Ряд вопросов возникает после того, как возникает необходимость обеспечения той или иной комбинации требований для работы в глобальных сетях. Какие программно-аппаратные средства и организационные меры должны быть реализованы? Каков профиль риска? Основа ответов на подобные вопросы - это концептуальная политика безопасности для организации.
Политики безопасности можно разделить на две категории - технические политики, реализуемые с помощью оборудования и программ, и административные политики - выполняемые людьми, использующими систему и людьми, управляющими ей.
Управление можно отнести к числу инфраструктурных сервисов, обеспечивающих нормальную работу компонентов и средств безопасности. Сложность современных систем такова, что без правильно организованного управления они постепенно деградируют как в плане эффективности, так и в плане защищенности. Возможен и другой взгляд на управление – как на интегрирующую оболочку информационных сервисов и сервисов безопасности, обеспечивающую их нормальное, согласованное функционирование под контролем администратора ИС.
Согласно стандарту X.700, управление подразделяется на:
- мониторинг компонентов;
- контроль (то есть выдачу и реализацию управляющих воздействий);
- координацию работы компонентов системы.
Администрирование ИС – действия назначенных лиц (администратора ИС), обеспечивающие поддержание состояния ИС, которые позволяют ей выполнять функциональное предназначение.
Системы управления должны:
- позволять администраторам планировать, организовывать, контролировать и учитывать использование информационных сервисов;
- давать возможность отвечать на изменение требований;
- обеспечивать предсказуемое поведение информационных сервисов;
- обеспечивать защиту информации.
Иными словами, управление должно обладать достаточно богатой функциональностью, быть результативным, гибким и информационно безопасным.
В X.700 выделяется пять функциональных областей управления:
- управление конфигурацией (установка параметров для нормального функционирования, запуск и остановка компонентов, сбор информации о текущем состоянии системы, прием извещений о существенных изменениях в условиях функционирования, изменение конфигурации системы);
- управление отказами (выявление отказов, их изоляция и восстановление работоспособности системы);
- управление учетной информацией ( плата за пользование ресурсами);
- управление безопасностью (реализация политики безопасности путем создания, удаления и изменения сервисов и механизмов безопасности, распространения соответствующей информации и реагирования на инциденты);
- управление производительностью (сбор и анализ статистической информации, определение производительности системы в штатных и нештатных условиях, изменение режима работы системы).
Иерархия взаимодействующих менеджеров и агентов может иметь несколько уровней. При этом элементы промежуточных уровней играют двоякую роль: по отношению к вышестоящим элементам они являются агентами, а к нижестоящим – менеджерами. Многоуровневая архитектура менеджер/агент – ключ к распределенному, масштабируемому управлению большими системами.
Обязательным элементом при любом числе архитектурных уровней является управляющая консоль.
С точки зрения изучения возможностей систем управления следует учитывать разделение на следующие аспекты:
- информационный (атрибуты, операции и извещения объектов);
- функциональный (управляющие действия и необходимая для них информация);
- организационный (разбиение на области управления).
К числу концептуально важных можно отнести понятие "проактивного", т.е. упреждающего управления, основаного на предсказании поведения системы на основе текущих данных и ранее накопленной информации. (Например, выдача сигнала о возможных проблемах с диском после серии программно-нейтрализуемых ошибок чтения/записи. В более сложном случае определенный характер рабочей нагрузки и действий пользователей может предшествовать резкому замедлению работы системы; адекватным управляющим воздействием могло бы стать понижение приоритетов некоторых заданий и извещение администратора о приближении кризиса).
1.1. Протоколирование и аудит
Под подозрительной активностью понимается поведение пользователя или компонента информационной системы, являющееся злоумышленным (в соответствии с заранее определенной политикой безопасности) или нетипичным (согласно принятым критериям).
Под протоколированием понимается сбор и накопление информации о событиях, происходящих в информационной системе. У каждого сервиса свой набор возможных событий, но в любом случае их можно разделить на внешние (вызванные действиями других сервисов), внутренние (вызванные действиями самого сервиса) и клиентские (вызванные действиями пользователей и администраторов).
Аудит – это анализ накопленной информации, проводимый оперативно, в реальном времени или периодически. Оперативный аудит с автоматическим реагированием на выявленные нештатные ситуации называется активным.
