5.5. Тактики реализации безопасности

Тактики реализации безопасности подразделяются на несколько подвидов: тактики противодействия атакам, тактики обнаружения атак и тактики восстановления после атак. Все эти категории в равной степени важны. Проведем бытовую аналогию: замок на двери есть средство противодействия атакам, датчик движения — средство обнаружения атаки, а наличие страховки — средство восстановления после атаки. Назначение тактик безопасности показано на рис. 5.8.

Противодействие атакам

В главе 4, характеризуя безопасность, мы обозначили в качестве целей строгое выполнение обязательств, конфиденциальность, целостность и гарантирование.

Достичь этих целей можно путем совместного применения нижеприведенных тактик.

♦ Аутентификация пользователей. Аутентификация проверяет, является ли пользователь или удаленный компьютер тем, за кого себя выдает. Сред-ствами аутентификации являются пароли, одноразовые пароли, цифровые сертификаты и биометрические данные.

♦ Авторизация пользователей. Авторизация проверяет наличие у аутентифицированного пользователя полномочий на получение доступа к данным или службам и их модификацию. Как правило, для проведения авторизации в системе используются образцы управления доступа. Субъектами управления доступом могут быть пользователи или классы пользователей. Последние определяются группами пользователей, ролями пользователей или списками отдельных лиц.

♦ Обеспечение конфиденциальности данных. Данные необходимо защищать от несанкционированного доступа. Как правило, для обеспечения конфиденциальности данные и каналы связи шифруются. Шифрование — это средство дополнительной защиты постоянно обслуживаемых данных, усиливающее результаты авторизации. Каналы связи же обычно вообще не контролируются средствами авторизации. Шифрование, таким образом, оказывается единственным способом защиты данных, передаваемых по открытым каналам связи. Такие каналы реализуются посредством виртуальной частной сети (virtual private network, VPN) или (в случае с вебканалами) протокола защищенных сокетов (secure sockets layer, SSL). Шифрование бывает симметричным (обе стороны пользуются одним и тем же ключом) и ассиметричным (предусматриваются открытый и секретный ключи).

♦ Обеспечение целостности. Данные должны передаваться в неизменном виде. Содержащаяся в них служебная информация — например, контрольные суммы или результаты хэширования — может шифроваться совместно с исходными данными или независимо от них.

♦ Минимизация подверженности внешним воздействиям. В большинстве случаев для проведения атаки на все содержащиеся на хосте данные и службы злоумышленнику достаточно одной лазейки. Задача архитектора состоит в том, чтобы оптимально распределить службы между хостами.

♦ Ограничение доступа. Брандмауэры ограничивают доступ, проверяя порты отправки и назначения сообщений. Сообщения неизвестного происхождения иногда свидетельствуют об атаке. Ограничить доступ известными источниками не всегда возможно. К примеру, запросы на общедоступный вебсайт поступают из самых разных, в том числе неизвестных, источников. В таком случае имеет смысл организовать так называемую демилитаризованную зону (demilitarized zone, DMZ). DMZ открывает доступ к интернет- службам, одновременно защищая ресурсы частной сети. Она находится между общедоступной сетью и брандмауэром, рядом с внутренней сетью. В DMZ располагаются устройства, допускающие прием сообщений от произвольных источников — в частности, веб-службы, почтовые службы и службы доменных имен.

Обнаружение атак

Обычно для этой цели используются системы обнаружения вторжений (intrusion detection systems). Они сравнивают образцы сетевого трафика с записями своей базы данных. В случае выявления злоупотреблений данный образец трафика сравнивается с сохраненными образцами известных атак. При подозрении на аномалию образец трафика сравнивается с сохраненным образцом самого себя. Во многих случаях для сравнения пакетов их необходимо отфильтровать. Фильтрация выполняется на основе протокола, TCP-флагов, размеров полезной нагрузки, адреса источника, адреса назначения или номера порта.

Обязательными элементами систем обнаружения вторжений являются сенсоры выявления атак, диспетчеры, синтезирующие показания этих сенсоров, базы данных с сохраненными для последующего анализа событиями, средства внесетевой отчетности и анализа, а также консоль управления, при помощи которой аналитик может вносить в деятельность системы какие-то коррективы.

Восстановление после атак

Тактики восстановления после атак могут быть ориентированы на восстановление предшествующего состояния или на идентификацию исполнителя атаки (последние можно причислить как к превентивным, так и к карательным мерам).

Тактики восстановления нормального состояния системы или данных частично совпадают с тактиками готовности — и те и другие ориентированы на перевод системы из неустойчивого в устойчивое состояние. В данном случае упор делается на ведение резервных копий административных данных системы: паролей, списков контроля доступа, служб доменных имен и личных параметров пользователя.

Одна из тактик идентификации исполнителя атаки предполагает ведение контрольного журнала (audit trail). В контрольном журнале содержатся копии всех проведенных в системе транзакций с данными, а также идентифицирующие данные. Контрольная информация помогает проследить действия исполнителя атаки, обеспечивает строгое выполнение обязательств (в журнале содержатся свидетельства о подаче запросов) и восстановление системы. Иногда контрольные журналы сами становятся объектами атак, поэтому хранить их нужно со всеми мерами предосторожности.

Схема тактик безопасности представлена на рис. 5.9.