» в системах (backdoor) і програми типу «троянський кінь»;

слабкі паролі;

сприйнятливість до проникнення з незахищених систем і атак типу «відмова в обслуговуванні»;

відсутність необхідних оновлень (patch, hotfix) операційних систем;

неправильна настройка МЕміжмережевих екранів, Web-серверів і баз даних і багато інших.

Виявлення атак є процесом оцінки підозрілих дій, які відбуваються в корпоративній мережі. Виявлення атак реалізується за допомогою аналізу або журналів реєстрації операційної системи і додатку або мережевого трафіку у реальному часі, Компоненти виявлення атак, розміщені на вузлах або сегментах мережі, оцінюють різні дії, у тому числі і використовуючі відомі уразливості (мал. 13).

Адаптивний компонент моделі ANS відповідає за модифікацію процесу аналізу захищеності, надаючи йому саму останню інформацію про нові уразливості. Також він модифікує компонент виявлення атак, доповнюючи його останньою інформацією про атаки. Як приклад адаптивного компоненту можна вказати механізм оновлення баз даних антивірусних програм для виявлення нових вірусів. Управляючий компонент повинен бути здібний до генерації звітів і аналізу тенденцій, пов'язаних з формуванням системи захисту організації.

               Рисунок 2.  Взаємодія систем аналізу захищеності і виявлення атак

У звіті Yankee Group вказане, що адаптація даних може полягати в різних формах реагування, а саме:

відправлення повідомлень системам мережевого управління по протоколу SNMP, по електронній пошті або на пейджер адміністратору;

автоматичне завершення сесії з атакуючим вузлом або користувачем, реконфігурація  МЕ або інших мережевих пристроїв (наприклад, маршрутизаторів);

вироблення рекомендацій адміністратору, що дозволяють своєчасно усунути знайдені уразливості в мережах, додатках або інших компонентах інформаційної системи організації.

Використовування моделі адаптивної безпеки мережі (мал. 14) дозволяє контролювати практично всі загрози і своєчасно реагувати на них високоефективним способом, що забезпечує не тільки усунення уразливостей, які можуть привести до реалізації загрози, але і виявлення умов, що приводять до появи уразливостей. Модель адаптивної безпеки мережі дозволяє також зменшити зловживання в мережі, підвищити обізнаність користувачів, адміністраторів і керівництво компанії про події безпеки в мережі.

Слід зазначити, що дана модель не відкидає вже використовувані механізми захисту (розмежування доступу, автентифікацію і т.д.). Вона розширює їх функціональність за рахунок нових технологій. Для того, щоб привести свою систему забезпечення інформаційної безпеки у відповідність сучасним вимогам, організаціям необхідно доповнити наявні рішення трьома новими компонентами, що відповідають за аналіз захищеності, виявлення атак і управління ризиками.

Рисунок 3. Модель адоптивної безпеки

Технологія аналізу захищеності

В організації, що використовує корпоративну інформаційну систему, доводиться регулярно перевіряти, наскільки реалізовані або використовувані механізми захисту інформації відповідають положенням прийнятої в організації політики безпеки. Така задача періодично виникає при зміні і оновленні компонентів інформаційної системи, зміні конфігурації операційної системи і т.п.

Проте адміністратори мереж не мають досить часу на проведення подібних перевірок для всіх вузлів корпоративної мережі. Тому фахівці відділів захисту інформації потребують засобів, що полегшують аналіз захищеності використовуваних механізмів забезпечення інформаційної безпеки. Цей процес допомагають автоматизувати засоби аналізу захищеності, звані на Заході сканерами безпеки (security scanners).

Засоби аналізу захищеності працюють на першому етапі здійснення атаки. Знаходячи і своєчасно усуваючи уразливості, вони таким чином запобігають самій можливості реалізації атаки, що дозволяє понизити витрати (фінансові, ресурсні, людські і т.д.) на експлуатацію засобів захисту. Технології аналізу захищеності є дієвим методом, що дозволяє проаналізувати і реалізувати політику мережевої безпеки перш, ніж здійсниться спроба її порушення зовні або зсередини організації.

Засоби аналізу захищеності можуть функціонувати на мережевому рівні, рівні операційної системи і рівні додатку. Вони можуть проводити пошук уразливостей, поступово нарощуючи число перевірок і «заглиблюючись» в інформаційну систему, досліджуючи всі її рівні.

