Защита от сетевых угроз. Эшелонированная защита от сетевых угроз

Современные средства защиты содержат модули анализа трафика, которые выдают предупреждение по факту срабатывания некоторого правила, суть которого сводится к анализу последовательности символов в потоке информации. Соответственно критичным является корректный разбор и нормализация передаваемых данных. Злоумышленники пользуются этой особенностью и пытаются «обойти» механизмы детектирования с помощью различных методик. Техники обхода были известны еще с середины 90-х годов, однако лишь в прошлом году их подробное изучение позволило усомниться в адекватности применяемых средств обеспечения безопасности.

Ландшафт современных сетевых угроз значительно изменился за последние годы. Основным трендом является криминализация хакерской активности, когда получение доступа к информационным активам и кража информации становится в первую очередь задачей извлечения финансовой выгоды. Также меняется и вектор атак – они становятся все более разнонаправленными, включают не только использование публичных или «zero-day»-эксплоитов, но и задействуют заказное программное обеспечение, подготавливаемое специально под конкретные информационные системы.

Традиционно атаки используют уязвимые места определенных прикладных программ (или приложений), становясь все более изощренными, чтобы иметь возможность проходить через рубежи сетевой защиты, так или иначе присутствующие в каждой организации. Очень часто им это удается, примеров тому масса, самыми яркими из которых являются эпидемии червей Sasser, Conficker, и ZeuS. Недавние подтвержденные взломы таких гигантов, как Google и RSA (EMC), не говоря уже про Пентагон, являются ярким примером того, что никто в достаточной степени не защищен.

Таким образом, не будет большой новостью утверждение, что данные атаки существуют, и их проведение зачастую происходит с успехом со стороны атакующего. Гораздо важно другое: нередки случаи, когда попытки расследования атак не приводят к желаемому результату. Т.е. при всем желании разобраться в истории взлома и векторах, которые использовались злоумышленниками для проникновения, расследование является крайне затруднительным или невозможным.

Значит ли это что системы сетевой безопасности не нужны, раз они так неэффективны? Отнюдь нет. Однако для грамотного применения нужно хорошо себе представлять их границы применения и возможности.

Итак, суть самого проникновения сводится к тому, что злоумышленник, используя брешь в программном обеспечении (системном или прикладном), не задумываясь о том, что вызовы и параметры вызовов функций кому-то придет в голову использовать не по прямому назначению, может проникнуть в целевую систему и, закрепившись, реализовать свои коварные планы. Все ли бреши закрыты на сегодняшний день? Статистика уязвимостей от таких анатлитических команд, как IBM X-Force (ранее ISS), показывает, что даже в прошлом году все ведущие мировые программные гиганты имели достаточно количество незакрытых «заплатками» уязвимостей. Причем, если посмотреть по критичности этих уязвимостей, то более 70% всех вновь обнаруженных «дыр» высокого и критического уровня не были закрыты на момент публикации. И это на фоне того, что другое уважаемое аналитическое агенство Verizon Business рапортовало, что направленность атак сменилась: теперь вновь угроза кроется не внутри сети (защищаться нужно не от инсайдеров), а снаружи, в Интернете, откуда и происходит большинство проникновений.

Таким образом, проблема очевидна: атаки происходят из Интернет, а системы, которые подвергаются атакам по тем или иным причинам не являются защищены от известных (не говоря уже про так называемые «zero-day») эксплоитов. Иногда это происходит по причине того, что самих патчей не существует, а иногда потому, что трудозатраты на инсталляцию и тестирование этих самих исправлений (а также борьбу с последствиями установки исправлений вследствие неизбежно возникающих сбоев в работе ПО) очень велики. Одновременно большая часть производителей рассказывает о том, что технологии так называемого «виртуального патча» являются универсальным лекарством от всех бед – достаточно установить систему IDS/IPS или межсетевой экран (МЭ) с функциями глубокой инспекции потоков (Deep Packet Inspection, DPI), и проблема решена!

Однако, если подойти к данной постановке вопроса с разумным скептицизмом, то в голову сразу закрадется мысль, что «ничего не бывает бесплатно», и где-то должен скрываться подвох. А заключается он в том, что система IPS или МЭ с DPI действительно могут распознать в сетевом потоке нежелательную информацию, однако для этого они должны определенным образом принимать и обрабатывать пакеты и содержащиеся в них данные.

Так, все современные средства защиты, включая МЭ, IDS/IPS, системы мониторинга сетевых потоков, выявления утечек и другие, работающие на уровне приложений (анализ информации на котором и требуется для эффективного блокирования эксплоитов) содержат в себе модули анализа трафика, которые выдают предупреждение (или другую ответную реакцию) по факту срабатывания некоторого правила, суть которого в большинстве случаев сводится к анализу последовательности символов в потоке информации. Вне зависимости от того, сигнатурный или статистический это анализ, критичным является корректный разбор и нормализация данных прикладного протокола.

Злоумышленники зачастую пользуются этой особенностью и пытаются «обойти» механизмы детектирования с помощью различных методик, которые объединены общим термином «техники обхода» (evasion techniques). Техники обхода были известны еще с середины 90-х годов, однако лишь в прошлом году их подробное изучение специалистами компании StoneSoft позволило усомниться в адекватности применяемых средств обеспечения безопасности. Компания StoneSoft назвала свое открытие «динамическими» или «продвинутыми» техниками обхода (Advanced Evasion Techniques, AET).

Суть его сводится к тому, что унаследованные или современные техники обхода при определенном использовании позволяют послать запрос на атакуемый узел таким образом, что средства сетевой защиты не будут детектировать факт использования уязвимости или проявления аномальной активности другого вида. Сутуация усугубляется тем, что техники обхода можно комбинировать в самых разнообразных вариантах. Текущее их количество по теоретическим подсчетам составляет порядка 231. На практике выявлено и подтверждено (пока что) гораздо меньше. Но работа идет и поэтому количество «работающих» техник обхода продолжает увеличиваться. Откуда берутся эти цифры? Рассмотрим на примере модели OSI (рис. 1).

Рисунок 1 - Иллюстрация количества техник обхода на примере стека модели OSI

На каждом из логических уровней модели существует свой набор протоколов, фактически использующих формализованные структуры для передачи информации. Так, например, на сетевом уровне есть протокол IP, на транспортном TCP или UDP. Что касается сессионного и вышележащих уровней (которые, как известно, отсутствуют в стеке TCP/IP), то здесь с вариативностью тяжелее, поскольку эти уровни «условные» и примеры протоколов будут сильно зависеть от применяемого прикладного сервиса. Но если взять для наглядности один из самых уязвимых и «опасных» (с точки зрения возможности реализации удаленных атак) протоколов операционной системы Windows – RPC (Remote Procedure Call, удаленный вызов процедур), то для него цепочка может выглядеть как NetBIOS – SMB – MSRPC. Однако, что еще более интересно, MSRPC может использовать не только транспорт NetBIOS для представления информации. Вместо обычного SMB (1.0) в цепочке протоколов допустимо появление SMB2, равно как и передача может осуществляться поверх HTTP, и т.д. Так вот суть в том, что динамические техники обхода можно применять и комбинировать для каждого из используемых уровней. Так, на уровне IP мы знаем такие «традиционные» варианты, как IP fragmentation, для TCP соответственно TCP segmentation, а для SMB – fragmentation или transaction manipulation и т.д. К слову сказать, эти методы все еще вполне эффективны и работают против некоторых из систем (несмотря на то, что бы известны с конца 90-х годов). Но помимо этих методов, стали известны такие менее «распространенные», как IP random options, TCP urgent pointer, TIME_WAIT, SMB padding, method fragmentation или session mixing и много других. Если подсчитать число всевозможных комбинаций, то получится обозначенная величина.

Однако рисуется еще более удручающая картина, когда в результате исследований, проведенных на реальном оборудовании и реальных сетевых потоках, выяснилось, что возможности устройств оказываются в большинстве случаев ограничены базовым разбором стека протоколов TCP/IP (и соответственно нормализацией получаемых данных). Сложно говорить об особенностях технологий разбора различных продуктов и решений, которые для любой компании являются ее ноу-хау (и, следовательно, скрыты), однако результаты позволяют сделать следующий вывод: нормализация (т.е. приведение к унифицированной форме представления) данных во многих широко применяемых сегодня средствах сетевой защиты практически не используется (т.е. используется, но на базовом уровне, максимум в рамках классических, известных технологий). А за емкими названиями техник блокирования «zero-day» уязвимостей скрывается, по большому счету, «классический» сигнатурный анализ. Безусловно, в коммерческих решениях даже он шагнул далеко вперед по отношению к свободно распространяемому программному обеспечению, однако грустный отпечаток на статистику накладывает тот факт, что, к примеру, та же эпидемия Conficker даже сегодня может остаться незамеченной, несмотря на то, что уже несколько лет правила под этот червь прочно занимают места в базе данных анализа трафика. Это же касается средств детектирования утечек, средств межсетевого экранирования с интегрированными модулями IDS/IPS и т.д. А виноват в этом недостаточный уровень разбора сетевых протоколов, точнее его глубина.