Реализация протоколирования и аудита решает следующие задачи:
- обеспечение подотчетности пользователей и администраторов;
- обеспечение возможности реконструкции последовательности событий;
- предоставление информации для выявления и анализа проблем.
При протоколировании события рекомендуется записывать, по крайней мере, следующую информацию: дата и время события; уникальный идентификатор пользователя – инициатора действия; тип события; результат действия (успех или неудача); источник запроса (например, имя терминала); имена затронутых объектов (например, открываемых или удаляемых файлов); описание изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта).
Реконструкция последовательности событий позволяет выявить слабости в защите сервисов, найти виновника вторжения, оценить масштабы причиненного ущерба и вернуться к нормальной работе. Выявление и анализ проблем могут помочь улучшить такой параметр безопасности, как доступность. Обнаружив узкие места, можно попытаться переконфигурировать или перенастроить систему, снова измерить производительность и т.д.
Непросто осуществить организацию согласованного протоколирования и аудита в распределенной разнородной системе. Во-первых, некоторые компоненты, важные для безопасности (например, маршрутизаторы), могут не обладать своими ресурсами протоколирования; в таком случае их нужно экранировать другими сервисами, которые возьмут протоколирование на себя. Во-вторых, необходимо увязывать между собой события в разных сервисах.
Активность, не соответствующую политике безопасности, целесообразно разделить на атаки, направленные на незаконное получение полномочий, и на действия, выполняемые в рамках имеющихся полномочий, но нарушающие политику безопасности.
Атаки нарушают любую осмысленную политику безопасности. Для описания и выявления атак можно применять универсальные методы, инвариантные относительно политики безопасности, такие как сигнатуры и их обнаружение во входном потоке событий с помощью аппарата экспертных систем.
Сигнатура атаки – это совокупность условий, при выполнении которых атака считается имеющей место, что вызывает заранее определенную реакцию. (Пример сигнатуры – "зафиксированы три последовательные неудачные попытки входа в систему с одного терминала", пример ассоциированной реакции – блокирование терминала до прояснения ситуации).
Действия, выполняемые в рамках имеющихся полномочий, но нарушающие политику безопасности, называться злоупотреблением полномочиями (пример – неэтичное поведение суперпользователя, просматривающего файлы других пользователей).
Применительно к средствам активного аудита различают ошибки первого и второго рода: пропуск атак и ложные тревоги, соответственно. Нежелательность ошибок первого рода очевидна; ошибки второго рода не менее неприятны, поскольку отвлекают администратора безопасности от действительно важных дел, косвенно способствуя пропуску атак.
Средства активного аудита могут располагаться на всех линиях обороны ИС. На границе контролируемой зоны можно обнаружить подозрительную активность в точках подключения к внешним сетям. В корпоративной сети активный аудит в состоянии обнаружить и пресечь подозрительную активность внешних и внутренних пользователей, выявить проблемы в работе сервисов, вызванные как нарушениями безопасности, так и аппаратно-программными ошибками. Активный аудит может обеспечить защиту от атак на доступность.
Функциональные компоненты и архитектура
В составе средств активного аудита можно выделить следующие функциональные компоненты:
- компоненты генерации регистрационной информации. Они находятся на стыке между средствами активного аудита и контролируемыми объектами;
- компоненты хранения сгенерированной регистрационной информации;
- компоненты извлечения регистрационной информации (сенсоры).
Обычно различают сетевые и хостовые сенсоры, имея в виду под первыми выделенные компьютеры, сетевые карты которых установлены в режим прослушивания, а под вторыми – программы, читающие регистрационные журналы операционной системы. С развитием коммутационных технологий это различие постепенно стирается, так как сетевые сенсоры приходится устанавливать в активном сетевом оборудовании и они становятся частью сетевой ОС:
- компоненты анализа информации, поступившей от сенсоров;
- компоненты хранения информации, участвующей в анализе;
- компоненты принятия решений и реагирования ("решатели");
- компоненты хранения информации о контролируемых объектах;
- компоненты, играющие роль организующей оболочки для менеджеров активного аудита, называемые мониторами и объединяющие анализаторы;
- компоненты интерфейса с администратором безопасности.