Найбільше поширення набули засоби аналізу захищеності мережевих сервісів і протоколів. Обумовлено це, в першу чергу, універсальністю використовуваних протоколів. Вивчене і повсюдне використовування таких протоколів, як IP, TCP, HTTP, FTP, SMTP і т.п., дозволяють з високим ступенем ефективності перевіряти захищеність інформаційної системи, що працює в мережевому оточенні.

Другими за поширеністю є засоби аналізу захищеності операційних систем. Обумовлено це також універсальністю і поширеністю деяких операційних систем (наприклад, UNIX і Windows NT). Проте через те, що кожен виробник вносить в операційну систему свої зміни (як приклад можна привести безліч різновидів ОС UNIX), засоби аналізу захищеності ОС аналізують в першу чергу параметри, характерні для всього сімейства даної ОС. Лише для деяких систем передбачений аналіз їх специфічних параметрів.

Засобів аналізу захищеності додатків на сьогоднішній день не так вже багато. Такі засоби поки існують тільки для широко поширених прикладних систем типу Web-браузерів (Netscape Navigator, Microsoft Internet Explorer), СУБД (Microsoft SQL Server, Oracle) і т.п.

Застосування засобів аналізу захищеності дозволяє швидко визначити всі вузли корпоративної мережі, доступні у момент проведення тестування, виявити всі використовувані в мережі сервіси і протоколи, їх настройки і можливості несанкціонованої дії (як зсередини корпоративної мережі, так і зовні). За наслідками сканування ці засоби виробляють рекомендації і покрокові заходи, що дозволяють усунути виявлені недоліки.

Даний метод контролю порушень політики безпеки не може замінити фахівця з інформаційної безпеки. Засоби аналізу захищеності покликані лише автоматизувати пошук деяких відомих уразливостей.

Засоби аналізу захищеності мережевих протоколів і сервісів

Взаємодія абонентів в будь-якій мережі базується на використовуванні мережевих протоколів і сервісів, що визначають процедуру обміну інформацією між двома і більш вузлами. При розробці мережевих протоколів і сервісів до них: пред'являлися вимоги (звично явно недостатні) по забезпеченню безпеки оброблюваної інформації. Тому постійно з'являються повідомлення про знайдених в мережевих протоколах уразливостях. В результаті виникає потреба в постійній перевірці всіх використовуваних в корпоративній мережі протоколів і сервісів.

Системи аналізу захищеності виконують серію тестів по виявленню уразливостей. Ці тести аналогічні вживаним зловмисниками при здійсненні атак на корпоративні мережі.

Сканування з метою виявлення уразливостей починається з отримання попередньої інформації про систему, що перевіряється, зокрема про дозволені протоколи і відкриті порти, використовувану версію операційної системи і т.п. Закінчується сканування спробами імітації проникнення; використовуються широко відомі атаки, наприклад підбір пароля методом повного перебору (brute force – «груба сила»).

За допомогою засобів аналізу захищеності на рівні мережі можна тестувати не тільки можливість несанкціонованого доступу в корпоративну мережу з Internet. Ці ж засоби можуть бути використані для аналогічної перевірки у внутрішній мережі організації. Системи аналізу захищеності па рівні мережі можуть бути використані як для оцінки рівня безпеки організації, так і для контролю ефективності настройки мережевого програмного і апаратного забезпечення.

В даний час відоме більше десятка різних засобів, що автоматизують пошук уразливостей мережевих протоколів і сервісів. Один з перших таких засобів – вільно поширювана система аналізу захищеності UNIX-систем SATAN (Security Administrator Tool for Analyzing Networks), розроблена В.Венема і Д. Фармером. Серед комерційних систем аналізу захищеності можна назвати Internet Scanner компанії Internet Security Systems Inc., NetSonar компанії Cisco, CyberCop Scanner компанії Network Associates і ряд інших.

Типова схема проведення аналізу захищеності (на прикладі системи Internet Scanner) представлена на мал. 15.

Рисунок 4. Схема виконання аналізу захищеності (на прикладі системы Internet Scanner)

Засоби аналізу захищеності даного класу аналізують уразливість не тільки мережевих сервісів і протоколів, але і системного і прикладного програмного забезпечення, що відповідає за роботу з мережею. До такого забезпечення можна віднести Web-, FTP- і поштові сервери, МЕ, браузери і т.ін.

Деякі з пропонованих на ринку систем проводять не тільки аналіз захищеності програмного забезпечення, але і сканування апаратних засобів. До таких апаратних засобів відноситься комутуюче і маршрутизуюче устаткування.