К слову сказать, причиной работоспособности AET является в том числе так называемый «принцип устойчивости» (robustness principle), лежащий в основе работы стека протоколов TCP/IP. Согласно этому принципу отправитель сообщения должен быть консервативен при отправке, а получатель - придерживаться либеральных правил приема информации. Злоумышленники при атаке ресурсов выступают в роли отправителей. А когда они следовали правилам (рис. 2)?

Рисунок 2 - Средства безопасности работают только если следовать стандартным правилам

Проблема оказывается глобальной. Поначалу она не рассматривалась как серьезная, однако за прошедшие полгода такие именитые международные организации, как CERT, ICSA Labs, Gartner, NSS Labs не только подтвердили факт существования данных принципиальных уязвимостей, но и обозначили серьезность проблемы.

А эта серьезность усугубляется отсутствием общепринятых способов и методик проверки адекватности реализации модулей разбора трафика и его нормализации в средствах сетевой защиты. Более того, даже коммерческие лаборатории, профессионально занимающиеся тестированием, не содержат в своем арсенале таких средств. В итоге может оказаться так, что средство защиты, которое по рейтингу лаборатории занимает одну из лидирующих позиций, на самом деле не способно детектировать даже давно всем известные атаки только из-за того, что несмотря на наличие ее сигнатуры в базе данных, качество получаемого нормализованного потока информации, подаваемого на модуль разбора, оставляет желать лучшего. Опять же практика координации действий с CERT в части оповещения производителей средств защиты об имеющихся уязвимостях, показывает, что многие производители все равно ограничиваются формальным закрытием конкретного факта применения техники обхода по предоставленной копии трафика (т.е. пишут очередную сигнатуру), вместо искоренения самой проблемы.

Причем этот подход не работает как минимум по двум причинам:

1. Применение некоторых из техник «обхода» (т.е. различные способы фрагментации или переупорядочивания данных) является вполне нормальной и, более того, распространенной практикой для сетевых приложений. Соответственно просто запретить их использование – все равно что запретить работу приложения в сети организации, поскольку блокирование факта применения необычного способа представления информации приложением будет приводить к тому, что легитимный трафик будет прерываться, т.е. появится значительный рост ложных положительных срабатываний (ошибок первого рода), причем без особого влияния на снижение ложных отрицательных (ошибок второго рода).

2. Количество комбинаций техник обхода велико. А поскольку это всего лишь «транспорт» для доставки экплоита в целевую систему, то добавление в базу знаний системы IDS/IPS сигнатуры под все возможные комбинации эксплоитов и техник обхода приведет к «взрывоподобному» росту этой базы. Так, в известной базе данных CVE на текущий момент более 46000 записей. Из них в базу знаний системы мониторинга попадает лишь малая часть – средний размер базы порядка 3000 записей, из которых в лучшем случае половина (т.е. примерно 1500) активны и используются для анализа трафика. Даже с этими параметрами производительность систем зачастую оставляет желать лучшего, не говоря уже про активацию всех правил из базы знаний. А теперь представим, что будет, если потребуется добавить сигнатуры хотя бы для 1% возможных техник обхода? Это означает, что придется написать порядка миллиона сигнатур, что изначально обречено на провал.

Следовательно, единственный выход – это модернизировать механизмы инспекции трафика, которые заложены в ядре системы. Если быть точным, то в первую очередь нужно совершенствовать модули нормализации данных, в задачу которых входит считывание проходящих пакетов и представление в виде, пригодном для последующего применения правил выявления аномалий и сравнения по сигнатурам. А ввиду отсутствия на текущий момент доступных средств тестирования на АЕТ решений и систем (соответствующее программное обеспечение, похоже, есть только у компании-открывателя, StoneSoft), возникает проблема определения «реальности» уровня информационной безопасности в организации, которую дают используемые средства сетевой защиты. Причем эту проблему также нужно решать как можно скорее, пока в арсенале хакеров не оказались автоматизированные утилиты, использующие динамические техники обхода.

Таким образом, с одной стороны, есть проблема корректности разбора и нормализации информации средствами сетевой защиты, а с другой – проблема тестирования адекватности реализации этих методов разбора и нормализации. Очевидно, что с гандикапом нужно бороться всем без исключения производителям средств сетевой защиты, которые хотят обеспечивать «реальную» безопасность. А преимущество есть у тех(ой) компаний(и), которые(ая) первыми(ой) уделили(а) должное внимание этим вопросам.

Источники информации:

Six tips for protecting critical data against Advanced Evasion Techniques, http://www.stonesoft.com/en/press_and_media/releases/en/2011/24032011.html?uri=/en/press_and_media/releases/en/index.html

New Advanced Evasion Techniques Discovered and Disclosed for Global Vulnerability Coordination, http://www.stonesoft.com/en/press_and_media/releases/en/2011/15022011.html?uri=/en/press_and_media/releases/en/2011/index.html

Stonesoft Discloses First Details of Advanced Evasion Techniques, http://www.stonesoft.com/en/press_and_media/releases/en/2010/16122010.html?uri=/en/press_and_media/releases/en/2010/index.html

Stonesoft Releases Technical Paper on Advanced Evasion Techniques, http://www.stonesoft.com/en/press_and_media/releases/en/2010/30112010.html?uri=/en/press_and_media/releases/en/2010/index.html

Stonesoft Corporation: Advanced Evasion Techniques Bypass Almost All Current Network Security Systems Without Leaving A Trace, http://www.stonesoft.com/en/press_and_media/releases/en/2010/18102010.html?uri=/en/press_and_media/releases/en/2010/index.html

Stonesoft Corporation: New Network Security Threat Category Puts The Functionality Of Organizations’ Data Capital And Systems At Risk, http://www.stonesoft.com/en/press_and_media/releases/en/2010/04102010.html?uri=/en/press_and_media/releases/en/2010/index.html

Новый пласт угроз информационной безопасности – динамические техники обхода, Журнал "Information Security/ Информационная безопасность" #6, 2010

Смартфоны, планшеты, компьютеры - мы считаем их основным элементом нашей действительности. Мы используем их в работе, для игр, для учебы, управления банковскими счетами, мы платим по счетам, мы проверяем электронную почту, делаем покупки ...

Можно так перечислять практически бесконечно, но всё сводится к одному - с их помощью мы передаем целый ряд важных данных, которые, если попадут в чужие руки, могут привести к критической ситуации.

Потеря памятных фотографий или копии научной работы, в этом случае наименьшая из наших проблем. Если под удар попадают наши сбережения или электронный ящик, с помощью которой мы передаем важную корреспонденцию, то угроза приобретает более зловещий характер. И хотя россияне понимают, что в сеть интернет кишит от угроз, часто они не принимают никаких мер, чтобы должным образом защитить себя .

По данным исследования, проведенного по просьбе Intel, только каждый пятый пользователей использует платную, расширенную защиту и это несмотря на то, что до 93% из нас становились жертвой компьютерного вируса .

Даже в случае смартфонов, где осознание опасности очень высоко (96%), до ⅓ опрошенных не имели даже понятия, установлен ли на их устройстве какой-либо пакет защиты, учитывая, что 55% интернет-пользователей подключается к сети с помощью смартфонов, это воспринимается очень удивительным.

Тот факт, что мы боимся сетевых угроз (82% опрошенных), редко когда выливается в конкретные действия. Многое указывает на то, что мы просто не обращаем достаточного внимания на сохранение конфиденциальности собственных данных... а ведь надо. Ибо список угроз очень длинный.

Вредоносные программы - угроза для компьютера

Безусловно, вредоносные программы наиболее часто упоминались среди всех сетевых опасностей. И не без оснований - в конце концов, это самая популярная „форма действий“ среди людей, желающих навредить другим пользователям.

Правильная защита требует постоянного обновления антивирусной программой базы данных - новые типы вредоносных программ, возникают практически каждый день. От обычных удаленных средств управления оборудования, передающих контроль над компьютером другому человеку, и заканчивая бесчисленным множеством вирусов и троянский программ. А к этому следует добавить черви, руткиты или клавиатурных шпионов, которых часто невозможно обнаружить традиционными методами.

Пароли сохраненные в браузере

Одна из самых полезных функций веб-браузеров также представляет угрозу. Учитывая удобство и значительную экономию времени, ей пользуются практически все, но в ситуации, когда телефон или компьютер попадет в чужие руки, у нас появляются серьёзные проблемы, а вор, без каких-либо усилий, может войти на наш почтовый ящик или аккаунт социальной сети.

