При построении информационной системы и включении в нее механизмов безопасности возникает естественная задача проверки, насколько задействованные механизмы адекватно выполняют возложенные на них задачи реализации политики безопасности.
Пожалуй, первой попыткой включить средства верификации механизмов защиты информационных ресурсов было определение в "Orange book" Министерства обороны США класса защищенности А, где наличие таких средств было основным свойством указанного класса.
Роль "Orange book" в формировании идеологии построения защиты информационных систем трудно переоценить. Тем не менее приходится констатировать, что реальное развитие процессов информационного обмена в настоящий момент весьма далеко от предположений, которыми пользовались авторы этого труда и во- всяком случае, современные информационные системы и задачи, возложенные на них, коренным образом изменились. В последнее десятилетие информационные потоки, связанные с компьютерными системами возросли во много раз, возникла идеология "клиент-сервер" и технологии "Internet/Intranet", возросла роль доступности как одной из составляющих информационной безопасности. Большинство современных систем базируется на взаимодействии неоднородных программно-аппаратных компонент с использованием различных системно-технических платформ. используя большой набор сетевых сервисов для обмена информацией между ними. Все это делает мало реальной задачу построения систем, где механизмы анализа защищенности заложены в архитектуру каждой из компонент и действуют на всех уровнях функционирования информационной системы.
Из вышесказанного отнюдь не следует, что необходимо исключить верификацию защищенности информационных ресурсов из списка необходимых действий по организации безопасности. Задача состоит в том, чтобы сделать ее реально решаемой в реально существующих информационных системах. Для этого требуется активизировать средства верификации защиты в тех частях информационной системы, с которыми связаны наибольшие риски для информационных ресурсов. Хотя в каждой системе существует своя уникальная иерархия рисков, во многих случаях большинство из них ассоциируется либо с работой приложений, сетевыми сервисами, либо с сервисами операционной системы. В первом случае , очевидно, нет универсальных средств, которые могли бы быть использованы для выполнения этой задачи. В двух других случаях, в силу универсальности большинства применяемых операционных систем и сетевых протоколов возможно использование средств поиска по крайней мере широко известных слабостей. При очевидной неполноте такого анализа он оказывается весьма эффективным средством проверки механизмов безопасности.
Все известные на сегодня распространенные операционные системы декларируют наличие достаточно продвинутых средств защиты информационных ресурсов. Как минимум это механизмы аутентификации/авторизации. разграничения доступа. мониторинга и аудита. криптографических компонент. Если реализации этих механизмов достаточны с точки зрения принятой политики безопасности, необходимо тем не менее иметь в виду два множества рисков: риски, связанные с неправильной конфигурацией системы и риски, возникающие вследствие ошибок в программном обеспечении.
Рекомендации по второй группе рисков в большой степени зависят от политики, проводимой производителем операционной системы: в какой мере система является открытой, насколько для производителя допустимо признание наличия ошибок в своем продукте, какова его оперативность при их исправлении. Если политика безопасности не допускает слепой веры в непогрешимость производителя и требует оперативного исправления найденных ошибок, не дожидаясь выхода следующей версии операционной системы то целесообразно обратить на это внимание при выборе системно-технических платформ, особенно для корпоративных серверов.
Для проверки корректности системных установок (или их неизменности с момента последней проверки) существуют программные продукты класса "сканер безопасности системы". Эти продукты на сегодняшний день существуют для большинства операционных систем и число достигает десятка. В их число входят такие продукты, как ASET (компонент ОС Solaris), KSA (для платформ NetWare и NT), SSS (System Security Scanner) (Unix-платформы ).
Программа System Security Scanner (S3) предназначена для проведения проверки состояния безопасности на отдельных UNIX-компьютерах и поиска уязвимости ОС как снаружи (по сети с использованием Internet Scanner), так и изнутри (из самой ОС компьютера). При этом проводится проверка прав доступа и прав собственности файлов, конфигураций сетевых сервисов, установок ресурсов пользователей, программ аутентификации и других, связанных с пользователями слабых мест (например, паролей).
Характеристики
Анализируются особенности конфигурации, которые могут привести к получению несанкционированного доступа. К ним относятся: файлы конфигураций, версии ПО, права доступа и собственники файлов, файлы SUID/SGID, необычные файлы, ресурсы пользователей и групп пользователей, пароли.
Проводится поиск следов несанкционированного доступа в систему, к которым относятся необычные изменения в текущей конфигурации системы, например, изменения размера, прав доступа или содержания отдельных файлов, либо изменения в установках ресурсов пользователей , а также следов переключения сетевого интерфейса в режимы работы, допускающие передачу данных на внешний компьютер.
S3 предоставляет возможность для конфигурации и запуска сеансов сканирования и создания отчетов по их результатам.
Программа S3 позволяет выполнять проверку удаленных компьютеров в неоднородной распределенной сетевой среде с центрального хоста, используя шифрование сеансов связи.
В создаваемых по результатам сканирования отчетах отражается информация об обнаруженных уязвимых местах проверяемых систем с пояснениями по каждому типу уязвимости и рекомендуемыми действиями по их коррекции. Отчеты могут быть представлены как в HTML-формате, так и в виде стандартного ASCII-текста.
