9.3. Функціональні компоненти й архітектура
У складі засобів активного аудиту можна виділити наступні функціональні компоненти:
компоненти генерації реєстраційної інформації. Вони перебувають на стику між засобами активного аудиту й контрольованих об'єктів;
компоненти зберігання згенерованої реєстраційної інформації;
компоненти витягу реєстраційної інформації (сенсори). Звичайно розрізняють мережні й хостові сенсори, маючи на увазі під першими виділені комп'ютери, мережеві карти яких установлені в режим прослуховування, а під другими - програми, що читають реєстраційні журнали операційної системи. На наш погляд, з розвитком комутаційних технологій це розходження поступово стирається, тому що мережеві сенсори доводиться встановлювати в активному мережному устаткуванні й, по суті, вони стають частиною мережевої ОС;
компоненти перегляду реєстраційної інформації можуть допомогти при ухваленні рішення про реагування на підозрілу активність;
компоненти аналізу інформації, що надійшла від сенсорів. Відповідно до наведеного визначення засобів активного аудиту, виділяють пороговий аналізатор, аналізатор порушень політики безпеки, експертну систему, яка виявляє сигнатури атак, а також статистичний аналізатор, що виявляє нетипове поводження;
компоненти зберігання інформації, які беруть участь в аналізі. Таке зберігання необхідно, наприклад, для виявлення атак, тривалих у часі;
компоненти прийняття рішень і реагування ("вирішувачі"). "Вирішувач" може одержувати інформацію не тільки від локальних, але й від зовнішніх аналізаторів, проводячи так званий кореляційний аналіз розподілених подій;
компоненти зберігання інформації про контрольовані об'єкти. Тут можуть зберігатися як пасивні дані, так і методи, необхідні, наприклад, для витягу з об'єкта реєстраційної інформації або для реагування;
компоненти, які відіграють роль організуючої оболонки для менеджерів активного аудиту, названі моніторами й об'єднуючими аналізаторами, "вирішувачі", сховище описів об'єктів й інтерфейсні компоненти. У число останніх входять компоненти інтерфейсу з іншими моніторами, як рівноправними, так і ти ми, які входять в ієрархію. Такі інтерфейси необхідні, наприклад, для виявлення розподілених, широкомасштабних атак;
компоненти інтерфейсу з адміністратором безпеки.
Засоби активного аудиту будуються в архітектурі менеджер/агент. Основними агентськими компонентами є сенсори. Аналіз та прийняття рішень - функції менеджерів. Очевидно, між менеджерами й агентами повинні бути сформовані довірені канали.
Підкреслимо важливість інтерфейсних компонентів. Вони корисні як із внутрішньої для засобів активного аудиту точки зору (забезпечують розширюваність, підключення компонентів різних виробників), так і із зовнішньої точки зору. Між менеджерами (між компонентами аналізу й "вирішувачами") можуть існувати горизонтальні зв'язки, необхідні для аналізу розподіленої активності. Можливо також формування ієрархій засобів активного аудиту з винесенням на верхні рівні інформації про найбільш масштабну й небезпечну активність.
Звернемо також увагу на архітектурну спорідненість засобів активного аудиту й керування, що є наслідком спільності виконуваних функцій. Продумані інтерфейсні компоненти можуть істотно полегшити спільну роботу цих засобів.
9.4. Шифрування
Ми приступаємо до розгляду криптографічних сервісів безпеки, точніше, до викладу елементарних відомостей, що допомагають скласти загальне уявлення про комп'ютерну криптографію і її місце в загальній архітектурі інформаційних систем.
Криптографія необхідна для реалізації, принаймні, трьох сервісів безпеки:
шифрування;
контроль цілісності;
аутентифікація (цей сервіс був розглянутий нами раніше). Шифрування - найбільш потужний засіб забезпечення конфіденційності.
У багатьох відносинах воно займає центральне місце серед програмно-технічних регуляторів безпеки, будучи основою реалізації багатьох з них, і в той же час останнім (а часом і єдиним) захисним рубежем. Наприклад, для портативних комп'ютерів тільки шифрування дозволяє забезпечити конфіденційність даних навіть у випадку крадіжки.
