№ 7 (110)/2002
И Н Ф О Р М А Ц И О Н Н Ы Й Б Ю Л Л Е Т Е Н Ь
Анализ защищенности корпоративных автоматизированных систем
ИНФОРМАЦИОННА Я Б Е ЗОПАСНОС Т Ь
Анализ защищенности корпоративных автоматизированных систем
Александр Астахов CISA
СОДЕРЖАНИЕ
Введение .....................................................................................................................................3 Понятие защищенности АС .....................................................................................................3 Нормативная база анализа защищенности.........................................................................4 ISO 15408: Common Criteria for Information Technology Security Evaluation ISO 17799: Code of Practice for Information Security Management РД Гостехкомиссии России РД «СВТ. Защита от НСД к информации. Показатели защищенности от НСД к информации» РД «АС. Защита от НСД к информации. Классификация АС и требования по защите информации» РД «СВТ. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации» Методика анализа защищенности........................................................................................8 Исходные данные по обследуемой АС Анализ конфигурации средств защиты внешнего периметра ЛВС Методы тестирования системы защиты Средства анализа защищенности ......................................................................................11 Средства анализа параметров защиты (Security Benchmarks) Сетевые сканеры Средства контроля защищенности системного уровня Выводы.......................................................................................................................................27 Ссылки на WebKресурсы
Анализ защищенности является основным элементом таких взаимно пересекающихся видов работ как аттестация, аудит и обследование безо пасности АС. В настоящей статье обобщается существую щий опыт проведения работ по анализу защищен ности, дается обзор наиболее значимых стандар тов в этой области, описываются методы анализа и используемый программный инструментарий. Изложенный здесь подход не претендует ни на уникальность, ни на всеобъемлемость. С одной стороны, описываемые методы и программные средства анализа защищенности являются доста точно распространенными и уже давно с успехом используются на практике. С другой стороны, вполне возможно получение таких же (либо еще более убедительных) результатов с использовани ем других методов и средств.
Введение При создании информационной инфраструктуры корпоративной автоматизированной системы (АС) на базе современных компьютерных сетей неизбежно возникает вопрос о защищенности этой инфраструктуры от угроз безопасности ин формации. Насколько адекватны реализованные в АС механизмы безопасности существующим ри скам? Можно ли доверять этой АС обработку (хранение, передачу) конфиденциальной инфор мации? Имеются ли в текущей конфигурации АС ошибки, позволяющие потенциальным злоумыш ленникам обойти механизмы контроля доступа? Содержит ли установленное в АС программное обеспечение (ПО) уязвимости, которые могут быть использованы для взлома защиты? Как оце нить уровень защищенности АС и как определить является ли он достаточным в данной среде функ ционирования? Какие контрмеры позволят реаль но повысить уровень защищенности АС? На ка кие критерии оценки защищенности следует ори ентироваться и какие показатели защищенности использовать? Такими вопросами рано или поздно задают ся все специалисты ИТ отделов, отделов защиты информации и других подразделений, отвечаю щих за эксплуатацию и сопровождение АС. Отве ты на эти вопросы далеко неочевидны. Анализ защищенности АС от угроз безопасности инфор мации – работа сложная. Умение оценивать и управлять рисками, знание типовых угроз и уяз вимостей, критериев и подходов к анализу защи щенности, владение методами анализа и специа лизированным инструментарием, знание различ ных программно аппаратных платформ, исполь зуемых в современных компьютерных сетях – вот далеко не полный перечень профессиональ ных качеств, которыми должны обладать специа листы, проводящие работы по анализу защищен ности АС.
Понятие защищенности АС Защищенность является одним из важнейших по казателей эффективности функционирования АС, наряду с такими показателями как надеж ность, отказоустойчивость, производитель ность и т. п. Под защищенностью АС будем понимать степень адекватности реализованных в ней ме ханизмов защиты информации существующим в данной среде функционирования рискам, свя занным с осуществлением угроз безопасности информации. Под угрозами безопасности информации традиционно понимается возможность наруше ния таких свойств информации, как конфиден циальность, целостность и доступность. На практике всегда существует большое ко личество неподдающихся точной оценке возмож ных путей осуществления угроз безопасности в отношении ресурсов АС. В идеале каждый путь осуществления угрозы должен быть перекрыт со ответствующим механизмом защиты. Данное ус ловие является первым фактором , определяю
3
Александр Астахов
Нормативная база анализа защищенности Наиболее значимыми нормативными документа ми в области информационной безопасности, оп ределяющими критерии для оценки защищеннос ти АС, и требования, предъявляемые к механиз мам защиты, являются: 1. Общие критерии оценки безопасности ИТ (The Common Criteria for Information Technology Security Evaluation/ISO 15408). 2. Практические правила управления информа ционной безопасностью (Code of practice for Information Security Management/ISO 17799). Кроме этого, в нашей стране первостепенное зна чение имеют Руководящие документы (РД) Гос техкомиссии России. В других странах их место занимают соответствующие национальные стан дарты (там, где они есть). Наиболее полно критерии для оценки механиз мов безопасности программно технического уровня представлены в международном стандар те ISO 15408: Common Criteria for Information Technology Security Evaluation (Общие критерии оценки безопасности информационных техноло гий), принятом в 1999 году. Общие критерии оценки безопасности ин формационных технологий (далее «Общие кри терии») определяют функциональные требова ния безопасности (security functional require ments) и требования к адекватности реализации функций безопасности (security assurance requirements). При проведении работ по анализу защи щенности АС, а также средств вычислительной техники (СВТ) «Общие критерии» целесообразно использовать в качестве основных критериев, позволяющих оценить уровень защищенности АС (СВТ) с точки зрения полноты реализованных в ней функций безопасности и надежности реа лизации этих функций. Хотя применимость «Общих критериев» ограничивается механизмами безопасности про граммно технического уровня, в них содержится определенный набор требований к механизмам безопасности организационного уровня и требо ваний по физической защите, которые непосред ISO 15408: Common Criteria for Information Technology Security Evaluation
щим защищенность АС. Вторым фактором явля ется прочность существующих механизмов защи ты, характеризующаяся степенью сопротивляе мости этих механизмов попыткам их обхода либо преодоления. Третьим фактором является вели чина ущерба, наносимого владельцу АС в случае успешного осуществления угроз безопасности. На практике получение точных значений приведенных характеристик затруднено, т. к. по нятия угрозы, ущерба и сопротивляемости меха низма защиты трудноформализуемы. Например, оценку ущерба в результате НСД к информации политического и военного характера точно опре делить вообще невозможно, а определение веро ятности осуществления угрозы не может базиро ваться на статистическом анализе. Оценка степе ни сопротивляемости механизмов защиты всегда является субъективной. Описанный в настоящей работе подход позволяет получать качественные оценки уровня защищенности АС путем сопоставления свойств и параметров АС с многократно опробованными на практике и стандартизированными критерия ми оценки защищенности.