Слабости, заложенные в реализации сетевых сервисов протокола TCP/IP известны достаточно давно. Поскольку именно сетевые сервисы во многих случаях служили объектом атак на распределенные информационные системы, возникла задача автоматизированной проверки сетевых систем на уязвимость со стороны известных атак. Первым продуктом, выполняющим данную функцию был пакет программ SATAN, сделанный F.Venema и распространяемый бесплатно. В состав пакета включены около двух десятков проверок уязвимостей сетевых сервисов. Несмотря на значительное время, прошедшее с момента создания пакета, практическая проверка любой системы с его помощью может быть весьма полезна - даже старые уязвимости не всегда адекватно учитываются администраторами ИС.
Если требования к системе включают периодические проверки по наиболее полному списку уязвимостей (это, например необходимо для межсетевых экранов, где такие проверки должны проводиться периодически), то необходимо использовать более поздние коммерческие продукты сканирования уязвимостей. В качестве примера одного из наиболее продвинутых продуктов этого класса можно привести Internet Scanner SAFEsuite.
Пакет программ Internet Scanner SAFEsuite предназначен для проведения комплексной оценки эффективности политики безопасности на уровне сетевых сервисов. Он предоставляет возможности для идентификации и коррекции более 140 известных слабых мест и постоянного наблюдения за состоянием безопасности для широкого диапазона сетевых устройств - от web-узлов и межсетевых экранов и до серверов и рабочих станций UNIX, Windows 95, Windows NT и всех других устройств работающих с TCP/IP.
Состоит из трех программ: Web Security Scanner, Firewall Scanner, Intranet Scanner.
Общие характеристики пакета программ Internet Scanner SAFEsuite
Автоматизированное и конфигурируемое сканирование:
Обеспечение безопасности:
Простота пользования:
Web Secure Scanner
Предназначен для поиска слабых мест безопасности на web-серверах. Обеспечивает аудит ОС, под управлением которой работает web-сервер, программ-приложений, установленных на web-сервере, и CSI scripts в web-приложениях. Проводит тестирование конфигурации web-сервера, оценивает уровень безопасности основной файловой системы и просматривает CSI scripts на наличие слабых мест. По итогам тестирования создается отчет с описанием обнаруженных слабых мест и с рекомендациями по корректирующим действиям.
Firewall Scanner
Обеспечивает поиск слабых мест в межсетевых экранах, прежде всего в их конфигурации, и предоставляет рекомендации по их коррекции. Проводит тестирование реакции межсетевых экранов на различные типы попыток нарушения безопасности. Выполняет сканирование сервисов - идентификацию всех сетевых сервисов, доступ к которым осуществляется через межсетевой экран. Firewall Scanner рекомендуется сделать частью установки межсетевого экрана и составной частью программы обеспечения безопасности.
Intranet Scanner
Предназначен для автоматического обнаружения потенциальных слабых мест внутри сетей с использованием различных тестов для проверки реакции на несанкционированные проникновения. Обеспечивает проверку различных сетевых устройств, включая UNIX hosts, системы, работающие под Microsoft NT/Windows 95, маршрутизаторы, web-серверы и X-терминалы.
К задаче автоматического диагностирования логически примыкает задача автоматического выявления несанкционированных действий и реакции на них. В качестве примера средства, проводящего такие действия на уровне сетевых сервисов можно привести работу продукта RealSecure компании Internet Security Systems (США).
Инструментальное средство RealSecure предназначено для административного управления большими объемами сетевой информации. Продукт может быть использован как для простой регистрации происходящих событий, например, атак хакеров, так и для организации комплекса активных защитных мер, дополняющего функции межсетевого экрана. Отличительная особенность RealSecure состоит в том, что он создан специально для работы в сетях крупных организаций и способен одновременно отслеживать множество нарушающих безопасность событий непрерывно 24 часа в сутки и 7 дней в неделю.
RealSecure состоит из двух программных средств: механизма фильтрации, осуществляющего наблюдение и активное управление сетевыми событиями, и графического пользовательского интерфейса, при помощи которого пользователь получает информацию о текущих событиях, может управлять ими в реальном масштабе времени, а также устанавливать и изменять рабочую конфигурацию пакета. Это позволяет проводить фильтрацию событий с автоматическим выполнением по отношению к ним ряда действий (регистрация, отображение на дисплее, уничтожение или отсутствие действий), характер которых определяется по устанавливаемым пользователем характерным признакам события. В пакете имеется программа записи и последующего воспроизведения информации о текущих событиях как в реальном, так и в ускоренном, и замедленном режимах просмотра, что полезно для последующего анализа происшедших событиях.
Пакет может работать под ОС SunOS, Solaris и Linux; не требует чрезмерных системных ресурсов. Для наиболее эффективной работы и максимальной реализации заложенных в него возможностей рекомендуется использовать пакет программ RеalSеcure на отдельном компьютере с хорошим графическим дисплеем, специально выделенном для целей административного сетевого управления.
Инструментальные системы тестирования защищенности систем должны присутствовать во всех системах с высокими требованиями к безопасности информационных ресурсов либо системах, работающих в условиях высоких рисков либо являющиеся вероятным объектом атак (например, межсетевые экраны в Internet). Хотя количество программно-технических средств в этом секторе относительно невелико, возможно подобрать удовлетворительное решение в соответствии с корпоративной политикой безопасности.