Система обнаружения вторжения в сеть предприятия

Содержание

Введение.

Проблема обеспечения  безопасности того или иного предприятия  является крайне многоплановой задачей. С необходимостью решения этой задачи в настоящее время сталкивается все большее число руководителей. В первую очередь, необходимо, исходя из конкретных условий деятельности предприятия, из общего понятия обеспечение безопасности выделить конкретные аспекты. В числе таких аспектов после личной безопасности одно из первых мест занимает защита от вторжения в компьютерную сеть.

Интернет, служившая когда-то исключительно исследовательским  и учебным группам, чьи интересы простирались вплоть до доступа к  суперкомпьютерам, становится все более  популярной в деловом мире.

Компании соблазняют быстрота, дешевая глобальная связь, удобство для проведения совместных работ, доступные программы, уникальная база данных сети Интернет. Они рассматривают  глобальную сеть как дополнение к  своим собственным локальной сетям.

Интернет - глобальная компьютерная сеть, охватывающая весь мир. Сегодня Интернет имеет около 15 миллионов абонентов в более чем 150 странах мира. Ежемесячно размер сети увеличивается на 7-10%. Интернет образует как бы ядро, обеспечивающее связь различных информационных сетей, принадлежащих различным учреждениям во всем мире, одна с другой.

Если ранее сеть использовалась исключительно в качестве среды  передачи файлов и сообщений электронной  почты, то сегодня решаются более  сложные задачи распределенного доступа к ресурсам. Не так давно были созданы оболочки, поддерживающие функции сетевого поиска и доступа к распределенным информационным ресурсам, электронным архивам. Новые границы киберпространства открывают широкие возможности для новшеств, деловой активности и извлечения прибыли. Но есть у интерактивного мира и другая сторона - снижение степени безопасности корпораций. Сеть Интернет породила нелегальный рынок, где сбывается информация, составляющая коммерческую тайну корпораций. По оценкам правоохранительных органов, интерактивные преступники ежегодно крадут информацию более чем на 10 млрд. долл. Однако закон до сих пор проигрывает в сражении с ними. Киберворы пользуются преимуществами, которые дает им система защиты Интернет, включая свободно распространяемые алгоритмы шифрования с открытым ключом и анонимные узлы ретрансляции электронной почты. Эти средства служат укрытием для торговцев похищенной информацией во всем мире. Степень риска для корпораций повышается независимо от того, работают они по Интернету, или нет. Угрозу представляет не только возможность проникновения в корпоративную сеть через брандмауэр, но и само становление интерактивного рынка корпоративных данных, которые могут быть украдены и собственными сотрудниками компании.

Нелегальная деятельность по сети изменила лицо корпоративной службы безопасности. Раньше мог исчезнуть один ящик секретных сведений. Теперь же нетрудно скопировать и отправить по электронной почте эквивалент сотен таких ящиков. Все, что для этого требуется, - один хакер. В тот же вечер все сообщество хакеров будет в курсе дела. В число нелегально продаваемой и покупаемой информации входят номера талонов на телефонные переговоры, выдаваемых компаниями междугородной связи, коды подключения к службам сотовой связи, номера кредитных карточек, "вынюхивающие" алгоритмы взлома защиты и пиратские копии программного обеспечения. В некоторых случаях покупателями этой информации являются криминальные структуры, такие как продавцы пиратского ПО, которые покупают украденные номера талонов, чтобы бесплатно звонить по международному телефону. Что еще опаснее, на этом рынке распространяются коммерческие секреты организаций, в частности планы исследований и разработок компаний, занимающихся высокими технологиями. Хотя наибольшим атакам подвергаются сегодня телефонные службы и компании, выдающие кредитные карточки, повышение интенсивности интерактивной коммерции между крупными корпорациями может существенно увеличить риск электронных краж для всей промышленности. По мере выхода коммерции на информационную магистраль мы все становимся мишенями. Риску подвергаются программные агенты и другие объекты.

