Лекция 6. Угрозы ИБ. Архитектура и элементы СОИБ. Лектор : A.S. E-mail: accemt@gmail.comaccemt@gmail.com По материалам лекций Пермякова. - презентация

1 Лекция 6. Угрозы ИБ. Архитектура и элементы СОИБ. Лектор : A.S. По материалам лекций Пермякова Р. А. Основы информационной безопасности

2 Наиболее часто реализуемые угрозы

3 Основные элементы атаки источник – субъект, материальный объект или физическое явление, создающие угрозу ; среда распространения, в которой физическое поле, сигнал, данные или программы могут распространяться и воздействовать на защищаемые свойства ; Носитель – физическое лицо или материальный объект, в том числе физическое поле, в котором данные находят свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.

4 Анализ сетевого траффика

5 Сканирование сети Сущность процесса реализации угрозы заключается в передаче запросов сетевым службам хостов и анализе ответов от них. Цель – выявление используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определение активных сетевых сервисов, подбор идентификаторов и паролей пользователей.

6 Угроза выявления пароля Цель реализации угрозы состоит в получении НСД путем преодоления парольной защиты. Злоумышленник может реализовывать угрозу с помощью целого ряда методов, например : простой перебор, перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля, подмена доверенного объекта сети (IP-spoofing) и перехват пакетов (sniffing). В основном для реализации угрозы используются специальные программы, которые пытаются получить доступ к хосту путем последовательного подбора паролей. В случае успеха, злоумышленник может создать для себя « проход » для будущего доступа, который будет действовать, даже если на хосте изменить пароль доступа.

7 Подмена доверенного объекта сети

8

9 Навязывание ложного маршрута сети (I)

10 Навязывание ложного маршрута сети (II)

11 Внедрение ложного объекта сети (I) Фаза ожидания ARP- запроса. Фаза реализации угрозы. Фаза приема, анализа, воздействия и передачи перехваченной информации на ложном ARP- сервере.

12 Внедрение ложного объекта сети (II) Фаза ожидания атакующим DNS- запроса от хоста 1 ( атакующий находится либо на хосте нарушителя 1, либо на хосте нарушителя 2). Фаза передачи атакующим ложного DNS- ответа ( атакующий находится либо на хосте нарушителя 1, либо на хосте нарушителя 2). Фаза приема, анализа, воздействия и передачи перехваченной информации на ложном сервере.

13 Внедрение ложного объекта сети (III) Нарушитель передает направленный шторм DNS- ответов на хост 1. Хост 1 посылает DNS- запрос и немедленно получает ложный DNS- ответ. Фаза приема, анализа, воздействия и передачи перехваченной информации на ложном сервере.

14 Внедрение ложного объекта сети (IV) Нарушитель создает направленный шторм ложных DNS- ответов от имени одного из корневых DNS- серверов и при этом провоцирует этот сервер на ответ, посылая на него DNS- запрос. DNS- сервер передает DNS- запрос на корневой DNS- сервер и немедленно получает ложный DNS- ответ от атакующего. Хост нарушителя изменяет кэш - таблицу DNS- сервера и обеспечивает прохождение трафика через ложный сервер top.secret.com.

15 Отказ в обслуживании Эти угрозы основаны на недостатках сетевого программного обеспечения, его уязвимостях, позволяющих нарушителю создавать условия, когда операционная система оказывается не в состоянии обрабатывать поступающие пакеты. Могут быть выделены несколько разновидностей таких угроз : скрытый отказ в обслуживании явный отказ в обслуживании вызванный исчерпанием ресурсов ИС ; вызванный нарушением логической связности между техническими средствами ; вызванный передачей злоумышленником пакетов с нестандартными атрибутами.

16 Удаленный запуск приложений Угроза заключается в стремлении запустить на хосте различные предварительно внедренные вредоносные программы. Выделяют три подкласса : распространение файлов, содержащих несанкционированный исполняемый код ; удаленный запуск приложения путем переполнения буфера приложений - серверов ; удаленный запуск приложения путем использования возможностей удаленного управления системой, предоставляемых скрытыми программными и аппаратными закладками либо используемыми штатными средствами.

17 Удаленный запуск приложений Основные этапы работы этих программ выглядят следующим образом : инсталляция в памяти ; ожидание запроса с удаленного хоста, на котором запущена клиент - программа, и обмен с ней сообщениями о готовности ; передача перехваченной информации клиенту или предоставление ему контроля над атакуемым компьютером.