Означает ли это, что безопаснее было бы вообще не использовать запоминание паролей? Конечно, нет - достаточно иметь надежный менеджер паролей , который сам по себе является дополнительным средством безопасности.

Фишинг и фарминг - угроза для доверчивых

Фишинг - это всё более популярный тип интернет-мошенничества, с помощью которого пытаются получить конфиденциальные данные от пользователей, чтобы затем использовать, например, для получения контроля над банковским счетом.

Попытки вытянуть ключевую информацию очень часто принимают форму поддельных писем - от почты России, банка или другой организации, которой большинство пользователей доверяет. С угрозами этого типа имели в своей жизни дело почти 60% пользователей. Те, кто не могут отличить поддельные сообщения от реальных (по данным исследования Intel до 15% российских интернет-пользователей) очень падки на такого рода действия.

А что с фармингом? Это, в свою очередь, более развитая и часто труднее различимая форма фишинга, использующая подлинные адреса учреждений, но перенаправляющая на поддельные копии страниц.

Единственным полностью надежной защитой в этом случае будет актуальная база вирусов в вашем программном обеспечении и самостоятельная проверка сертификации сайта.

Спам - информационная угроза

В этом случае гораздо реже речь идет о прямой угрозе для данных на смартфоне или компьютере (хотя в некоторых случаях, конечно же, она существует), а более разочарование, которым сопровождается использование электронной почты.

Почтовые сервисы Интернета, конечно, имеют основные фильтры, но все равно иногда что-то попадает в ящик. 80% интернет-пользователей регулярно использует почтовый ящик и ни одного из них не нужно, наверное, убеждать, сколь вреден спам.

Проблема исчезает, если мы используем передовые защитные пакеты, а также имеем лицензию на его мобильную версию.

Сети ботнет

Это тип опасности, о которой мы часто даже не отдаем себе отчета. Его присутствие практически незаметно, он не вредит, ибо имеет совершенно другую задачу. Он использует вычислительные мощности зараженных компьютеров, например, для рассылки спама или атак на выбранные сервера.

Надежная защита

Список опасностей гораздо больше и что ещё хуже - постоянно расширяется. Каждая из них представляет собой, однако, действительно серьезную угрозу, которая из-за невнимательности пользователя может привести к ситуации, в которой он теряет доступ к критически важным данным.

Самое важное, в любом случае, использование технологий и решений, дающих нам уверенность, что хранящиеся на дисках или сети данные надежно защищены. Хотя даже самый полный пакет не освобождает нас от необходимости сохранения здравого смысла при работе в сети интернет.

Которые вынуждены ждать создания физического файла на компьютере пользователя, сетевая защита начинает анализировать входящие потоки данных, поступающие на компьютер пользователя через сеть, и блокирует угрозы прежде, чем они попадают в систему.

Основными направлениями сетевой защиты, которые обеспечивают технологии Symantec, являются:

Загрузки методом drive-by, веб-атаки;
- Атаки типа «Социальной инженерии»: FakeAV (поддельные антивирусы) и кодеки;
- Атаки через социальные сети наподобие Facebook;
- Обнаружение вредоносных программ, руткитов и зараженных ботами систем;
- Защита от усложненных угроз;
- Угрозы Нулевого дня;
- Защита от неисправленных уязвимостей ПО;
- Защита от вредоносных доменов и IP-адресов.

Технологии Сетевой защиты

Уровень "Сетевая защиты" включает в себя 3 различные технологии.

Network Intrusion Prevention Solution (Network IPS)

Технология Network IPS понимает и сканирует более 200 различных протоколов. Он интеллектуально и точно «пробивается» сквозь двоичный и сетевой протокол, попутно ища признаки вредоносного трафика. Этот интеллект позволяет обеспечить более точное сетевое сканирование, при этом обеспечивая надежную защиту. В его «сердце» находится движок блокировки эксплойтов, который обеспечивает открытые уязвимости практически непробиваемой защитой. Уникальной особенностью Symantec IPS является то, что никакой настройки этот компонент не требует. Все его функции работают, как говорится, «из коробки». Каждый пользовательский продукт Norton , а также каждый продукт Symantec Endpoint Protection версии 12.1 и новее, обладают данной критичной технологией, включенной по умолчанию.

Защита Браузера

Этот защитный движок располагается внутри браузера. Он способен обнаруживать наиболее сложные угрозы, которые ни традиционный антивирус, ни Network IPS не способны определить. В наше время, многие сетевые атаки используют методы обфускации во избежание обнаружения. Поскольку Защита Браузера работает внутри браузера, она способна изучать пока еще не скрытый (обфускацированный) код, во время того, как он выполняется. Это позволяет обнаружить и заблокировать атаку, в случае, если она была пропущена на нижних уровнях защиты программы.

Un-Authorized Download Protection (UXP)

Находящаяся внутри слоя сетевой защиты, последняя линия обороны помогает прикрыть и «смягчить» последствия использования неизвестных и неисправленных уязвимостей, без использования сигнатур. Это обеспечивает дополнительный слой защиты от атак Нулевого дня.

Ориентируясь на проблемы

Работая вместе, технологии сетевой защиты решают следующие проблемы.

Загрузки методом Drive-by и наборы инструментов для веб-атак

Используя Network IPS, Защиту Браузера, и UXP-технологию, технологии сетевой защиты компании Symantec блокируют загрузки Drive-by и, фактически, не позволяют зловреду даже достичь системы пользователя. Практикуются различные превентивные методы, включающие использование этих самых технологий, включая технологию Generic Exploit Blocking и инструментарий обнаружения веб-атак. Общий веб-инструментарий обнаружения атак анализирует характеристики распространенной веб-атаки, не зависимо от того, какой именно уязвимости касается эта атака. Это позволяет обеспечить дополнительной защитой новые и неизвестные уязвимости. Самое лучшее в этом типе защиты - это то, что если вредоносный файл смог бы «тихо» заразить систему, он все равно был бы проактивно остановлен и удален из системы: ведь именно это поведение обычно пропускается традиционными антивирусными продуктами. Но Symantec продолжает блокировать десятки миллионов вариантов вредоносного ПО, которое обычно не может быть обнаружено другими способами.

Атаки типа «Социальной инженерии»

Поскольку технологии компании Symantec наблюдают за сетевым трафиком и трафиком браузера во время его передачи, они определяют атаки типа «Социальной инженерии», на подобии FakeAV или поддельных кодеков. Технологии предназначены блокировать подобные атаки до того, как они отобразятся на экране пользователя. Большинство других конкурирующих решений не включает в себя этот мощный потенциал.

Symantec блокирует сотни миллионов подобных атак при помощи технологии защиты от сетевых угроз.

Атаки, нацеленные на социальные медиа-приложения

Социальные медиа-приложения в последнее время стали широко востребованы, поскольку они позволяют мгновенно обмениваться различными сообщениями, интересными видео и информацией с тысячами друзей и пользователей. Широкое распространение и потенциал подобных программ, делают их объектом внимания №1 для хакеров. Некоторые распространенные трюки «взломщиков» включают в себя создание поддельных аккаунтов и рассылку спама.

Технология Symantec IPS способна защитить от подобных методов обмана, зачастую предотвращая их до того, как пользователь успеет кликнуть на них мышкой. Symantec останавливает мошеннические и поддельные URL, приложения и другие методы обмана с помощью технологии защиты от сетевых угроз.

Обнаружение вредоносного ПО, руткитов и зараженных ботами систем

Правда было бы неплохо знать, где именно в сети располагается зараженный компьютер? IPS-решения компании Symantec предоставляют эту возможность, также включая в себя обнаружение и восстановление тех угроз, возможно которым удалось обойти другие слои защиты. Решения компании Symantec обнаруживают вредоносов и ботов, которые пытаются совершить автодозвон или загрузить «обновления», чтобы увеличить свою активность в системе. Это позволяет IT-менеджерам, у которых есть четкий лист систем для проверки, получить гарантию того, что их предприятие находится в безопасности. Полиморфные и сложные скрытые угрозы, использующие методы руткитов наподобие Tidserv, ZeroAccess, Koobface и Zbot, могут быть остановлены и удалены при помощи этого метода.

Защита от «запутанных» угроз

Сегодняшние веб-атаки используют комплексные методы усложнения атак. Browser Protection компании Symantec «сидит» внутри браузера, и может обнаружить очень сложные угрозы, которые зачастую не способны увидеть традиционные методы.

