Угроза - это потенциально возможное событие, явление или процесс, которое посредством воздействия на компоненты информационной системы может привести к нанесению ущерба
Уязвимость - это любая характеристика или свойство информационной системы, использование которой нарушителем может привести к реализации угрозы.
Атака - это любое действие нарушителя, которое приводит к реализации угрозы путём использования уязвимостей информационной системы.
Классификация уязвимостей
Из определений видно, что, производя атаку, нарушитель использует уязвимости информационной системы. Иначе говоря, если нет уязвимости, то невозможна и атака, её использующая. Поэтому одним из важнейших механизмов защиты является процесс поиска и устранения уязвимостей информационной системы. Рассмотрим различные варианты классификации уязвимостей. Такая классификация нужна, например, для создания базы данных уязвимостей, которая может пополняться по мере обнаружения новых уязвимостей.
Источники возникновения уязвимостей
Часть уязвимостей закладывается ещё на этапе проектирования. В качестве примера можно привести сервис TELNET , в котором имя пользователя и пароль передаются по сети в открытом виде. Это явный недостаток, заложенный на этапе проектирования. Некоторые уязвимости подобного рода трудно назвать недостатками, скорее это особенности проектирования. Например, особенность сетей Ethernet - общая среда. передачи.
Другая часть уязвимостей возникает на этапе реализации (программирования). К таким уязвимостям относятся, например, ошибки программирования стека TCP/IP приводящие к отказу в обслуживании. Сюда следует отнести и ошибки при написании приложений, приводящие к переполнению буфера.
И, наконец, уязвимости могут быть следствием ошибок, допущенных в процессе эксплуатации информационной системы. Сюда относятся неверное конфигурирование операционных систем, протоколов и служб, нестойкие пароли пользователей и др.
Классификация уязвимостей по уровню в инфраструктуре АС
Следующий вариант классификации - по уровню информационной структуры организации. Это наиболее наглядный вариант классификации, т. к. он показывает, что конкретно уязвимо.
К уровню сети относятся уязвимости сетевых протоколов - стека TCP/IP, протоколов NetBEUI , IPX / SPX .
Уровень операционной системы охватывает уязвимости Windows , UNIX , Novell и т. д., т.е. конкретной ОС.
На уровне баз данных находятся уязвимости конкретных СУБД - Oracle , MSSQL , Sybase . Этот уровень рассматривается отдельно, потому что базы данных, как правило, являются неотъемлемой частью любой компании.
К уровню приложений относятся уязвимости программного обеспечения WEB , SMTP серверов и т. п.
Классификация уязвимостей по степени риска
Этот вариант классификации достаточно условный, однако, если придерживаться взгляда компании Internet Security Systems , можно выделить три уровня риска:
Высокий уровень риска
Уязвимости, позволяющие атакующему получить непосредственный доступ к узлу с правами суперпользователя, или в обход межсетевых экранов, или иных средств защиты.
Средний уровень риска
Уязвимости, позволяющие атакующему получить информацию, которая с высокой степенью вероятности позволит получить доступ к узлу.
Низкий уровень риска
Уязвимости, позволяющие злоумышленнику осуществлять сбор критической информации о системе.
Информацию об известных обнаруженных уязвимостях можно найти на сайтах, таких как:
Reference: BID: 1312
Reference: XF:fw1-packet-fragment-dos
Подробнее узнать о CVE и получить список CVE entry можно по адресу: http://cve .mitre .org /cve .
Классификация атак
Также как и уязвимости, атаки можно классифицировать по различным признакам. Далее приведено несколько вариантов такой классификации.
Классификация атак по целям
Производя атаку, злоумышленник преследует определённые цели. В общем случае это могут быть:
(отказ в обслуживании)
Получение контроля над объектом атаки
Модификация и фальсификация данных
Классификация атак по мотивации действий
Этот перечень является классическим и относится не только к IP -сетям, но и к другим областям деятельности:
Случайность
Безответственность
Самоутверждение
Идейные соображения
Вандализм
Принуждение
Корыстный интерес
Местонахождение нарушителя
Следующий возможный вариант классификации атак - по местонахождению атакующего:
В одном сегменте с объектом атаки; . в разных сегментах с объектом атаки.
От взаимного расположения атакующего и жертвы зависит механизм реализации атаки. Как правило, осуществить межсегментную атаку бывает сложнее.
Механизмы реализации атак
Наиболее важный для понимания сути происходящего - это вариант классификации атак по механизмам их реализации:
Пассивное прослушивание
Пример: перехват трафика сетевого сегмента
подозрительная активность
Пример: сканирование портов (служб) объекта атаки, попытки подбора пароля
Пример: исчерпание ресурсов атакуемого узла или группы узлов, приводящее к снижению производительности (переполнение очереди запросов на соединение и т.п.)
Нарушение навигации (создание ложных объектов и маршрутов)
Пример: Изменение маршрута сетевых пакетов, таким образом, чтобы они проходили через хосты и маршрутизаторы нарушителя, изменение таблиц соответствия условных Internet -имен и IP -адресов (атаки на DNS ) и т.п.
Выведение из строя
Пример: посыпка пакетов определённого типа на атакуемый узел, приводящая к отказу узла или работающей на нём службы ( WinNuke и др.)
Запуск приложений на объекте атаки
Пример: выполнение враждебной программы в оперативной памяти объекта атаки (троянские кони, передача управления враждебной программе путём переполнения буфера, исполнение вредоносного мобильного кода на Java или ActiveX и др.)
Статистика по уязвимостям и атакам за 2000 год
Согласно данным компании Internet Security Systems за 2000 год, наиболее часто при проведении атак использовались следующие уязвимости:
1. Уязвимости, приводящие к отказу в обслуживании (Denial of Service)
2. Уязвимости системной политики (пользовательские бюджеты, пароли)
3. Уязвимости Microsoft Internet Information Server
4. Уязвимости СУБД
5. Уязвимости Web -приложений
6. Уязвимости электронной почты
7. Уязвимости сетевых файловых систем
8. Уязвимости протокола RPC
9. Уязвимости BIND
10. Уязвимости, связанные с переполнением буфера в Linux -приложениях
Примеры атак
Как было сказано выше, наиболее полный вариант классификации атак - по механизмам их реализации. Далее приведены примеры использования некоторых перечисленных механизмов.
Прослушивание трафика
Описание; Перехват и анализ трафика сетевого сегмента, основанный на возможности перевода сетевого адаптера в неселективный режим работы.
Цель: Получение конфиденциальной и критичной информации
Механизм реализации; Пассивное прослушивание
Используемые уязвимости; Основанная на общей среде передачи технология (Ethernet)
Недостаток проектирования. Передача конфиденциальной информации в открытом виде
Недостаток проектирования.
