Мельников Д. А. - Организация и обеспечение безопасности информационно-технологических сетей и систем - 2012

Глава 30. Основные принципы и содержание

КШ топологических (заградительных)

систем обеспечения ИБ

Одной из наиболее «привлекательных» групп сетевых объек­ тов для КШ ИТС являются топологические (заградительные) систе­ мы обеспечения ИБ, к которым относятся NAT-модули и СЭ. При­ чём для нарушителя наибольший интерес представляет не сама за­ градительная система, а то, что располагается за нею. Тем не менее, такие системы весьма часто становятся объектами КШ. Очевидно, что нарушитель будет решать две взаимоувязанные задачи: вопервых, это преодоление заградительного программно-аппаратного (программного) комплекса, и, во-вторых, захват («переподчинение») СУ этим комплексом.

30.1. Задачи, решаемые NAT-модулями и СЭ

Необходимость трансляции (преобразования) IP-адресов по­ является тогда, когда внутренние сетевые IP-адреса не могут быть использованы во внешней сети по следующим причинам:

«либо они являются индивидуальными при использовании во внешней сети;

«либо внутренняя адресация должна сохраняться в секрете от внешней сети.

Существует много разновидностей преобразования адресов,

которые подходят для различных прикладных служб. Однако все типы NAT-модулей имеют следующие характеристики:

впрозрачное преобразование адресов;

впрозрачная маршрутизация через преобразование адресов (процедура маршрутизации относится только к доставляемым пакетам, и не касается каких-либо изменений маршрутной информации/маршрутных таблиц);

опреобразование полей полезной нагрузки в ICMP-сообщениях об ошибках.

Трансляция (преобразование) адресов включает три фазы:

1)установление взаимно однозначного соответствия между адре­ сами (address binding);

2)поиск и преобразование адресов;

3)«удаление» взаимно однозначного соответствия между адресами (address unbinding).

Одним из наиболее важных элементов системы распознавания является процедура формирования признакового пространства и разделение его на классы, подклассы и др. Содержание этой проце­ дуры определяется системой распознавания.

Если теперь рассмотреть процессы функционирования NAT-мо­ дулей и СЭ, то них можно выделить следующие функциональные процедуры:

оприём входящего/исходящего IP-пакета и проверка его цело­ стности;

оопределение и выделение адресного блока и других адресных и/или признаковых компонентов;

осравнение адресной и/или иной признаковой информации с конфигурационной признаковой информацией;

опринятие решения (по результатам сравнения) о дальнейшей обработке принятого IP-пакета (удаление, дальнейшая транс­ ляция и др.).

Очевидно, что процессы функционирования NAT-модулей и

СЭ полностью соответствуют модели функционирования системы распознавания. В конечном счете, и NAT-модули, и СЭ реализуют функцию обнаружения, т.е. «свой» или «чужой». Если они устанав­ ливают, что IP-пакет «чужой», он просто уничтожается, а если - «свой», определяют его дальнейшую обработку.

30.3. Наличие принципиальной возможности КШ NAT-модулей и СЭ-систем

Перед началом рассмотрения возможных мероприятий ком­ пьютерного шпионажа (КШ) NAT-модулей и СЭ-систем, необходи­ мо ответить на вопрос: «А существует ли принципиальная возмож­ ность КШ (преодоления) таких средств защиты?»

Ответ на этот вопрос будет положительным. Во-первых, потому, что сами разработчики NAT-модулей и СЭ-систем и специалисты в области ИБ говорят о возможности нелегального проникновения через такие системы. Другими словами, NAT-модули и СЭ-системы «не все­ сильны» и способны защитить информационные системы только от некоторых разновидностей атак.

И, во-вторых (это «второе» объясняет «слабость» NAT-модулей и СЭ-систем по обеспечению ИБ), эти средства защиты, принципи­ ально нарушая модель «сквозного соединения» в Internet-сети на сетевом и/или транспортном уровнях, все-таки не нарушают его на прикладном уровне, т.е. не нарушают соединение между приклад­ ными процессами, которое идентифицируется с помощью адресной

трафику, транслируемому через эти средства защиты1. Фактически, необходимо установить:

•объем адресной и иной информации, контролируемый систе­ мой защиты (т.е. глубину анализа трафика). Это позволит оп­ ределить разновидности NAT-модулей и СЭ-систем;

овиды трафика (включая шифрованный), которые транслиру­ ются через NAT-модули и СЭ-системы. Это позволит устано­ вить функциональные настройки этих средств защиты, т.е. выявить разрешенные диапазоны сетевого адресного про­ странства, включая IP-адреса, номера транспортных портов и системы адресации и используемые адреса прикладных служб;

отехнологические аспекты функционирования самих NATмодулей и СЭ-систем. Это относится к системам управления этими средствами защиты, включая систему синхронизации.