Угрозы «Нулевого дня» и неисправленные уязвимости

Одним из прошлых, добавленных компанией защитных дополнений, является дополнительный слой защиты против угроз «Нулевого дня» и неисправленных уязвимостей. Используя безсигнатурную защиту, программа перехватывает вызовы System API и защищает от загрузок вредоносного ПО. Эта технология называется Un-Authorized Download Protection (UXP). Она является последним рубежом опоры внутри экосистемы защиты от сетевых угроз. Это позволяет продукту «прикрыть» неизвестные и непропатченные уязвимости без использования сигнатур. Эта технология включена по умолчанию, и она находится во всех продуктах, выпущенных с момента дебюта Norton 2010.

Защита от неисправленных уязвимостей в ПО

Вредоносные программы зачастую устанавливаются без ведома пользователя, используя уязвимости в ПО. Сетевая защита компании Symantec предоставляют дополнительный слой защиты, именуемый Generic Exploit Blocking (GEB). Независимо от того, установлены ли последние обновления или нет, GEB «в основном» защищает основные узявимости от эксплуатации. Уязвимости в Oracle Sun Java, Adobe Acrobat Reader, Adobe Flash, Internet Explorer, контролях ActiveX, или QuickTime сейчас повсеместно распространены. Generic Exploit Protection была создана методом «обратного инжиниринга», выяснив, каким образом уявимость могла быть использована в сети, предоставляя при этом специальный патч на сетевом уровне. Одна-единственная GEB или сигнатура уязвимости, способна предоставить защиту от тысяч вариантов зловредов, новых и неизвестных.

Вредоносные IP и блокировка доменов

Сетевая защита компании Symantec также включает в себя возможность блокировки вредоносных доменов и IP-адресов, при этом останавливая вредоносно ПО и трафик от известных вредоносных сайтов. Благодаря тщательному анализу и обновлению базы веб-сайтов отделом STAR, Symantec предоставляет защиту от постоянно меняющихся угроз в режиме реального времени.

Улучшенное сопротивление к Уклонению

Была добавлена поддержка дополнительных кодировок, чтобы улучшить эффективность детекта атак при помощи техник шифрования, таких как base64 и gzip.

Обнаружение сетевого аудита для применения политик использования и идентификации утечки данных

Сетевой IPS может быть использован для идентификации приложений и инструментов, которые могут нарушить корпоративную политику использования, или для предотвращения утечки данных через сеть. Является возможным обнаружить, предупредить или предотвратить трафик на подобии IM, P2P, социальных медиа, или другого «интересного» вида трафика.

STAR Intelligence Communication Protocol

Технология сетевой защиты сама по себе не работает. Движок обменивается данными с другими сервисами защиты при помощи протокола STAR Intelligence Communication (STAR ICB). Движок Network IPS соединяется с движком Symantec Sonar, а затем с движком Внутренней Репутации (Insight Reputation). Это позволяет предоставить более информативную и точную защиту.

В следующей статье мы рассмотрим уровень "Поведенческий анализатор".

По материалам Symantec

Нашли опечатку? Выделите и нажмите Ctrl + Enter

Цель атаки

уществует множество типов угроз корпоративным вычислительным сетям и различные способы их классификации. Опишем возможные угрозы с точки зрения метода нанесения ущерба.

Отказ от обслуживания представляет собой атаку, целью которой является блокировать и сделать невозможным функционирование того или иного сервиса. В простейшем случае в ходе подобной атаки реализуется «наводнение» - множественное использование атакуемого сервиса с целью достижения ситуации, когда программное или аппаратное обеспечение перестает справляться с потоком входящей информации. В более сложных вариантах производится отключение, переадресация или подмена отдельных сервисов.

Атаки отказа от обслуживания производятся особенно часто, так как не требуют фактического проникновения в защищенную часть корпоративной сети. Целью подобной атаки могут быть только сервисы, в той или иной степени предоставляемые пользователям вне корпоративной сети. Если такие сервисы в корпоративной сети имеются, угроза отказа от обслуживания становится фактически неизбежной.

Хищение — тип атаки, при которой нарушитель получает доступ к конфиденциальной информации, находящейся в защищенной зоне корпоративной сети.

Так же как и в случае отказа от обслуживания, чаще всего реализация данного типа атаки осуществляется без проникновения в защищенную зону корпоративной сети. При этом используются разнообразные сервисы, предназначенные для пересылки информации, - их побуждают различными способами выдавать больше информации, нежели положено, или передавать ее не только легальным пользователям, но и нарушителю.

Вторжение — тип атаки, при которой нарушитель получает доступ к ресурсам в защищенной зоне корпоративной сети и может нанести ущерб, уничтожив или фальсифицировав ценную или конфиденциальную информацию или нарушив функционирование отдельных узлов сети.

Вторжение реализуется, только если имеется возможность проникновения в защищенную зону корпоративной сети, соответственно для атаки такого типа нарушителю необходимы средства и технологии преодоления корпоративных брандмауэров.

Возможные новые угрозы

акие же новые угрозы указанных типов могут появиться? Рассмотрим, например, атаки, связанные с отказом от обслуживания. Уже сейчас различные сервисы, предоставляемые как внутренним, так и внешним пользователям корпоративной вычислительной сети, составляют важнейшую часть бизнеса. С развитием информационных технологий набор и сложность такого рода сервисов в глобальных и локальных вычислительных сетях будут только увеличиваться. В соответствии с этим будет возрастать и количество различных атак отказа в обслуживании, ибо, как уже говорилось, для организации или создания нового вида такой атаки можно не обладать практически никакой детальной информацией о структуре, протоколах и возможных слабых местах атакуемого сервиса. Вполне достаточно имитировать неприемлемо большое число пользователей сервиса. И просто последовательным закрытием «дыр», провоцирующих такого рода атаки, сохранить защищенность корпоративной сети невозможно - новые атаки будут появляться гораздо быстрее.

В принципе, то же самое можно сказать и о других видах атак - о хищении и вторжении. Но здесь потенциально быстрый рост количества новых типов атак нельзя назвать неизбежным. Для обеспечения сохранности конфиденциальной информации вовсе не обязательно регулярно обновлять программное обеспечение, использовать новейшие протоколы, стандарты и т.п.

В целом обеспечение конфиденциальности информации - крайне консервативная область деятельности. Казалось бы, это противоречит сделанному в начале статьи утверждению, что решения в этой сфере быстро сменяют друг друга. Но при внимательном рассмотрении оказывается, что стремительно меняется всё, что касается способов доставки, обработки и представления информации. Если же быстро начинают меняться сами средства обеспечения конфиденциальности - это столь же быстро приводит к их краху. Непросто придумать что-нибудь такое, что другой человек был бы не в состоянии разгадать. Есть только один способ убедиться в том, что вы создали действительно надежное средство для обеспечения конфиденциальности, - предоставить его максимально возможному количеству людей на достаточно большой срок для анализа алгоритма или его реализации. Если по прошествии длительного времени ваш продукт не будет скомпрометирован, можно говорить о его высоком качестве.

Таким образом, в вопросах безопасности можно и нужно рассчитывать на открытые, умеренно старые, проверенные временем и тысячами квалифицированных специалистов технические и программные решения. В этом случае, не делая резких скачков, можно ожидать постепенной ликвидации разного рода ошибок в стандартах и их реализациях и соответственно снижения количества атак (по крайней мере, успешных).

Слабое звено

ак всегда в подобных случаях, общий уровень защищенности корпоративной вычислительной сети определяется наименее защищенным компонентом - слабым звеном. Разумеется, в первую очередь атаке подвергаются наиболее плохо защищенные участки сети. Однако не следует думать, что это участки, на которых вообще не применялось никаких средств защиты.

Часто слабые места возникают при неграмотном или неоптимальном использовании средств защиты, недостаточно продуманных настройках системы. Не следует также забывать о хорошо знакомом утверждении «строгость законов компенсируется необязательностью их исполнения»: можно так усложнить работу пользователей сети, что они будут всеми силами пытаться обойти принятые политики безопасности. И обязательно в этом преуспеют, ибо защиты от легального пользователя никто и никогда не придумает.

Рассмотрим возможные слабые места корпоративной компьютерной сети. Во-первых, это программное обеспечение, используемое для организации работы корпоративной вычислительной сети, в частности наборы протоколов, из которых наибольшее распространение получил, безусловно, TCP/IP. Протокол TCP/IP уже в виде стандарта предоставляет множество возможностей для атаки злоумышленников, а некорректные его реализации приводят к возникновению новых слабых мест практически ежедневно. Подобные слабые места наиболее важны, так как присутствуют в подавляющем большинстве компьютерных систем.

Во-вторых, это собственно система защиты корпоративной вычислительной сети от внешнего мира - брандмауэр. Современные брандмауэры - сложные многокомпонентные системы, а сложность всегда ведет к возникновению ошибок и недочетов, а следовательно, к появлению слабых мест собственно в системе защиты - в брандмауэре.