18 Последствия (I) Тип атаки Возможные последствия Анализ сетевого трафика Исследование характеристик сетевого трафика, перехват передаваемых данных, в том числе идентификаторов и паролей пользователей Сканирование сети Определение протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, активных сетевых сервисов, идентификаторов и паролей пользователей « Парольная » атака Выполнение любого деструктивного действия, связанного с получением несанкционированного доступа Подмена доверенного объекта сети Изменение трассы прохождения сообщений, несанкционированное изменение маршрутно - адресных данных. Несанкционированный доступ к сетевым ресурсам, навязывание ложной информации

19 Последствия (II) Тип атаки Возможные последствия Навязывание ложного маршрута Несанкционированное изменение маршрутно - адресных данных, анализ и модификация передаваемых данных, навязывание ложных сообщений Внедрение ложного объекта сети Перехват и просмотр трафика. Несанкционированный доступ к сетевым ресурсам, навязывание ложной информации

20 Последствия (III) Отказ в обслуживании Тип атаки Возможные последствия Частичное исчерпание ресурсов Снижение пропускной способности каналов связи, производительности сетевых устройств. Снижение производительности серверных приложений Полное исчерпание ресурсов Невозможность передачи сообщений из - за отсутствия доступа к среде передачи, отказ в установлении соединения. Отказ в предоставлении сервиса ( электронной почты, файлового и т. д.) Нарушение логической связности между атрибутами, данными, объектами Невозможность передачи, сообщений из - за отсутствия корректных маршрутно - адресных данных. Невозможность получения услуг ввиду несанкционированной модификации идентификаторов, паролей и т. п. Использование ошибок в программах Нарушение работоспособности сетевых устройств

21 Последствия (VI) Удаленный запуск приложений Тип атаки Возможные последствия Путем рассылки файлов, содержащих деструктивный исполняемый код, вирусное заражение Нарушение конфиденциальности, целостности, доступности информации Путем переполнения буфера серверного приложения Нарушение конфиденциальности, целостности, доступности информации Путем использования возможностей удаленного управления системой, предоставляемых скрытыми программными и аппаратными закладками либо используемыми штатными средствами Скрытое управление системой

22 Задание 1 Прочитать следующие РД ФСТЭК ( ): « Базовая модель угроз безопасности ПДн при их обработке в ИСПДн ». « Методика определения актуальных угроз безопасности ПДн при их обработке в ИСПДн ». Приказ ФСТЭК 58 « О методах и способах защиты ПДн ». Составить модель нарушителя и модель угроз для одной из следующих систем ( являются ИСПДн ( учесть ), но модель общая ): СЭД ВУЗа ( локальная система в множественными внешними каналами ). Корпоративная ИС Intel ( распределённая ИС ). Корпоративная ИС компании по производству компьютерных игр. СЭД завода ЖБИ ( есть филиалы ). Интернет - магазин с филиалами ( складской учёт автоматизирован ). Сеть магазинов электроники « Эльдорадо ». Единая СЭД и распределённая ИС ФСБ РФ.

23 Принципы построения. Реагирование на риски. Архитектурная безопасность

24 Причины возникновения проблем Совершенно сложная система : Ошибки проектирования Ошибки настройки и сопровождения Ошибки персонала. Машина Тьюринга Информация может быть как данными, так и программой. Информация рассматривается как товар. Ресурсы = товар.

25 Иерархия

26 Обеспечение комплексного подхода Организационные меры Программно - аппаратное обеспечение Политика безопасности

27 Характерные проблемы Фирма имеет несколько офисов, расположенных на достаточно большом расстоянии друг от друга. При пересылке конфиденциальной информации по общедоступной сети ( например, Internet) необходимо быть уверенным, что никто не сможет ни подсмотреть, ни изменить эту информацию. Сетевой администратор осуществляет удаленное управление компьютером. Пользователь перехватывает управляющее сообщение, изменяет его содержание и отправляет сообщение на данный компьютер. Фирма открывает Internet- магазин, который принимает оплату в электронном виде. В этом случае продавец должен быть уверен, что он отпускает товар, который действительно оплачен, а покупатель должен иметь гарантии, что он, во - первых, получит оплаченный товар, а во - вторых, номер его кредитной карточки не станет никому известен. Фирма открывает свой сайт в Internet. В какой - то момент содержимое сайта заменяется новым, либо возникает такой поток и такой способ обращений к сайту, что сервер не справляется с обработкой запросов. В результате обычные посетители сайта либо видят информацию, не имеющую к фирме никакого отношения, либо просто не могут попасть на сайт фирмы.