Практическая реализация рассматриваемого принципа КШ NAT-модулей и СЭ-систем может предусматривать следующие два вида комплексных мероприятий:

вблок пассивных мероприятий, в основе которых лежит кон­ троль, анализ и перехват трафика транслируемого через инте­ ресующие субъект КШ NAT-модули и СЭ-системы. Далее, на основе полученной информации формирование модели сис­ темы защиты, которую предстоит преодолеть;

облок активных мероприятий, целью которых, помимо получе­ ния необходимой информации об интересующих нарушителя NAT-модулях и СЭ-системах, является попытка проникнове­ ния и захвата системы управления этими средствами защиты. Однако необходимость и характер этих мероприятия зависят от результатов проведения пассивных мероприятий и готовно­ сти субъекта КШ к активным действиям. В противном случае, для осуществления активных мероприятий понадобится этап моделирования атак на экспериментальном стенде.

Выбор блока активных мероприятий, также зависит от из­ бранной тактики преодоления NAT-модулей и СЭ-систем.

Разработка тактики преодоления NAT-модулей и СЭ-систем основы­ вается на результатах контроля, анализа и перехвата трафика трансли­ руемого через интересующие нарушителя средства защиты. Тем не ме­ нее, с точки зрения активного воздействия на их функционирование можно определить две тактики преодоления средств защиты:

опассивное преодоление, т.е. без вмешательства в функциони­ рование средств защиты;

1Это является необходимым и обязательным условием КШ NAT-модулей и

СЭ-систем.

о активное преодоление, т.е. с вмешательством в функциониро­ вание средств защиты.

Пассивное проникновение через NAT-модули и СЭ-системы не пре­ дусматривает какого-либо воздействия на эти средства защиты. В этом случае используется способ нападения типа «маскарад», при этом возможны две разновидности атак типа «маскарад»:

1)инициирование виртуального соединения легальным сетевым объектом и далее компрометация соединения (захват соедине­ ния атакующим). При этом сам легальный пользователь опре­ деляет используемую прикладную службу;

2)инициирование виртуального соединения субъектом КШ, ко­ гда он сам определяет используемую прикладную или сетевую службу.

Первая разновидность «маскарада» вероятнее всего, приемле­ ма тогда, когда атакующему было затруднительно (или не возмож­ но) самому инициировать сеанс связи. Однако захват соединения требует значительных дополнительных ресурсов блокирования сквозного трафика и его дальнейшей нейтрализации и генерации необходимого для атакующего трафика.

Целью активного преодоления средств защиты является измене­ ние их режимов функционирования и/или настроек для упроще­ ния последующего пассивного проникновения через эти средства защиты.

Собственно говоря, активное проникновение включает две фазы:

1)изменения режимов функционирования и/или настроек NAT-модулей и СЭ-систем (т.е. проникновение в систему управления этими средствами защиты). В этой фазе также ис­ пользуется способ нападения типа «маскарад»;

2)пассивного проникновения через NAT-модули и СЭ-системы. Если первая фаза проникновения дала свои положительные

результаты, т.е. атакующий получил больше возможностей по веде­ нию КШ, то вероятнее всего, он будет сам инициировать соедине­ ния с объектом атаки.

Моделирование активных мероприятий и уточнение тактики про­ никновения через средства защиты. Реализация данного принципа предусматривает решение следующих частных задач:

1)воссоздание максимально полного по составу и соответствую­ щего по топологии комплекса аппаратно-программных средств, имитирующего реальные средства защиты и объекты нападения, на стенде моделирования атак;

2)агрегирование и настройка имитационного комплекса с мак­ симально точным отображением функционирования реаль­ ных средств защиты и объектов КШ;

РАЗДЕЛ VI.