Сеть. Степень риска; Высокая
Термин "сниффер" («нюхач») впервые был использован компанией Network Associates в названии известного продукта " Sniffer (г) Network Analyzer ". В самом общем смысле, слово "сниффер" обозначает устройство, подключенное к компьютерной сети и записывающее весь ее трафик подобно телефонным "жучкам", записывающим телефонные разговоры. Однако чаще всего "сниффером" называют программу, запущенную на подключенном к сети узле и просматривающую весь трафик сетевого сегмента. Работа "сниффера" использует основной принцип технологии Ethernet - общую среду передачи. Это означает, что любое устройство, подключенное к сетевому сегменту, может слышать и принимать все сообщения, в том числе предназначенные не ему. Сетевые адаптеры Ethernet могут работать в двух режимах: селективном (non - promiscuous) и неселективном (promiscuous). В первом случае, принимаются только сообщения, предназначенные данному узлу. Фильтрация осуществляется на основе МАС-адреса фрейма. Во втором случае фильтрация не осуществляется и узел принимает все фреймы, передаваемые по сегменту 1.
Сканирование портов
Описание; Подключение к узлу и перебор портов из известного диапазона с целью выявления работающих на узле служб
Цель; Получение конфиденциальной и критичной информации Механизм реализации; Подозрительная активность
Используемые уязвимости; Ошибки обслуживания. Службы, неиспользуемые, но установленные и работающие.
Уровень информационной инфраструктуры: Сеть. Степень риска: Низкая
Атака SynFlood
Описание; Посылка большого числа запросов на установление TCP -соединения. Цель; Нарушение нормального функционирования объекта атаки Механизм реализации; Бесполезное расходование вычислительного ресурса
Используемые уязвимости: Особенности схемы установления соединения по протоколу TCP .
Уровень информационной инфраструктуры: Сеть. Степень риска; Высокая
В случае получения запроса на соединение система отвечает на пришедший SYN -пакет SYN / ACK -пакетом, переводит сессию в состояние SYN _ RECEIVED и заносит ее в очередь. Если в течении заданного времени от клиента не придет АСК, соединение
1 Более подробно сетевые анализаторы и способы их обнаружения рассматриваются в курсе БТОЗ.
удаляется из очереди, в противном случае соединение переводится в состояние ESTABLISHED (установлено).
Если очередь входных соединений заполнена, а система получает SYN -пакет. приглашающий к установке соединения, он будет проигнорирован.
Затопление SYN -пакетами основано на переполнении очереди сервера, после чего сервер перестает отвечать на запросы пользователей. После истечение некоторого времени (время тайм-аута зависит от реализации) система удаляет запросы из очереди. Однако ничто не мешает злоумышленнику послать новую порцию запросов. Обычно используются случайные (фиктивные) обратные IP -адреса при формировании пакетов, что затрудняет обнаружение злоумышленника.
Атака ARP - Spoofing
Описание: Добавление ложных записей в таблицу, использующуюся при работе протокола ARP
Цель: Нарушение нормального функционирования объекта атаки
Механизм реализации; Нарушение навигации
Используемые уязвимости; Недостаток проектирования протокола ARP
Уровень информационной инфраструктуры: Сеть
Степень риска; Высокая
Большинство ОС добавляют в таблицу новую запись на основе полученного ответа даже без проверки того, был ли послан запрос (исключением, например, является Solaris).
Таким образом, нарушитель может отправить ответ, в котором указан MAC - адрес несуществующего или неработающего в данный момент узла, что приведёт к невозможности взаимодействия узла- «жертвы» с каким-либо узлом. Например, на следующем рисунке узел 223.1.2.1 не будет доступен с узла - объекта атаки после посылки нарушителем ложного ARP -ответа.
Атака IISDOS
Описание: Посылка некорректно построенного HTTP -запроса приводит к перерасходу ресурсов атакуемого WWW -с ep в epa
Цель: Нарушение нормального функционирования объекта атаки Механизм реализации: Бесполезное расходование вычислительного ресурса Используемые уязвимости: Ошибка реализации Microsoft Internet Information Server Уровень информационной инфраструктуры: Приложения Степень риска: Средняя
Выводы
Итак, для защиты от атак необходимо использовать комплекс средств безопасности, реализующий основные защитные механизмы и состоящий из следующих компонентов:
Межсетевые экраны, являющиеся первой линией обороны и реализующие комплекс защитных механизмов, называемый защитой периметра.
Средства анализа защищённости, позволяющие оценить эффективность работы средств защиты и обнаружить уязвимости узлов, протоколов, служб.
Средства обнаружения атак, осуществляющие мониторинг в реальном режиме времени.
ФЕДЕРАЛЬНОЕ АГЕНТСТВО ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ
НАЦИОНАЛЬНЫЙ
СТАНДАРТ
РОССИЙСКОЙ
ФЕДЕРАЦИИ
Защита информации
УЯЗВИМОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ
Классификация уязвимостей информационных систем
Издание официальное
Стандарте иформ 2015
Предисловие
1 РАЗРАБОТАН Обществом с ограниченной ответственностью «Центр безопасности информации» (ООО «ЦБИ»)
2 ВНЕСЕН Технический комитетом по стандартизации ТК 362 «Защита информации»
3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому ре-гулировадою и метрологии от 19 августа 2015 г. N9 1181-ст
4 ВВЕДЕН ВПЕРВЫЕ
Правила применения настоящего стандарта установлены в ГОСТ Р 1.0-2012 (раздел 8). Информация об изменениях к настоящему стандарту публикуется е ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты». а официальный текст изменений и поправок - в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя Национальные стандарты». Соответствующая информация, уведомления и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет ()
© Стандартинформ, 2015
Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Федерального агентства по техническому регулированию и метрологии
Введение
Настоящий стандарт входит в комплекс стандартов, устанавливающих классификацию уязвимостей, правила описания уязвимостей, содержание и порядок выполнения работ по выявлен**) и оцеисе уязвимостей информационных систем (ИС).
Настоящий стандарт распространяется на деятельность по защите информации, связанную с выявлением и устранением уязвимостей ИС при создании и эксплуатации ИС.
8 настоящем стандарте принята классификация уязвимостей ИС. исходя из области происхождения уязвимостей, типов недостатков ИС и мест возникновения (проявления) уязвимостей ИС.
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
Защита информации
УЯЗВИМОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ Классификация уязвимостей информационных систем Information protection. Vulnerabilities in information systems The classification of vulnerabilities in information systems
Дата введения - 2016-04-01
1 Область применения
Настоящий стандарт устанавливает классификацию уязвимостей информационных систем (ИС). Настоящий стандарт направлен на совершенствование методического обеспечения определения и описания угроз безопасности информации при проведении работ по защите информации в ИС.
Настоящий стандарт не распространяется на уязвимости информационных систем, связанные с утечкой информации по техническим каналам, в том числе уязвимостями электронных компонентов технических (аппаратных и аппаратно-программных) средств информационных систем.
