3. Dlp-системы

(Data Loss[Leak] Prevention)

Системы контроля действий пользователей, система защиты конфиденциальных данных от внутренних угроз.

DLP-системы применяются для обнаружения и предотвращения передачи конфиденциальных данных на разных этапах. (при перемещении, использовании и хранении). DLP-система позволяет:

1. Контроллировать работу пользователей, не давая бесконтрольно тратить рабочее время в личных целях.

2. Автоматически, незаметно для пользователя, записывать все действия, включая отправляемые и принимаемые сообщения электройнной почты, общение в чатах и системах мгновенного обмена сообщениями, социальных сетях, посещаемые веб-сайты, набранные на клавиатуре данные, переданные, напечатанные и сохранённые файлы и т. д.

3. Контроллировать использование компьютерных игр на рабочем месте и учитывать количество рабочего времени, потраченного на компьютерные игры.

4. Контроллировать сетевую активность пользователей, учитывать объёмы сетевого трафика

5. Контроллировать копирование документов на различные носители (съемные носители, жесткие диски, сетевые папки и т. д.)

6. Контроллировать сетевую печать пользователя

7. Фиксировать запросы пользователей поисковым машинам и т. д.

Выделяют 3 категории объектов мониторинга DLP-систем:

1. Data-in-motion — данные в движении — сообщения email, передача веб-трафика, файлов и т. д.

2. Data-in-rest — хранящиеся данные — информация на рабочих станциях, файловых серверах, usb-устройствах и т. д.

3. Data-in-use — данные в использовании — информация, обрабатываемая в данный момент.

Архитектура DLP решений у разных разработчиков может различаться, но в целом выделяют 3 основных веяния:

1. Перехватчики и контроллеры на разные каналы передачи информации. Перехватчики анализируют проходящие потоки информации, исходящие с периметра компании, обнаруживают конфиденциальные данные, классифицируют информацию и передают для обработки возможного инцидента на управляющий сервер. Контроллеры для обнаружения хранимых данных запускают процессы обнаружения в сетевых ресурсах конфиденциальной информации. Контроллеры для операций на рабочих станциях распределяют политики безопасности на оконечные устройства (компьютеры), анализируют результаты деятельности сотрудников с конфиденциальной информацией и передают данные возможного инцедента на управляющий сервер.

2. Агентские программы, устанавливаемые на оконечные устройства: замечают конфиденциальные данные в обработке и следят за соблюдением таких правил, как сохранение на сменный носитель информации, отправке, распечатывании, копировании через буфер обмена.

3. Центральный управляющий сервер — сопоставляет поступающие с перехватчиков и контроллеров сведения и предоставляет интерфейс проработки инцидентов и построения отчётности.

В решениях DLP имеется широкий набор комбинированных методов обнаружения информации:

1. Цифровые отпечатки документов и их частей

2. Цифровые отпечатки баз данных и другой структурированной информации, которую важно защитить от распространения

3. Статистические методы (повышение чувствительности системы при повторении нарушений).

При эксплуатации DLP-систем характерно циклическое выполнение нескольких процедур:

1. Обучение системы принципам классификации информации.

2. Ввод правил реагирования в привязке к категории обнаруживаемой информации и групп сотрудников, контроль действий которых должен осуществляться. Выделяются доверенные пользователи.

3. Выполнение DLP-системой операции контроля (система анализирует и нормализует информацию, выполняет сопоставление с принципами обнаружения и классификации данных, и при обнаружении конфиденциальной информации, система сопоставляет с существующими политиками, назначенными на обнаруженную категорию информации и, при необходимости, создаёт инцидент)

4. Обработка инцидентов (например проинформировать, приостановить или заблокировать отправку).

Особенности создания и эксплуатации VPN с точки зрения безопасности

Варианты построения VPN:

1. На базе сетевых операционных систем

2. На базе маршрутизаторов

3. На базе МСЭ

4. На базе специализированного программно-аппаратного обеспечения

5. На базе специализированного ПО

Для корректной и безопасной работы VPN необходимо понимать основы взаимодействия VPN и межсетевых экранов:

1. VPN способны создавать сквозные связующие тунели, проходящие через сетевой периметр, а потому крайне проблемные в плане контроля доступа со стороны межсетевого экрана, которому трудно анализировать зашифрованый трафик.