4
Анализ защищенности корпоративных автоматизированных систем
ISO 17799: Code of Practice for Information Security Management
ственно связаны с описываемыми функциями бе зопасности. Первая часть «Общих критериев» содер жит определение общих понятий, концепции, описание модели и методики проведения оценки безопасности ИТ. В ней вводится понятийный ап парат, и определяются принципы формализации предметной области. Требования к функциональности средств защиты приводятся во второй части «Общих кри териев» и могут быть непосредственно использо ваны при анализе защищенности для оценки пол ноты реализованных в АС (СВТ) функций безо пасности. Третья часть «Общих критериев» содержит классы требований гарантированности оценки, включая класс требований по анализу уязвимос тей средств и механизмов защиты под названием AVA: Vulnerability Assessment. Данный класс тре бований определяет методы, которые должны ис пользоваться для предупреждения, выявления и ликвидации следующих типов уязвимостей: • Наличие побочных каналов утечки информа ции; • Ошибки в конфигурации либо неправильное использование системы, приводящее к пере ходу в небезопасное состояние; • Недостаточная надежность (стойкость) меха низмов безопасности, реализующих соответ ствующие функции безопасности; • Наличие уязвимостей («дыр») в средствах за щиты информации, дающих возможность пользователям получать НСД к информации в обход существующих механизмов защиты. Соответствующие требования гарантированнос ти оценки содержатся в следующих четырех се мействах требований: • Семейство AVA_CCA: Covert Channel Analysis (Анализ каналов утечки информации); • Семейство AVA_MSU: Misuse (Ошибки в конфигурации либо неправильное использо вание системы, приводящее к переходу сис темы в небезопасное состояние); • Семейство AVA_SOF: Strength of TOE Security Functions (Стойкость функций безо пасности, обеспечиваемая их реализацией); • Семейство AVA_VLA: Vulnerability Analysis (Анализ уязвимостей). При проведении работ по аудиту безопасности перечисленные семейства требований могут ис пользоваться в качестве руководства и критериев для анализа уязвимостей АС (СВТ).
Наиболее полно критерии для оценки механизмов безопасности организационного уровня представ лены в международном стандарте ISO 17799: Code of Practice for Information Security Management (Практические правила управления информаци онной безопасностью), принятом в 2000 году. ISO 17799 является ни чем иным, как международной версией британского стандарта BS 7799. ISO 17799 содержит практические правила по управлению информационной безопасностью и может использоваться в качестве критериев для оценки механизмов безопасности организацион ного уровня, включая административные, проце дурные и физические меры защиты. Практические правила разбиты на следую щие 10 разделов: 1. Политика безопасности; 2. Организация защиты; 3. Классификация ресурсов и их контроль; 4. Безопасность персонала; 5. Физическая безопасность; 6. Администрирование компьютерных систем и вычислительных сетей; 7. Управление доступом; 8. Разработка и сопровождение информацион ных систем; 9. Планирование бесперебойной работы орга низации; 10.Контроль выполнения требований политики безопасности. В этих разделах содержится описание механизмов безопасности организационного уровня, реализуе мых в настоящее время в правительственных и ком мерческих организациях во многих странах мира. Десять средств контроля, предлагаемых в ISO 17799 (они обозначены как ключевые), счита ются особенно важными. Под средствами кон троля в данном контексте понимаются механиз мы управления информационной безопаснос тью организации. При использовании некоторых из средств контроля, например, шифрования данных, может потребоваться оценка рисков, чтобы определить нужны ли они и каким образом их следует реали зовывать. Для обеспечения более высокого уров ня защиты особенно ценных ресурсов или оказа ния противодействия особенно серьезным угро зам безопасности в ряде случаев могут потребо ваться более сильные средства контроля, которые выходят за рамки ISO 17799.