Распространение электронной  коммерции приводит к созданию все  новых интерактивных каналов  связи, и нет гарантии, что любой  из промежуточных каналов не окажется уязвимым местом с точки зрения защиты. Конечно, в краже коммерческих секретов нет ничего нового. Но Интернет и другие интерактивные службы открывают торговцам информацией новые возможности для поиска и обмена данными. Вследствие всего вышесказанного тему данной работы следует считать актуальной.

Целью данной работы является исследование системы обнаружения вторжения в сеть предприятия.

Задачи:

- перечислить услуги, предоставляемые сетью Интернет;

- изучить  виды

- рассмотреть информационную безопасность предприятия, подробно остановившись на описании межсетевых экранов (firewalls) и Систем Обнаружения Вторжения.

- описать  виды возможных атак;

- сделать  выводы по изученному материалу.

1. Услуги, предоставляемые сетью

Все услуги, предоставляемые сетью Интернет, можно условно поделить на две категории: обмен информацией между абонентами сети и использование баз данных сети. К числу услуг связи между абонентами принадлежат:

Telnet - удаленный доступ, который дает возможность абоненту работать на любой ЭВМ сети Интернет как на своей собственной - запускать программы, менять режим работы и т.д.

FTP (File Transfer Protocol) - протокол передачи файлов. Дает возможность абоненту обмениваться двоичными и текстовыми файлами с любым компьютером сети. Установив связь с удаленным компьютером, пользователь может скопировать файл с удаленного компьютера на свой или скопировать файл со своего компьютера на удаленный.

NFS (Network File System) - распределенная  файловая система. Эта система дает возможность абоненту пользоваться файловой системой удаленного компьютера, как своей собственной.

Электронная почта - самая  распространенная услуга сети Интернет. В настоящее время свой адрес по электронной почте имеют приблизительно 20 миллионов человек. Посылка письма по электронной почте обходится значительно дешевле посылки обычного письма. Кроме того, сообщение, посланное по электронной почте дойдет до адресата за несколько часов, в то время как обычное письмо может добираться до адресата несколько дней, а то и недель. Электронная почта - это обмен почтовыми сообщениями с любым абонентом сети Интернет. Существует возможность отправки как текстовых, так и двоичных файлов. На размер почтового сообщения в сети Интернет накладывается следующее ограничение - размер почтового сообщения не должен превышать 64 килобайт.

Новости - получение сетевых  новостей и электронных досок  объявлений сети и возможность помещения  информации на доски объявлений сети. Электронные доски объявлений сети Интернет формируются по тематике. Пользователь может по своему выбору подписаться на любые группы новостей.

Whois - адресная книга сети Интернет . По запросу абонент может получить информацию о принадлежности удаленного компьютера, о пользователях.

Finger - получение информации  о пользователях удаленного компьютера.

Кроме вышеперечисленных услуг, сеть Интернет предоставляет также следующие специфические услуги.

Webster - сетевая версия  толкового словаря английского  языка.

Факс-сервис - дает возможность  пользователю отправлять сообщения по факсимильной связи, пользуясь факс-сервером сети.

Электронный переводчик - производит перевод присланного  на него текста с одного языка на другой. Обращение к электронным  переводчикам происходит посредством  электронной почты.

Шлюзы - дают возможность  абоненту отправлять сообщения в сети, не работающие с протоколами TCP\IP (Fido, Goldnet, AT50).

К системам автоматизированного  поиска информации в сети Интернет принадлежат следующие системы.

Gopher - наиболее широко  распространенное средство поиска информации в сети Интернет, позволяющее находить информацию по ключевым словам и фразам. Работа с системой Gopher напоминает просмотр оглавления, при этом пользователю предлагается пройти сквозь ряд вложенных меню и выбрать нужную тему. В Интернет в настоящее время свыше 2000 Gopher-систем, часть из которых является узкоспециализированной, а часть содержит более разностороннюю информацию.

Gopher позволяет получить  информацию без указания имен  и адресов авторов, благодаря  чему пользователь не тратит  много времени и нервов. Он просто сообщит системе Gopher, что именно ему нужно, и система находит соответствующие данные. Gopher-серверов свыше двух тысяч, поэтому с их помощью не всегда просто найти требуемую информацию. В случае возникших затруднений можно воспользоваться службой VERONICA. VERONICA осуществляет поиск более чем в 500 системах Gopher, освобождая пользователя от необходимости просматривать их вручную.