2. Благодаря своим функциям шифрования передаваемых данных, VPN можно использовать для обхода IDS-систем, не способных обнаруживать вторжения со стороны зашифрованных каналов связи.

3. В зависимости от сетевой архитектуры, крайне важная функция трансляции сетевых адресов (NAT — network adress translation) может оказаться несовместима с некоторыми реализациями VPN и т. д.

По сути, во время принятия решений о внедрении VPN-компонентов в сетевую архитектуру, администратор может либо выбрать VPN в качестве обособленного внешнего устройства, либо выбрать интеграцию VPN в МСЭ, для обеспечения обеих функций одной системы.

1. МСЭ + Обособленный VPN. Варианты размещения VPN:

   1. Внутри демилитаризованной зоны, между МСЭ и граничным маршрутизатором

   2. Вутри подзащитной сети на сетевых адаптерах МСЭ

   3. Внутри экранированной сети, позади МСЭ

   4. Параллельно с МСЭ, на точке входа в подзащитную сеть.

2. МСЭ + VPN, размещенные как единое целое — подобное интегрированное решение более удобно при техническом сопровождении, чем предыдущий вариант, не вызывает проблем, связанных с NAT (трансляцией сетевых адресов) и обеспечивает более надёжный доступ к данным, за который отвечает МСЭ. Недостатком интегрированного решения является большая изначальная стоимость покупки такого средства, а так же ограниченность вариантов оптимизации соответствующих VPN и Брендмауэр-компонент (то есть максимально удовлетворяющие запросам реализации МСЭ могут оказаться не приспособленными к построению на их основе VPN-компонентов. VPN может оказывать существенное воздействие на производительность сети и задержки могут возникать на следующих этапах:

   1. При установлении защищённого соединения между VPN-устройствами (аутентификация, обмен ключами и т. д.)

   2. Задержки, связанные с зашифрованием и расшифрованием защищаемых данных, а так же преобразованиями, необходимыми для контроля их целостности

   3. Задержки, связанные с добавлением нового заголовка передаваемым пакетам

Безопасность электронной почты

Основные почтовые протоколы: (E)SMTP, POP, IMAP.

SMTP — simple mail transfer protocol, 25 порт TCP, нет аутентификации. Extended SMTP — добавлена аутентификация клиентов.

POP — post Office Protocol 3 — получение почты с сервера. Аутентификация в открытом виде. APOP — с возможностью аутентификации.

IMAP — internet message access protocol — незашифрованный почтовый протокол, который комбинирует свойства POP3 и IMAP. Позволяет работать напрямую с почтовым ящиком, без необходимости загрузки писем на компьютер.

Из-за отсутствия каких-либо нормальных средств шифровки информации, решили использовать SSL для шифровки данных этих протоколов. Отсюда появлились следующие разновидности:

POP3 SSL — 995 порт, SMTP SSL (SMTPS) 465 порт, IMAP SSL (IMAPS) — 993 порт, всё TCP.

Злоумышленник, работающий с системой электронной почты, может преследовать следующие цели:

1. Атака на компьютер пользователя посредством рассылки почтовых вирусов, отправка поддельных писем (подделка адреса отправителя в SMTP — тривиальная задача), чтение чужих писем.

2. Атака на почтовый сервер средствами электронной почты с целью проникновения в его операционную систему или отказ в обслуживании

3. Использование почтового сервера в качестве ретранслятора при рассылке непрошенных сообщений (спама)

4. Перехват паролей:

   1. Перехват паролей в POP и IMAP сеансах, в результате чего злоумышленник может получать и удалять почту без ведома пользователя

   2. Перехват паролей в SMTP сеансах — в результате чего злоумышленник может быть незаконно авторизован для отправки почты через данный сервер

   3. Перехват TCP соединения после успешной авторизации клиента

Для решения проблем безопасности с протоколами POP, IMAP и SMTP, чаще всего используется протокол SSL, позволяющий зашифровать весь сеанс связи. Недостаток — SSL — ресурсоёмкий протокол, может существенно замедлить связь.

Спам и борьба с ним

Виды мошеннического спама:

1. Лотерея — восторженное уведомление о выигрышах в лотереях, в которых получатель сообщения не участвовал. Всё, что нужно — посетить соответствующий сайт и ввести там номер своего счёта и пин-код карты, необходимых якобы для оплаты услуг доставки.

2. Аукционы — заключается данный вид обмана в отсутствии товара, который продают жулики. Расплатившись, клиент ничего не получает.