5
Александр Астахов
Десять ключевых средств контроля, пере численные ниже, представляют собой либо обя зательные требования, например, требования действующего законодательства, либо считают ся основными структурными элементами ин формационной безопасности, например, обуче ние правилам безопасности. Эти средства кон троля актуальны для всех организаций и сред функционирования АС и составляют основу си стемы управления информационной безопас ностью. Они служат в качестве основного руководства для организаций, приступающих к реализации средств управления информацион ной безопасностью. Ключевыми являются следующие средства контроля: • Документ о политике информационной безо пасности; • Распределение обязанностей по обеспече нию информационной безопасности; • Обучение и подготовка персонала к поддер жанию режима информационной безопасно сти; • Уведомление о случаях нарушения защиты; • Средства защиты от вирусов; • Планирование бесперебойной работы орга низации; • Контроль над копированием программного обеспечения, защищенного законом об ав торском праве; • Защита документации организации; • Защита данных; • Контроль соответствия политике безопасноти. Процедура аудита безопасности АС включает в себя проверку наличия перечисленных ключевых средств контроля, оценку полноты и правильнос ти их реализации, а также анализ их адекватности рискам, существующим в данной среде функцио нирования. Составной частью работ по аудиту бе зопасности АС также является анализ и управле ние рисками. РД Гостехкомиссии России В общем случае в нашей стране при решении за дач защиты информации должно обеспечиваться соблюдение следующих указов Президента, фе деральных законов, постановлений Правительст ва Российской Федерации, РД Гостехкомиссии России и других нормативных документов: • Доктрина информационной безопасности Российской Федерации; • Указ Президента РФ от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфи
денциального характера»; • Закон Российской Федерации «Об информа ции, информатизации и защите информа ции» от 20.02.95 N 24 ФЗ; • Закон Российской Федерации «О связи» от 16.02.95 N 15 ФЗ; • Закон Российской Федерации «О правовой охране программ для электронных вычисли тельных машин и баз данных» от 23.09.92 N3523 1; • Закон Российской Федерации «Об участии в международном информационном обмене» от 04.07.96 N 85 ФЗ; • Постановление Правительства Российской Федерации «О лицензировании отдельных видов деятельности» от 16.09.98г; • Закон Российской Федерации «О государст венной тайне» от 21 июля 1993 г; • ГОСТ Р 51583 «Защита информации. Поря док создания автоматизированных систем в защищенном исполнении». • Руководящий документ «Положение по атте стации объектов информатизации по требо ваниям безопасности информации» (Утверж дено Председателем Гостехкомиссии России 25.11.1994 г.); • Руководящий документ «Автоматизирован ные системы. Защита от несанкционирован ного доступа к информации. Классификация АС и требования к защите информации» (Гостехкомиссия России, 1997); • «Положение о сертификации средств защи ты информации по требованиям безопаснос ти информации» (Постановление Правитель ства РФ № 608, 1995 г.); • Руководящий документ «Средства вычисли тельной техники. Защита от НСД к информа ции. Показатели защищенности от НСД к ин формации» (Гостехкомиссия России, 1992 г.); • Руководящий документ «Концепция защиты средств вычислительной техники от НСД к ин формации» (Гостехкомиссия России, 1992 г.); • Руководящий документ «Защита от НСД к информации. Термины и определения» (Гос техкомиссия России, 1992 г.); • Руководящий документ «Временное поло жение по организации разработки, изготов ления и эксплуатации программных и тех нических средств защиты информации от НСД в АС и СВТ» (Гостехкомиссия России, 1992 г.); • Руководящий документ «Средства вычисли тельной техники. Межсетевые экраны. За щита от НСД к информации. Показатели за
6
Анализ защищенности корпоративных автоматизированных систем
• Четвертая группа характеризуется верифи цированной защитой содержит только пер вый класс. РД «АС. Защита от НСД к информации. КласK сификация АС и требования по защите инK формации» РД «АС. Защита от НСД к информации. Класси фикация АС и требования по защите информа ции» устанавливает классификацию автоматизи рованных систем, подлежащих защите от несанк ционированного доступа к информации, и требо вания по защите информации в АС различных классов. К числу определяющих признаков, по которым производится группировка АС в различ ные классы, относятся: • наличие в АС информации различного уров ня конфиденциальности; • уровень полномочий субъектов доступа АС на доступ к конфиденциальной информации; • режим обработки данных в АС – коллектив ный или индивидуальный. Устанавливается девять классов защищенности АС от НСД к информации. Каждый класс харак теризуется определенной минимальной совокуп ностью требований по защите. Классы подразде ляются на три группы, отличающиеся особеннос тями обработки информации в АС. В пределах каждой группы соблюдается иерархия требова ний по защите в зависимости от ценности и кон фиденциальности информации и, следовательно, иерархия классов защищенности АС. РД «СВТ. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации» При анализе системы защиты внешнего периметра корпоративной сети в качестве основных критери ев целесообразно использовать РД «СВТ. Межсете вые экраны. Защита от НСД к информации. Пока затели защищенности от НСД к информации». Данный документ определяет показатели защи щенности межсетевых экранов (МЭ). Каждый по казатель защищенности представляет собой набор требований безопасности, характеризующих опре деленную область функционирования МЭ. Всего выделяется пять показателей защищенности: 1. Управление доступом;
щищенности от НСД к информации» (Гостех комиссия России, 1997 г.); • Руководящий документ «Защита от несанк ционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недеклариро ванных возможностей» (Гостехкомиссия России, 1999 г.); • Руководящий документ «Специальные требо вания и рекомендации по технической защи те конфиденциальной информации» (Гостех комиссия России, 2001г.). РД Гостехкомиссии России составляют основу нормативной базы в области защиты от НСД к информации в нашей стране. Наиболее значи мые из них, определяющие критерии для оцен ки защищенности АС (СВТ), рассматриваются ниже. Критерии для оценки механизмов защиты программно технического уровня, используемые при анализе защищенности АС и СВТ, выражены в РД Гостехкомиссии РФ «АС. Защита от НСД к информации. Классификация АС и требования по защите информации» и «СВТ. Защита от НСД к информации. Показатели защищенности от НСД к информации». РД «СВТ. Защита от НСД к информации. ПокаK затели защищенности от НСД к информаK ции» РД «СВТ. Защита от НСД к информации. Показа тели защищенности от НСД к информации» уста навливает классификацию СВТ по уровню защи щенности от НСД к информации на базе перечня показателей защищенности и совокупности опи сывающих их требований. (Основным «источни ком вдохновения» при разработке этого докумен та послужила знаменитая американская «Оран жевая книга»). Устанавливается семь классов за щищенности СВТ от НСД к информации. Самый низкий класс седьмой, самый высокий – первый. Классы подразделяются на четыре группы, отли чающиеся уровнем защиты: • Первая группа содержит только один седь мой класс, к которому относят все СВТ, не удовлетворяющие требованиям более высо ких классов; • Вторая группа характеризуется дискрецион ной защитой и содержит шестой и пятый классы; • Третья группа характеризуется мандатной защитой и содержит четвертый, третий и вто рой классы;
2. Идентификация и аутентификация; 3. Регистрация событий и оповещение; 4. Контроль целостности; 5. Восстановление работоспособности.
7
Александр Астахов
Методика анализа защищенности
На основании показателей защищенности опре деляются следующие пять классов защищеннос ти МЭ: 1. Простейшие фильтрующие маршрутизаторы – 5 класс ; 2. Пакетные фильтры сетевого уровня – 4 класс ; 3. Простейшие МЭ прикладного уровня – 3 класс ; МЭ первого класса защищенности могут ис пользоваться в АС класса 1А, обрабатывающих информацию «Особой важности». Второму классу защищенности МЭ соответствует класс защищенности АС 1Б, предназначенный для об работки «совершенно секретной» информации и т.п. 4. МЭ базового уровня – 2 класс ; 5. Продвинутые МЭ – 1 класс .