В-третьих, это сервисы приложений, предоставляемые внешним пользователям, а также внешние сервисы, которые применяют пользователи корпоративной сети. Здесь поле для новых атак поистине безгранично. Одни только вирусы представляют серьезную угрозу, а ведь они не исчерпывают длинный перечень возможных неприятностей.

Рассмотрим характерные угрозы и атаки из вышеупомянутых областей, возникающие в процессе работы вычислительных сетей.

Некоторые атаки на уровне TCP/IP

Пассивные атаки (перехват)

Злоумышленник может причинять вред, никак не обнаруживая себя и не вступая напрямую во взаимодействие с системами в рамках вашей вычислительной сети. Фактически все может сводиться к наблюдению за общедоступными данными или сессиями связи.

Атаки такого рода заключаются в перехвате сетевого потока и его анализе. Анализ сетевого потока - распространенный способ получения потенциально конфиденциальной или просто ценной информации. Для перехвата сетевого потока используются разные способы, например можно контролировать какой-нибудь компьютер, через который должен проходить весь интересующий злоумышленника трафик. Если же установить контроль над каким-нибудь компьютером невозможно, нарушителю придется организовать получение данных, непосредственно ему не предназначенных. В некоторых сетях это сделать достаточно просто. Сети как на основе шинной топологии (например, Ethernet), так и использующие маркерное кольцо (например, FDDI) посылают все или почти все пакеты во все машины. Предполагается, что машины будут игнорировать пакеты, которые адресованы не им, но полностью контролируя какую-либо входящую в сеть машину, можно изменить эту установку и читать все пакеты независимо от того, кому они адресованы. Поскольку TCP/IP-трафик, как правило, не шифруется (за исключением, например, технологий виртуальных частных сетей), злоумышленник, используя соответствующий инструментарий, может отслеживать telnet-сессии и извлекать из них имена пользователей и их пароли.

Данный тип атаки невозможно отследить, не имея доступа к системе злоумышленника, поскольку сетевой поток не изменяется. Единственный способ защиты от перехвата - шифрование TCP/IP-потока (например, с помощью виртуальных частных сетей). Другой вариант решения - использование специфической топологии вычислительной сети (например, с непосредственным подключением пользователей к магистрали), в результате чего практически всегда каждая машина получает только тот трафик, который адресован ей.

Возникновение новых угроз и атак путем перехвата, когда сетевой поток не изменяется, обусловлено в основном используемым программным обеспечением для передачи конфиденциальной информации, авторизации, аутентификации и т.п. Многие старые, но еще использующиеся технологии по сути не приспособлены для адекватной защиты от перехвата. Самое надежное решение заключается в отказе от применения таких технологий и технических решений.

Активные атаки

При данном типе атак злоумышленник осуществляет модификацию или даже создание TCP/IP-пакетов. Такие атаки часто кажутся технически сложными в реализации, однако для хорошего программиста не составляет труда реализовать соответствующий инструментарий.

Обладая достаточными привилегиями в системе, используемой для организации атаки, злоумышленник может вручную формировать IP-пакеты и передавать их по сети. Естественно, поля заголовка пакета могут быть сформированы произвольным образом. Получив такой пакет, невозможно выяснить, откуда реально он был получен, поскольку пакеты не содержат пути их прохождения. Конечно, при установке обратного адреса, не совпадающего с текущим IP-адресом, злоумышленник никогда не получит ответ на посланный пакет. Однако часто это и не требуется.

Возможность формирования произвольных IP-пакетов является необходимым условием для осуществления активных атак. Ниже мы рассмотрим некоторые типы подобных атак, однако следует иметь в виду, что это - капля в море всевозможных угроз и атак, появляющихся буквально каждый день.

IP-фрагментация

Одна из особенностей протокола IP состоит в том, что для передачи информации по различным каналам связи с разными максимальными размерами пакетов реализована возможность дробления больших пакетов на меньшие, называемые фрагментами. В конце маршрута пакет будет собран машиной-адресатом (но не маршрутизатором в конце лимитирующей линии связи; после дробления пакет обычно остается фрагментированным, пока не достигнет машины-адресата).

При фрагментации IP-пакета только первый фрагмент содержит информацию о заголовке протокола верхнего уровня, например TCP. Соответственно, если пришло несколько не первых фрагментов, машина-адресат хранит их некоторое время в памяти, что может быть использовано нарушителем в атаках отказа от обслуживания.

Кроме того, нарушители могут использовать специальным образом фрагментированные пакеты, чтобы замаскировать данные. Каждый фрагмент содержит информацию о том, где находятся начало и конец содержащихся в нем данных. Обычно очередные пакеты идут вслед за предыдущими. Однако нарушители могут создавать пакеты, в которых фрагменты фактически перекрываются и содержат одни и те же адреса данных.

Поскольку перекрывающиеся фрагменты - аномальное явление, многие ОС некорректно реагируют на него и пытаются собирать такие фрагменты в пакеты, что может привести к сбоям в операционной системе. Таким образом, фрагментированные пакеты могут применяться в атаках отказа от обслуживания.

Нарушитель также может, имея информацию о системах защиты, системах обнаружения атак и алгоритме сборки перекрывающихся фрагментов, построить фрагменты таким образом, чтобы скрыть информацию от систем наблюдения, защиты и обнаружения атак, то есть реализовать атаку-вторжение.

Кроме того, можно организовать поступление информации на защищенный в иных условиях порт. Нарушитель может создать пакет с приемлемыми заголовками в первом фрагменте, а затем перекрыть его следующим фрагментом, имеющим те же заголовки. Поскольку в нормальном режиме TCP заголовки в не первых фрагментах должны отсутствовать, возможно, они будут пропущены системами защиты, реализуя атаку-вторжение.

Атаки, основанные на IP-фрагментации, являются ярким примером бомбы замедленного действия, заложенной в сам стандарт протокола IP. Некорректные реализации этого протокола лишь добавляют масла в огонь. Однако тенденции возникновения все новых и новых вариантов атак такого типа не наблюдается.

Опции IP

Заголовок пакета в протоколе IP включает поле опций, которое в нормальном режиме является пустым. Основная опция, которая может быть использована нарушителем, - опция маршрутизации отправителя. Она позволяет отправителю пакета определить его маршрут к адресату вместо того, чтобы разрешить каждому маршрутизатору по пути следования пакета использовать свои таблицы для решения, куда его направлять. Нарушитель может задействовать данную опцию, чтобы попытаться обойти защиту шлюза и направить пакеты в защищенную зону корпоративной компьютерной сети нетривиальным образом.

Атаки, основанные на опциях протокола IP, также проистекают из стандарта, а не его реализации. Возникновение новых атак такого рода маловероятно, поскольку весьма распространенной политикой является полное игнорирование IP-опций.

Подделка IP-адресов

При подделке IP-адресов нарушитель посылает пакеты с неправильным адресом отправителя. В этом случае ответы будут отправляться не нарушителю, а по указанному им адресу. Однако по нескольким причинам это не является помехой для реализации атаки.

Во-первых, нарушителю ответ может быть и не нужен. Такая ситуация складывается, например, в случае атаки отказа от обслуживания. Атакованная машина, вполне возможно, не сможет ответить, что и является целью атаки.

Во-вторых, нарушитель может быть заинтересован в факте доставки пакетов именно по поддельному адресу. Если пакеты формируются таким образом, что ответы на них сами реализуют атаку на хост, чей адрес был подделан в качестве адреса отправителя исходных пакетов, то при этом целевой хост первоначальной посылки пакетов будет представлен как источник атаки, а нарушитель останется необнаруженным.

В-третьих, нарушитель получает возможность перехватить ответ. В этом случае он сколь угодно долго может продолжать сеанс связи от имени ложного отправителя. Такой случай является основой атак на прикладном уровне.

Подделка IP-адресов используется довольно часто, и следует ожидать постоянного появления новых угроз, основанных на данном методе.

Сканирование портов

Сканирование портов — это процесс поиска на машине портов для выявления возможных объектов атаки. Прямое сканирование портов достаточно легко обнаружить, поэтому нарушителю необходимо применять ряд методов маскировки. Например, многие машины не регистрируют соединение, пока оно не установлено полностью, так что нарушитель может послать неполный начальный пакет, получить ответ, с помощью которого можно понять, открыт порт или нет, и прервать соединение. Нарушители могут также специально посылать пакеты, чтобы определить, открыт ли порт, по полученному ответу или по содержимому сообщения об ошибке, причем для этой цели могут использоваться любые комбинации признаков. Отметим, что подобные действия могут привести к фатальному сбою работы некоторых устройств и даже к их отключению.