3. Фишинг — письмо, содержащее ссылку на некоторый ресурс, где от вас желают предоставления данных и т. д. Выманивание у доверчивых или невнимательных пользователей персональных и конфиденциальных данных. Мошенники рассылают массу писем, как правило замаскированных под официальные письма различных учреждений, содержащих ссылки, ведущие на сайты-ловушки, визуально копирующие сайты банков, магазинов и др. организаций.

4. Почтовое жульничество — набор персонала для некоторой фирмы якобы нуждающейся в представителе в какой-либо стране, способного взять на себя заботы о пересылке товаров или переводе денег иностранной компании. Как правило, здесь скрываются схемы по отмыванию денег.

5. Нигерийские письма — просят внести небольшую сумму перед получением денег.

6. Письма счастья

Спам бывает массовым и целевым.

У массового спама отсутствуют конкретные цели и используется мошеннические методы социальной инженерии против множества людей.

Целевой спам — техника, направленная на конкретное лицо или организацию, при которой злоумышленник выступает от имени директора, администратора или иного сотрудника той организации, в которой работает жертва или злоумышленник представляет компанию, с которой у целевой организации сложились доверительные отношения.

Способы рассылки спама

Для рассылки спама, необходимо иметь адреса электронной почты потенциальных получателей.

Сбор адресов осуществляется подбором по словарям имён собственных, красивых слов, частое сочетание слово-цифра, методом аналогии, сканированием всех доступных источников информации (чаты, форумы и т. д.), воровством БД и т. д.

Полученные адреса верифицируются (проверяются, что действующие), путём пробной рассылки сообщения, помещением в текст сообщения, уникальной ссылки на картинку со счётчиком загрузок или ссылка «отписаться от спам-сообщений».

В дальнейшем спам рассылается либо напрямую с арендованных серверов, либо с ошибочно сконфигурированных легальных почтовых сервисов, либо путём скрытой установки на компьютер пользователя злонамеренного ПО.

Злоумышленник усложняет работу антиспам-фильтров путём внесения случайных текстов, шума или невидимых текстов, с помощью графических писем или изменяющихся графических писем, фрагментированные изображения, в том числе использование анимации, префразировка текстов.

Методы борьбы со спамом

Существует 2 основных метода фильтрации спама:

1. Фильтрация по формальным признакам почтового сообщения

2. Фильтрация по содержанию

1. Формальный метод

   1. Фрагментация по спискам: чёрным, белым и серым. Серые списки — метод временного блокирования сообщений с неизвестными комбинациями почтового адреса и ip-адреса сервера-отправителя. Когда первая попытка заканчивается временным отказом (как правило, программы спамеров повторную посылку письма не осуществляют). Недостатком способа является возможный большой временной интервал между отправлением и получением легального сообщения.

   2. Проверка, было ли письмо отправлено с настоящего или ложного (поддельного) почтового сервера из указанного в сообщении домена.

   3. «Обратный звонок» (callback) — при получении входящего соединения, сервер-получатель приостанавливает сессию и имитирует рабочую сессию с сервером-отправителем. Если попытка не удалась, приостановленное соединение разрывается без дальнейшей обработки.

   4. Фильтрация по формальным признакам письма: адреса отправителя и получателя, размер, наличие и количество вложений, ip-адрес отправителя и т. д.

2. Лингвистические методы — работающие с содержанием письма

   1. Распознавание по содержанию письма — проверяется наличие в письме признаков спамерского содержания: определённого набора и распределение по письму специфических словосочетаний.

   2. Распознавание по образцам писем (сигнатурный метод фильтрации, включающий в себя графические сигнатуры)

   3. Байесовская фильтрация — фильтрация строго по словам. При проверке пришедшего письма, вычисляется вероятность того, что оно спам, на основании обработки текста, включающей в себя вычисления усреднённого «веса» всех слов данного письма. Отнесение письма к спаму или не спаму, производится по тому, превышает ли его вес некоторую планку, заданную пользователем. После принятия решения по письму, в базе данных обновляются «веса» для вошедших в неё слов.