В настоящее время не существует каких либо стандартизированных методик анализа защищен ности АС, поэтому в конкретных ситуациях алго ритмы действий аудиторов могут существенно различаться. Однако типовую методику анализа защищенности корпоративной сети предложить все таки возможно. И хотя данная методика не претендует на всеобщность, ее эффективность многократно проверена на практике. Типовая методика включает использование следующих методов: • Изучение исходных данных по АС; • Оценка рисков, связанных с осуществлением угроз безопасности в отношении ресурсов АС; • Анализ механизмов безопасности организа ционного уровня, политики безопасности ор ганизации и организационно распорядитель ной документации по обеспечению режима информационной безопасности и оценка их соответствия требованиям существующих нормативных документов, а также их адек ватности существующим рискам; • Ручной анализ конфигурационных файлов маршрутизаторов, МЭ и прокси серверов, осуществляющих управление межсетевыми взаимодействиями, почтовых и DNS серве ров, а также других критических элементов сетевой инфраструктуры; • Сканирование внешних сетевых адресов ЛВС из сети Интернет; • Сканирование ресурсов ЛВС изнутри; • Анализ конфигурации серверов и рабочих станций ЛВС при помощи специализирован ных программных средств. Перечисленные методы исследования предпола гают использование как активного, так и пассив ного тестирования системы защиты. Активное те стирование системы защиты заключается в эмуля ции действий потенциального злоумышленника по преодолению механизмов защиты. Пассивное тестирование предполагает анализ конфигурации ОС и приложений по шаблонам с использованием списков проверки. Тестирование может произво диться вручную либо с использованием специали зированных программных средств. Исходные данные по обследуемой АС В соответствии с требованиями РД Гостехкомис сии при проведении работ по аттестации безопас ности АС, включающих в себя предварительное
8
Анализ защищенности корпоративных автоматизированных систем
обследование и анализ защищенности объекта информатизации, заказчиком работ должны быть предоставлены следующие исходные данные: 1. Полное и точное наименование объекта ин форматизации и его назначение. 2. Характер (научно техническая, экономичес кая, производственная, финансовая, военная, политическая) информации и уpовень секpет ности (конфиденциальности) обpабатывае мой инфоpмации определен (в соответствии с какими пеpечнями (госудаpственным, отpас левым, ведомственным, пpедпpиятия). 3. Оpганизационная стpуктуpа объекта инфор матизации. 4. Пеpечень помещений, состав комплекса тех нических сpедств (основных и вспомогатель ных), входящих в объект информатизации, в котоpых (на котоpых) обpабатывается ука занная инфоpмация. 5. Особенности и схема pасположения объекта информатизации с указанием гpаниц контpолиpуемой зоны. 6. Стpуктуpа пpогpаммного обеспечения (об щесистемного и пpикладного), используемо го на аттестуемом объекте информатизации и пpедназначенного для обpаботки защищае мой инфоpмации, используемые пpотоколы обмена инфоpмацией. 7. Общая функциональная схема объекта ин форматизации, включая схему инфоpмаци онных потоков и pежимы обpаботки защи щаемой инфоpмации. 8. Наличие и хаpактеp взаимодействия с дpуги ми объектами информатизации. 9. Состав и стpуктуpа системы защиты инфоpма ции на аттестуемом объекте информатизации. 10.Пеpечень технических и пpогpаммных сpедств в защищенном исполнении, сpедств защиты и контpоля, используемых на аттес туемом объекте информатизации и имеющих соответствующий сеpтификат, пpедписание на эксплуатацию. 11.Сведения о pазpаботчиках системы защиты инфоpмации, наличие у стоpонних pазpабот чиков (по отношению к пpедпpиятию, на ко тоpом pасположен аттестуемый объект ин форматизации) лицензий на пpоведение по добных pабот. 12.Наличие на объекте информатизации (на пpедпpиятии, на котоpом pасположен объект информатизации) службы безопасности ин фоpмации, службы администpатоpа (автома тизиpованной системы, сети, баз данных). 13.Наличие и основные хаpактеpистики физи ческой защиты объекта информатизации
(помещений, где обpабатывается защищае мая инфоpмация и хpанятся инфоpмацион ные носители). 14.Наличие и готовность пpоектной и эксплуа тационной документации на объект инфор матизации и дpугие исходные данные по ат тестуемому объекту информатизации, влия ющие на безопасность инфоpмации . Опыт показывает, что перечисленных исходных данных явно недостаточно для выполнения работ по анализу защищенности АС, и приведенный в РД Гостехкомиссии список нуждается в расшире нии и конкретизации. Пункт 14 приведенного списка предполагает предоставление других ис ходных данных по объекту информатизации, вли яющих на безопасность информации. Как раз эти «дополнительные» данные и являются наиболее значимыми для оценки текущего положения дел с обеспечением безопасности АС. Их список вклю чает следующие виды документов: Дополнительная документация: 1. Нормативно распорядительная документа ция по проведению регламентных работ. 2. Нормативно распорядительная докумен тация по обеспечению политики безопас ности. 3. Должностные инструкции для администрато ров, инженеров технической поддержки, службы безопасности. 4. Процедуры и планы предотвращения и реа гирования на попытки НСД к информацион ным ресурсам. 5. Схема топологии корпоративной сети с ука занием IP адресов и структурная схема. 6. Данные по структуре информационных ре сурсов с указанием степени критичности или конфиденциальности каждого ресурса. 7. Размещение информационных ресурсов в корпоративной сети. 8. Схема организационной структуры пользо вателей. 9. Схема организационной структуры обслужи вающих подразделений. 10.Схемы размещения линий передачи данных. 11.Схемы и характеристики систем электропи тания и заземления объектов АС. 12.Данные по используемым системам сетевого управления и мониторинга.
Проектная документация: 1. Функциональные схемы.
2. Описание автоматизированных функций. 3. Описание основных технических решений.
9
Александр Астахов
Эксплуатационная документация:
тевые сканеры, располагающие базами данных известных уязвимостей. Метод «белого ящика» предполагает со ставление программы тестирования на основа нии знаний о структуре и конфигурации объекта испытаний. В ходе тестирования проверяются наличие и работоспособность механизмов безо пасности, соответствие состава и конфигурации системы защиты требованиям безопасности и су ществующим рисками. Выводы о наличие уязви мостей делаются на основании анализа конфигу рации используемых средств защиты и систем ного ПО, а затем проверяются на практике. Ос новным инструментом анализа в данном случае являются программные агенты средств анализа защищенности системного уровня, рассматрива емые ниже.