Такого рода действия можно назвать поиском жертвы, и они будут осуществляться всегда, поскольку это первый и едва ли не самый важный этап деятельности злоумышленника. К счастью, сканирование портов достаточно легко обнаружить. Его следует рассматривать как сигнал к тому, что сеть подвергается атаке. А атаку, о факте совершения которой известно, предотвратить всегда легко. Неизбежна также постоянная побочная угроза от сканирования портов - отказ в обслуживании, возникающий в случае чересчур активных попыток злоумышленников нащупать слабое звено в средствах защиты.

Приложения

Ошибки в программах

Атаки, основанные на ошибках реализации тех или иных программных продуктов, получили самое широкое распространение, а их интенсивность с течением времени продолжает неуклонно расти. Это, в частности, вызвано и общими тенденциями снижения надежности программного обеспечения.

Одним из самых распространенных типов атак, основанных на ошибках программной реализации, является семейство атак «переполнение буфера». В общих чертах, суть атак такого типа заключается в следующем: если программист выделяет буфер фиксированного размера и заносит в него динамические данные, не убедившись, достаточно ли свободного места для их размещения, то непоместившиеся данные вылезают за его границы и попадают в ячейки памяти, расположенные за концом буфера. Переменные, находящиеся в этих ячейках, искажаются, а поведение программы становится непредсказуемым.

Если буфер расположен в стеке, существует возможность перезаписи адреса возврата из функции, что приводит к передаче управления на незапланированный разработчиком код. Нарушитель, имея доступ к коду программы, определяет, данные какого именного размера и содержания нужно записать в буфер, чтобы вызвать модификацию адреса возврата, приводящую к вызову нужного нарушителю кода, например командного интерпретатора.

На данный момент существует великое множество подобных атак (причем полностью действенных), и количество их будет постоянно расти независимо от применяемых средств защиты.

Впрочем, есть способ решить проблему полностью - писать программы без ошибок. Беда в том, что никто не знает, как этого добиться.

Вирусы

Вирусы — особый класс прикладных программ, способных нанести практически произвольный урон любым ресурсам вычислительной сети. Условия проведения атаки близки к идеальным: злоумышленник пишет вредоносную программу, а легальный пользователь, зачастую добровольно, запускает ее в тепличных условиях доверенной системы корпоративной вычислительной сети. Таков сценарий действия большинства современных вирусов. Причем тенденции последних лет свидетельствуют о том, что, несмотря на разработку разного рода эвристических алгоритмов выявления новых вирусов, антивирусное программное обеспечение все-таки постоянно отстает и способно предотвращать лишь проникновение уже хорошо известных и изученных вирусов. По статистике последних лет, у новых качественных вирусов есть несколько дней для безраздельного господства в глобальных и локальных вычислительных сетях. И опять же нет причин ожидать серьезных изменений данной тенденции.

Средства обнаружения атак

редства обнаружения атак предназначены для выявления событий, которые могут быть интерпретированы как попытка атаки, и для уведомления о них IT-администратора. Их можно разделить на две категории в зависимости от области функционирования: средства, анализирующие трафик всей сети (в этом случае на рабочих станциях сети нередко устанавливаются части соответствующего программного обеспечения, называемые агентами), и средства, анализирующие трафик конкретного компьютера (например, корпоративного Web-сервера). Средства обнаружения атак, подобно брандмауэрам, могут быть реализованы как в виде программного обеспечения, так и в виде аппаратно-программного комплекса. Очевидно, что такие средства требуют тщательной настройки, чтобы обнаруживать истинные попытки атак, но не выполнять ложных срабатываний.

Лидерами рынка средств обнаружения атак, по мнению Gartner Group, являются Cisco Systems, Internet Security Systems, Enterasys Networks и Symantec. По данным Butler Group, наряду с этими компаниями к популярным производителям этой категории средств обеспечения безопасности относятся также Computer Associates и Entercept Security Technology.

Корпоративные брандмауэры

орпоративные брандмауэры контролируют трафик, поступающий в локальную корпоративную сеть и выходящий из нее, и могут представлять собой как чисто программные средства, так и аппаратно-программные комплексы. Каждый пакет данных, проходящий через брандмауэр, анализируется им (например, на предмет его происхождения или соответствия иным правилам пропускания пакетов), после чего либо пропускается, либо отклоняется. Обычно брандмауэры могут выполнять роль фильтра пакетов или прокси-сервера (в последнем случае брандмауэр является посредником при выполнении запросов, инициируя собственный запрос к ресурсу и тем самым не допуская непосредственного соединения локальной и внешней сетей). Рассмотрим основные функции, выполняемые корпоративными брандмауэрами.

Фильтрация пакетов

Фильтрация пакетов представляет собой выборочную маршрутизацию пакетов между внешними и внутренними хостами. При этом некоторые типы пакетов пропускаются или блокируются по правилам, отражающим принятые политики безопасности корпоративной сети. Обычно функция фильтрации пакетов возлагается на маршрутизатор (так называемый фильтрующий маршрутизатор) в составе шлюза корпоративной сети.

Основная информация, используемая фильтрующим маршрутизатором для принятия решения о пересылке или блокировании IP-пакета, - это его заголовок. В частности, учитываются IP-адреса и порты (в протоколах TCP и UDP) отправителя и получателя, протокол, тип сообщения (в протоколе ICMP), размер пакета. Фильтрующий маршрутизатор может также просматривать следующую за заголовком область данных, что позволяет осуществлять фильтрацию на основе более детальной информации и проверять, отформатированы ли пакеты так, как необходимо для их порта назначения. Маршрутизатор может удостовериться в правильности пакетов (например, что они имеют указанный размер и что он является допустимым) - это помогает обнаружить ряд угроз отказа в обслуживании, основанных на некорректно сформированных пакетах.

Кроме характеристик пакета анализируется информация о его истории, а именно: является ли данный пакет ответом на другой пакет, сколько других пакетов было получено с того же хоста, идентичен ли пакет недавно исследованному пакету и т.д. Учитывается также информация о конкретном интерфейсе фильтрующего маршрутизатора, с которого пришел пакет.

При анализе IP-пакета маршрутизатор может выполнять, в частности, следующие действия:

Переслать пакет по указанному адресу;

Отбросить пакет (без уведомления отправителя);

Отклонить пакет (с уведомлением отправителя);

Зарегистрировать информацию о пакете;

Подать сигнал тревоги;

Изменить пакет (например, транслировать адрес);

Переслать пакет другому адресату (например, направить его на прокси-сервер или на другой сервер, чтобы сбалансировать нагрузку);

Изменить правила фильтрации (например, начать отбрасывать все пакеты от хоста, который ранее прислал подозрительные пакеты).

Прокси

Прокси-сервисы — это специализированные приложения, или серверные программы, которые принимают запросы пользователей к различным сервисам (FTP, SMTP и т.д.) и направляют их туда. Прокси обеспечивают подмену соединений и действуют как шлюзы для сервисов.

Прокси-сервисы более или менее прозрачно располагаются между пользователем и внешним сервисом, и вместо непосредственного диалога друг с другом каждая сторона обращается к прокси. Прокси-сервер создает у пользователя полную иллюзию того, что он имеет дело непосредственно с сервисом, а у реального сервера - что он соединен непосредственно с пользователем.

Основная защитная функция прокси-сервиса состоит в том, что при инициировании неким хостом сессии с определенным внешним или внутренним сервисом он принимает решение разрешить или блокировать данное соединение. Главное отличие прокси от фильтрации пакетов состоит в том, что в данном случае решение принимается на прикладном уровне и на основе информации прикладного уровня. Это часто позволяет организовать фильтрацию более разумно, чем пакетный фильтр (например, существенно эффективнее удалять Java и JavaScript из HTTP-ответов). Кроме того, поскольку прокси-сервис активно участвует в соединении, возможна аутентификация и авторизация с его помощью. Поскольку прокси-сервис располагается между клиентом и внешним сервисом, он генерирует абсолютно новые пакеты для клиента. Поэтому прокси-сервис может защитить клиента от атак, связанных с некорректно сформированными IP-пакетами.

Основными недостатками прокси-сервисов являются довольно низкая производительность (по сравнению с фильтрацией пакетов) и необходимость создания отдельного прокси для каждого применяемого сервиса.

Трансляция адресов

Трансляция сетевых адресов позволяет сетям использовать один набор для внутренних сетевых адресов и другой - для внешних соединений. Сама по себе трансляция сетевых адресов не обеспечивает никакой защиты, но она помогает скрывать внутренние сетевые ресурсы и вынуждает все соединения проходить через одну точку (так как соединения по неоттранслированным адресам открываться не будут, а трансляция адресов производится на «клапане»).