ОРГАНИЗАЦИЯ ОТКРЫТОЙ ЭЛЕКТРОННОЙ

КОММЕРЦИИ В INTERNET

Рубеж третьего тысячелетия преодолен. Оглядываясь назад, среди множества новых и порой не всегда понятных терминов, пре­ поднесенных нам 90-ми гг. ХХ-го в., очень часто можно слышать слова «электронный бизнес» и «электронная коммерция/торговля» (ЭК). Эти понятия являются следствием глобальной информатиза­ ции нашей планеты.

Создание и развитие широкомасштабной Internet-сети, часто называемой «киберпространством», и её повсеместная доступность позволили говорить о новой социально-экономической среде. Ки­ берпространство по своей сути является отражением реального ми­ ра, но со своими «виртуальными особенностями». Естественно, что оно затронуло и сферу экономики и финансов, сделав себя конку­ рентоспособной и весьма эффективной (прибыльной) сферой биз­ неса. Именно слияние традиционных форм коммерческой деятель­ ности с глобальной информационно-телекоммуникационной ин­ фраструктурой стало причиной появления «виртуального (элек­ тронного) бизнеса» и «виртуальной (электронной) коммерции». Определение «виртуальный» вполне закономерно, так как оно ха­ рактеризует новые свойства электронного бизнеса:

вэлектронные (виртуальные) деньги. Понятие бумажных (метал­ лических) денег в электронной коммерции исчезает (их просто не видно). Их заменяют платежные средства (специализиро­ ванные программно-аппаратные комплексы), которые пред­ ставляют собой, как правило, пластиковые кредитные (или иные платежные) карты (КК) с определенными физическими свойствами;

•виртуальные товары. Теперь не надо ходить в магазин и выби­ рать необходимые товары. Достаточно иметь компьютер и точку доступа в Internet-сеть и перед вами предстанет весь ши­ рочайший спектр любых товаров. Кроме этого, если в реаль­ ных условиях нет возможности оценить или проверить неко­ торые свойства товаров, то в виртуальном мире это вполне возможно. Например, при покупке автомобиля в реальном ав­ тосалоне вам вряд ли продемонстрируют работу двигателя из­ нутри. А в виртуальном магазине это вполне возможно с по-

мощью специального программного обеспечения. Более того, именно виртуальная реклама способна более «тщательно» и «изощрённо» продемонстрировать преимущества того или иного товара;

ввиртуальные магазины. Виртуальный магазин - это, по крайней мере, всего лишь специализированный компьютер со своим программным обеспечением, который имеет доступ в Internet и реализует большинство функций реального магазина:

-демонстрирует товары (виртуальные);

-делает коммерческие предложения;

-«выписывает» покупателю электронную квитанцию (бланкзаказ) на оплату;

-принимает платежи (электронные деньги);

-выдает электронную платежную квитанцию (если таковая затребована покупателем);

-решает вопросы с доставкой товаров покупателю.

Вместе с тем, виртуальный магазин может обслуживаться всего лишь одним человеком. Internet позволяет создавать и сети виртуальных магазинов, которым для обслуживания нужно минимальное количество персонала (единицы человек);

в«киберуязвимость» электронного бизнеса. Электронный эко­ номический шпионаж, борьба за владение наиболее выгодны­ ми экономическими зонами киберпространства, кража элек­ тронных денег, прямой ущерб электронной коммерческой деятельности организаций (фирм, компаний), кибервреди­ тельство, киберкриминал и тому подобное - все это новые ви­ ды преступной деятельности, способные нанести непоправи­ мый урон бизнесу (вплоть до его полного «разрушения»). Но­ вейшая история коммерческой деятельности со всей очевид­ ность показывает, что надёжная защита электронного бизнеса - важнейшее и необходимое условие его конкурентоспособно­

сти и экономической эффективности.

Электронный бизнес основывается (помимо всего прочего) на электронных платежных системах, которых в настоящее время чрез­ вычайно много. Такое положение требует принятия специальных мер для интеграции различных платежных схем (систем) в едином киберпространстве.

Одним из важнейших направлений развития Internet является создание эффективных и безопасных условий для ведения элек­ тронного бизнеса. С этой целью в IETF создана рабочая группа по развитию электронной коммерции - Trade Working Group (TWG). Главное предназначение деятельности TWG разработка и внедре­ ние международных стандартов в области открытой электронной