WAIS - еще более мощное  средство получения информации, чем Gopher, поскольку оно осуществляет  поиск ключевых слов во всех текстах документов. Запросы посылаются в WAIS на упрощенном английском языке. Это значительно легче, чем формулировать их на языке алгебры логики, и это делает WAIS более привлекательной для пользователей-непрофессионалов.

При работе с WAIS пользователям не нужно тратить много времени, чтобы найти необходимые им материалы.

В сети Интернет существует более 200 WAIS - библиотек. Но поскольку информация представляется преимущественно сотрудниками академических организаций на добровольных началах, большая часть материалов относится к области исследований и компьютерных наук.

WWW - система для работы  с гипертекстом. Потенциально она  является наиболее мощным средством  поиска. Гипертекст соединяет различные  документы на основе заранее  заданного набора слов. Например, когда в тексте встречается новое слово или понятие, система, работающая с гипертекстом, дает возможность перейти к другому документу, в котором это слово или понятие рассматривается более подробно.

WWW часто используется  в качестве интерфейса к базам данных WAIS, но отсутствие гипертекстовых связей ограничивает возможности WWW до простого просмотра, как у Gopher.

Пользователь со своей  стороны может задействовать  возможность WWW работать с гипертекстом для связи между своими данными  и данными WAIS и WWW таким образом, чтобы собственные записи пользователя как бы интегрировались в информацию для общего доступа. На самом деле этого, конечно, не происходит, но воспринимается именно так.

WWW - это относительно  новая система. Установлены несколько демонстрационных серверов, в том числе Vatican Exibit в библиотеке Конгресса США и мультфильм о погоде "Витки спутника" в Мичиганском государственном университете. В качестве демонстрационных также работают серверы into.funet.fi (Финляндия); into.cern.ch. (Швейцария) и eies2.njit.edu (США).

Практически все услуги сети построены на принципе клиент-сервер. Сервером в сети Интернет называется компьютер способный предоставлять клиентам (по мере прихода от них запросов) некоторые сетевые услуги. Взаимодействие клиент-сервер строится обычно следующим образом. По приходу запросов от клиентов сервер запускает различные программы предоставления сетевых услуг. По мере выполнения запущенных программ сервер отвечает на запросы клиентов.

Все программное обеспечение  сети также можно поделить на клиентское и серверное. При этом программное обеспечение сервера занимается предоставлением сетевых услуг, а клиентское программное обеспечение обеспечивает передачу запросов серверу и получение ответов от него.

2. Информационная безопасность.

Информационная безопасность должна рассматриваться как составная часть общей безопасности предприятия - причем как важная и неотъемлемая ее часть. Разработка концепции информационной безопасности должна обязательно проходить при участии управления безопасности предприятия. В этой концепции следует предусматривать не только меры, связанные с информационными технологиями (криптозащиту, программные средства администрирования прав пользователей, их идентификации и аутентификации, “брандмауэры” для защиты входов—выходов сети и т. п.), но и меры административного и технического характера, включая жесткие процедуры контроля физического доступа к автоматизированной системе предприятия.

 Необходимо участие  сотрудников управления безопасности  на этапе выбора—приобретения—разработки автоматизированной системы предприятия. Это участие не должно сводиться к проверке фирмы-поставщика. Управление безопасности должно контролировать наличие надлежащих средств разграничения доступа к информации в приобретаемой системе.

Здесь представляется целесообразным рассмотреть Системы обнаружения  вторжения.

2.1 Межсетевые экраны (firewalls).

Одним из наиболее распространенных механизмов защиты от интернетовских бандитов - “хакеров” является применение межсетевых экранов - брэндмауэров (firewalls).

Стоит отметить, что вследствие непрофессионализма администраторов  и недостатков некоторых типов  брэндмауэров порядка 30% взломов совершается  после установки защитных систем.