Руководства пользователей и администра торов используемых программных и технических средств защиты информации (СЗИ) (в случае необходимости). Анализ конфигурации средств защиты внешнего периметра ЛВС При анализе конфигурации средств защиты внешнего периметра ЛВС и управления межсете выми взаимодействиями особое внимание обра щается на следующие аспекты, определяемые их конфигурацией: • Настройка правил разграничения доступа (правил фильтрации сетевых пакетов) на МЭ и маршрутизаторах; • Используемые схемы и настройка парамет ров аутентификации; • Настройка параметров системы регистрации событий; • Использование механизмов, обеспечиваю щих сокрытие топологии защищаемой сети, включающих в себя трансляцию сетевых ад ресов (NAT), маскарадинг и использование системы split DNS; • Настройка механизмов оповещения об ата ках и реагирования; • Наличие и работоспособность средств кон троля целостности; • Версии используемого ПО и наличие уста новленных пакетов программных коррекций. Методы тестирования системы защиты Тестирование системы защиты АС проводится с целью проверки эффективности используемых в ней механизмов защиты, их устойчивости в отно шении возможных атак, а также с целью поиска уязвимостей в защите. Традиционно используют ся два основных метода тестирования: • тестирование по методу «черного ящика»; • тестирование по методу «белого ящика». Тестирование по методу «черного ящика» пред полагает отсутствие у тестирующей стороны ка ких либо специальных знаний о конфигурации и внутренней структуре объекта испытаний. При этом против объекта испытаний реализуются все известные типы атак и проверяется устойчивость системы защиты в отношении этих атак. Исполь зуемые методы тестирования эмулируют дейст вия потенциальных злоумышленников, пытаю щихся взломать систему защиты. Основным сред ством тестирования в данном случае являются се
10
Анализ защищенности корпоративных автоматизированных систем
Средства анализа защищенности
вия потенциальных нарушителей. В основе рабо ты сетевых сканеров лежит база данных, содержа щая описание известных уязвимостей ОС, МЭ, маршрутизаторов и сетевых сервисов, а также ал горитмов осуществления попыток вторжения (сценариев атак). Рассматриваемые ниже сетевые сканерыNessus и Symantec NetRecon являются до стойными представителями данного класса про граммных средств анализа защищенности. Таким образом, программные средства ана лиза защищенности условно можно разделить на два класса. Первый класс, к которому принадле жат сетевые сканеры, иногда называют средства ми анализа защищенности сетевого уровня. Вто рой класс, к которому относятся все остальные рассмотренные здесь средства, иногда называют средствами анализа защищенности системного уровня. Данные классы средств имеют свои до стоинства и недостатки, а на практике взаимно дополняют друг друга. Для функционирования сетевого сканера необходим только один компьютер, имеющий се тевой доступ к анализируемым системам, поэтому в отличие от продуктов, построенных на техноло гии программных агентов, нет необходимости ус танавливать в каждой анализируемой системе своего агента (своего для каждой ОС). К недостаткам сетевых сканеров можно от нести большие временные затраты, необходимые для сканирования всех сетевых компьютеров из одной системы, и создание большой нагрузки на сеть. Кроме того, в общем случае трудно отличить сеанс сканирования от действительных попыток осуществления атак. Сетевыми сканерами также с успехом пользуются злоумышленники. Системы анализа защищенности, постро енные на интеллектуальных программных аген тах, являются потенциально более мощным сред ством, чем сетевые сканеры. Однако, несмотря на все свои достоинства, использование программ ных агентов не может заменить сетевого скани рования, поэтому эти средства лучше применять совместно. Кроме того, сканеры являются более простым, доступным, дешевым и, во многих слу чаях, более эффективным средством анализа за щищенности.
Арсенал программных средств, используемых для анализа защищенности АС достаточно широк. Причем во многих случаях свободно распростра няемые программные продукты ничем не уступа ют коммерческим. Достаточно сравнить неком мерческий сканер NESSUS с его коммерческими аналогами. Удобным и мощным средством анализа за щищенности ОС является рассматриваемый ни же, свободно распространяемый программный продукт CIS Windows 2000 Level I Scoring Tool, а также аналогичные средства разработчиков ОС, предоставляемые бесплатно, такие как ASET для ОС Solaris или MBSA (Microsoft Security Baseline Analyzer) для ОС Windows 2000. Одним из методов автоматизации процес сов анализа и контроля защищенности распреде ленных компьютерных систем является исполь зование технологии интеллектуальных программ ных агентов. Система защиты строится на архи тектуре консоль/менеджер/агент. На каждую из контролируемых систем устанавливается про граммный агент, который и выполняет соответст вующие настройки ПО и проверяет их правиль ность, контролирует целостность файлов, свое временность установки пакетов программных коррекций, а также выполняет другие полезные задачи по контролю защищенности АС. (Управле ние агентами осуществляется по сети програм мой менеджером.) Менеджеры являются цент ральными компонентами подобных систем. Они посылают управляющие команды всем агентам контролируемого ими домена и сохраняют все данные, полученные от агентов в центральной ба зе данных. Администратор управляет менеджера ми при помощи графической консоли, позволяю щей выбирать, настраивать и создавать политики безопасности, анализировать изменения состоя ния системы, осуществлять ранжирование уязви мостей и т. п. Все взаимодействия между агента ми, менеджерами и управляющей консолью осу ществляются по защищенному клиент серверно му протоколу. Такой подход был использован при построении комплексной системы управления безопасностью организации Symantec ESM. Другим широко используемым методом анализа защищенности является активное тести рование механизмов защиты путем эмуляции дей ствий злоумышленника по осуществлению попы ток сетевого вторжения в АС. Для этих целей при меняются сетевые сканеры, эмулирующие дейст
Средства анализа параметров защиты (Security Benchmarks)
Уровень защищенности компьютерных систем от угроз безопасности определяется многими фак торами. При этом одним из определяющих факто ров является адекватность конфигурации систем ного и прикладного ПО, средств защиты инфор
11
Александр Астахов