2 Нормативные ссылки
В настоящем стандарте использована нормативная ссылка на следующий стандарт:
ГОСТ Р 50922-2006 Защита информации. Основные термины и определения
Примечание - При пользована настоящим стандартом целесообразно проверить действие ссыпо*«ьсх стандартов в информационной системе общего пользования - на официальном сайте национального органа Российской Федерации по стандарткэащы в сети Интернет или по ежегодному информационному указэтего «Нацио-иагьные стандарты», который олублюоеан по состоя»**) на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого документа с учетом всех внесе»*ых в да»чую версию изменений. Если заменен ссылочный стандарт, на который дана датм-роеаиная ссылка, то рекомендуется нспопьдоеатъ вероео этого документа с ука»»чьи< воше гадом утеерждотм (пргыятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это полажвюю рекомендуется применять без учета данного мзмеиеьыя. Если ссылочный стандарт отменен без замены, то полаже»#*е. в котором д»*а ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.
3 Термины и определения
В настоящем стандарте применены термины по ГОСТ Р 50922. а также следующие термины с соответствующими определениями:
3.1 информационная система: Совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств.
Примечание - Определение термине соответствует J1J.
3.2 компонент информационной системы Часть информационной системы, включающая некоторую совокупность информации и обеспечивающих ее обработку отдельных информационных технологий и технических средств.
3.3 признак классификации уязвимостей: Свойство или характеристика уязвимостей, по которым производится классификация.
3.4 информационная технология [технология обработки (передачи) информации в информационном системе]: Процесс, метод поиска, сбора, хранения, обработки, предоставления, распространения информации и способ осуществления таких процессов и методов.
Издание официальное
3.5 конфигурация информационной системы: Взаимосвязанные структурно-функциональные характеристики информационной системы, включающие структуру и состав информационной системы. физические, логические, функциональные и технологические взаимосвязи между компонентами информационной системы, с иными информационными системами и информационно-телекоммуникационными сетями, а также с полномочиями субъектов доступа к объектам доступа информационной системы.
3.6 угроза безопасности информации Совокупность условии и факторов, создающих потенциальную или реально существующую опасность нарушения безопасности информации.
3.7 уязвимость: Недостаток (слабость) программного (программно-технического) средства или информационной системы в целом, которым (которая) может быть использована для реализации угроз безопасности информации.
3.8 уязвимость кода: Уязвимость, появившаяся в процессе разработки программного обеспечения.
3.9 уязвимость конфигурации: Уязвимость, появившаяся в процессе задания конфигурации (применения параметров настройки) программного обеспечения и технических средств информационной системы.
3.10 уязвимость архитектуры Уязвимость, появившаяся в процессе проектирования информационной системы.
3.11 уязвимость организационная Уязвимость, появившаяся в связи с отсутствием (или недостатками) организационных мер защиты информации в информационной системе и (или) несоблюдением правил эксплуатации системы зашиты информации информацио*#юй системы, требований организационно-распорядительных документов по защите информации и (или) несвоевременном выполнении соответствующих действий должностным лицом (работником) или подразделением, ответственными за защиту информации.
3.12 уязвимость многофакторная УЯэвимость. появившаяся в результате наличия нескольких недостатков различных типов.
3.13 язык программирования: Язык, предназначенный для разработки (представления) программного обеспечения.
3.14 степень опасности уязвимости Мера (сравнительная величина), характеризующая подвержен ность информационной системы уязвимости и ее влияние на нарушение свойств безопасности информации (конфиденциальность, целостность, доступность).
4 Основные положения
4.1В основе классификации уязвимостей ИС используются следующие классификационные признаки:
Область происхождения уязвимости;
Типы недостатков ИС;
Место вознжновения (проявления) уязвимости ИС.
Примечание - В качестве уязвимых компонентов информационной системы рассматриваются: общесистемное (общее), прикладное, специальное программное обеспечение, технические средства, сетевое (комму-имсащюююе. талекоммундеационное) оборудовало. средства защиты информащм.
4.2 Помимо классификационных признаков уязвимостей ИС используются поисковые признаки (основные и дополнительные). Поисковые признаки предназначены для организации расширенного поиска в базах данных уязвимостей.
4.3 К основным поисковым признакам уязвимостей ИС относятся следующие:
Наименование операционной системы (ОС) и тип аппаратной платформы;
Наименование программного обеспечения (ПО) и его версия;
Степень опасности уязвимости.
4.4 К дополнительным поисковым признакам уязвимостей ИС относятся следующие;
Язык программирования;
Служба (порт), которая (который) используется для функционирования ПО.
5 Классификация
5.1 Уязвимости ИС по области происхождения подразделяются на следующие классы:
Уязвимости кода:
Уязвимости конфигурации:
Уязвимости архитектуры:
Организационные уязвимости:
Многофакторные уязвимости.
Примечание - 8 целях выявления и оценки уязвимостей информационных систем могут выделяться подклассы уязвимостей.
5.2 Уязвимости ИС по типам недостатков ИС подразделяются на следующие:
Недостатки, связанные с неправильной настройкой параметров ПО.
Примечание - Неправильная настройка параметров ПО заюжмэется е отсутствие необходимого параметра. присвоении параметру непраемгыиых значений, иагычии избыточного ‘ысла параметров или неопределенных параметров ПО:
Недостатки, связанные с неполнотой проверки вводимых (входных) данных.
Примечание - Недостаточность проверки вводимых (входных) данных заключается в отсутствии проверяй знэчееый. избыточном количестве зна*ю»кы. неопределенности значений вводимых (вхошых) данных;
Недостатки, связанные с возможностью прослеживания пути доступа к каталогам.
Примечание - Прослеживание пути доступа к каталогам заключается в отслеживании пути доступа к каталогу (по адресной сгрокв/составному имеям) и получении доступа к предыдухцему/кориевому месту хранения лгьчых.
Недостатки, связанные с возможностью перехода по ссылкам:
Примечание - Переход по ссылкам связан с возможностью внедрения нарушителем ссылки на стором-мке ресурсы, которые могут содержать вредоносный код. Для файловых систем недостатками являются chmbotv-»ые ссылки и возможности прослежиоаыя по нш нахождения ресурса, доступ к которому ограничен:
Недостатки, связанные с возможностью внедрения команд ОС:
Примечание - Внедрение команд ОС закгьо^еется в возможности выпетые ния пользователем команд операционной системы (например, просмотре структуры каталогов, копирование, удаление файлов и другие го- недостатки, связанные с межсайтовым скриптингом (выполнением сценариев).
Примечание - Межсайтовый скрипты»* обычно распространен в веб-приложениях и позволяет внедрять код в веб-страницы, которые могут просматривать нелегитимные пользователи. Примерами такого кода являются скрипты, выполняющиеся на стороне пользователя;
Недостатки, связанные с внедрением интерпретируемых операторов языков программирования или разметки.