В настоящее время  вопросам безопасности данных в распределенных компьютерных системах уделяется очень большое внимание. Разработано множество средств для обеспечения информационной безопасности, предназначенных для использования на различных компьютерах с разными ОС. В качестве одного из направлений можно выделить межсетевые экраны (firewalls), призванные контролировать доступ к информации со стороны пользователей внешних сетей.

Рассмотрим основные понятия экранирующих систем, а также  требования, предъявляемые к ним. 

Проблема межсетевого  экранирования формулируется следующим образом. Пусть имеется две информационные системы или два множества информационных систем. Экран (firewall) - это средство разграничения доступа клиентов из одного множества систем к информации, хранящейся на серверах в другом множестве.

Экран выполняет свои функции, контролируя все информационные потоки между этими двумя множествами  информационных систем, работая как  некоторая “информационная мембрана”. В этом смысле экран можно представлять себе как набор фильтров, анализирующих  проходящую через них информацию и, на основе заложенных в них алгоритмов, принимающих решение: пропустить ли эту информацию или отказать в ее пересылке. Кроме того, такая система может выполнять регистрацию событий, связанных с процессами разграничения доступа, в частности, фиксировать все “незаконные” попытки доступа к информации и, дополнительно, сигнализировать о ситуациях, требующих немедленной реакции, то есть поднимать тревогу.

Обычно экранирующие системы делают несимметричными. Для  экранов определяются понятия “внутри” и “снаружи”, и задача экрана состоит в защите внутренней сети от “потенциально враждебного” окружения. Важнейшим примером потенциально враждебной внешней сети является Интернет.

Рассмотрим более подробно, какие проблемы возникают при  построении экранирующих систем. При этом мы будем рассматривать не только проблему безопасного подключения к Интернет, но и разграничение доступа внутри корпоративной сети организации.

Первое, очевидное требование к таким системам, это обеспечение  безопасности внутренней (защищаемой) сети и полный контроль над внешними подключениями и сеансами связи.

Во-вторых, экранирующая система должна обладать мощными  и гибкими средствами управления для простого и полного воплощения в жизнь политики безопасности организации и, кроме того, для обеспечения простой реконфигурации системы при изменении структуры сети.

В-третьих, экранирующая система должна работать незаметно  для пользователей локальной  сети и не затруднять выполнение ими  легальных действий.

В-четвертых, экранирующая система должна работать достаточно эффективно и успевать обрабатывать весь входящий и исходящий трафик в “пиковых” режимах. Это необходимо для того, чтобы firewall нельзя было, образно говоря, “забросать” большим количеством вызовов, которые привели бы к нарушению ее работы.

Пятое. Система обеспечения  безопасности должна быть сама надежно  защищена от любых несанкционированных  воздействий, поскольку она является ключом к конфиденциальной информации в организации.

Шестое. В идеале, если у организации имеется несколько внешних подключений, в том числе и в удаленных филиалах, система управления экранами должна иметь возможность централизованно обеспечивать для них проведение единой политики безопасности.

Седьмое. Система Firewall должна иметь средства авторизации доступа пользователей через внешние подключения. Типичной является ситуация, когда часть персонала организации должна выезжать, например, в командировки, и в процессе работы им, тем немение, требуется доступ, по крайней мере, к некоторым ресурсам внутренней компьютерной сети организации. Система должна уметь надежно распознавать таких пользователей и предоставлять им необходимый доступ к информации.

Классическим примером, на котором хотелось бы проиллюстрировать  все вышеизложенные принципы, является программный комплекс Solstice FireWall-1 компании Sun Microsystems. Данный пакет неоднократно отмечался наградами на выставках и конкурсах. Он обладает многими полезными особенностями, выделяющими его среди продуктов аналогичного назначения.

Рассмотрим основные компоненты Solstice FireWall-1 и функции, которые они реализуют.

Центральным для системы FireWall-1 является модуль управления всем комплексом. С этим модулем работает администратор безопасности сети. Следует  отметить, что продуманность и удобство графического интерфейса модуля управления отмечалось во многих независимых обзорах, посвященных продуктам данного класса.