Аутентификация в компьютерных системах

Процессы аутентификации могут быть разделены на следующие категории:

• Но основе знания чего-либо (PIN, пароль)

• На основе обладания чем-либо (смарт-карта, usb-ключ)

• Не основе неотъемлимых характеристик (биометрические характеристики)

Типы аутентификации:

1. Простая аутентификация, использующая пароли

2. Строгая аутентификация на основе использования многофакторных проверок и криптографических методов

3. Биометрическая аутентификация

Основными атаками на протоколы аутентификации являются:

• «Маскарад» - когда пользователь пытается выдать себя за другого пользователя

• Повторная передача — когда перехваченный пароль пересылается от имени другого пользователя

• Принудительная задержка

• И т. д.

Для предотвращения таких атак сипользуются следующие приёмы:

1. Механизмы типа запрос-ответ, метки времени, случайные числа, цифровые подписи и т. д.

2. Привязка результата аутентификации к последующим действиям пользователей в рамках системы.

3. Периодическое выполнение процедур аутентификации в рамках уже установленного сеанса связи.

1. Простая аутентификация

   1. Аутентификация на основе многоразовых паролей

   2. Аутентификация на основе одноразовых паролей — OTP (one time password) — одноразовые пароли действительны только для одного входа в систему и могут генерироваться с помощью OTP токена. Для этого используется секретный ключ пользователя, размещенный как внутри OTP токена, так и на сервере аутентификации.

2. Строгая аутентификация в её ходе доказывающая сторона доказывает свою подлинность проверяющей стороне, демонстрируя знание некоторого секрета. Бывает:

   1. Односторонней

   2. Двухсторонней

   3. Трёхсторонней

Может проводиться на основе смарт-карт или usb-ключей или криптографией.

Строгая аутентификация может быть реализована на основе двух- и трёхфакторного процесса проверки.

В случае двухфакторной аутентификации, пользователь должен доказать, что он знает пароль или пин-код и имеет определённый персональных идентификатор (смарт-карту или usb-ключ).

Трёхфакторная аутентификация подразумевает, что пользователь предъявляет еще один тип идентификационных данных, например, биометрические данные.

Строгая аутентификация, использующая криптографические протоколы может опираться на симметричное шифрование и асимметричное, а также на хеш-функции. Доказывающая сторона доказывает знание секрета, но сам секрет при этом не раскрывается. Используются одноразовые параметры (случайные числа, метки времени и номера последовательностей), позволяющие избежать повтора пеердачи, обеспечить уникальность, однозначность и временные гарантии передаваемых сообщений.

Биометрическая аутентификация пользователя

В качестве наиболее часто используемых биометрических признаков, используются:

• Отпечатки пальцев

• Рисунок вен

• Геометрия руки

• Радужная оболочка

• Геометрия лица

• Комбинации вышеперечисленного

Управление доступом по схеме однократного входа с авторизацией Single Sign-On (SSO)

SSO даёт возможность пользователю корпоративной сети при их входе в сеть пройти только одну аутентификацию, предъявив только один раз пароль или иной требуемый аутентификатор и затем, без дополнительной аутентификации, получить доступ ко всем авторизованным сетевым ресурсам, которые нужны для выполнения работы. Активно применяются такие цифровые средства аутентификации как токены, цифровые сертификаты PKI, смарт-карты и биометрические устройства. Примеры: Kerberos, PKI, SSL.

Реагирование на инциденты ИБ

Среди задач, стоящих перед любой системой управления ИБ, можно выделить 2 наиболее значимые:

1. Предотвращение инцидентов

2. В случае их наступления, своевременная и корректная ответная реакция

Первая задача в большинстве случаев основывается на закупке разнообразных средств обеспечения ИБ.

Вторая задача находится в зависимости от степени подготовленности компании к подобного рода событиям:

1. Наличие подготовленной группы реагирования на инцидент ИБ с уже заранее распределёнными ролями и обязанностями.

2. Наличие продуманной и взаимосвязанной документации по порядку управления инцидентами ИБ, в частности, осуществлению реагирования и расследования выявленных инцидентов.

3. Наличие заготовленных ресурсов для нужд группы реагирования (средств коммуникации, ..., сейфа)

4. Наличие актуальной базы знаний по произошедшим инцидентам ИБ

5. Высокий уровень осведомлённости пользователей в области ИБ

6. Квалифицированность и слаженность работы группы реагирования

Процесс управления инцидентами ИБ состоит из следующих этапов:

1. Подготовка – предотвращение инцидентов, подготовка группы реагирования, разработка политик и процедур и т.д.

2. Обнаружение – уведомление от системы безопасности, уведомление от пользователей, анализ журналов средств безопасности.