У більшості випадків і шифрування, і контроль цілісності відіграють глибоко інфраструктурну роль, залишаючись прозорими й для додатків, і для користувачів. Типове місце цих сервісів безпеки - на мережевому й транспортному рівнях реалізації стека мережевих протоколів.
Розрізняють два основних методи шифрування: симетричний й асиметричний. У першому з них той самий ключ ( що зберігається в секреті) використовується як для шифрування, так і для розшифрування даних. Розроблені досить ефективні (швидкі й надійні) методи симетричного шифрування.
Рис. 9.1 ілюструє використання симетричного шифрування. Для визначеності ми будемо вести мову про захист повідомлень, хоча події можуть розвиватися не тільки в просторі, але й у часі, коли зашифровуються й розшифровуються нікуди не переміщені файли.
Рис. 9.1. Використання симетричного методу шифрування.
Основним недоліком симетричного шифрування є те, що секретний ключ повинен бути відомий і відправнику, і одержувачу. З одного боку, це створює нову проблему поширення ключів. З іншого боку, одержувач на підставі наявності зашифрованого й розшифрованого повідомлення не може довести, що він одержав це повідомлення від конкретного відправника, оскільки таке ж повідомлення він міг згенерувати самостійно.
В асиметричних методах використовуються два ключі. Один з них, несекретний (він може розміщуватися разом з іншими відкритими відомостями про користувача), застосовується для шифрування, інший (секретний відомий тільки одержувачу) - для розшифрування. Найпопулярнішим серед асиметричних є метод RSA (Райвест, Шамир, Алліман), заснований на операціях з більшими (скажемо, 100-значными) простими числами і їхніми добутками.
Проілюструємо використання асиметричного шифрування (див. рис. 9.2).
Рис. 9.2. Використання асиметричного методу шифрування
Істотним недоліком асиметричних методів шифрування є їхня низька швидкодія, тому дані методи доводиться сполучати із симетричними (асиметричні методи на 3-4 порядки повільніші). Так, для рішення завдання ефективного шифрування з передачею секретного ключа, використаного відправником, повідомлення спочатку симетрично зашифровують випадковим ключем, потім цей ключ зашифровують відкритим асиметричним ключем одержувача, після чого повідомлення й ключ відправляються по мережі.
Рис. 9.3 ілюструє ефективне шифрування, реалізоване шляхом сполучення симетричного й асиметричного методів.
На рис. 9.4 показано розшифрування ефективно зашифрованого повідомлення.
Відзначимо, що асиметричні методи дозволили вирішити важливе завдання спільного вироблення секретних ключів (це істотно, якщо сторони не довіряють один одному), що обслуговують сеанс взаємодії, при споконвічній відсутності загальних секретів. Для цього використовується алгоритм Диффи-Хелмана.
Рис. 9.3. Ефективне шифрування повідомлення
Рис. 9.4. Розшуфрування ефективно зашифрованого повідомлення
Дещо розповсюдився різновид симетричного шифрування, заснований на використанні складених ключів. Ідея полягає в тому, що секретний ключ ділиться на дві частини, що зберігаються окремо. Кожна частина сама по собі не дозволяє виконати розшифрування. Якщо в правоохоронних органів з'являються підозри щодо особи, що використовує деякий ключ, вони можуть у встановленому порядку одержати половинки ключа й далі діяти звичайним для симетричного розшифрування чином.
Порядок роботи зі складеними ключами - вдалий приклад проходження принципу поділу обов'язків. Він дозволяє сполучати права на різного роду таємниці (персональну, комерційну) з можливістю ефективно стежити за порушниками закону, хоча, звичайно, тут дуже багато тонкостей і технічного, і юридичного плану.
Багато криптографічних алгоритмів у якості одного з параметрів вимагають псевдовипадкового значення, у випадку передбачення якого в алгоритмі з'являється уразливість (подібне уразливе місце було виявлено в деяких варіантах Web-навігаторів). Генерація псевдовипадкових послідовностей - важливий аспект криптографії, на якому ми, однак, зупинятися не будемо.
Більш докладну інформацію про комп'ютерну криптографію можна дізнатися зі статті Г. Семенова "Не тільки шифрування, або Огляд криптотехнологій" (Jet Info, 2001, 3).