Администратору безопасности сети для конфигурирования комплекса FireWall-1 необходимо выполнить следующий  ряд действий:

- Определить объекты, участвующие в процессе обработки информации. Здесь имеются в виду пользователи и группы пользователей, компьютеры и их группы, маршрутизаторы и различные подсети локальной сети организации.

- Описать сетевые протоколы и сервисы, с которыми будут работать приложения. Впрочем, обычно достаточным оказывается набор из более чем 40 описаний, поставляемых с системой FireWall-1.

- Далее, с помощью введенных понятий описывается политика разграничения доступа в следующих терминах: “Группе пользователей А разрешен доступ к ресурсу Б с помощью сервиса или протокола С, но об этом необходимо сделать пометку в регистрационном журнале”. Совокупность таких записей компилируется в исполнимую форму блоком управления и далее передается на исполнение в модули фильтрации.

Модули фильтрации могут располагаться  на компьютерах - шлюзах или выделенных серверах - или в маршрутизаторах  как часть конфигурационной информации. В настоящее время поддерживаются следующие два типа маршрутизаторов: Cisco IOS 9.x, 10.x, а также BayNetworks (Wellfleet) OS v.8.

Модули фильтрации просматривают  все пакеты, поступающие на сетевые  интерфейсы, и, в зависимости от заданных правил, пропускают или отбрасывают  эти пакеты, с соответствующей  записью в регистрационном журнале. Следует отметить, что эти модули, работая непосредственно с драйверами сетевых интерфейсов, обрабатывают весь поток данных, располагая полной информацией о передаваемых пакетах.

Рассмотрим  процесс практической реализации политики безопасности организации  с помощью программного пакета FireWall-1.

1. Прежде всего, разрабатываются и утверждаются на уровне руководства организации правила политики безопасности.

2. После утверждения эти правила  надо воплотить в жизнь. Для  этого их нужно перевести в  структуру типа “откуда, куда и каким способом доступ разрешен или, наоборот, запрещен. Такие структуры легко переносятся в базы правил системы FireWall-1.

3. Далее, на основе этой базы  правил формируются списки доступа  для маршрутизаторов и сценарии  работы фильтров на сетевых шлюзах. Списки и сценарии далее переносятся на физические компоненты сети, после чего правила политики безопасности “вступают в силу”.

4. В процессе работы фильтры  пакетов на шлюзах и серверах  генерируют записи обо всех  событиях, которые им приказали отслеживать, а, также, запускают механизмы “тревоги”, требующие от администратора немедленной реакции.

5. На основе анализа записей,  сделанных системой, отдел компьютерной  безопасности организации может  разрабатывать предложения по  изменению и дальнейшему развитию политики безопасности.

Рассмотрим простой пример реализации следующих правил:

1. Из локальных сетей подразделений,  возможно удаленных, разрешается  связь с любой локальной сетью  организации после аутентификации, например, по UNIX-паролю.

2. Всем запрещается доступ к сети финансового департамента, за исключением генерального директора и директора этого департамента.

3. Из Internet разрешается только отправлять  и получать почту. Обо всех  других попытках связи необходимо  делать подробную запись.

Все эти правила естественным образом  представляются средствами графического интерфейса Редактора Правил FireWall-1.

После загрузки правил, FireWall-1 для каждого  пакета, передаваемого по сети, последовательно  просматривает список правил до нахождения элемента, соответствующего текущему случаю.

Итак, сама суть Firewall-методики является абсолютно непогрешимой и логичной. Основной ее постулат состоит в создании выделенного бастиона (bastion host), на который возлагается задача обеспечения контроля и безопасности в защищаемом сегменте сети и через который осуществляется связь данного сегмента с внешним миром. Но это все действует пока в теории. На практике же на сегодняшний день известные нам системы Firewall неспособны к отражению большинства из описанных ниже удаленных атак.

2.2 Системы Обнаружения Вторжения.

Система Обнаружения  Вторжения (СОВ) – это система, которая  определяет наличие вторжения и  предпринимает контрмеры (наличие  алгоритма принятия контр мер  не является обязательным). Рассмотрим сначала различные виды СОВ, а затем различную тактику применения СОВ. 