При трансляции адресов производятся следующие основные действия. Когда хост, находящийся во внутренней сети, посылает пакет во внешнюю сеть, система трансляции сетевых адресов изменяет исходный адрес пакета таким образом, чтобы он выглядел как исходящий от допустимого во внешней сети адреса. Когда хост, располагающийся во внешней сети, посылает пакет во внутреннюю сеть, система трансляции сетевых адресов заменяет адрес назначения на адрес из внутренней сети.

Системы трансляции сетевых адресов могут применять различные алгоритмы преобразования адресов:

Динамически распределять имеющиеся внешние адреса всякий раз, когда внутренний хост инициирует соединение, но без изменения номеров портов. Это ограничивает число внутренних хостов, которые одновременно могут подключаться к внешним хостам;

Создать фиксированную схему переадресации внутренних адресов в видимые извне адреса, но производить переадресацию портов таким образом, чтобы все внутренние хосты соединялись с конкретным адресом.

Предлагаемые продукты

При выборе брандмауэра компании нередко руководствуются результатами независимых тестирований. Наиболее распространенными стандартами, на соответствие которым тестируются брандмауэры, являются ITSEC (Information Technology Security Evaluation and Certification Scheme) и IASC (Information Assurance and Certification Services), называемый также Common Criteria Standard.

Наиболее популярными производителями корпоративных брандмауэров, по данным Gartner Group, являются CheckPoint Software, Cisco Systems, Microsoft, NetScreen Technologies и Symantec Corporation. Продукты Check Point Software Technologies, Cisco Systems и NetScreen Technologies представляют собой аппаратно-программные комплексы, тогда как продукты Microsoft и Symantec - это программные средства, функционирующие на обычных компьютерах под управлением стандартных серверных операционных систем.

Преодоление брандмауэра

Наиболее слабым звеном в защите с помощью брандмауэра является человек. Согласно данным статистики, до 70% всех межсетевых экранов уязвимы из-за неправильной конфигурации и настройки. Людям свойственно ошибаться, а значит, надо предполагать, что количество такого рода слабых мест, причем типичных, будет оставаться большим. Меняться будут лишь возможности сделать ошибку при настройке системы.

Кроме явных ошибок, к уязвимости могут приводить и вполне сознательные действия. Например, распространенной политикой безопасности является запрещение на брандмауэре всех протоколов, за исключением действительно необходимых для предоставления сервисов внешним или внутренним по отношению к брандмауэру пользователям. Однако администратор брандмауэра по просьбе кого-либо из внутренних пользователей может на время разрешить доступ по некоторым протоколам (например, по ICQ). Этого может быть вполне достаточно, чтобы брандмауэр больше никогда не представлял никаких проблем для злоумышленников.

Другим слабым местом брандмауэров является то, что атаки можно производить, не преодолевая их. Зачем пытаться проникнуть к ресурсам через защитные средства (в частности, брандмауэр), когда можно попытаться их обойти? Например, простым техническим средством для обхода брандмауэра является модем, который применяется легальным пользователем (невольным сообщником) для доступа в Интернет помимо брандмауэра.

Большое количество возможных угроз обхода брандмауэра связано с действиями внутренних пользователей (по статистике - до 80% таких случаев происходит изнутри). Брандмауэр только просматривает трафик на границах между внутренней и внешней сетями. Если трафик, использующий слабые места в защите, не проходит через брандмауэр, то никаких признаков атаки и не обнаруживается. В общем, ни один, даже самый эффективный и сложный брандмауэр, не может обнаружить попытку обойти его со стороны легального пользователя изнутри сети.

По этим причинам не стоит ожидать снижения количества атак после установки даже самого совершенного оборудования, а также принятия и выполнения добросовестными легальными пользователями самой жесткой политики безопасности.

Виртуальная частная сеть — сила и слабость

ехнология виртуальных частных сетей помогает решить многие проблемы безопасности. В результате ее применения фактически весь поток информации, проходящий между сегментами корпоративной сети по открытым каналам связи, передается в шифрованном виде. Доступ легальных пользователей из открытой сети во внутреннюю корпоративную сеть осуществляется на основе процедур аутентификации и авторизации.

Виртуальные частные сети предоставляют довольно высокий уровень защиты информации, однако они же могут быть источником серьезной угрозы. В случае использования виртуальных частных сетей основной интерес злоумышленника будет проявлен к тем местам в сети, где информация, представляющая для него интерес, вероятно, не является защищенной, то есть к узлам или сетям, с которыми установлены доверительные отношения. Соответственно основные усилия злоумышленник будет прилагать для установления таких доверительных отношений с системой. Сделать это можно даже только с помощью пассивных средств, например перехватывая сеанс аутентификации легального пользователя.

Кроме того, в случае компрометации доверенной системы эффективность его дальнейших атак будет крайне высока, поскольку зачастую требования по безопасности к доверенным узлам и сетям намного ниже всех остальных узлов. Злоумышленник сможет проникнуть в доверенную сеть, а уж затем из нее осуществлять несанкционированные действия по отношению к цели своей атаки.

Антивирусное программное обеспечение

ААнтивирусное программное обеспечение предназначено для защиты сети компании от различных типов вирусных атак. Поскольку сегодня самым распространенным способом передачи вирусов являются сообщения электронной почты, наиболее популярным корпоративным антивирусным программным обеспечением остаются антивирусы для почтовых серверов, распознающие сигнатуры вирусов внутри сообщений. Наряду с ними многие компании выпускают антивирусное программное обеспечение для файловых серверов, а также специализированное ПО, используемое Интернет-провайдерами.

Антивирусное программное обеспечение обязательно содержит следующие компоненты:

Приложение для управления настройками;

Средства сканирования файлов и поиска сигнатур вирусов;

База данных или библиотека, содержащая определения известных вирусов.

Заметим, что результативность антивирусного программного обеспечения зависит от регулярности обновления баз данных, содержащих определения вирусов.

По данным аналитической компании Gartner Group, лидерами рынка антивирусного программного обеспечения являются Network Associates, Symantec, TrendMicro. Значительную роль играют также компании Sophos, Computer Associates, F-Secure. Эти производители выпускают продукты для настольных систем, файловых серверов, SMTP-шлюзов, Web-серверов и FTP-серверов, позволяющие поддерживать распределенные системы.

На российском рынке, помимо вышеперечисленных продуктов, широко распространены корпоративные антивирусы «Лаборатории Касперского» и ЗАО «ДиалогНаука».

О политике безопасности

амое современное антивирусное программное обеспечение может оказаться совершенно бесполезным, если не реализована надлежащая политика безопасности, определяющая правила применения компьютеров, сети и данных, а также процедуры, предназначенные для предотвращения нарушения этих правил и реакции на подобные нарушения, если таковые все же возникнут. Отметим, что при выработке подобной политики требуется проведение оценки рисков, связанных с той или иной деятельностью (например, с предоставлением бизнес-партнерам данных из корпоративной информационной системы). Полезные рекомендации на этот счет содержатся в международных стандартах (таких как международный стандарт безопасности информационных систем ISO 17799). Выбор аппаратных и программных средств обеспечения безопасности во многом определяется выработанной политикой.

От себя добавим, что регулярная работа с системными компонентами, обеспечивающими безопасность, способствует ее повышению. Экспериментируйте, применяйте различные средства защиты информации, постоянно меняйте ключевую информацию, используемую в этих средствах. Помните о том, что по сравнению с классической криптографией задача компьютерного перехвата намного сложнее из-за применения разнообразных сетевых протоколов. И хотя нет ничего тайного, что рано или поздно не становится явным, будем надеяться хотя бы на временную стойкость средств защиты.

Иван Сапрыкин

Информация о выборах не может быть ни в каком случае изменена или искажена

В системе ГАС «Выборы» задействовано более 7500 компьютеров, 450 серверов и очень мощные средства защиты информации, которые гарантируют, что введенная информация не может быть ни в каком случае изменена, искажена и достоверно дойдет до избирателей.

1 марта в России прошел единый день голосования. В пяти регионах России был проведен эксперимент по электронному опросу с использованием мобильных телефонов, социальных карт и компакт-дисков. Но помимо чисто политической составляющей всегда стоит вопрос о технологическом обеспечении. И каждые выборы начиная с 1995 года обеспечивает государственная автоматизированная система Российской Федерации «Выборы» (ГАС «Выборы»). О технической стороне обеспечения избирательных процедур рассказывает руководитель Федерального центра информатизации при ЦИК России (ФЦИ при ЦИК России) Михаил Попов.

– Михаил Анатольевич, если мы сравниваем выборы 1995 года и выборы 2009 года с точки зрения используемых технологий, то как развивалась система ГАС «Выборы» за эти годы?

