ТЕХНОЛОГИИ ЗАЩИТЫ

Прежде чем переходить непосредственно к технологиям защиты от перечисленных выше классов угроз информационной безопасности, необходимо остановиться более детально на вопросе о создании основного документа, посвященного защите информации. Это политика информационной безопасности. Существует большое количество работ, посвященных разработке такой политики (см., например, [18.7]).

Политика информационной безопасности определяет пути обеспечения безопасности информационных активов, поскольку информация является активами компании. Она описывает цели и задачи мероприятий в сфере информационной безопасности в обобщенных терминах без специфических деталей и обеспечивает планирование всей программы безопасности. Политика не обязательно должна представлять собой один документ. Информационная система изменяется. Соответственно должна изменяться политика безопасности. Изменения гораздо проще вносить, если политика состоит из нескольких документов, посвященных различным аспектам безопасности. Обеспечение информационной безопасности невозможно без четкого описания правил, внедрение которых также невозможно без доведения их до сведения всех служащих. Тщательно разработанные правила помогают не только бороться с угрозами информационной безопасности, но и являются основой для решения споров (подчас в суде) с конкурентами и недобросовестными сотрудниками. Включение в общий свод правил методики разработки программного обеспечения стимулирует разработку более защищенных систем, заставляет разработчика работать согласно установленным нормативам, указывает тестерам, какие результаты должны быть получены, а администраторам — требования конкретного технологического процесса. Следование нормативам разработки позволяет существенно уменьшить риски реализации угроз информационной безопасности.

Каждая организация независимо от ее функций имеет интеллектуальную собственность, которую необходимо защищать. Это очень сложная задача даже для профессионалов в области информационной безопасности. Защита от угроз интеллектуальной собственности предприятия также регламентируется политикой информационной безопасности.

Очень важной частью политики является описание того, как правильно реагировать на инциденты при обнаружении несанкционированного доступа в сеть, или проблем в операционной системе или другом программном обеспечении. Необходимо строго регламентировать полномочия ответственных за ликвидацию последствий инцидентов и отчетность о происшедшем.

Остановимся кратко на основных разделах политики. Естественно, содержание политики зависит в первую очередь от специфики бизнес-процессов на предприятии. Предлагаемая схема предполагает, что фирме есть, что защищать, и ее служба безопасности серьезно относится к своим функциям.

Прежде всего необходимо позаботиться о физической безопасности. Это первая линия обороны предприятия. Соблюдение правил физической безопасности служит хорошей защитой от большинства локальных угроз. Она начинается с правильного размещения и монтажа компьютерного и сетевого оборудования.

Как правило, размещение оборудования в здании рассматривается скорее с точки зрения удобства пользователей, а не безопасности. Важные информационные системы необходимо размещать так, чтобы защитить их от физических атак и аварийных ситуаций.

Правила монтажа оборудования должны быть простыми и общедоступными, основанными на анализе существующего оборудования. При этом необходимо формулировать общие правила в неспецифических терминах, поскольку со временем может измениться как состав оборудования, так и место его размещения. Для упрощения монтажа и обслуживания оборудования проектируют оптимальную схему коммуникаций и электропитания, оснащение помещений для серверов и сетеобразующего оборудования. Необходимо также сформулировать требования к поддержанию оптимальной температуры и влажности воздуха в помещениях, где размещаются серверы. Очень важно обеспечить их стабилизированным электропитанием.

Оптимальная схема размещения оборудования предполагает наличие точных правил и схем его инвентаризации и маркировки.

Физическая безопасность включает в себя и средства управления доступом в здания и помещения. Необходимо четко определить, кому и куда разрешено входить. Правила безопасности должны включать в себя положения, касающиеся управления физическим доступом, и регистрации тех, кто фактически имел доступ к информационной системе. Возможность физического доступа посторонних людей к коммуникационному и серверному оборудованию делает возможным реализацию описанных выше локальных угроз. Поэтому основная цель таких правил состоит в том, чтобы физически не допустить злоумышленников к информационным активам. Персонал, обеспечивающий безопасность компании, должен знать, кому и куда разрешен доступ. Коротко эти правила можно сформулировать так:

  • 1. Запретить общий доступ к компьютерному оборудованию.
  • 2. Регламентировать доступ к хранилищам носителей информации и важной документации.
  • 3. Установить для мест размещения компьютеров и серверов статус помещений особого режима и ограничить доступ в них посетителей, поскольку даже визуальный осмотр может выявить потенциальные слабости конфигурации.

