Характеристики защищенности от сетевых атак

Характеристики защищенности от сетевых атак

 
В.Н. Пржегорлинский, директор РУНЦ «Безопасность» Рязанской государственной радиотехнической академии, к.т.н., доцент
В. В. Кратенко, аспирант Рязанской государственной радиотехнической академии
В.А. Гончаров, эксперт

Действия нарушителя

В современном мире все большее значение приобретают распределенные информационные вычислительные сети (ИВС). Следует отметить, что при их создании одной из главных задач становится защита информации от НСД — несанкционированного доступа. НСД, выполняемый нарушителем с помощью средств удаленного доступа, будем называть сетевой атакой. Для того чтобы не были своевременно блокированы его действия, нарушитель стремится иметь информацию о реально используемой сетевой инфраструктуре, с учетом применяемых сетевых технологий, сетевых и транспортных протоколов, сетевых служб и бизнес-приложений. В случае успеха злоумышленником может быть организован скрытый канал передачи данных, с помощью которого он имеет шанс получить доступ к хостам ИВС.

Вероятность подобного развития событий обуславливается тремя основными предпосылками:

• наличием среды передачи данных между хостами ИВС;
• наличием уязвимостей в ИВС (ошибки проектирования и / или реализации);
• наличием компромисса цена / эффективность в применении средств информационной безопасности.

Нарушитель действует поэтапно (рис. 1).

Этап I. На начальном этапе преступником производится сбор общей информации об ИВС и сбор сведений о потенциально уязвимых ресурсах. Интересующие злоумышленника сведения предлагается условно разделить на технические и персональные. К первой группе можно отнести следующие данные:

• сведения о сети и ее топологии;
• сведения о хостах ИВС, включая аппаратные средства, типы применяемых операционных систем, используемые приложения, предоставляемые сетевые службы и т.п.;
• сведения о средствах защиты (межсетевые экраны, фильтры, системы обнаружения атак).

Кроме того, накапливаются сведения персонального характера об администраторах и пользователях ИВС, позволяющие установить степень соответствия между пользователями ИВС и конкретными физическими лицами.

Этап II. После того как информация об ИВС собрана, злоумышленником предпринимаются активные попытки нарушения безопасности ИВС как на уровне отдельных хостов, так и всей системы. Целью данного этапа является реализация угроз нарушения конфиденциальности, целостности и доступности информации в ИВС.

Этап III. На этой стадии нарушителем производится внедрение в ИВС средств скрытого управления, мониторинга и коррекции данных внутреннего аудита (программы типа «троянский конь»). Модификация журналов аудита помогает НСД остаться незамеченным для администратора безопасности и систем анализа. Средства скрытого управления позволяют в дальнейшем производить НСД без попадания информации о факте доступа в журналы аудита. Кроме того, за счет этих средств осуществляется доступ к ресурсам ИВС, что затрудняет обнаружение злоумышленника и факта НСД. После удачного выполнения этапа III можно считать, что нарушителю удалось скомпрометировать данный хост ИВС.

Проблема оценки защищенности ИВС от сетевых информационных атак (например, при подключении ИВС к Интернету) состоит в том, что даже защищенная (в трактовке руководящих документов Гостехкомис-сии России) вычислительная система приобретает некоторую уязвимость при ее подключении к сети общего пользования. Это объясняется особенностями принятых для обмена в данной сети общего пользования протоколов связи, технических средств связи, правил обмена информацией и т.п.

Определенные протоколы и технологии передачи данных, применяемые в сетях общего пользования, имеют ошибки проектирования и реализации, которые ведут к снижению защищенности ИВС. Следовательно, для принятия обоснованных мер по достижению требуемого уровня защищенности необходимо ввести новые характеристики защищенности, которые будут заданы в виде требований. Предлагаемые характеристики являются качественными и выражаются требованиями по обеспечению сопротивления определенным действиям нарушителя.

Характеристики защищенности

Разобьем условно все показатели на пять групп (рис. 2).

К первой группе относятся характеристики противодействия сбору информации о компонентах ИВС.

От СЗИ требуется противодействие установлению:

• типа используемых операционных систем;
• аппаратной платформы компонента ИВС;
• наличия сетевых служб;
• версий используемых программных средств;
• активности хостов.

СЗИ также должно предотвратить возможность изучения топологии сети и получения информации о пользователях ИВС.

Ко второй группе отнесем характеристики защиты от подключений к сети ИВС.

СЗИ препятствует:

• возможности «прослушивания» сегмента сети;
• неконтролируемой передаче сетевых пакетов между интерфейсами одного хоста;
• организации несанкционированных коммуникационных каналов доступа в ИВС;
• возможности несанкционированного подключения сетевых устройств.

Третья группа показателей относится к обеспечению безопасности хостов ИВС. Сюда включим такие характеристики системы защиты, как противодействие возможности:

• неконтролируемого доступа к системным файлам и их изменения;
• перехвата и модификации записей журналов аудита;
• исчерпания системных ресурсов процессами;
• понижения грифа секретности при операциях с объектами;
• появления компонентов ОС, не требующихся для обеспечения функциональности в рамках выполняемых задач;
• возникновения неадекватных полномочий доступа к критическим системным файлам.

Четвертая группа характеристик описывает защиту сети ИВС. Система защиты должна противостоять:

• атакам типа «отказ в обслуживании» на сетевом уровне;
• «спуфингу», то есть атакам на механизмы аутентификации, которые базируются на проверке адресов отправителя;
• передаче паролей в открытом виде;
• передаче данных с ограниченным доступом в незашифрованном виде;
• использованию сетевых протоколов со слабой аутентификацией;
• нарушению целостности передаваемых данных;
• возможности использования альтернативных механизмов безопасности, понижающих уровень защиты;
• наличию протоколов, не требующихся для обеспечения работы в рамках выполняемых задач.

И, наконец, пятая группа характеристик описывает защиту приложений. В системе должны отсутствовать:

• неадекватные полномочия доступа к файлам приложений;
• компоненты приложений, не требующихся для обеспечения работы в рамках выполняемых задач;
• анонимный доступ к ресурсам приложения.

СЗИ также должны препятствовать возможности модификации записей журналов приложений.

Знать, чтобы не допустить

Предложенная модель действий нарушителя предоставляет возможность более точно определить перечень угроз, которые следует принять во внимание при разработке СЗИ и политики безопасности ИВС.

Рассмотренные характеристики позволяют оценивать защищенность распределенных ИВС, которые состоят из территориально разнесенных компонентов, от разного рода сетевых информационных атак.