3. Анализ – подтверждение факта наступления инцидента, сбор доступной информации об инциденте, определение пострадавших активов и классификация инцидента по безопасности и приоритетности.

4. Реагирование – остановка инцидента и сбор доказательств, принятие мер по остановке инцидента и сохранение доказательной информации, сбор доказательной информации, взаимодействие с внутренними подразделениями, партнёрами и пострадавшими сторонами, а так же привлечение внешних экспертных организаций.

5. Расследование – расследование обстоятельств инцидентов информационной безопасности, привлечение внешних экспертных организаций и взаимодействие со всеми пострадавшими сторонами, а так же с правоохранительными органами и судебными инстанциями.

6. Восстановление – принятие мер по закрытию уязвимостей, приведших к возникновению инцидента, ликвидация последствий инцидента, восстановление работоспособности затронутых сервисов и систем. Оформление страхового извещения.

7. Анализ эффективности и модернизация – анализ произошедшего инцидента, анализ эффективности и модернизация процесса расследования инцидентов ИБ и сопутствующих документов, частных инструкций. Формирование отчёта о проведении расследования и необходимости модернизации системы защиты для руководства, сбор информации об инциденте, добавление в базу знаний и помещение данных об инциденте на хранение.

Перед эффективной системой управления инцидентами ИБ стоят следующие цели:

1. Обеспечение юридической значимости собираемой доказательной информации по инцидентам ИБ

2. Обеспечение своевременности и корректности действий по реагированию и расследованию инцидентов ИБ

3. Обеспечение возможности выявления обстоятельств и причин возникновения инцидентов ИБ с целью дальнейшей модернизации системы информационной безопасности

4. Обеспечение расследования и правового сопровождения внутренних и внешних инцидентов ИБ

5. Обеспечение возможности преследования злоумышленников и привлечение их к ответственности, предусмотренной законодательством

6. Обеспечение возможности возмещения ущерба от инцидента ИБ в соответствии с законодательством

Система управления инцидентами ИБ в общем случае взаимодействует и интегририруется со следующими системами и процессами:

1. Управление ИБ

2. Управление рисками

3. Обеспечение непрерывности бизнеса

Интеграция выражается в согласованности документации и формализации порядка взаимодействия между процессами (входной, выходной информации и условий перехода).

Процесс управления инцидентами ИБ довольно сложен и объёмен. Требует накопления, обработки и хранения огромного количества информации, а так же выполнения множества параллельных задач, поэтому на рынке представлено множество средств, позволяющих автоматизировать те или иные задачи, например, так называемые SIEM-системы (security information and event management).

Chief Information Officer (CIO) – директор по информцаионным технологиям

Chief Information Security Officer (CISO) – руководитель отдела ИБ, директор по информационной безопасности

Основная задача SIEM-систем не просто собирать события из разных источников, но автоматизировать процесс обнаружения инцидентов с документированием в собственном журнале или внешней системе, а так же своевременно информировать о событии. Перед SIEM-системой ставятся следующие задачи:

1. Консолидация и хранение журналов событий от различных источников – сетевых устройств, приложений, журналов ОС, средств защиты

2. Представление инструментов для анализа событий и разбора инцидентов

3. Корреляция и обработка по правилам произошедших событий

4. Автоматическое оповещение и управление инцидентами

SIEM-системы способны выявлять:

1. Сетевые атаки во внутреннем и внешнем периметрах

2. Вирусные эпидемии или отдельные вирусные заражения, неудалённые вирусы, бэкдоры и трояны

3. Попытки несанкционированного доступа к конфиденциальной информации

4. Ошибки и сбои в работе ИС

5. Уязвимости

6. Ошибки в конфигурации, средствах защиты и информационных системах.

Основные источники SIEM

1. Данные контроля доступа и аутентификации

2. Журналы событий серверов и рабочих станций

3. Сетевое активное оборудование

4. IDS и IPS

5. Антивирусная защита

6. Сканеры уязвимостей

7. Системы для учёта рисков, критичности угрозы и приоретизация инцидентов

8. Прочие системы защиты и контроля политик ИБ:

   1. DLP-системы

   2. Устройства контроля доступа и т.д.

9. Системы инвентаризации

10. Системы учёта трафика

Наиболее известные SIEM-системы:

- ArcSight ESM

- QRadar SIEM (IBM)

- RSA EnVision

- КОМРАД (ЗАО «НПО «ЭШЕЛОН»»)