Примечание - Недостатки связаны с внедрением интерпретируемых операторов языков программирования (например, операции выбора, добавления, удапеюся и другие) или разметки в исходный код ввб-лриложемкя;
Недостатки, связанные с внедрением произвольного кода.
Примечание - Недостатки связаны с внедре»ыем произвольного кода и части кода, которые могут привести к нарушению процесса выполиееыя операций:
Недостатки, связанные с переполнением буфера памяти.
Примечание - Переполнение буфера возникает в случае, когда ПО осуществляет запись данных за предела им вьделеыюго а памяти буфера. Перепал ме*ме буфера обычно возникает из-за неправильной работы с данные**. получе»»ыми извне, и памятью, при отсутствии зашиты со стороны среды программирования и операционной системы. В рвзу/ътатв переполнения буфера могут быть испорчен данные, расположен»»*) следом за буфером или перед ним. Переполнение буфера может вызывать аварийное завершение игы зависание ПО. Отдельные виды перелагые»*«й буфера (например. переполиеы«е в стековом кадре) поэеолзьот нарушителю выполнить произвольный код от имени ПО и с правами учетной затеей, от которой она выполняется;
Недостатки, связаюгые с неконтролируемой форматной строкой.
Примечание - Форматная строка в языках C/C++ является специальным аргументом функции с динамически изменяемым «мелом параметров. Ее значение в момент вызова функции определяет фактическое когьгче-ство и типы параметров функции. Оомбки форматной строки потенциально позволяют наруимтелю динамически изменять путь испагыеюгя программ, е ряде случаев - внедрять произвольный код:
Недостатки, связанные с вычислениями.
Примечание -К недостаткам, связанным с вычислениями относятся следующие: некорректный диапазон, когда ПО использует неверное максимальное игм мъыимальное значимо, которое отличается от верного на ед*ьыцу в богьшую или меньшую сторону:
ошибка числа со знаком, когда нарушите*» может ввести дэгчые. содержащие отрицательное целое число, которые программа преобразует в положительное нецелое число:
ошибка усечегыя числа, когда часть числа отсекается (например, вследствие явного игм неявного преобразования или иных переходов между типами ^мсел);
ошибка индикации порядка байтов в числах, когда в ПО смешивается порядок обработки битое (например, обратный и прямой порядок битов), что приводит к неверному члелу в содержимом, имеющем критическое злаченые для безопасности:
Недостатки, приводящие к утечке/расхрытию информации ограниченного доступа.
Примечание - Утечка информации - преднамеренное или неуьышленыое разглашение юформэшы ограниченного доступа (например, существует утечки информации при гвмерироозгмн ПО сообщения об ошибке, которое содержит сведения ограниченного доступа). Недостатки, приводящие к утечке/раафытию нетформашяг ограниченного доступа, могут быть образованы вследствие нали^ыя иных ошибок (например, ошибок, связаюых с использованием скриптов):
Недостатки, связанные с управлением полномочия** (учетными данными).
Примечание - К недостаткам, свяэа»»ьвг с управлением полномочиями (учетными данными) относятся, например, нарушение погетжи разграничения доступа, отсутствие необходимых ролей пользователей. ошибки при удале»** ненужных ученых даюых и другие.
Недостатки, связаюгые с управлением разрешениями, привилегиями и доступом.
Примечание - К недостаткам, связа^ым с управлением разрешениями, привилегиями и доступом относятся. например, превышение привилегий и полмомо»мй. необоснованному иалмеео суперпользователей в системе. нарушение политики разграничения доступа и другие:
Недостатки, связаюгые с аутеитиф+асаиией.
Примечание - К недостаткам, сеязажым с аутектифмеэцией относятся: возможность обхода аутентификации. ошибки логики процесса аутентификации, отсутствие запрета множествеюых неудачных погыток аутм«-тифжащм. отсутствие требования аутентификации для вылолнегыя критичных фумщий;
Недостатки, связанные с криптографическими преобразованиями (недостатки шифрования).
Примечание - К недостаткам, связанным с криптографическими преобразованиями относятся ошибки хранения ^формации в незашифрованном виде, ошибки при управлении ключами, использование месертифици-рованных средств кригтто графтегесхом защиты деформации;
Недостатки, связанные с подмен ой межсайтовых запросов.
Примечание - Подмена мвжеайтоеого запроса заюксмается в том. что используемое ПО не осуществляет или не может осуществить проверку праеи/ьностм формирования запроса:
Недостатки, приводящие к «состоянию гонки».
Примечание - «Состояние гонки» - ошибка проектирования многопогоыой системы или приложегыя. при котором функционирооа! мо системы или приложения зависит от порядка выполнения части кода. «Состоякме помог» является специфической ошибкой, проявляющейся в случайные моменты времени:
Недостатки, связанные с управлением ресурсами.
Примечание - К недостаткам управления ресурсами относятся: недостаточность мер освобождения выделенных участков памяти после использования, что приводит к сокращению свободных областей памяти, отсутствие оыстки ресурса и процессов от сведений ограниченного доступа перед повторив* использованием и другие:
Иные типы недостатков.
Примечание -По результатам выявления уязвим ост ей «формационных систем перечень типов неоостатков может дополняться.
5.3 Уязвимости ИС по месту возникновения (проявления) подразделяются на следующие:
Уязвимости в общесистемном (общем) программном обеспечении.
Примечание - К уязвимостям в общесистемном (общем) программном обеспечении относятся уязвимости операционных систем (уязвимости файловых систем, уязвимости режимов загрузки, уязвимости, связанные с наличием средств разработки и отладки программного обеспечения, уязвимости механизмов управления процессами и другие), уязвимости систем управления базами даиых (уязвимости серверном и клиентской частей системы управления базами данных, уязвимости специального инструментария, уязвимости исполняемых объектов баз данных (хранимые процедуры, триггеры) и другие), уязвимости иных типов общесистемного (общего) программного обеспечения:
Уязвимости в прикладном программном обеспечении.
Примечание - К уязвимостям в присланном программном обеспечении относятся уязвимости офиоых пакетов программ и и»мх типов прикладного программного обеспечения (калине средств разработки мобильного кода, недостатки механизмов контроля исполнения мобильного кеда, ошибки программирования, наличие функциональных возмаююстей. способных оказать влияние на средства зашиты информации и другие уязвимости):
Уязвимости в специальном программном обеспечении.
Примечание - К уязвимостям в специальном программном обеспеченны относятся уязвимости программного обеспечения, разработанного для решения специфических задач конкретной информационной системы (ошибки программирования, наличие функциома/ъных возможностей, способных оказать влияние на средства зашиты информации, недостатки механизмов разграничения доступа к объектам специального программного обеспечения и другие уязвимости);
Уязвимости в технических средствах.