– Начнем с того, что ГАС «Выборы» образца 1995 года – это первые попытки автоматизации деятельности избирательных комиссий, в основном направленные на оперативный сбор предварительной информации об итогах голосования. Нынешняя система – результат кардинальной модернизации, произведенной в последние годы. В ней реализованы все нормы российского избирательного законодательства, обеспечено выполнение требований по защите информации, надежности функционирования программно-технических средств.

Темпы и масштабы ее изменений сопоставимы с темпами развития в стране мобильной сотовой связи. Она начала появляться в России в 1995 году, и в это же время разрабатывалась и была применена система ГАС «Выборы». Как быстро развивались технологии сотовой связи (телефоны, КПК, смартфоны) – приблизительно такими же темпами развивалась и технология ГАС «Выборы».

– Как обстоят дела с открытостью избирательных процедур?

– На самых первых этапах разработки ГАС «Выборы» в идеологию ее создания было положено несколько принципов.

Система должна работать таким образом, чтобы избирателю были ясно и понятно, с какими итогами прошли выборы, чтобы он был уверен в том, что озвученные итоги – это как раз те, в которых достоверно учтено волеизъявление каждого избирателя. Когда создавалась система, предполагалось, что ГАС «Выборы» не только инструмент для работы избирательных комиссий, но это также и мощнейший инструмент, который показывает избирателям, насколько четко и достоверно работают сами избирательные комиссии.

Поэтому была реализована функция размещения в интернете всех предварительных итогов голосования, которые проводятся в Российской Федерации. И любой избиратель, который имеет доступ в интернет, может даже получить информацию по федеральным выборам на уровне субъектов Российской Федерации.

Интернет – мощное средство, которое позволяет нам размещать информацию в оперативном режиме. Наша система построена таким образом, что практически через полтора-два часа после того, как информация поступает в ЦИК России, она размещается в интернете.

По закону мы обязаны в течение суток со дня подведения итогов голосования опубликовать предварительные результаты, и эта функция нами всегда выполняется. Кроме того, ГАС «Выборы» обеспечивает сбор и обработку информации о том, как формируются избирательные фонды при проведении выборов в Российской Федерации, как тратятся средства избирательных фондов. Эта информация также размещается в интернете и тоже доступна всем избирателям и наблюдателям.

– Не могли бы вы рассказать о технологических параметрах системы?

– ГАС «Выборы» – это сложный, я бы даже сказал, живой организм. На сегодняшний день она представляет собой совокупность комплексов средств автоматизации трех уровней. На первом уровне – средства территориальных избирательных комиссий, которые формируются для проведения выборов федерального уровня. Таких комплексов средств автоматизации на сегодняшний день более 2700.

Следующий уровень – это комплексы средств автоматизации избирательных комиссий субъектов Российской Федерации, на верхнем уровне – комплекс средств автоматизации ЦИК России.

Во всех этих комплексах имеется, кроме самих технических средств, программное обеспечение, которое создается по заказу ЦИК России и ФЦИ при ЦИК России ведущими российскими разработчиками программного обеспечения в соответствии с действующим федеральным избирательным законодательством и законодательством в субъектах Российской Федерации. Любое изменение, любое новое требование закона обязательно влечет за собой изменение действующего программного обеспечения.

Комплексы средств автоматизации соединены между собой каналами связи. На сегодняшний день помимо наземных каналов связи используются и космические, которые позволяют из труднодоступных местностей передавать информацию в соответствии с действующими регламентами.

Если говорить об общем количестве средств вычислительной техники, задействованных в системе ГАС «Выборы», то это более 7500 компьютеров, более 450 серверов и очень мощные средства защиты информации, которые дают нам возможность быть уверенными в том, что введенная в ГАС «Выборы» информация не может быть ни в каком случае изменена, искажена и достоверно дойдет до избирателей.

– В таком случае, как организована защита данных от искажений при их вводе и обработке?

– Этому вопросу уделяется очень большое внимание при эксплуатации и развитии системы ГАС «Выборы». В частности, когда вводятся данные из протоколов участковых избирательных комиссий, в ГАС «Выборы» существует стройная система на тройном уровне контроля за проведением этой процедуры. Кроме того, член территориальной избирательной комиссии в составе группы контроля сверяет визуально те документы, которые привозит участковая избирательная комиссия в территориальную избирательную комиссию.

Далее. При вводе в ГАС «Выборы» данных из протокола присутствуют наблюдатели, которые видят и контролируют действия системного администратора по введению данных. После того как все данные введены, делается их распечатка, которая еще раз сверяется с бумажным оригиналом. Затем, когда все вышеперечисленные данные сверены, сводная таблица заверяется подписями вышестоящей и нижестоящей комиссий.

Теперь о процедуре автоматизированной проверки правильности составления этого протокола. Закон «Об основных гарантиях избирательных прав и права на участие в референдуме граждан Российской Федерации» предъявляет ряд требований, которые должны четко соблюдаться. Эти требования в автоматизированном виде проверяются на каждом комплексе средств автоматизации. Например, количество бюллетеней, выданных участковой избирательной комиссией, не может быть больше, чем количество бюллетеней, находящихся в стационарных ящиках для голосования, и чем количество тех бюллетеней, которые не использовались на выборах и были погашены. Таким образом, если эта цифра не соответствует требованиям закона, то такие данные протоколов не могут быть введены в ГАС «Выборы».

Программное обеспечение ГАС «Выборы» построено таким образом, что на всех следующих уровнях избирательных комиссий программное обеспечение позволяет только суммировать данные протоколов и не дает возможности вносить изменения в эти данные. Это сделано специально, чтобы, например, избирательная комиссия субъекта РФ не могла внести никаких изменений в протоколы нижестоящих комиссий. Аналогичные же функции разработаны и осуществлены на уровне комплекса средств автоматизации ЦИК России. Здесь также возможны только процедура суммирования и процедура доведения информации до избирателей.

– А как соблюдается требование Федерального закона «О государственной автоматизированной системе «Выборы» о недопустимости подключения к сети интернет?

– Для ГАС «Выборы» это очень важное требование, потому что на сегодняшний день она является именно такой системой, в которую извне попасть невозможно. Любая попытка подключиться через интернет к ГАС «Выборы» невозможна, потому что нет физической связи. Это повышает надежность нашей работы. Поэтому средства защиты, которые используются в ГАС «Выборы», кроме всего прочего, предусматривают, что работать могут только люди, которым предоставлены определенные права на определенном уровне. Сверх того, что положено конкретному оператору, системному администратору, никто не может выполнить никаких действий.

Поэтому система допуска, контроля, ролевого разграничения возможностей участников избирательного процесса и работников ГАС «Выборы», а также желающих ознакомиться с работой системы четко регламентированы и контролируются на всех уровнях.

– ЦИК России провелa второй эксперимент по электронному опросу. Означает ли это, что близок конец бумажного голосования?

– Речь не идет о том, что комплексы средств обработки избирательных бюллетеней (КОИБ) и комплексы электронного голосования (КЭГ) морально устарели. Просто настал тот момент, когда в связи с развитием элементной базы и снижением себестоимости отдельных комплектующих объективно встал вопрос о доработке или переработке данных устройств.

Мы ставим перед собой цель как минимум в два раза снизить стоимость данных технических средств и их технического обслуживания. ФЦИ при ЦИК России уже в прошлом году приступил к выполнению этих работ. Сейчас проводится исследование возможностей автоматизации деятельности участковых избирательных комиссий в день голосования, в том числе с использованием КОИБ и КЭГ. В июне 2009 года мы будем иметь в том числе технико-экономическое обоснование вариантов автоматизации участковых избирательных комиссий. В результате к концу этого года мы планируем получить новые, более эргономичные, удобные и более дешевые устройства.

– ГАС «Выборы» так и осталась единственной уникальной системой в мире или есть какие-либо аналоги?

– По пути автоматизации избирательных процессов идут многие страны. Наиболее близкой к ГАС «Выборы» является система, применяемая в Казахстане. Однако по масштабам, объему информационных ресурсов, полноте реализации законодательства о выборах аналогов мы не знаем.

– Каковы особенности использования системы ГАС «Выборы» в только что прошедший единый день голосования 1 марта?

– Система ГАС «Выборы» впервые в полном объеме использовалась для подготовки и проведения выборов всех уровней, включая подготовку и проведение на муниципальном уровне. Для этого были задействованы 79 региональных фрагментов ГАС «Выборы», в том числе комплексы средств автоматизации системы в 1095 территориальных избирательных комиссиях.

С использованием ГАС «Выборы» было обеспечено планирование избирательных кампаний, подготовлены списки избирателей, в систему введены данные о более чем 41 тысяче кандидатов. 1 марта 2009 года в систему введены и обработаны протоколы более 26 тысяч участковых избирательных комиссий.