Засоби аналізу захищеності операційних систем

Засоби цього класу призначені для перевірки настройок операційної системи, що впливають на її захищеність. До таких настройок можна віднести:

  •  облікові записи користувачів (accounts), наприклад довжину пароля і термін його дії;
  •  права користувачів на доступ до критичних системних файлів;
  •  уразливі системні файли;
  •  встановлені патчи (patches) і т.п.

Системи аналізу захищеності па рівні ОС також можуть бути використані для контролю конфігурації операційних систем.

На відміну від засобів аналізу захищеності мережевого рівня, ці системи проводять сканування не зовні, а зсередини аналізованої ОС, тобто не імітують атаки зовнішніх зловмисників. Окрім виявлення уразливостей, деякі системи аналізу захищеності на рівні ОС (наприклад, System Scanner компанії Internet Security Systems) автоматично усувають ряд знайдених проблем або коректують параметри системи, що не задовольняють політиці безпеки, прийнятої в організації.

Як вже наголошувалося, засобів аналізу захищеності операційної системи існує менше, ніж засобів перевірки мережі. Серед перших відомих систем можна назвати COPS (Computerized Oracle and Password System), розроблену одним з авторів системи SATAN Д.Фармером сумісно з Ю. Спаффордом з лабораторії COAST. Також широко відомі системи System Security Scanner і Security Policy Manager компанії Internet Security Systems Inc., Kane Security Analyst компанії Intrusion Detection і ін.


 

А также другие работы, которые могут Вас заинтересовать

71501. ВИВЧЕННЯ МАГНІТНИХ СПЛАВІВ І ФАЗОВИХ ПЕРЕТВОРЕНЬ ЗА ДОПОМОГОЮ ДИФЕРЕНЦІАЛЬНОГО МАГНІТОМЕТРА. ВИЗНАЧЕННЯ НАМАГНІЧЕНОСТІ НАСИЧЕННЯ СПЛАВІВ ТА ВПЛИВУ НА МАТЕРІАЛИ ТЕРМІЧНИХ ОБРОБОК 177.5 KB
  Мета роботи: Вивчення роботи диференціального магнітометра та дослідження з його допомогою основних магнітних характеристик і фазових перетворень в магнітних сплавах. Конструкція магнітометра та принцип його роботи.
71502. ТЕМПЕРАТУРНА ЗАЛЕЖНІСТЬ ЕЛЕКТРИЧНОГО ОПОРУ МЕТАЛІВ ТА СПЛАВІВ 794 KB
  Електропровідність або питомий опір, як константи речовини входять в основні закони – закон Ома і закон Джоуля-Ленца. В загальному випадку питома електропровідність – тензорна величина, а саме симетричний тензор другого рангу. В кристалах з кубічною структурою електропровідність не залежить від напрямку.
71503. ВИВЧЕННЯ МЕХАНІЗМІВ ТЕПЛОПРОВІДНОСТІ ТВЕРДИХ ТІЛ 837 KB
  Коефіцієнт теплопровідності теплопровідність визначається рівнянням Фур’є: 1 де густина теплового потоку Вт м2 λ теплопровідність Вт м·К градієнт температури К м. Рівняння Фур’є справедливе для невеликих значень градієнта температури коли відхилення системи від рівноважного стану...
71504. Исследование зависимости жёсткости тела от его размеров 176 KB
  Цель работы: пользуясь зависимостью силы упругости от абсолютного удлинения вычислить жёсткости пружин разной длины. Поэтому силы упругости имеют электромагнитную природу. Сила упругости всегда направлена к положению равновесия и стремится вернуть тело в исходное состояние.
71508. ГИДРОМЕХАНИЧЕСКИЕ ПРОЦЕССЫ 787.59 KB
  Вторая задача определение температуры в различных участках тела участвующего в процессе теплообмена. Эта задача имеет важное значение для расчета температурных режимов эксплуатации деталей машин и различных конструкций так как прочность материалов сильно зависит от температуры...
71509. Разработка и отладка алгоритмов и программ с использованием шаблонов классов и алгоритмов библиотеки STL 812.16 KB
  Цель работы: Получить практические навыки в разработке алгоритмов и написании программ с использованием шаблонов классов и алгоритмов библиотеки STL. Общая постановка. Дано: число N и последовательность a1, a2,... aN Создать шаблон класса, порождающий динамические одномерные массивы...