Примечание - К уязвимостям в технических средствах относятся уязвимости программного обеспечения технических средств (уязвимости микропрограмм а посгонниых запоминающих устройствах, уязвимости микропрограмм в программируемых логииесюи интегральных схемах, уязвимости базовой системы вееда-вывода, уязвимости программного обеспечения контроллеров управления, интерфейсов у правое нш и другие уязвимости), «ые уязвимости технических средств:
Уязвимости в портативных технических средствах.
Примечание - К уязвимостям в портативных технических средств относятся уязвимости операционных систем моби/ыых (портативных) устройств, уязвимости приложений для получения с мобильно устройства доступа к №териет-сервисам. уязвимости интерфейсов беспроводного доступа, игые уязвимости портативных технических средств:
Уязвимости в сетевом (коммуникационном, телекоммуникационном) оборудовании.
Примечание - К уязвимостям в сетевом (коммуникационном. телекоммуиесациоином) оборудовании относятся уязвимости маршрутизаторов, коммутаторов, концентраторов. мугыиплексорое. мостов и талекоммуиъжа-letOHHoro оборудования иных типов (уязвимости протоколов и сетевых сервисов, уязвимости средств и протоколов управленея телекоммуникационным оборудованием, недостатки механизмов управления потоками информации, недостатки механизмов разграничения доступа к функциям управления телекоммуникационным оборудованием, другие уязвимости):
Уязвимости в средствах защиты информации.
Примечание - К уязвимостям в средствах защиты информации относятся уязвимости а средствах управления доступом, средствах идентификации и эутемтификацен. средствах контроля целостности, средствах доверенной загрузки, средствах антивирусной защиты, системах обнаружения вторжений, средствах межсетевого экранирования, средствах управления потоками информации, средствах огражмемся программной среды, средствах стирания информации и контроля удаления информации, средствах зашиты Качалов передачи ««формации, уязвимости в иных средствах защиты ««формации (ошибки программированы. недостатки, связанные возможностью обхода, отключения, преодолены функций безопасности, другие уязвимости).
Библиография
Федеральный закон Российской Федерации «Об информации, информационных технологиях и о
защите информации» от 27.07.2006 No 149-ФЗ
УДК 004. 006.354 ОКС 35.020
Ключевые слова: информационная система, программное обеспечение, защита информации, уязвимость, недостаток, классификация, угроза безопасности
Редактор JU JU. Menaced Технический редактор АБ. Заеарзша Корректор В.Г. Смолин Компьютерная верстка Д.Е. Першин
Сошно ш набор 24.09 2015. Подписано а печать в. 10-2015. Формат 60x841 <8 Г арии тура Ареал. Ус», веч. л. 1.40. Уч.«*за я. 0.70. Тирам 32 ж За* 3410.
Набраж» в ООО «Ахадеммаоаг»
Academtfdal.com lenngacademizdataj
Иаоаио и отпечатано во
ФГУП «СТАИДАРТИИФОРМ». 123995 Мосжаа. Гранат"** пер. 4 vrww 90stnfo.ru mfoQgosanfo.oj
- ГОСТ 22731-77 Системы передачи данных процедуры управления звеном передачи данных в основном режиме для полудуплексного обмена информацией
- ГОСТ 26525-85 Системы обработки данных. Показатели использования
- ГОСТ 27771-88 Процедурные характеристики на стыке между оконечным оборудованием данных и аппаратурой окончания канала данных. Общие требования и нормы
- ГОСТ 28082-89 Системы обработки информации. Методы обнаружения ошибок при последовательной передаче данных
- ГОСТ 28270-89 Системы обработки информации. Спецификация файла описания данных для обмена информацией
- ГОСТ Р 43.2.11-2014 Информационное обеспечение техники и операторской деятельности. Язык операторской деятельности. Структурированное представление текстовых сведений в форматах сообщений
- ГОСТ Р 43.2.8-2014 Информационное обеспечение техники и операторской деятельности. Язык операторской деятельности. Форматы сообщений для технической деятельности
- ГОСТ Р 43.4.1-2011 Информационное обеспечение техники и операторской деятельности. Система «человек-информация»
- ГОСТ Р 53633.10-2015 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eTOM). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Управление организацией. Управление рисками организации
- ГОСТ Р 53633.11-2015 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eTOM).Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Управление организацией. Управление эффективностью организации
- ГОСТ Р 53633.4-2015 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eTOM). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Основная деятельность. Управление и эксплуатация услуг
- ГОСТ Р 53633.7-2015 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eTOM). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Стратегия, инфраструктура и продукт. Разработка и управление ресурсами
- ГОСТ Р 53633.9-2015 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eTOM). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Управление организацией. Планирование стратегии и развития организации
- ГОСТ Р 55767-2013 Информационная технология. Европейская рамка ИКТ-компетенций 2.0. Часть 1. Общая европейская рамка компетенций ИКТ-специалистов для всех секторов индустрии
- ГОСТ Р 55768-2013 Информационная технология. Модель открытой Грид-системы. Основные положения
- ГОСТ Р 56093-2014 Защита информации. Автоматизированные системы в защищенном исполнении. Средства обнаружения преднамеренных силовых электромагнитных воздействий. Общие требования
- ГОСТ Р 56115-2014 Защита информации. Автоматизированные системы в защищенном исполнении. Средства защиты от преднамеренных силовых электромагнитных воздействий. Общие требования
- ГОСТ Р 56545-2015 Защита информации. Уязвимости информационных систем. Правила описания уязвимостей
- ГОСТ Р 56546-2015 Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем
- ГОСТ IEC 60950-21-2013 Оборудование информационных технологий. Требования безопасности. Часть 21. Удаленное электропитание
- ГОСТ IEC 60950-22-2013 Оборудование информационных технологий. Требования безопасности. Часть 22. Оборудование, предназначенное для установки на открытом воздухе
- ГОСТ Р 51583-2014 Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения
- ГОСТ Р 55766-2013 Информационная технология. Европейская рамка ИКТ-компетенций 2.0. Часть 3. Создание e-CF - соединение методологических основ и опыта экспертов
- ГОСТ Р 55248-2012 Электробезопасность. Классификация интерфейсов для оборудования, подсоединяемого к сетям информационных и коммуникационных технологий
- ГОСТ Р 43.0.11-2014 Информационное обеспечение техники и операторской деятельности. Базы данных в технической деятельности
- ГОСТ Р 56174-2014 Информационные технологии. Архитектура служб открытой Грид-среды. Термины и определения
- ГОСТ IEC 61606-4-2014 Аудио- и аудиовизуальное оборудование. Компоненты цифровой аудиоаппаратуры. Основные методы измерений звуковых характеристик. Часть 4. Персональный компьютер
- ГОСТ Р 43.2.5-2011 Информационное обеспечение техники и операторской деятельности. Язык операторской деятельности. Грамматика