Средства активного аудита строятся в архитектуре менеджер/агент. Основными агентскими компонентами являются сенсоры. Анализ, принятие решений – функции менеджеров. Очевидно, между менеджерами и агентами должны быть сформированы доверенные каналы.
1.2. Методы паролирования и политика администрирования паролей
Наибольшее распространение для установления подлинности в настоящее время получили методы паролирования.
Методы паролирования требуют, чтобы пользователь ввел строку символов (пароль) для сравнения с эталонным паролем, хранящимся в памяти системы. Если пароль соответствует эталонному, то пользователь может работать с системой.
При рассмотрении различных методов паролирования будем пользоваться следующими обозначениями: С - сообщение системы; П - сообщение, вводимое пользователем; ОК - сообщение системы о правильном установлении подлинности.
Метод простого пароля состоит во вводе пользователем одного пароля с клавиатуры.
Пpимеp 1 (Паролем является слово "ПАРОЛЬ").
С: Введите пароль
П: ПАРОЛЬ
С: OK
Метод выборки символов состоит в запросе системой определенных символов пароля, выбираемых случайным образом.
Пример 2. (Паролем является слово "ПАРОЛЬ").
С: Введите пароль: 2, 5
П: АЛ
С: OK
Метод выборки символов не позволяет нарушителю определить значение пароля по однократному наблюдению вводимых пользователем символов.
Рассмотренные пароли можно назвать многоразовыми; их раскрытие позволяет злоумышленнику действовать от имени легального пользователя. Гораздо более сильным средством, устойчивым к пассивному прослушиванию сети, являются одноразовые пароли.
Метод паролей однократного использования предполагает наличие списка из N паролей, хранящегося в системе. При каждом обращении к системе пользователь вводит очередной пароль, который после окончания работы вычеркивается системой из списка.
Наиболее известным программным генератором одноразовых паролей является система S/KEY компании Bellcore, имеющая статус Internet-стандарта (RFC 1938). Идея этой системы состоит в следующем. Пусть имеется односторонняя функция f (то есть функция, вычислить обратную которой за приемлемое время не представляется возможным). Эта функция известна и пользователю, и серверу аутентификации. Пусть, далее, имеется секретный ключ K, известный только пользователю.
На этапе начального администрирования пользователя функция f применяется к ключу K n раз, после чего результат сохраняется на сервере. После этого процедура проверки подлинности пользователя выглядит следующим образом:
· сервер присылает на пользовательскую систему число (n-1);
· пользователь применяет функцию f к секретному ключу K (n-1) раз и отправляет результат по сети на сервер аутентификации;
· сервер применяет функцию f к полученному от пользователя значению и сравнивает результат с ранее сохраненной величиной. В случае совпадения подлинность пользователя считается установленной, сервер запоминает новое значение (присланное пользователем) и уменьшает на единицу счетчик (n).
Другой подход к надежной аутентификации состоит в генерации нового пароля через небольшой интервал времени (например, каждые 60 секунд), для чего используются программы или специальные интеллектуальные карты.
Метод групп паролей основывается на том, что система для каждого пользователя может потребовать пароли из двух групп.
Первая группа включает пароли, которые являются ответами на общие для всех пользователей вопросы, например, имя, адрес, номер телефона и т.п. Вторая группа включает пароли - ответы на вопросы, которые устанавливаются администратором системы при регистрации пользователя для работы с системой. Эти вопросы сформулированы персонально для каждого пользователя, например, любимый цвет, девичья фамилия матери и т.п. При каждом обращении пользователя система случайно выбирает по нескольку вопросов из каждой группы. Недостатком рассмотренного метода является то, что системе потребуется значительный объем памяти для хранения вопросов и ответов для большого числа пользователей.
Метод функционального преобразования предполагает, что пользователю при регистрации для работы в системе сообщается некоторое преобразование, которое он может выполнить в уме. Паролем в этом случае является результат такого преобразования.
Пример 3. (Преобразование y=x1+2*x2).
С: Введите пароль: 4, 6
П: 16
С: OK
При работе с паролями должны соблюдаться следующие правила:
- пароли должны храниться в памяти только в зашифрованном виде;
- символы пароля при вводе их пользователем не должны появляться в явном виде;
- пароли должны периодически меняться;
- пароли не должны быть простыми.
