1.3. Наиболее вероятные атаки

Рассмотрение возможности компьютерного взлома представляет наибольший профессиональный интерес, однако следует учитывать, что такие угрозы не всегда являются основными для АС. В среднем, аварии электроснабжения приносят больший ущерб, чем хакерские атаки.

Согласно рейтингу SANS (System Administration Networking and Security institute) к наиболее уязвимым продуктам и протоколам относятся:

1. BIND (Berkeley Internet Name Domain ) – реализация службы доменных имен, а именно ее сервисы nxt, qint, in.named. Позволяет злоумышленнику получить полный доступ (на уровне root) к хосту.

2. Скрипты CGI и приложения Веб-серверов. Во многих из них вопросы безопасности не учтены.

3. Remote Procedure Calls (RPC) – удаленный вызов процедур – механизм, позволяющий одному компьютеру выполнение процедур на другом, используемый при совместной работе с файлами нескольких клиентов (sharing). Также позволяет получить полный доступ к хосту.

4. Microsoft Internet Information Server (IIS) имеет компоненту под названием Remote Data Service – RDS , в которой присутствует уязвимость, позволяющая удаленно выполнять на сервере команды с привилегиями администратора.

5. Sendmail – почтовая программа. Известна давно по «червю Моррисона». Доступ на уровне root.

6. Сервисы sadmind (Solaris) и mountd (Unix) позволяют получить доступ к административным функциям и управляют доступом к сетевой файловой системе (NFS). Атаки на переполнение буфера позволяют получить доступ на уровне root.

7. Совместное использование портов (sharing), характерно для всех систем. Здесь для удобства пользователей открывают больше каталогов, чем необходимо, с большими, чем необходимо, правами. Такое неверное конфигурирование системы приводит к появлению уязвимостей.

8. Использование аутентификационных данных пользователя (ID+пароль) c пустым или легко разгадываемым паролем. Уязвимость основана на человеческом факторе и характерна для всех систем. В зависимости от прав пользователя доступ может быть получен до root –уровня.

9. Уязвимости в протоколах IMAP и POP, предназначенных для предоставления доступа пользователя из внешних сетей к почтовому ящику пользователя в корпоративной сети. Если МСЭ сконфигурирован так, что пропускает эти протоколы, то существует возможность атаки переполнением.

10. Упрощенный протокол управления сетью – SNMP (Simple Network Management Protocol) - используется сетевыми администраторами для мониторинга и управления сетевыми устройствами. Примитивный механизм защиты от перехвата позволяет злоумышленнику управлять устройством. (имя группы доступа – community string – передается открытым текстом). Соответственно, можно прочитать всю техническую информацию об устройстве и подключенных к нему сетях, а также переконфигурировать или вывести устройство из работы.

SANS дает также расширенный список 20 уязвимостей, разделенный на 3 части:

I Методологические ошибки:

1. Сохранение конфигураций и настроек ПО, установленных по умолчанию при инсталляции.

2. Использование пользователями счетов с пустыми или легко разгадываемыми паролями.

3. Отсутствие или неполнота резервных копий.

4. Большое количество открытых портов.

5. Отсутствие фильтрации пакетов на входе/выходе во внутренней сети организации. Минимальные требования здесь – поверка адресов.

6. Отсутствие или неполнота регистрационных журналов.

7. Уязвимые CGI – программы.

II Windows – системы:

8. Уязвимость Unicode в IIS. Если клиент направляет IIS специально сформированный URL (адрес запроса) c нештатными Unicode - символами, он может перемещаться по директориям сервера за пределами разрешенной области и выполнять определенные скрипты.

9. Переполнение буфера в расширении ISAPI, позволяющего подключать библиотеки dll, некоторые из которых имеют ошибки в вопросах безопасности.

10. IIS Remote Data Service.

11. Пользовательское разделение фалов по NetBIOS.

12. Нулевая сессия или системное разделение.

13. Слабое хэширование в базе данных Security Account Manager – SAM. Использует устаревший формат LM для совместимости с предыдущими версиями Windows.

III Unix – системы:

14. Уязвимость для атаки на переполнение буфера Remote Procedure Calls (RPC).

15. Уязвимость Sendmail.

16. Уязвимость сервера имен BIND.

17. R – команды удаленного администрирования, удаленного входа, удаленного исполнения, копирования и т.д. Идентификация источника команд производится только по IP –адресу, который может быть подменен.

18. Уязвимость сервиса LPD (Local Printer Deamon). Модуль, отвечающий за передачу данных на печать имеет ошибку позволяющую исполнить посторонний код с повышенными привилегиями.

19. Уязвимость сервисов sadmind и mountd.

20. Уязвимость протокола SNMP.

Часть приведенных в описании атак связана с особенностями функционирования, часть с ошибками реализации или в настройках систем, часть с ошибками при использовании. Для оценки опасности конкретной атаки предлагается следующая формула:

S = (C + L) – (SC + NC),

где S - серьезность ущерба от атаки;

С – критичность объекта атаки;

L – опасность цели атаки (предполагаемый размер ущерба);

SC - системные контрмеры объекта;

NC – сетевые контрмеры информационного пространства, где находится объект. Единицы измерения можно выбирать самостоятельно на основе собственных данных по классификации активов и имеющихся данных по атакам и средствам безопасности.

При реализации эффективной защиты недостаточно просто пройти по вышеприведенному списку уязвимостей и принять соответствующие настройки. Это связано с тем, что:

1. Мероприятия по ИБ носят не разовый, а регулярный характер (пополнение антивирусных баз).

2. Нет полностью статичной в настройках информационной сети в связи с периодическим обновлением аппаратной части и ПО.

3. Не в любом информационном пространстве возможно запрещение использования уязвимых систем и сервисов, т.к. требования производственных задач часто конфликтуют с требованиями безопасности.

При решении проблемы управления рисками следует учитывать два важных момента:

Во-первых, при проектировании моделей и схем защиты, следует обращать внимание на то, чтобы вся полнота власти не концентрировалась в руках одного человека, каким бы доверенным он не был. Контроль за ИБ необходимо оптимально распределять между автоматизированными средствами и людскими ресурсами.

Во-вторых, несмотря на то, что в сфере оперативного распознавания атак и их предотвращения автоматизированные средства значительно превосходят человека, наличие команды системных аналитиков информационного пространства – это фактор, способный сыграть ключевую роль.

Лекция №12

Тема:

«ОСНОВЫ ПОСТРОЕНИЯ КОМПЛЕКСНЫХ СИСТЕМ ЗАЩИТЫ ИНФОРМАЦИИ АВТОМАТИЗИРОВАНЫХ СИСТЕМ»