Требования к аудиту

Тема 4. Аудит ОС

4.1. Понятие аудита. Требования к подсистеме аудита

Процедура аудита применительно к операционным системам за­ключается в регистрации в специальном журнале, называемом журналом аудита или журналом безопасности, событий, которые могут представ­лять опасность для операционной системы. Пользователи системы, обла­дающие правом чтения этого журнала, называются аудиторами.

Необходимость включения в защищенную операционную систему функций аудита диктуется следующими обстоятельствами.

1. Подсистема защиты операционной системы, не обладая интел­лектом, не способна отличить случайные ошибки пользователей от злона­меренных действий. Например, то, что пользователь в процессе входа в систему ввел неправильный пароль, может означать как случайную ошиб­ку при вводе пароля, так и попытку подбора пароля. Но, если сообщение о подобном событии записано в журнал аудита, администратор, просматри­вая этот журнал, легко сможет установить, что же имело место на самом деле - ошибка легального пользователя или атака злоумышленника. Если пользователь ввел неправильный пароль всего один раз - это явная ошибка. Если же пользователь пытался угадать собственный пароль 20 -30 раз - это явная попытка подбора пароля.

2. Администраторы операционной системы должны иметь возмож­ность получать информацию не только о текущем состоянии системы, но и о том, как она функционировала в недавнем прошлом. Журнал аудита да­ет такую возможность, накапливая информацию о важных событиях, свя­занных с безопасностью системы.

3. Если администратор операционной системы обнаружил, что про­тив системы проведена успешная атака, ему важно выяснить, когда была начата атака и каким образом она осуществлялась. При наличии в системе подсистемы аудита не исключено, что вся необходимая информация со­держится в журнале аудита.

Большинство экспертов по компьютерной безопасности сходятся во мнении, что привилегия работать с подсистемой аудита не должна пре­доставляться администраторам операционной системы. Другими словами, множество администраторов и множество аудиторов не должны пересе­каться. При этом создается ситуация, когда администратор не может вы­полнять несанкционированные действия без того, чтобы это тут же не ста­ло известно аудиторам, что существенно повышает защищенность систе­мы от несанкционированных действий администраторов.

Подсистема аудита операционной системы должна удовлетворять следующим требованиям.

1. Только сама операционная система может добавлять записи в журнал аудита. Если предоставить это право какому-то физическому поль­зователю, этот пользователь получит возможность компрометировать дру­гих пользователей, добавляя в журнал аудита соответствующие записи.

2. Ни один субъект доступа, в том числе и сама операционная сис­тема, не имеет возможности редактировать или удалять отдельные записи в журнале аудита.

3. Только пользователи-аудиторы, обладающие, соответствующей привилегией, могут просматривать журнал аудита.

4. Только пользователи-аудиторы могут очищать журнал аудита. После очистки журнала в него автоматически вносится запись о том, что журнал аудита был очищен, с указанием времени очистки журнала и имени пользователя, очистившего журнал. Операционная система должна под­держивать возможность сохранения журнала аудита перед очисткой в дру­гом файле.

5. При переполнении журнала аудита операционная система ава­рийно завершает работу ("зависает"). После перезагрузки работать с сис­темой могут только аудиторы. Операционная система переходит к обыч­ному режиму работы только после очистки журнала аудита.

Для ограничения доступа пользователей к журналу аудита недоста­точно использования обычных средств разграничения доступа. Дело в том, что в подавляющем большинстве операционных систем администраторы, используя свои привилегии, могут прочитать и изменить содержимое лю­бого файла операционной системы. Поэтому для ограничения доступа к журналу аудита должны применяться специальные средства защиты.

Хотя операционные системы не требуют обязательного сохранения журнала аудита перед очисткой, это желательно делать. Наиболее удобно сохранять старые журналы аудита на WORM-дисках, поскольку эти диски допускают только однократную запись информации, и информация, запи­санная на такой диск, может быть стерта только при физическом повреж­дении диска.

Дата добавления: 2014-01-07