- ГОСТ Р 53633.5-2012 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eTOM). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Стратегия, инфраструктура и продукт. Управление маркетингом и предложением продукта
- ГОСТ Р 53633.6-2012 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eTOM). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Стратегия, инфраструктура и продукт. Разработка и управление услугами
- ГОСТ Р 53633.8-2012 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eTOM). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Стратегия, инфраструктура и продукт. Разработка и управление цепочками поставок
- ГОСТ Р 43.0.7-2011 Информационное обеспечение техники и операторской деятельности. Гибридно-интеллектуализированное человекоинформационное взаимодействие. Общие положения
- ГОСТ Р 43.2.6-2011 Информационное обеспечение техники и операторской деятельности. Язык операторской деятельности. Морфология
- ГОСТ Р 53633.14-2016 Информационные технологии. Сеть управления электросвязью расширенная схема деятельности организации связи (eTOM). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Управление организацией. Управление отношениями с заинтересованными сторонами и внешними связями
- ГОСТ Р 56938-2016 Защита информации. Защита информации при использовании технологий виртуализации. Общие положения
- ГОСТ Р 56939-2016 Защита информации. Разработка безопасного программного обеспечения. Общие требования
- ГОСТ Р ИСО/МЭК 17963-2016 Спецификация веб-служб для управления (WS-management)
- ГОСТ Р 43.0.6-2011 Информационное обеспечение техники и операторской деятельности. Естественно-интеллектуализированное человекоинфомационное взаимодействие. Общие положения
- ГОСТ Р 54817-2011 Воспламенение аудио-, видеоаппаратуры, оборудования информационных технологий и связи, случайно возникшее от пламени свечи
- ГОСТ Р МЭК 60950-23-2011 Оборудование информационных технологий. Требования безопасности. Часть 23. Оборудование для хранения больших объемов данных
- ГОСТ Р МЭК 62018-2011 Потребление энергии оборудованием информационных технологий. Методы измерения
- ГОСТ Р 53538-2009 Многопарные кабели с медными жилами для цепей широкополосного доступа. Общие технические требования
- ГОСТ Р 53633.0-2009 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eТОМ). Общая структура бизнес-процессов
- ГОСТ Р 53633.1-2009 Информационная технология. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eТОМ). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Основная деятельность. Управление взаимоотношениями с поставщиками и партнерами
- ГОСТ Р 53633.2-2009 Информационные технологии. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eТОМ). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Основная деятельность. Управление и эксплуатация ресурсов
- ГОСТ Р 53633.3-2009 Информационная технология. Сеть управления электросвязью. Расширенная схема деятельности организации связи (eТОМ). Декомпозиция и описания процессов. Процессы уровня 2 eTOM. Основная деятельность. Управление взаимоотношениями с клиентами
- ГОСТ Р ИСО/МЭК 20000-2-2010 Информационная технология. Менеджмент услуг. Часть 2. Кодекс практической деятельности
- ГОСТ Р 43.0.3-2009 Информационное обеспечение техники и операторской деятельности. Ноон-технология в технической деятельности. Общие положения
- ГОСТ Р 43.0.4-2009 Информационное обеспечение техники и операторской деятельности. Информация в технической деятельности. Общие положения
- ГОСТ Р 43.0.5-2009 Информационное обеспечение техники и операторской деятельности. Процессы информационно-обменные в технической деятельности. Общие положения
- ГОСТ Р 43.2.1-2007 Информационное обеспечение техники и операторской деятельности. Язык операторской деятельности. Общие положения
- ГОСТ Р 43.2.2-2009 Информационное обеспечение техники и операторской деятельности. Язык операторской деятельности. Общие положения по применению
- ГОСТ Р 43.2.3-2009 Информационное обеспечение техники и операторской деятельности. Язык операторской деятельности. Виды и свойства знаковых компонентов
- ГОСТ Р 43.2.4-2009 Информационное обеспечение техники и операторской деятельности. Язык операторской деятельности. Cинтактика знаковых компонентов
- ГОСТ Р 52919-2008 Информационная технология. Методы и средства физической защиты. Классификация и методы испытаний на огнестойкость. Комнаты и контейнеры данных
- ГОСТ Р 53114-2008 Защита информации. Обеспечение информационной безопасности в организации. Основные термины и определения
- ГОСТ Р 53245-2008 Информационные технологии. Системы кабельные структурированные. Монтаж основных узлов системы. Методы испытания
- ГОСТ Р 53246-2008 Информационные технологии. Системы кабельные структурированные. Проектирование основных узлов системы. Общие требования
Максимальный уровень риска уязвимостей, связанных с отсутствием обновлений безопасности (доля уязвимых систем)
В 2015 году сетевые инфраструктуры компаний оказались лучше защищены от внешнего злоумышленника, чем в предыдущие годы, однако уровень защищенности от внутреннего нарушителя остался крайне низким. Лидер уязвимостей сетевого периметра - старые версии ПО, во внутренних сетях - недостатки управления учетными записями и паролями. Увеличилось число сотрудников, которые переходят по внешним ссылкам, а уровень защищенности каждой третьей из беспроводных сетей оценивается «ниже среднего». Такие наблюдения сделаны в исследовании компании Positive Technologies на основе тестов на проникновение, проводившихся в 2015 году. Ниже мы представляем основные результаты исследования.
Исходные данные
В исследовании использованы результаты тестирования 17 информационных систем крупных российских и зарубежных компаний. Наибольшую долю составляют компании финансового сектора (35%). В равных долях представлены промышленные, телекоммуникационные и IT-компании (по 18%), также среди протестированных - одна транспортная компания и одна госорганизация. Большинство исследованных предприятий включали множество дочерних компаний и филиалов, расположенных в разных городах и странах; количество активных узлов, доступных на их сетевом периметре, исчислялось сотнями. Помимо тестирования на проникновение, в 24% проектов проводилась оценка осведомленности сотрудников в вопросах информационной безопасности.Общие результаты
В 76% исследованных систем выявлена возможность получения злоумышленником полного контроля над отдельными критически важными ресурсами. При этом в 35% систем такой уровень привилегий может быть получен от лица любого внешнего нарушителя. Не удалось получить контроль над какими-либо критически важными ресурсами в 24% проектов. В целом видна тенденция к повышению общего уровня защищенности критически важных ресурсов, по сравнению с 2013 и 2014 годами.В половине исследованных систем возможно получение полного контроля над всей корпоративной инфраструктурой. При этом в 19% случаев такие привилегии могут быть получены со стороны внешнего нарушителя, а еще в 31% компаний - от лица внутреннего нарушителя из пользовательского сегмента сети.