 Итак, СОВ наблюдает  за различной деятельностью определенного  компьютера/хоста или сети. Различными  методами, описанными ниже, система  пытается выяснить угрожает ли  рассматриваемому объекту  какие-либо действия (т.е. есть ли атака) и предпринять соответственно полученным данным меры противодействия. Поскольку в большинстве случаев объектами создаются файлы журналирования всех их действий и запросов к ним, одним из действенных способов выявления атак является анализ таких файлов.

СОВ можно разделить  на три области, в которых она  присутствует:

- информационные источники;

- анализ;

- контрмеры.

Рассмотрим сначала  область информационных ресурсов. Поскольку  возможности атаки на хост или  сеть очень обширны, существуют различные  типы СОВ (которые, могут комбинироваться  друг с другом), различие которых  в основном состоит в том, где они контролируют и что они контролируют (информационные источники)

Говоря о системах обнаружения вторжений на уровне хоста, нужно заметить, что системы  обнаружения на уровне хоста анализируют  информацию на отдельном хосте. Поскольку они обычно не обозревают активность всей сети, а лишь только одного хоста, такие системы могут делать более точные заключения о типе атаки. Кроме того, такие системы  могут видеть напрямую влияние атаки на хост, поскольку имеют доступ к его внутренним ресурсам и могут отслеживать изменения на них, связывая эти изменения с произошедшими действиями со стороны сети. СОВ на уровне хоста обычно используют два источника для получения информации о деятельности хоста – это:

- журналы приложений;

- отчеты аудита ОС.

Оба способа имеют  как достоинства, так и недостатки – отчеты аудита ОС являются более  точными, детальными и могут предоставить лучшую информацию, в то время как  в журналы приложений записывается лишь наиболее важная информация. Это и дает им преимущество – размер таких журналов значительно меньше, и они, соответственно, могут быть проанализированы быстрее и контроль за их изменениями оказывается проще.

Перечислим, какие преимущества имеет СОВ на основе хоста.

- возможность оценки влияние атаки на хост и лучше среагировать на неё;

- возможность лучше  распознавать троянских коней,  вирусы т.к. имеющаяся информация  о системе и возможности её  анализа;

- возможность определения  атак, которые невозможно определить  сетевыми СОВ, так как сетевой трафик часто зашифрован;

- возможность точного  наблюдения за всеми изменениями  внутри хоста.

Говоря же о недостатках  СОВ на основе хоста, необходимо упомянуть  следующие:

- бесполезность или  ненадежность в определении сканирований;

- большую уязвимость к атакам типа DОS;

- анализ данных отчетов аудита ОС вследствие их размера занимает часто недопустимое количество вычислительных ресурсов.

Приведем несколько  примеров решений СОВ на основе хоста:

- Tripwire [http://www.tripwire.com/products/index.cfml]

- SWATCH [http://freshmeat.net/redir/swatch/10125/url_homepage/swatch]

- Dragon Squire [http://www.enterasys.com/ids/squire/]

- Tiger[http://freshmeat.net/redir/tiger-audit/30581/url_homepage/tiger]

- Security Manager [http://www.netiq.com/products/sm/default.asp]

Рассмотрим сетевые СОВ. Главная задача Сетевых СОВ – это анализ и интерпретация передаваемых по сети пакетов. Для определения пакетов, передающих потенциально-опасную информацию, используются так называемые сигнатуры – описание примерного содержания пакета или последовательности пакетов, соответствующее тому или иному виду атаки. Например, если в пакете будет обнаружена строка '/etc/passwd' – можно сказать, что такой пакет является потенциально-опасным, так как содержит информацию о местоположении файла паролей UNIX. Обычно сетевые СОВ расположены на так называемых “сенсорах” – хостах, назначение которых – анализ сетевого трафика и, если требуется, сигнализация об атаках. Поскольку это их единственная задача – существует возможность их самих максимально обезопасить от атак. Так, например, обычно сенсоры работают в режиме stealth (“невидимка”). То есть сенсоры не отправляют ничего в сеть – такое поведение затрудняет их обнаружение и атаки на них.