мации и активного сетевого оборудования суще ствующим рискам. Перечисленные компоненты АС имеют сотни параметров, значения которых оказывают влияние на защищенности системы, что делает их ручной анализ трудновыполнимой задачей. Поэтому в современных АС для анализа конфигурационных параметров системного и прикладного ПО, технических средств и средств защиты информации зачастую используются спе циализированные программные средства. Анализ параметров защиты осуществляется по шаблонам, содержащим списки параметров и их значений, которые должны быть установлены для обеспечения необходимого уровня защищенности. Различные шаблоны определяют конфигурации для различных программно технических средств. Относительно коммерческих корпоратив ных сетей, подключенных к сети Интернет, мож но говорить о некотором базовом уровне защи щенности, который в большинстве случаев можно признать достаточным. Разработка спецификаций (шаблонов) для конфигурации наиболее распрост раненных системных программных средств, поз воляющих обеспечить базовый уровень защищен ности, в настоящее время осуществляется пред ставителями международного сообщества в лице организаций и частных лиц, профессионально за нимающихся вопросами информационной безо пасности и аудита АС, под эгидой международной организации Центр Безопасности Интернет (Center of Internet Security). На данный момент за кончены, либо находятся в разработке следующие спецификации (Security Benchmarks): • Solaris (Level 1) • Windows 2000 (Level 1) • CISCO IOS Router (Level 1/Level 2)
Перечисленные спецификации являются результатом обобщения мирового опыта обеспе чения информационной безопасности. Для анализа конфигурации компонентов АС на соответствие этим спецификациям исполь зуются специализированные тестовые программ ные средства (CIS certified scoring tools). В качестве примера рассмотрим специфи кацию базового уровня защиты для ОС MS Windows 2000 и соответствующий программный инструментарий для анализа конфигурации ОС. Windows 2000 Security Benchmark CIS Windows 2000 Security Benchmark является программой, позволяющей осуществлять провер ку соответствия настроек ОС MS Windows 2000 минимальному набору требований безопасности, определяющих базовый уровень защищенности, который в общем случае является достаточным для коммерческих систем. Требования к базовому уровню защищенности ОСWindows 2000 были вы работаны в результате обобщения практического опыта. Свой вклад в разработку этих специфика ций внесли такие организации, как SANS Institute, Center for Internet Security, US NSA и US DoD. В состав инструментария CIS Windows 2000 Security Benchmark входит шаблон политики безо пасности (cis.inf), позволяющий осуществлять срав нение текущих настроек ОС c эталонными и произ водить автоматическую переконфигурациюОС для обеспечения соответствия базовому уровню защи щенности, задаваемому данным шаблоном. CIS Windows 2000 Security Benchmark поз воляет осуществлять количественную оценку те кущего уровня защищенности анализируемой ОС по 10 бальной шкале. Уровень 0 соответствует минимальному уровню защищенности (после ус тановки ОС ее уровень защищенности как раз и будет равен 0). Уровень 10 является максималь ным и означает полное соответствие анализируе мой системы требованиям базового уровня защи щенности для коммерческих систем. Все проверки, выполняемые при анализе системы, делятся на 3 категории: 1. Service Packs and Hotfixes (Пакеты обновле ний и программные коррекции); 2. Account and Audit Policies (Политика управле ния пользовательскими бюджетами и полити ка аудита безопасности); 3. Security Options (Опции безопасности). Первая категория включает проверку установ ки последних пакетов обновлений (Service Packs) и текущих программных коррекций (Hotfixes) от Microsoft.
• Linux (Level 1) • HPUX (Level 1) • AIX (Level 1) • Check Point FW1/VPN1 (Level 2) • Apache Web Server (Level 2) • Windows NT (Level 1) • Windows 2000 Bastion Host (Level 2) • Windows 2000 Workstation (Level 2) • Windows IIS5 Web Server (Level 2)
В приведенном списке спецификации первого уровня (Level 1) определяют базовый (минималь ный) уровень защиты, который требуется обес печить для большинства систем, имеющих под ключения к Интернет. Спецификации второго уровня (Level 2) определяют продвинутый уро вень защиты, необходимый для систем, в кото рых предъявляются повышенные требования по безопасности.
12
Анализ защищенности корпоративных автоматизированных систем
Рис. 1. Windows 2000 Level 1 Security Scoring Tool
Вторая категория включает проверки парамет ров политики безопасности по управлению пользовательскими бюджетами (включая по литику управления паролями) и осуществле нию аудита безопасности. Третья категория включает проверки всех ос тальных параметров безопасности ОС, не от носящиеся к первым двум категориям, вклю чая запрет анонимных сессий (NULL sessions), правила выделения внешних устройств, пара метры защиты протокола TCP/IP, установки прав доступа к системным объектам и т.п. Для проверки наличия установленных текущих программных коррекций используется утилита MS Network Security Hotfix Checker (HFNetCheck), которая автоматически скачивает ся с сайта Microsoft и устанавливается во время осуществления проверок. Подробную информа
цию об этой утилите можно получить по адресу: http://www.microsoft.com/technet/treeview/defaul t.asp?url=/technet/security/tools/hfnetchk.asp. Используя список недостающих программ ных коррекций (Hotfixes), сгенерированный ути литой HFNetCheck, следует осуществить поиск и установку этих коррекций. Для этого использует ся Microsoft Security Bulletin Search Web сайт: (http://www.microsoft.com/technet/treeview/defau lt.asp?url=/technet/security/Default.asp). Для осуществления мониторинга установки необходимых программных коррекций, помимо утилит Microsoft, можно использовать более мощ ные средства третьих фирм, например, програм му UpdateExpert, разработки St. Bernard Software (www.stbernard.com). Для настройки ОС с использованием шаб лона CIS.INF используется Security Configuration and Analysis Snap In – стандартное средство ОС
13
Александр Астахов
Рис. 2. Список недостающих программных коррекций
