29. Основні завдання, які вирішують сканері безпеки.

Сканер безпеки - цей програмний або апаратно-програмний засіб, що дозволяє шляхом здійснення різних перевірок виявити схильність різним уязвимостям досліджуваного об'єкту. Уразливість - це слабке місце в інформаційній системі, яке може привести до порушення безпеки шляхом реалізації деякої загрози(наприклад, до розкрадання інформації).

Мережа складається з каналів зв'язку, вузлів, серверів, робочих станцій, прикладного і системного програмного забезпечення, баз даних і так далі. Усі ці компоненти потребують оцінки ефективності їх захисту. Засоби аналізу захищеності досліджують мережу і шукають " слабкі" місця в ній, аналізують отримані результати і на їх основі створюю тразличного родаотчеты. У деяких системах замість " ручного" втручання з боку адміністратора знайдена уразливість усуватиметься автоматично. Перерахуємо деякі з проблем, що ідентифікуються системами аналізу захищеності :

- "люки" в програмах(backdoor) і програми типу "троянський кінь";

- слабкі паролі;

- сприйнятливість до проникнення з незахищених систем;

- неправильне налаштування міжмережевих екранів, Web- серверів і баз даних;

Технологія аналізу захищеності є дієвим методом реалізації політики мережевої безпеки перш, ніж здійсниться спроба її порушення зовні або зсередини організації.

29. Перелічіть, які саме перевірки роблять сканері безпеки.

Варіант 1

Існує два основні механізми, за допомогою яких сканер перевіряє наявність уразливості - сканування(scan) і зондування(probe).

Сканування - механізм пасивного аналізу, за допомогою якого сканер намагається визначити наявність уразливості без фактичного підтвердження її наявності, за непрямими ознаками. Цей метод є найбільш швидким і простим для реалізації. Згідно компанії Cisco цей процес ідентифікує відкриті порти, знайдені на кожному мережевому пристрої, і збирає пов'язані з портами заголовки(banner), знайдені при скануванні кожного порту. Кожен отриманий заголовок порівнюється з таблицею правил визначення мережевих пристроїв, операційних систем і потенційних уязвимостей. На основі проведеного порівняння робиться висновок про наявність або відсутність уразливості.

Зондування - механізм активного аналізу, який дозволяє переконатися, є присутнім або ні на аналізованому вузлі уразливість.Зондування виконується шляхом імітації атаки, що використовує уразливість, що перевіряється. Цей метод повільніший, ніж " сканування", але набагато майже завжди точніший, ніж він. Згідно компанії Cisco цей процес використовує інформацію, отриману в процесі сканування("логічного висновку"), для детального аналізу кожного мережевого пристрою. Цей процес також використовує відомі методи реалізації атак для того, щоб повністю підтвердити передбачувані уразливості і виявити інші уразливості, які не можуть бути виявлені пасивними методами, наприклад схильність атакам типу "відмова в обслуговуванні"("denialofservice").

На практиці вказані механізми реалізуються наступними декількома методами.

"Перевірка заголовків"(bannercheck)

Вказаний механізм є рядом перевірок типу " сканування" і дозволяє робити висновок про уразливість, спираючись на інформацію в заголовку відповіді на запит сканера. Типовий приклад такої перевірки - аналіз заголовків програми Sendmail або FTP- сервера, що дозволяє упізнати їх версію і на основі цієї інформації зробити висновок про наявність в них уразливості.

Найбільш швидкий і простий для реалізації метод перевірки присутності на сканованому вузлі уразливості. Ефективність перевірок заголовків досить ефемерна. І ось чому. По-перше, ви можете змінити текст заголовка, передбачливо видаливши з нього номер версії або іншу інформацію, на підставі якої сканер будує свої висновки. І хоча такі випадки виключно рідкісні, нехтувати ними не коштує. Особливо у тому випадку, якщо у вас працюють фахівці в області безпеки, що розуміють усю небезпеку заголовків "за умовчанням". По-друге, частенько, версія, що вказується в заголовку відповіді на запит, не завжди говорить про уразливість програмного забезпечення. Особливо це стосується програмного забезпечення, поширюваного разом з початковими текстами(наприклад, у рамках проекту GNU). Ви можете самостійно усунути уразливість шляхом модифікації початкового тексту, при цьому забувши змінити номер версії в заголовку. І по-третє, усунення уразливості в одній версії ще не означає, що в наступних версіях ця уразливість відсутня.

"Активні зондуючі перевірки"(activeprobingcheck)

Також відносяться до механізму " сканування". Проте вони грунтовані не на перевірках версій програмного забезпечення в заголовках, а на порівнянні "цифрового зліпка"(fingerprint) фрагмента програмного забезпечення із зліпком відомої уразливості. Аналогічним чином поступають антивірусні системи, порівнюючи фрагменти сканованого програмного забезпечення з сигнатурами вірусів, що зберігаються в спеціалізованій базі даних. Різновидом цього методу є перевірки контрольних сум або дати сканованого програмного забезпечення, які реалізуються в сканерах, працюючих на рівні операційної системи.

"Імітація атак"(exploitcheck)

Деякі уразливості не виявляють себе, поки ви не " підштовхнете" їх. Для цього проти підозрілого сервісу або вузла запускаються реальні атаки. Перевірки заголовків здійснюють первинний огляд мережі, а метод " exploitcheck", відкидаючи інформацію в заголовках, дозволяє імітувати реальні атаки, тим самим з більшою ефективністю(але меншою швидкістю) виявляючи уразливості на сканованих вузлах. Імітація атак є надійнішим способом аналізу захищеності, чим перевірки заголовків, і зазвичай надійніші, ніж активні зондуючі перевірки.

Проте існують випадки, коли імітація атак не завжди може бути реалізована. Такі випадки можна розділити на дві категорії: ситуації, в яких тест призводить до "відмови в обслуговуванні" аналізованого вузла або мережі, і ситуації, при яких уразливість в принципі не придатна для реалізації атаки на мережу.

Варіант 2

• Перевірка апаратних компонентів системи

• Парольний захист

• Період дії

• Складність пароля

• Відсутність словникових паролів

• Перевірка стійкості пароля імітуючи атаки на нього

• Контроль цілісності ПЗ

• Контроль цілісності тек з файлами за допомогою перевірки контрольних сум

• Звіряння цілісності резервних копій ПЗ

• Своєчасне виявлення спроб НСД і попередження НСД можна фіксувати

• При спробі доступу під час відсутності працівника, звільненого співробітника, а так само багаторазового введення неправильного пароля

• Робитися доступ поза робочим часом

• Спроба виправлення таблиць маршрутизації

• Спроба завантажиться із зовнішніх носіїв

• Перевірка наявності програми

• Перевірка своєчасного поповнення антивірусних баз

• Перевірка налаштувань антивіруса

• Виключення при перевірці файлів

• Відключена автоматична перевірка

• Перевірка віртуальної активності

• Аналіз системних виправлень