28

29 Принципы архитектурной безопасности непрерывность защиты в пространстве и времени, невозможность миновать защитные средства ; следование признанным стандартам, использование апробированных решений ; иерархическая организация ИС с небольшим числом сущностей на каждом уровне ; усиление самого слабого звена ; невозможность перехода в небезопасное состояние ; минимизация привилегий ; разделение обязанностей ; эшелонированность обороны ; разнообразие защитных средств ; простота и управляемость информационной системы.

30 Принципы построения внесение в конфигурацию той или иной формы избыточности ( резервное оборудование, запасные каналы связи и т. п.); наличие средств обнаружения нештатных ситуаций ; наличие средств реконфигурирования для восстановления, изоляции и / или замены компонентов, отказавших или подвергшихся атаке на доступность ; рассредоточенность сетевого управления, отсутствие единой точки отказа ; выделение подсетей и изоляция групп пользователей друг от друга. Данная мера, являющаяся обобщением разделения процессов на уровне операционной системы, ограничивает зону поражения при возможных нарушениях информационной безопасности.

31 Состав СОИБ идентификация и аутентификация ; управление доступом ; протоколирование и аудит ; шифрование ; контроль целостности ; экранирование ; анализ защищенности ; обеспечение отказоустойчивости ; обеспечение безопасного восстановления ; защита коммуникаций ; управление.

32 Виды мер превентивные, препятствующие нарушениям ИБ ; меры обнаружения нарушений ; локализующие, сужающие зону воздействия нарушений ; меры по выявлению нарушителя ; меры восстановления режима безопасности.

33 Реагирование на нарушения режима безопасности локализация инцидента и уменьшение наносимого вреда; выявление нарушителя предупреждение повторных нарушений Определение группы реагирования Определение режима конфиденциальности Изоляция скомпрометированной системы Создание резервной копии Оценка риска и последствий Смена паролей или перегенерация системы Определение группы реагирования Определение режима конфиденциальности Изоляция скомпрометированной системы Создание резервной копии Оценка риска и последствий Смена паролей или перегенерация системы Начало производства по делу в соответствие с действующим законодательством Сбор и анализ доказательств Выявление виновных Привлечение к ответственности в соответствие с действующим законодательством Начало производства по делу в соответствие с действующим законодательством Сбор и анализ доказательств Выявление виновных Привлечение к ответственности в соответствие с действующим законодательством Определение причин и симптомов инцидента Усиление защиты Обеспечение анализа уязвимостей Устранение причин инцидента Определение последней « чистой » резервной копии. Написание отчета об инциденту Определение причин и симптомов инцидента Усиление защиты Обеспечение анализа уязвимостей Устранение причин инцидента Определение последней « чистой » резервной копии. Написание отчета об инциденту

34 Реагирование на инциденты Идентификация Локализация Устранение причин Восстановление Извлечение уроков All phrases can be replaced with your own text. Планирование, координация восстановления системы Первые шаги по выявлению инцидента направленные на снятие неопределенности Получение и анализ событий, отчетов об инцидентах и сигналов тревог text. Внимание! Не следует забывать о подготовке нормативной базы

35 Идентификация Выделите персону, ответственную за инцидент. Какие события относятся к инциденту. Будьте осторожны в поддержке доверенной цепочки взаимодействия. Координация с Интернет - провайдером. Уведомьте соответствующие структуры ( при необходимости ). Идентификация Локализация Устранение причин Восстановление Извлечение уроков

36 Локализация Разверните командный пункт на месте инцидента. Не привлекайте к себе внимания. Обходите потенциально скомпрометированную подсистему. Сделайте резервную копию. Оцените риск продолжения работы атакованных систем. Проконсультируйтесь с владельцем системы. Смените пароли. Идентификация Локализация Устранение причин Восстановление Извлечение уроков

37 Устранение причин Определите причины и симптомы инцидента. Усильте защиту. Обеспечьте анализ уязвимостей. Устраните причину инцидента. Определите последнюю « чистую » резервную копию. Идентификация Локализация Устранение причин Восстановление Извлечение уроков

