14.2. Технология анализа защищенности

В организации, использующей КИС, приходится регулярно проверять, насколько реализованные или используемые меха­низмы защиты информации соответствует положениям приня­той в организации политики безопасности. Такая задача перио­дически возникает при изменении и обновлении компонентов ИС, изменении конфигурации ОС и т. п. [9, 40].

Однако администраторы сетей не имеют достаточно времени на проведение такого рода проверок для всех узлов корпоратив­ной сети. Поэтому специалисты отделов защиты информации нуждаются в средствах, облегчающих анализ защищенности ис­пользуемых механизмов обеспечения информационной безопас­ности. Этот процесс помогают автоматизировать средства анали­за защищенности, часто называемые сканерами безопасности {security scanners).

Использование средств анализа защищенности позволяв определить уязвимости на узлах корпоративной сети и устра­нить их до того, как ими воспользуются злоумышленники. По существу, действия системы анализа защищенности аналогич­ны действиям охранника, периодически обходящего все этажи охраняемого здания в поисках открытых дверей, незакрытых окон и других проблем. Только в качестве здания выступает корпоративная сеть, а в качестве незакрытых окон и дверей — уязвимости.

Средства анализа защищенности работают на первом этапе осуществления атаки. Обнаруживая и своевременно устраняя уязвимости, они тем самым предотвращают саму возможность реализации атаки, что позволяет снизить затраты на эксплуата­цию средств защиты.

Средства анализа защищенности могут функционировать на сетевом уровне, уровне ОС и уровне приложения. Они могут проводить поиск уязвимостей, постепенно наращивая число про­верок и «углубляясь» в ИС, исследуя все ее уровни.

Наибольшее распространение получили средства анализа за­щищенности сетевых сервисов и протоколов. Обусловлено это, в первую очередь, универсальностью используемых протоколов. Изученность и повсеместное использование таких протоколов, как IP, TCP, HTTP, FTP, SMTP и т. п., позволяют с высокой степенью эффективности проверять защищенность ИС, рабо­тающей в сетевом окружении.

Вторыми по распространенности являются средства анализа защищенности ОС. Обусловлено это также универсальностью и распространенностью некоторых ОС (например, UNIX и Win­dows NT).

Средства анализа защищенности приложений пока сущест­вуют только для широко распространенных прикладных систем типа Web-браузеры и СУБД.

Применение средств анализа защищенности позволяет быст­ро определить все узлы корпоративной сети, доступные в мо­мент проведения тестирования, выявить все используемые в сети сервисы и протоколы, их настройки и возможности для не­санкционированного воздействия (как изнутри корпоративной сети, так и снаружи). По результатам сканирования эти средства вырабатывают рекомендации и пошаговые меры, позволяющие устранить выявленные недостатки.

Данный метод контроля нарушений noтоками безопасности не может заменить - специалиста по информационной безопасно­сти. Средства анализа защищенности могут лишь автоматизиро­вать поиск некоторых известных уязвимости

14.2.1. Средства анализа защищенности сетевых протоколов и сервисов

Взаимодействие абонентов в любой сети базируется на ис­пользовании сетевых протоколов и сервисов определяющих процедуру обмена информацией между двумя и более узлами. При разработке сетевых протоколов и сервисов ^{к ним} предъяв­лялись требования (обычно явно недостат^очные) ^п0 обеспече­нию безопасности обрабатываемой инфор^мации- Поэтому по­стоянно появляются сообщения об o6Hapy*^{eHHbIX B} сетевых протоколах уязвимостях. В результате возник³⁶⁷" потребность в постоянной проверке всех используемых в корпоративной сети • протоколов и сервисов.

Системы анализа защищенности выпо^1ЛНЯЮТ серию тестов по обнаружению уязвимостей. Эти тесты аг^{1алогичны} применяе­мым злоумышленниками при осуществлен™ ^{атак на} корпора­тивные сети.

Сканирование с целью обнаружения уязвимостей начинается с получения предварительной информации ° проверяемой сис­теме. Заканчивается сканирование попыт^ми имитации про­никновения, используя широко известные атаки, например под­бор пароля методом полного перебора (b^rute force — «грубая сила»).

При помощи средств анализа защищенности на уровне сети можно тестировать не только возможность НСД в корпоратив­ную сеть из сети Internet. Эти средства могу¹" быть использованы как для оценки уровня безопасности орг^анизаЦ^ии> ^{так и} Я^пя контроля эффективности настройки сетев^ого программного и аппаратного обеспечения.

В настоящее время известно более десятка различных средств, автоматизирующих поиск уязвимос^теи сетевых протоко­лов и сервисов. Среди коммерческих систе^м анализа защищен­ности можно назвать Internet Scanner компании Internet Security Systems, Inc., NetSonar компании Cisco, CybP^rC°P Scanner компа­нии Network Associates и ряд других.

Типичная схема проведения анализа защищенности (на при­мере системы Internet Scanner) приведена на рис. 14.4.

Рис. 14.4. Схема проведения анализа защищенности (на примере системы Internet Scanner)

Средства анализа защищенности данного класса анализиру­ют не только уязвимость сетевых сервисов и протоколов, цо и системного и прикладного ПО, отвечающего за работу с сетью. К такому обеспечению можно отнести Web-, FTP- и почтовые серверы, МЭ, браузеры и т. п.

14.2.2. Средства анализа защищенности ОС

Средства этого класса предназначены для проверки настроек ОС, влияющих на ее защищенность. К таким настройкам можно отнести:

• учетные записи пользователей (account), например длину пароля и срок его действия;

• права пользователей на доступ к критичным системным файлам;

• уязвимые системные файлы;

• установленные патчи (patch) и т. п.

Системы анализа защищенности на уровне ОС могут быть использованы также для контроля конфигурации ОС.

В отличие от средств анализа защищенности сетевого уров­ня данные системы проводят сканирование не снаружи, а из­нутри анализируемой системы, т. е. они не имитируют атаки

внешних злоумышленников. Кроме возможностей по обнаруже­нию уязвимостей, некоторые системы анализа защищенности на уровне ОС (например, System Scanner компании Internet Security Systems) позволяют автоматически устранять часть об­наруженных проблем или корректировать параметры системы, не удовлетворяющие политике безопасности, принятой в орга­низации.