Минимальный уровень доступа, необходимый нарушителю для получения полного контроля над отдельными критически важными ресурсами
Как и в предыдущие годы, практически в каждой корпоративной инфраструктуре были обнаружены уязвимости высокой степени риска. С 2013 года сохраняется тенденция к росту доли организаций, корпоративная инфраструктура которых подвержена критически опасным уязвимостям, связанным с использованием устаревших версий ПО и с отсутствием обновлений безопасности. Средний возраст наиболее устаревших неустановленных обновлений - 73 месяца (более шести лет).
Недостатки защиты сетевого периметра
По сравнению с 2014 годом общий уровень защищенности сетевого периметра повысился: в рамках почти половины проектов, где проводились работы, не было выявлено недостатков, которые позволили бы получить доступ к критически важным ресурсам из внешних сетей. Сложность осуществления атак также возросла: для получения доступа к ресурсам внутренней сети внешнему нарушителю лишь в 46% случаев достаточно обладать низкой квалификацией (против 61% в 2014 году).
Сложность преодоления периметра
В 54% проектов, где проводились работы по внешнему тестированию на проникновение, были получены максимальные привилегии в каких-либо критически важных для бизнеса системах, в 27% случаев - полный контроль над всей инфраструктурой компании.
В 55% систем для преодоления сетевого периметра без использования методов социальной инженерии требовалась средняя либо низкая квалификация, либо вовсе тривиальные действия нарушителя. В среднем для получения доступа к ресурсам внутренней сети, как и в 2014 году, требовалась эксплуатация двух различных уязвимостей.
При преодолении сетевого периметра в 47% случаев вектор атаки основывался на эксплуатации уязвимостей веб-приложений . В целом уязвимости различного уровня риска в коде веб-приложений были обнаружены в 69% исследованных систем. Например, уязвимость «Загрузка произвольных файлов» была выявлена в 56% проектов, а «Внедрение операторов SQL» оказалось возможно в 44%.
Другие 53% атак, в результате которых был получен доступ к ресурсам внутренней сети, пришлись на использование словарных учетных данных . Данная уязвимость была наиболее распространенной в 2014 году, а в 2015 году выявлена на сетевом периметре 78% систем. Во всех этих системах были обнаружены простые пароли привилегированных пользователей. В 44% компаний словарные учетные данные использовались для доступа к общедоступным веб-приложениям.
Во всех исследованных системах были выявлены недостатки, связанные с использованием на сетевом периметре уязвимых версий ПО ; главным образом это устаревшие версии веб-серверов (78%) и прикладного ПО (67%).
Наиболее распространенные уязвимости на сетевом периметре
Недостатки защиты внутренней сети
Как и в предыдущие годы, в рамках всех проектов удалось получить максимальные привилегии в критически важных системах при тестировании от лица внутреннего злоумышленника (например, рядового сотрудника, находящегося в пользовательском сегменте сети). При этом полный контроль над инфраструктурой был получен в 71% случаев. Полученные результаты совпадают с показателями 2013 года.В среднем при наличии доступа во внутреннюю сеть для контроля над критически важными ресурсами злоумышленнику требуется эксплуатация четырех различных уязвимостей, что на один шаг больше, чем в предыдущем году, и на один шаг меньше, чем в 2013 году. Однако сложность реализации атак существенно снизилась - в 82% случаев для доступа к критически важным ресурсам нарушителю достаточно было обладать квалификацией низкого уровня; аналогичный показатель в 2014 году составлял лишь 56%.
Самой распространенной уязвимостью ресурсов внутренней сети остается использование словарных паролей. Данный недостаток обнаружен в рамках всех без исключения проектов. При этом в 91% случаев было выявлено использование слабых паролей для привилегированных учетных записей.
Словарные пароли во внутренней сети
Во всех системах также были выявлены недостатки защиты служебных протоколов, которые могут привести к перехвату и перенаправлению сетевого трафика. Недостаточный уровень защиты привилегированных учетных записей и недостатки антивирусной защиты по-прежнему распространены во внутренней сети компаний: уязвимости каждой из этих категорий были обнаружены в 91% систем.
Уровень защищенности внутренних сетей по-прежнему остается крайне низким. Несмотря на отдельные улучшения (например, повысился средний уровень криптографической защиты, повысилась осведомленность пользователей в вопросах информационной безопасности), применяемых мер защиты все так же недостаточно для противодействия злоумышленникам. Наиболее распространенный сценарий развития атаки во внутренней сети практически не изменился с 2014 года и состоит всего из трех основных этапов. Как и прежде, для успешной атаки достаточно использовать широко распространенные и давно известные типы уязвимостей.
Наиболее распространенные уязвимости внутренней сети
Недостатки осведомленности сотрудников в вопросах ИБ
В целом уровень осведомленности сотрудников в вопросах информационной безопасности оценивается выше, чем в 2014 году, но по-прежнему остается достаточно низким: ни в одной из протестированных систем он не был оценен как приемлемый, хотя вдвое снизилась доля компаний, для которых уровень осведомленности сотрудников был оценен как крайне низкий (25% против 50% в 2014 году).В 2015 году в среднем 24% пользователей осуществили переход по поддельной ссылке (в 2014 году было 20%). Не изменилась доля испытуемых, которые ввели свои учетные данные в заведомо ложную форму аутентификации или загрузили исполняемый файл: показатель остался на уровне 15%.
Доля зафиксированных событий относительно общего количества отправленных сообщений
Недостатки защиты беспроводных сетей
В рамках данных работ проводится поиск недостатков в использовании точек доступа и клиентских устройств Wi-Fi для диапазонов 2,4 и 5 ГГц с использованием технологий 802.11a/b/g/n, а также недостатков в архитектуре и организации беспроводного доступа. Лишь для 33% систем уровень защищенности беспроводных сетей был оценен как «приемлемый».Среди выявленных недостатков стоит отметить использование механизма WPS для упрощения процесса настройки беспроводной сети. Для подключения к точке доступа используется специальный PIN-код, состоящий только из цифр. Нарушитель может подобрать PIN-код и подключиться к точке доступа.
Также выявлены факты использования несанкционированных точек доступа ; в случае их подключения к локальной вычислительной сети злоумышленник имеет возможность получить доступ к внутренним сетям. В ряде систем обнаружено отсутствие защиты отдельных беспроводных сетей , что может привести к перехвату важной информации. К распространенным уязвимостям можно также отнести использование стандартных учетных записей для доступа к веб-интерфейсу управления сетевым оборудованием.
В рамках одного из проектов было установлено, что почти все беспроводные сети компании доступны за пределами контролируемой зоны, при этом на общедоступных ресурсах сетевого периметра в открытом виде хранились учетные данные пользователя домена. Таким образом любой внешний нарушитель может подключиться к беспроводной сети и проводить атаки на ресурсы ЛВС.
