Аудит и обнаружение вторжений

Разграничение доступа

Правила разграничения доступа устанавливаются администраторами системы при определении текущей политики безопасности. За соблюдением этих правил субъектами доступа следит монитор безопасности объектов - часть подсистемы защиты компьютерной системы.

Правила разграничения доступа должны удовлетворять следующим требованиям.

- должны соответствовать аналогичным правилам, принятым в организации, в которой функционирует данная система. Другими словами, если, согласно правилам организации, доступ пользователя к некоторой информации считается несанкционированным, этот доступ должен быть ему запрещен. Под несанкционированным доступом здесь подразумева­ется не только несанкционированное чтение информации, но и несанк­ционированные изменение, копирование и уничтожение информации;

- не должны допускать разруша­ющие воздействия субъектов доступа, не обладающих соответствующи­ми привилегиями, на компьютерную систему, выражающиеся в несанк­ционированном изменении, удалении или другом воздействии на o6ъекты, жизненно важные для обеспечения нормального функциониро­вания системы.

- любой объект системы должен иметь владельца. Присутствие в системе объектов, не имеющих владельца, долж­но быть недопустимо;

- присутствие в системе недоступных объектов — объектов, к кото­рым не может обратиться ни один субъект доступа ни по одному методу доступа, должно быть недопустимо. Недоступные объекты фактически бесполезно растрачивают аппаратные ресурсы компьютера;

- утечка конфиденциальной информации из защищаемой системы должна быть недопустима.

Правила разграничения доступа в современных ком­пьютерных системах основываются на одной из следующих моделей:

- дискреционное (избирательное) разграничение доступа;

- мандатное (полномочное) разграничение доступа;

- ролевое разграничение доступа.

Процедура аудита заключается в регистрации в специальном журнале, называемом журналом аудита или журналом безопасности, событий, которые могут представлять опасность для системы. Пользователи системы, обладаю­щие правом чтения этого журнала, называются аудиторами.

Подсистема аудита компьютерной системы должна удовлетворять следующим требованиям:

- только сама система может добавлять записи в журнал аудита. Ес­ли предоставить это право какому-то физическому пользователю, этот пользователь получит возможность компрометировать других пользова­телей, добавляя в журнал аудита соответствующие записи;

- ни один субъект доступа, в том числе и сама система, не име­ет возможности редактировать или удалять отдельные записи в жур­нале аудита. Только пользователи-аудиторы, обладающие соответствующей при­вилегией, могут просматривать журнал аудита.

- только пользователи-аудиторы могут очищать журнал аудита. По­сле очистки журнала в него автоматически вносится запись о том, что журнал аудита был очищен, с указанием времени очистки журнала и имени пользователя, очистившего журнал. Система аудита должна под­держивать возможность сохранения журнала аудита перед очисткой в другом файле.

Для ограничения доступа пользователей к журналу аудита недоста­точно использования обычных средств разграничения доступа. Дело в том, что в подавляющем большинстве систем администраторы, исполь­зуя свои привилегии, могут прочитать и изменить содержимое любо­го файла, хранящегося на любом компьютере системы. Поэтому для ограничения доступа к журналу аудита должны применяться специаль­ные средства защиты.

Политика аудита — это совокупность правил, определяющая то, ка­кие события должны регистрироваться в журнале аудита. Для обеспече­ния надежной защиты операционной системы в журнале аудита должны обязательно регистрироваться следующие события:

- попытки входа/выхода пользователей из системы;

- попытки изменения списка пользователей;

- попытки изменения политики безопасности, в том числе и поли­тики аудита.

При определении политики аудита не следует ограничиваться ре­гистрацией событий из перечисленных классов. Окончательный выбор того, какие события должны регистрироваться в журнале аудита, а ка­кие не должны, возлагается на аудиторов. При этом политика аудита в значительной мере определяется спецификой информации, хранимой и обрабатываемой в операционной системе, и дать какие-либо рекомен­дации, не зная этой специфики, невозможно.

Политика аудита должна оперативно реагиро­вать на изменения в конфигурации операционной системы, в характе­ре хранимой и обрабатываемой информации, и, особенно, на выявлен­ные попытки атаки операционной системы. Если, с помощью аудита было обнаружено, что имела место попытка преодолеть защи­ту операционной системы, но основные принципы реализации этой ата­ки остались неясными, целесообразно изменить политику аудита таким образом, чтобы при дальнейших попытках осуществлять аналогичные атаки аудиторы получали более подробную информацию.

В целом политика аудита - своего рода искусство, и выбор оп­тимальной политики в значительной мере определяется опытом и ин­туицией аудитора.