неадекватность существующим рискам, а также уязвимости, обусловленные человеческим факто ром. Наличие уязвимостей в системе защиты АС, в конечном счете, приводит к успешному осуществ лению атак, использующих эти уязвимости. Сетевые сканеры являются, пожалуй, наи более доступными и широко используемыми средствами анализа защищенности. Основной принцип их функционирования заключается в эмуляции действий потенциального злоумышлен ника по осуществлению сетевых атак. Поиск уяз вимостей путем имитации возможных атак явля ется одним из наиболее эффективных способов анализа защищенности АС, который дополняет результаты анализа конфигурации по шаблонам, выполняемый локально с использованием шабло нов (списков проверки). Сканер является необхо димым инструментом в арсенале любого админи стратора либо аудитора безопасности АС. Современные сканеры способны обнаружи вать сотни уязвимостей сетевых ресурсов, предо ставляющих те или иные виды сетевых сервисов. Их
Windows 2000 для осуществления анализа и наст ройки параметров безопасности ОС. Порядок подключения данного средства к MMC (Microsoft Management Console), загрузки шаблона, его использования для анализа и изме нения конфигурации ОС описывается в «CIS Win2K Level 1 Implementation Guide», входящем в комплект программной документации, которая содержит также подробное описание всех произ водимых проверок и соответствующих парамет ров настройки ОС. Сетевые сканеры Основным фактором, определяющим защищен ность АС от угроз безопасности, является наличие в АС уязвимостей защиты. Уязвимости защиты мо гут быть обусловлены как ошибками в конфигура ции компонентов АС, так и другими причинами, в число которых входят ошибки и программные за кладки в коде ПО, отсутствие механизмов безопас ности, их неправильное использование, либо их
14
Анализ защищенности корпоративных автоматизированных систем
Рис. 3. Сетевой сканер NetRecon
предшественниками считаются сканеры телефон ных номеров (war dialers), использовавшиеся с нача ла 80 х и непотерявшие актуальности по сей день. Первые сетевые сканеры представляли собой про стейшие сценарии на языке Shell, сканировавшие различные TCP порты. Сегодня они превратились в зрелые программные продукты, реализующие мно жество различных сценариев сканирования. Современный сетевой сканер выполняет четыре основные задачи: • Идентификацию доступных сетевых ресурсов; • Идентификацию доступных сетевых сервисов; • Идентификацию имеющихся уязвимостей сетевых сервисов; • Выдачу рекомендаций по устранению уязви мостей. В функциональность сетевого сканера не входит выдача рекомендаций по использованию найден ных уязвимостей для реализации атак на сетевые ресурсы. Возможности сканера по анализу уяз вимостей ограничены той информацией, кото
рую могут предоставить ему доступные сетевые сервисы. Принцип работы сканера заключается в моделировании действий злоумышленника, про изводящего анализ сети при помощи стандартных сетевых утилит, таких как host, showmount, trace out, rusers, finger, ping и т. п. При этом использу ются известные уязвимости сетевых сервисов, сетевых протоколов и ОС для осуществления уда ленных атак на системные ресурсы и осуществля ется документирование удачных попыток. В настоящее время существует большое ко личество как коммерческих, так и свободно рас пространяемых сканеров, как универсальных, так и специализированных, предназначенных для вы явления только определенного класса уязвимостей. Многие из них можно найти в сети Интернет. Чис ло уязвимостей в базах данных современных ска неров медленно, но уверенно приближается к 1000. Одним из наиболее продвинутых коммер ческих продуктов этого класса является сетевой сканер NetRecon компании Symantec, база дан
15
Александр Астахов
ных которого содержит около 800 уязвимостей UNIX, Windows и NetWare систем и постоянно об новляется через Web. Рассмотрение его свойств позволит составить представление о всех продук тах этого класса. Сетевой сканер NetRecon Сетевой сканер NetRecon является инструментом администратора безопасности, предназначенным для исследования структуры сетей и сетевых сер висов и анализа защищенности сетевых сред. NetRecon позволяет осуществлять поиск уязви мостей в сетевых сервисах, ОС, МЭ, маршрутиза торах и других сетевых компонентах. Например, NetRecon позволяет находить уязвимости в таких сетевых сервисах, как ftp, telnet, DNS, электрон ная почта, Web сервер и др. При этом проверяют ся версии и конфигурации сервисов, их защи щенность от сетевых угроз и устойчивость к по пыткам проникновения. Для поиска уязвимостей используются как стандартные средства тестиро вания и сбора информации о конфигурации и функционировании сети, так и специальные средства, которые реализуют алгоритмы, эмули рующие действия злоумышленника по осуществ лению сетевых атак. Программа работает в среде ОС Windows NT и имеет удобный графический интерфейс, поз воляющий определять параметры сканирования, наблюдать за ходом сканирования, генерировать и просматривать отчеты о результатах сканирова ния. Результаты отображаются в графической и в табличной форме в реальном масштабе времени. Создаваемые NetRecon отчеты содержат подробную информацию о найденных уязвимос тях, включая слабость паролей пользователей, подверженность определенных сервисов угрозам отказа в обслуживании, уязвимые для сетевых атак конфигурации ОС и многие другие. Наряду с сообщениями о найденных уязвимостях и их опи саниями, приводятся рекомендации по их устра нению. Отчет о результатах сканирования позво ляет наметить план мероприятий по устранению выявленных недостатков. Для генерации отчетов в NetRecon исполь зуется ПО Crystal Report, предоставляющее удоб ные средства для просмотра отчетов и их экспор та во все популярные форматы представления данных. Найденные уязвимости ранжируются, при этом каждой из них присваивается числовой рейтинг, что позволяет отсортировать их по сте пени критичности для облегчения последующего анализа результатов сканирования. Пример описания уязвимости в отчете, сге нерированном сканером NetRecon, приведен на
