Вопрос 59. Системы обнаружения вторжений. Методы анализа для выявления атак

1. Сигнатурный метод, основан на том, что определяются характерные особенности событий и их взаимосвязь.

Для последовательности действий, которые считаются атакой, создается сигнатура

Признаки начала атаки:

1. Частичное совпадение с сигнатурой атак

2. Полное совпадение с сигнатурой атак

Преимущество такого метода является расширяемость базы данных, более точное определение атак

Минус: Возможность необнаружения атак из-за отсутствия сигнатуры.

2. Метод выявления нарушений безопасности, основан на сравнении ожидаемой активности инф. системы и текущей активности.

Для описания ожидаемой активности создается профиль.

Задается предел допустимого отклонения

Преимущество:

1. Профиль позволяет более полно описать деятельность системы.

2. Возможность обнаружения неизвестных атак

Недостаток:

Сложность определения профиля

Методы на основе искусственного интеллекта

1. Продукционный, в основу положена условная конструкция.

Для принятия решения используются данные, которые описывают возможные условия начала атаки, сравнивая текущие события с условиями.

2. Создание базы данных по сценариям атак

3. Анализ перехода системы из одного состояния в другое

Вопрос 26. Уязвимости. Причины их возникновения. Ошибки, приводящие к уязвимостям

Уязвимость – ошибки, недостатки информационных систем и систем защиты информации

1. Тип ошибки, приводящий к уязвимости

2. Последствия, оценивается ущерб, который может быть нанесен

3. Расположение уязвимости

CVE – Common Vulrerabilities Exposuse

Классификация:

1)Тип ошибки:

А) Ошибки реализации:

- Ошибки, связанные с проверкой условий

- Ошибки контроля входных данных

- Ошибки синхронизации.

Б) Ошибки администрирования:

- Ошибка конфигурирования программно-аппаратных средств

- Ошибки операционной среды в конфликтах ПО

27. Уязвимости. Поиск уязвимостей в процессе разработки и анализа систем. Методы и средства поиска уязвимостей

Методы поиска уязвимостей:

Как на этапе создания отдельных средств так и при эксплуатации

1. Статический:

Анализ исходных текстов ПО, исполнения файлов, библиотек и различных модулей расширений

2. Динамический:

Предусматривает анализ ПО с целью поиска уязвимостей.

Отладчики: Средства мониторинга, для контроля обращений программ

На этапе функциональности информационной системы:

- Сканеры уязвимостей

- Контроль программно-аппаратных средств

- Активное сканирование, которое предусматривает реализацию типовых сценариев атак.

Две программы: 1)Net Recon или 2)Nessus (бесплатная)

1)Ведутся базы данных, Сведения об уязвимостях и разрабатываемых сценариях атак

2) Основан на имитации действий нарушителя

Вопрос 60. Политика иб. Правила политики иб.

Политика безопасности – это набор правил и рекомендаций, которые определяют управление, распределение, а также меры и средства защиты информации. Целью является определение требуемого уровня безопасности и определение мер и средств, использование которых обеспечит данный уровень.

Правила политики ИБ:

1. правило разграничения доступа к ресурсам информационной системы. Это правило реализуются с помощью ролевого механизма.

Роль – это заранее определенная совокупность правил, устанавливающих допустимое взаимодействие между субъектом и объектом информационной системы. Используются должности. В политике должно быть явно указано, какие роли имеет право использовать те или иные информационные ресурсы.

2. правило распределения полномочий на доступ к информационной системе. Эти правила распределяет тот, кто имеет право предоставлять доступ к системным ресурсам (сис. админ и админ информац. безопасности).

3. правило взаимодействия администраторов и пользователей – может устанавливать, кто назначает пароли, какие права доступа имеет администратор по отношению к объектам пользователей. Определяется как оповещается админ о правонарушениях. Определяются права админа по контролю над действиями пользователей.

4. правило обращения с информацией ограниченного доступа. В политике должно быть определено, каким образом, на каких рабочих местах и на каких носителях необходимо обрабатывать и хранить конфиденциальную информацию.

5. правило безопасной эксплуатации информационной системы – определяется то, что система должна эксплуатироваться в соответствии с документацией, как хранятся и передаются носители информации. Пользователи должны понимать и выполнять правила безопасной эксплуатации системы. Для этого в политике отражается следующее: ограничение на ресурсы и действия не допустимые с точки зрения производительности систем; частота смены паролей и способов формирования паролей; правила и способы резервного копирования информации; правила соблюдения конфиденциальности электронной почты, правила в отношении неправильного адресования почты; правила и способы работы в сети Интернета.