Логическим развитием концепции аудита является система обнару­жения вторжений (СОВ) или intrusion detection system (IDS) - специали­зированное программное или программно-аппаратное средство, предна­значенное для выявления фактов неавторизованного доступа в компью­терную систему или сеть. Системы обнаружения вторжений обладают двумя основными отличиями от обычных систем аудита:

- система обнаружения вторжений не просто регистрирует отдельные события, происходящие в системе, но и анализирует их в совокупности, пытаясь обнаружить в последовательности зафиксированных событий признаки атаки нарушителя;

- система обнаружения вторжений может оперативно реагировать на обнаруженные атаки, самостоятельно блокируя соответствующие функ­ции системы до того, как нарушитель успел им воспользоваться.

Обычно архитектура системы обнаружения вторжений включаете себя:

- сенсоры, обеспечивающие сбор информации для последующего ана­лиза;

- анализаторы, осуществляющие анализ полученной сенсорами ин­формации;

- хранилище (базу данных), в которое помещаются ре­зультаты работы анализатора;

- консоль управления, обеспечивающую взаимодействие администра­тора

безопасности с системой обнаружения вторжений.

Анализатор IDS анализирует собранную сенсорами информацию на предмет сходства с типичными атаками злоумышленников. Современ­ные системы обнаружения вторжений довольно надежно детектируют сканирование портов, с которого начинается большинство сетевых атак, а также попытки программных закладок, проникших внутрь защищае­мой сети, связаться со своими хозяевами через Интернет. При этом, в отличие от традиционных систем разграничения доступа и аудита, системы обнаружения вторжений реагируют не на каждое зафиксиро­ванное событие в отдельности, а на всю последовательность событий в совокупности. Так, сетевая система обнаружения вторжений позволяет не просто блокировать трафик, идущий на определенные порты или от определенных процессов, но и реализовывать более сложные правила фильтрации трафика, оценивая опасность не каждого пакета в отдель­ности, а целой последовательности пакетов в совокупности.

Правила, реализуемые анализаторами IDS, бывают двух видов — сигнатурные и эвристические. В первом случае в анализируемом потоке информации ищутся так называемые сигнатуры или сценарии атак — четкие и недвусмысленные признаки определенных атак, во втором слу­чае выявляется аномальная активность в защищаемой системе. Обычно в ходе функционирования системы активность отдельных ее компонент примерно одинакова и слабо меняется со временем, если какая-то ха­рактеристика какой-то компоненты системы резко изменилась, это вос­принимается как сигнал тревоги.

Основным достоинством эвристических анализаторов является их способность более-менее адекватно реагировать на ранее неизвестные атаки злоумышленников. Сигнатурные анализаторы, напротив, способ­ны реагировать лишь на те атаки, которые присутствуют в базе сиг­натур системы обнаружения вторжений. Эта база должна регулярно обновляться.

Основным недостатком эвристических анализаторов является их склонность генерировать ложные тревоги. Пусть, например, на неко­тором компьютере развернут популярный веб-сервер, обеспечивающий большую нагрузку на процессоры компьютера. На том же компьютере развернут и FTP-сервер, однако он посещается пользователями гораз­до реже и не создает заметной нагрузки на процессоры и оперативную память. Если в какой-то момент некий пользователь начнет скачивать с FTP-сервера большой файл, это может привести к генерации систе­мой обнаружения вторжений сигнала тревоги. Для того чтобы, с одной стороны, избежать большого количества ложных тревог, а с другой сто­роны, своевременно обнаруживать большинство атак, система обнаруже­ния вторжений, реагирующая на аномальную активность, нуждается в длительной и тонкой настройке. Свежеустановленная и ненастроенная система обычно генерирует так много тревожных сигналов, что поль­зы от нее практически нет.

Эвристический анализатор системы обнаружения вторжений в об­щем случае не гарантирует обнаружение атаки. Большинство сетевых (да и не только сетевых) атак могут быть так модифицированы, что их реализация не будет приводить к заметным всплескам активности тех или иных компонент атакуемой системы. Однако модифицированные атаки, как правило, менее эффективны, чем в оригинальном исполне­нии. Например, программная закладка может отслеживать загружен­ность процессоров и сетевого адаптера и так планировать свое функ­ционирование, чтобы нагрузка на систему, создаваемая закладкой, не превышала некоторый порог и не выделялась на фоне обычного функ­ционирования системы. Однако в этом случае закладка будет работать медленнее и менее стабильно, она может, например, прервать сеанс свя­зи со своим клиентом, если текущее состояние операционной системы таково, что продолжение сеанса связи будет обнаружено системой об­наружения вторжений.

В настоящее время сигнатурные и эвристические анализаторы обыч­но используются в совокупности. В будущем, с ростом «интеллекту­альности» систем обнаружения вторжений, эвристические анализаторы, вероятно, станут основным видом анализаторов, применяемых в систе­мах обнаружения вторжений. Пока же в практической работе основ­ная нагрузка ложится на сигнатурные анализаторы, а эвристические ис­пользуются главным образом в пассивном режиме - когда решение о том, была ли выявлена атака или имела место ложная тревога, при­нимает человек.

Дата добавления: 2014-01-13