рис. 5. ВNetRecon используется следующийформат описания уязвимости (который, однако, является общим и для всех остальных сетевых сканеров): • Vulnerability Name (Название уязвимости); • Risk (Уровень риска); • Description (Описание уязвимости); • Solution (Способы ликвидации уязвимости); • Additional Information (Дополнительная ин формация); • Links (Ссылки на источники информации о данной уязвимости); • # of Network Resources (Кол во сетевых ре сурсов, подверженных данной уязвимости); • Network Resource (Список сетевых ресурсов). NetRecon самостоятельно определяет кон фигурацию сети и позволяет выбрать сетевые ре сурсы для сканирования. Может осуществляться параллельное сканирование всех сетевых ресур сов, сканирование по диапазону сетевых адре сов, сканирование отдельных систем или подсе тей. Сеанс сканирования может включать в себя все виды проверок либо отдельные проверки по выбору пользователя. Глубина сканирования оп ределяется продолжительностью сеанса скани рования, которая задается пользователем. На пример, проверки, связанные с подбором пользо вательских паролей по словарю, сопряжены с су щественными временными затратами и не могут быть завершены в течение короткого сеанса ска нирования. Для поиска сетевых уязвимостей в NetRecon используется запатентованная технология UltraScan. Производимые NetRecon проверки тес но взаимосвязаны и результаты одной проверки используются для выполнения другой. Как и в слу чае реальных атак, в технологии UltraScan инфор мация об обнаруженных уязвимостях использует ся для выявления других связанных с ними уязви мостей. Например, если NetRecon удалось полу чить доступ к файлу, содержащему пароли пользо вателей, и расшифровать несколько паролей, то эти пароли будут использованы для имитации атак на другие системы, входящие в состав сети. NetRecon дает возможность пользователю отслеживать путь поиска уязвимости, представля ющий собой последовательность проверок, произ водимых NetRecon, которая привела к выявлению данной уязвимости. Путь поиска уязвимости поз воляет проследить действия возможного наруши теля, осуществляющего атаку на сетевые ресурсы. Используемая NetRecon база данных содер жит описание известных уязвимостей и сценари ев атак. Она регулярно пополняется новыми дан ными. Обновление этой базы данных производит
16
Анализ защищенности корпоративных автоматизированных систем
Рис. 4. Суммарное количество уязвимостей, обнаруженных сканером NetRecon
Рис. 5. Описание уязвимости в отчете, сгенерированном сканером NetRecon
17
Александр Астахов
ся через Web узел компании Symantec автомати чески, при помощи механизма LiveUpdate. Сетевой сканер NESSUS Сетевой сканер Nessus может рассматриваться в качестве достойной альтернативы коммерческим сканерам. Nessus является свободно распростра няемым и постоянно обновляемым программным продуктом. Удобный графический интерфейс позволяет определять параметры сеанса сканиро вания, наблюдать за ходом сканирования, созда вать и просматривать отчеты. По своим функциональным возможностям сканер защищенности Nessus находится в одном ряду, а по некоторым параметрам и превосходит такие широко известные коммерческие сканеры, как NetRecon компании Symantec, Internet Scanner компании ISS и CyberCop Scanner компании NAI. Версия 0.99 серверной части сканера Nessus была сертифицирована в Гостехкомиссии России (Сертификат N 361 от 18 сентября 2000 г.). Сценарии атак реализованы в NESSUS в ка честве подключаемых модулей (plugins). Количе ство подключаемых модулей постоянно увеличи вается, в настоящее время насчитывается более 700. Новые внешние модули, эмулирующие ата ки, можно инсталлировать, скопировав файлы, содержащие их исходные тексты, с web сервера разработчиков www.nessus.org. Nessus предоставляет очень широкие воз можности по поиску уязвимостей корпоративных сетей и исследованию структуры сетевых серви сов. Помимо использования стандартных спосо бов сканирования ТСР и UDP портов, Nessus поз воляет осуществлять поиск уязвимостей в реали зациях протоколов управления сетью ICMP и SNMP. Кроме того, поддерживаются различные стелс режимы сканирования, реализуемые попу лярным некоммерческим стелс сканером nmap, который можно рассматривать в качестве одного из компонентов сканера Nessus. Другой популяр ный некоммерческий сканер queso используется в составе Nessus для определения типа и номера версии сканируемой ОС. Высокая скорость сканирования достигает ся за счет использования при реализации сканера Nessus многопотоковой архитектуры программи рования, позволяющей осуществлять одновре менное параллельное сканирование сетевых хос тов. Для сканирования каждого хоста сервером nessusd создается отдельный поток выполнения. Подробное описание используемых мето дов сканирования TCP/UDP портов можно найти в онлайновой документации на сканер nmap. Они включают в себя следующее:
• TCP connect scan • TCP SYN scan • TCP FIN scan • TCP Xmas Tree scan • TCP Null scan • UDP scan
При реализации Nessus использована нетипичная для сетевых сканеров клиент/серверная архитек тура. Взаимодействие между клиентом и серве ром осуществляется по защищенному клиент серверному протоколу, предусматривающему ис пользование надежной схемы аутентификации и шифрование передаваемых данных. Сервер nes susd работает только в среде UNIX и предназна чен для выполнения сценариев сканирования. Механизмы собственной безопасности, реализо ванные в сервере nessusd, позволяют осуществ лять аутентификацию пользователей сканера, ог раничивать полномочия пользователей по выпол нению сканирования и регистрировать все дейст вия пользователей в журнале регистрации собы тий на сервере. Клиентская часть Nessus работает и в среде UNIX, и в среде Windows и реализует графический интерфейс пользователя для управления сервером nessusd. Пользователь сканера перед запуском се анса сканирования определяет параметры скани рования, указывая диапазон сканируемых IP адре сов и TCP/UDP портов, максимальное количество потоков сканирования (число одновременно ска нируемых хостов), методы и сценарии сканирова ния (plugins), которые будут использоваться. Все сценарии сканирования разделены на группы по типам реализуемых ими сетевых атак (рис. 6), обнаруживаемых уязвимостей, а также по видам тестируемых сетевых сервисов. Так, имеются специальные группы сценариев: • Backdoors для обнаружения «троянских» программ: • Gain Shell Remotely – для реализации атак на получение пользовательских полномочий на удаленной UNIX системе; • Firewalls – для тестирования МЭ; • FTP – для тестирования FTP серверов; • Windows – для поиска уязвимостей Windows систем и т.п. Особую группу сценариев сканирования Denail of Service составляют атаки на отказ в обслужива нии (DoS). Единственный способ убедиться в том, что сканируемая система подвержена той или иной DoS – это выполнить эту атаку и посмот реть на реакцию системы. Эта группа сценариев, однако, является потенциально опасной, т.к. их
18
Page 1 Page 2 Page 3 Page 4 Page 5 Page 6 Page 7 Page 8 Page 9 Page 10 Page 11 Page 12 Page 13 Page 14 Page 15 Page 16 Page 17 Page 18 Page 19 Page 20 Page 21 Page 22 Page 23 Page 24 Page 25 Page 26 Page 27 Page 28Made with FlippingBook - Online Brochure Maker