Для проверки сложности паролей обычно используют специальные контроллеры паролей.
В настоящее время существует контроллер паролей, который позволяет проверить уязвимость паролей. Контроллер осуществляет попытки взлома пароля по следующей методике.
1. Проверка использования в качестве пароля входного имени пользователя, его инициалов и их комбинаций. Например, для пользователя Daniel V. Klein (автор контроллера) контроллер будет пробовать пароли DVK, DVKDVK, DKLEIN, LEINK, DVKLEIN, DANIELK, DVKKVD, DANIEL-KLEIN и т.д.
2. Проверка использования в качестве пароля слов из различных словарей (60000 слов):
- мужские и женские имена (16000 имен);
- названия стран и городов;
- имена персонажей мультфильмов, кинофильмов, научно - фантастических произведений и т.п.;
- спортивные термины (названия команд, имена спортсменов, спортивный жаргон и т.п.);
- числа (цифрами и прописью, например, 2000, TWELVE);
- строки букв и цифр (например, АА, ААА, АААА и т.д.);
- библейские имена и названия;
- биологические термины;
- жаргонные слова и ругательства;
- последовательности символов в порядке их расположения на клавиатуре (например, QWERTY, ASDF, ZXCVBN и т.д.);
- имена компьютеров (из файла /etc/hostc в ОС Unix);
- персонажи и места действия из произведений Шекспира;
- часто употребляемые иностранные слова;
- названия астероидов.
3. Проверка различных перестановок слов из п.2, включая:
- замену первой буквы на прописную;
- замену всех букв на прописные;
- инверсию всего слова;
- замену буквы О на цифру 0 и наоборот (цифру 1 на букву 1 и т.д.);
- превращение слов во множественное число.
Всего по п.3 контроллер осуществляет проверку на совпадение приблизительно с 1 миллионом слов.
4. Проверка различных перестановок слов из п.2, не рассмотренных в п.3:
-замена одной строчной буквы на прописную (например, michel-miChel и т.п.- около 400000 слов);
- замена двух строчных букв на прописные (около 1500000 слов);
- замена трех строчных букв на прописные и т.д.
5. Для иностранных пользователей проверка слов на языке пользователя.
6. Проверка пар слов.
Проведенные эксперименты показали, что данный контроллер позволил определить 10% паролей из пяти символов, 35% паролей из шести символов, 25% паролей из семи символов и 23% паролей из восьми символов. Это вызвано тем, что большинство пользователей используют простые пароли. Данным обстоятельством воспользовался Р.Моррис - автор "сетевого червя", заразившего сеть Интеpнет в 1988 году. Модуль захвата вируса Морриса осуществлял опробование в качестве паролей учетные имена пользователей, учетные имена пользователей в обратном порядке, а также пароли из шаблона, состоящего из 432 общеизвестных слов. В отдельных случаях Моррис сумел получить до 10% паролей, в том числе и ряд системных паролей.
Вместе с тем паролирование является наименее защищенным средством аутентификации. Ввод пароля можно подсмотреть. Иногда для подглядывания используются даже оптические приборы. Пароль можно угадать "методом грубой силы", используя, скажем, словарь. Если файл паролей зашифрован, но доступен для чтения, его можно скачать к себе на компьютер и попытаться подобрать пароль, запрограммировав полный перебор.
Следующие меры позволяют повысить надежность парольной защиты:
· наложение технических ограничений (пароль должен быть не слишком коротким, он должен содержать буквы, цифры, знаки пунктуации и т.п.);
· управление сроком действия паролей, их периодическая смена;
· ограничение доступа к файлу паролей;
· ограничение числа неудачных попыток входа в систему (это затруднит применение "метода грубой силы");
· обучение пользователей;
· использование программных генераторов паролей (такая программа, основываясь на несложных правилах, может порождать только благозвучные и, следовательно, запоминающиеся пароли).
Электронные подписи и сертификаты
Если для аутентификации должны использоваться электронные подписи, то требуется использование сертификатов. Сертификаты обычно состоят из какой-то информации и электронной подписи информационной части сертификата, выданной доверенным лицом. Пользователи могут получить сертификаты различных уровней.