Заключение
Для снижения рисков компрометации критически важных систем со стороны внешних нарушителей рекомендуется особое внимание уделять ресурсам, доступным из внешних сетей. Как показывает практика, подавляющее большинство успешных атак основаны на эксплуатации уязвимостей не официальных сайтов организаций и их серверов, а каких-либо других ресурсов компании, которые не должны быть доступны на сетевом периметре (например, СУБД, неиспользуемых отладочных интерфейсов, интерфейсов удаленного доступа или управления, интерфейсов инфраструктурных служб, таких как LDAP). Интерфейсы для доступа к таким ресурсам могут быть открыты для подключения по ошибке администраторов; зачастую представители крупных компаний, отвечающие за безопасность, не могут точно сказать - сколько и каких ресурсов организации доступны из внешних сетей.Для защиты от атак на веб-приложения рекомендуется применять межсетевые экраны уровня приложения с эффективными настройками правил корреляции. Для контроля за ресурсами на сетевом периметре рекомендуется обеспечить регулярное сканирование ресурсов, доступных из внешних сетей (к примеру, раз в месяц). Для своевременного выявления и устранения уязвимостей в коде критически важных веб-приложений необходимо регулярно проводить работы по анализу их защищенности, как методом черного или серого ящика, так и методом белого ящика с подробным анализом исходных кодов. Такие работы важно проводить не только на каждом этапе разработки приложения, но и в отношении систем, принятых в эксплуатацию, с последующим контролем устранения выявленных уязвимостей.
Что касается защиты корпоративных систем от атак со стороны внутреннего нарушителя, необходимо ввести парольную политику, запрещающую использование простых паролей, предусматривающую обязательную двухфакторную аутентификацию для привилегированных пользователей критически важных систем, а также требования к регулярной смене паролей (например, раз в 60 дней). Также необходимо обратить особое внимание на устаревшие версии ПО, на открытые протоколы передачи данных и на хранение важной информации в открытом виде на серверах и рабочих станциях сотрудников. Кроме базовых мер защиты информации, следует на регулярной основе проводить аудит безопасности информационных систем и тестирование на проникновение со стороны внешнего и внутреннего нарушителя.
Уязвимости современных ОС
Несовершенство операционных систем и программного обеспечения - едва ли не главная причина колоссального ущерба, нанесенного мировой экономике компьютерными злоумышленниками. Большинство хакерских атак становится возможными из-за наличия уязвимостей в существующих ОС и ПО. В Сети появляется все больше вредоносного кода, который использует их для проникновения в компьютеры, выполнения запрограммированных действий и дальнейшего своего распространения.
Статистика показывает, что количество уязвимостей растет год от года. С одной стороны, это связано с тем, что год от года растет количество ПО, а с другой, с тем, что сейчас уязвимости ищутся намеренно, как хакерами, так и компаниями производителями ПО и ОС. Первые преследуют криминальные цели - использовать «дыру» для получения доступа к чужим информационным ресурсам, вторые - чтобы не испортить свою репутацию и обезопасить информационные ресурсы своих клиентов.
Количество обнаруженных уязвимостей
Источник: NIST
* - за 7 месяцев
По данным mi2g, ущерб от различных видов атак достиг в 2004 г. $150 млрд., что примерно в два раза больше, чем в годом ранее. По мнению экспертов, ежегодно хакерами взламывается до 90% сетей предприятий
Сегодня уже никого не удивишь тем, что одним из основных элементов безопасности является операционная система компьютера, так как, по большому счету, именно она аккумулирует в себе подавляющую часть используемых механизмов защиты. Поэтому именно эффективность механизмов защиты ОС определяет уровень безопасности корпоративной сети и информационной системы предприятия в целом.
Основополагающие посылы защиты информации
Текущее состояние защищенности системы может иметь одно из двух состояний: полностью защищена, либо полностью незащищена. Переход системы из одного состояние в другое осуществляется при обнаружении хотя бы одной уязвимости защиты, возвращение в исходное состояние - при устранении известной уязвимости. Другими словами, рассуждения о степени защищенности ОС неуместны - любая обнаруженная в системе уязвимость делает ее полностью незащищенной.
Под уязвимостью системы защиты понимается такое ее свойство (недостаток), которое может быть использовано злоумышленником для осуществления несанкционированного доступа (НСД) к информации. При этом любая уязвимость системы защиты несет в себе угрозу осуществления злоумышленником НСД к информации, посредством реализации атаки на уязвимость в системе защиты. Таким образом, уязвимость системы защиты - это признак системы, а наличие (отсутствие) известных уязвимостей (известных, так как уязвимости в любой системе защиты присутствуют всегда) является характеристикой защищенности (текущего состояния защищенности) системы.
Как следствие, характеристикой защищенности системы следует считать не только реализованный в ней набор механизмов защиты, который должен быть достаточным для условий применения системы, но и продолжительность устранения известной уязвимости разработчиком системы. Причем каждый механизм защиты должен быть реализован корректно, как с точки зрения идеологической продуманности решения, так и с точки зрения ошибок программирования при реализации. Недостаточность и некорректность реализации механизмов защиты - две основные причины уязвимости системы.
Считая, что обнаружение каналов НСД к информации (уязвимостей) - (или в терминологии теории надежности - отказов системы защиты), и процесс их устранения являются пуассоновскими потоками (соответственно, с интенсивностями λ и μ ), можно оценить с использованием простейшей формулы:
Ρ=1-λ/μ
Уязвимости устраняются по мере их обнаружения, иначе нельзя обеспечить высокую интенсивность исправлений. Надежность системы защиты - вероятность того, что в любой момент времени система защищена (определяется тем условием, что число не устраненных уязвимостей равно 0)
Вероятность защищенности системы
|
Интенсивность отказов |
1 в год |
2 в год |
5 в год |
10 в год |
|
|
Восстановление |
1 нед. | ||||
|
2 нед. | |||||
|
1 мес. | |||||
|
2 мес. | |||||
|
3 мес. | |||||
|
4 мес. | |||||
Рассмотрим, например, значение “0,98” (лучшее значение надежности системы защиты в таблице). Оно достигается в том случае, если в среднем обнаруживается одна уязвимость в год при среднем времени ее восстановления разработчиком, составляющим одну неделю. При этом вероятность того, что в любой момент времени система защищена, равна 0,98, т.е. в любой момент времени с вероятностью 0,02 систему защиты можно считать отказавшей. Для современных систем это практически идеальная ситуация. Сегодня во многих современных системных средствах за год находится отнюдь не одна уязвимость, а продолжительность устранения уязвимости разработчиком может составлять несколько месяцев.
Используя данный подход, можно оценить защищенность современных ОС, с учетом того, что средняя задержка появления исправлений - один-два месяца. Обнаружение лишь 5 уязвимостей в год уже является достаточным для вывода о незащищенности системы.
Таким образом, безопасность ОС характеризуется не только достаточностью и корректностью реализации механизмов защиты, но и ошибками программирования, приводящими к уязвимостям, а также способностью разработчика системы быстро и качественно устранять подобные ошибки.