38 Восстановление Восстановите системы. Проверка системы. Решите, когда восстанавливать бизнес - операции. Обеспечить мониторинг системы. Идентификация Локализация Устранение причин Восстановление Извлечение уроков

39 Извлечение уроков Сформировать отчет об инциденте. Провести ревизию моделей, и инструкций. Идентификация Локализация Устранение причин Восстановление Извлечение уроков

40 Средства обеспечения безопасности ID

41 Средства анализа защищённости

42 Средства обнаружения атак

43 Сервис безопасности сервис, который обеспечивает задаваемую политикой безопасность систем и / или передаваемых данных, либо определяет осуществление атаки. Сервис использует один или более механизмов безопасности.

44 Типовые сервисы Конфиденциальность – предотвращение пассивных атак для передаваемых или хранимых данных. Аутентификация – подтверждение того, что информация получена из законного источника, и получатель действительно является тем, за кого себя выдает. В случае передачи единственного сообщения аутентификация должна гарантировать, что получателем сообщения является тот, кто нужно, и сообщение получено из заявленного источника. В случае установления соединения имеют место два аспекта. Во - первых, при инициализации соединения сервис должен гарантировать, что оба участника являются требуемыми. Во - вторых, сервис должен гарантировать, что на соединение не воздействуют таким образом, что третья сторона сможет маскироваться под одну из легальных сторон уже после установления соединения. Целостность – сервис, гарантирующий, что информация при хранении или передаче не изменилась. Может применяться к потоку сообщений, единственному сообщению или отдельным полям в сообщении, а также к хранимым файлам и отдельным записям файлов.

45 Типовые сервисы Невозможность отказа – невозможность, как для получателя, так и для отправителя, отказаться от факта передачи. Таким образом, когда сообщение отправлено, получатель может убедиться, что это сделал легальный отправитель. Аналогично, когда сообщение пришло, отправитель может убедиться, что оно получено легальным получателем. Контроль доступа – возможность ограничить и контролировать доступ к системам и приложениям по коммуникационным линиям. Доступность – результатом атак может быть потеря или снижение доступности того или иного сервиса.

46 Облака Не санкционированное или незаконное использование ресурсов облака Не безопасные программные продукты Инсайдеры Распределенные уязвимые технологии Потеря данных или утечки Похищение аккаунта, ресурсов Риски связанные с нарушением местного законодательства Неопределенные риски

47 Виртуализация Обеспечение безопасности гипервизора Определение зон ответственности и собственника ресурсов Управление администрированием

48 Технологии аутентификация и управление доступом

49 Идентификация позволяет субъекту ( пользователю, процессу, действующему от имени определенного пользователя, или иному аппаратно - программному компоненту ) назвать себя ( сообщить свое имя ).

50 Аутентификация Процедура с помощью которой вторая сторона убеждается, что субъект действительно тот, за кого он себя выдает.

51 Способы подтверждения подлинности нечто, что он знает ( пароль, личный идентификационный номер, криптографический ключ и т. п.); нечто, чем он владеет ( личную карточку или иное устройство аналогичного назначения ); нечто, что есть часть его самого ( голос, отпечатки пальцев и т. п., то есть свои биометрические характеристики ).

52 Парольная аутентификация наложение технических ограничений ( пароль должен быть не слишком коротким, он должен содержать буквы, цифры, знаки пунктуации и т. п.); управление сроком действия паролей ; Управление количеством запоминаемых системой паролей. ограничение доступа к файлу паролей ; ограничение числа неудачных попыток входа в систему ; обучение пользователей ; использование программных генераторов паролей ( такая программа, основываясь на несложных правилах, может порождать только благозвучные и, следовательно, запоминающиеся пароли ).

53 Хороший пароль Плохой пароль vFsKVe ( м Ама мы Ла ра Му ) X3*;Z.[FcP/E\pT ( получено от генератора ) Ltdnhbgip9 ( Дев _ три _gi з 9) Gfhjkm2010 ( пароль 2010) Dfcz Gegrby25( Вася Пупкин 25) Yjdjcb,bhcr ( Новосибирск ) Vfvf vskf hfve ( мама мыла раму )

54 Оценка стойкости P - вероятность подбора пароля в течение его срока действия ( подбор осуществляется непрерывно в течение всего срока действия пароля ); V - скорость подбора паролей ( скорость обработки одной попытки регистрации проверяющей стороной либо скорость вычисления хэш - значения одного пробного пароля ); T - срок действия пароля ( задает промежуток времени, по истечении которого пароль должен быть сменен );

55 Kerberos Особенности системы : В авторизации участвуют три стороны : пользователь, сервер и центр распределения ключей. Центру распределения ключей должны доверять все участники системы.

56 Принцип работы A –> TGS: (A, B) TGS –> A: (E A (K, L, T t, B), E B (K, L, T t, A)) A –> B: (E K (A, T t ), E B (K, L, T t, A)) B –> A: (E K (T k +1)). Сеансовый ключ K создан.

57 Принцип работы Отправка пользователем запроса на билет TGT получение пользователем билета на доступ к серверу ; аутентификация пользователя сервером ; аутентификация сервера пользователем.

58 Двухфакторная авторизация Авторизация по двум параметрам обычно пароль и еще одна сущность : Отпечаток пальца Радужная оболочка глаза Сетчатка глаза Почерк Цифровой почерк Сотовый телефон Местоположение

59 Виды биометрической авторизации Физиологические относятся к форме тела. В качестве примера можно привести : отпечатки пальцев, распознавание лица, ДНК, ладонь руки, сетчатка глаза, запах / аромат. Поведенческие связаны с поведением человека. Например, походка и голос, почерк

60 Сравнение биометрических схем

61 Качество систем FAR (False Acceptence Rate) процентный порог, определяющий вероятность того, что один человек может быть принят за другого ( коэффициент ложного доступа )( также именуется « ошибкой 2 рода »). FAR FRR (False Rejection Rate) вероятность того, что человек может быть не распознан системой ( коэффициент ложного отказа в доступе )( также именуется « ошибкой 1 рода »). FRR

62 Виды сканеров отпечатков пальцев Оптические Бесконтактные Ёмкостные Радиочастотные Чувствительные к давлению Термосканеры Ультразвуковые

63 Методы обхода сканера отпечатков пальца Регистрация объектов, отличных от пальцев, не приносит результата - ПО не принимает такие образы. Конденсация. Если на сканер направить струю тёплого воздуха, отпечаток пальца предыдущего пользователя восстанавливается. Для оптических сканеров возможен такой метод обмана. В случае с полупроводниковыми - не проходит. Снятие отпечатка пальца скотчем сравнима с предыдущим методом : для оптических есть вероятность обмана, для полупроводниковых - нет. Муляж, изготовленный из жвачки не проходит, т. к. получается зеркальное отражение. Возможно, профессионалы и могут изготовить обманку из пластичного материала таким способом. Метод отрезанного пальца скорее всего он не сработает, так как мертвые ткани быстро теряют свои свойства ( меняется рисунок ). Также для борьбы с этим используются сканеры, реагирующие на дополнительные признаки " живого пальца "( температура, пульс и т. п.). Муляж из желатина. Существует возможность обмана сканеров отпечатков пальцев, имея на руках предмет, на котором остался нужный отпечаток, клей и желатин. Вероятность ложного допуска с подобным муляжом составляла от 70 до 95%.

64 Цифровой почерк Время между нажатиями клавиш на клавиатуре при вводе пароля. Для человека впервые увидевшего пароль это время будет существенно отличаться от эталонного.

65 Сотовый телефон Подтверждает факт обладание заранее определенным телефонным аппаратом. В качестве расширения предлагается использовать координаты местонахождения аппарата.

66 Защита программного обеспечения

67 Защита от копирования Защита при помощи отчуждаемого носителя ; Электронный ключ ; Привязка к серийным номерам компонентов компьютера ; Внешний модуль против API.

68 Правовые особенности Решением магаданского городского суда (26.11) был вынесен беспрецедентный в России ( и, скорее всего, в мире ) приговор. Техническое средство защиты авторских прав ( ТСЗАП, DRM) было признано вредоносной программой ( ст.273 УК ). Жуков Вячеслав Васильевич, автор бухгалтерской программы " СЛВ - Зарплата " осуждён за то, что вставил в своё творение ограничение функциональности для тех пользователей, которые не купили лицензию. Вредоносная программа, согласно её юридическому определению, нарушает работу информационной системы, блокирует инфор мацию или ухудшает работу иных программ. Кряк же исполняет прямо противоположное действие : разблокирует ра боту иных программ, превращает неработоспособную систему в работоспособную.

69 Спасибо за внимание!