Очень важно разработать правила, регламентирующие поведение посетителей. Обязательным моментом является точная идентификация и регистрация посетителя, при этом его необходимо ознакомить с правилами и положениями предприятия. Нельзя позволять посетителю свободно перемещаться по территории и зданиям. Список этих ограничений можно изменять в зависимости от степени конфиденциальности информации, обрабатываемой информационной системой.

Политика информационной безопасности должна содержать инструкции по аварийной обработке данных, способам завершения работы систем и мерам сохранения их жизнеспособности и возможности восстановления в случае разного рода стихийных бедствий. Необходим также план действий после аварии.

Основой любой информационной системы служит компьютерное и сетеобразующее оборудование, работа которого невозможна без качественного обслуживания. Своевременное и правильное профилактическое обслуживание служит гарантией долговременной бесперебойной работы системы. Поэтому необходимо внести его в политику безопасности в качестве обязательной меры обеспечения безопасности и предусмотреть возможность планового отключения систем на это время. В то же время нужно ограничивать возможности пользователей задерживать или прерывать работу оборудования. Необходимо также определить в политике порядок действий при замене ресурсов на резервные для обеспечения непрерывности важных деловых операций.

Чтобы избежать несанкционированного изменения конфигурации системы, в политику включают положение о регулярных проверках конфигурации системы и сети, частота которых определяется спецификой предприятия. Для ограничения возможности сокрытия собственных нарушений правил безопасности проверки системы должен проводить «независимый» сотрудник, не связанный с обеспечением ее работы.

Обеспечив физическую безопасность системы, перейдем к вопросам аутентификации и безопасности сети. Необходимо обеспечить безопасность всех сетевых подключений в системе. Программа безопасности сети охватывает вопросы адресации, устройства подсетей и средств управления подключениями. Нужно четко определить, какую информацию, через какие соединения можно передавать. Политика может быть построена так, чтобы превратить архитектуру сети в механизм ее защиты.

Правила управления доступом используются только там, где это необходимо. Здесь же нужно сформулировать политику паролей организации.

В современном мире все больше компаний предоставляют своим сотрудникам возможность работать вне офиса, используя удаленный доступ к корпоративным информационным ресурсам. Такая работа несет в себе потенциальную угрозу информационной безопасности предприятия и требует выработки четкой стратегии, гарантирующей безопасность и продуктивность работы сотрудника вне офиса. Политика должна содержать правила удаленного доступа, обеспечивающие доступ к сети через публичные сети или по телефонным каналам связи.

Прежде всего сотрудники, использующие в своей работе удаленный доступ к сети предприятия, должны соблюдать общие правила и инструкции защиты оборудования, данных и сетевого доступа так же, как если бы они работали в офисе. Политика должна устанавливать правила удаленного использования компьютерного оборудования, предоставленного компанией, в том виде, в каком оно дано сотруднику, запрещающие вносить изменения в программы или конфигурацию оборудования.

Если доступ в сеть предприятия осуществляется через работающий с модемным пулом сервер доступа, телефоны входящих модемных линий должны быть известны только тем, кто реально использует эти соединения для работы. Использование средств аутентификации при таком соединении может быть расширено за счет использования дополнительных одноразовых паролей или системы шифрования.

Использование сетей общего пользования, и в первую очередь сети Интернет для удаленного доступа, требует включения в политику требований безопасности таких подключений. Как и все требования политики, они должны оставлять возможность использования новых безопасных протоколов связи через Интернет без изменения самой политики.

Практически все современные компании имеют в той или иной форме подключение к сети Интернет. Безопасная работа с этим соединением должна обязательно найти отражение в политике. Необходимо помнить, что этим не исчерпываются правила безопасности всей сети. Возможно, имеет смысл разбить правила безопасности работы с Интернетом на несколько логических групп в соответствии с используемыми технологиями. В этом случае легко будет вносить в политику изменения, связанные с появлением и использованием новых технологий. Архитектура подключения к сети Интернет (см. п. 19.4) также отражается в политике безопасности. Формулировка этих правил не должна быть связана с конкретными аппаратными средствами. Необходимо указать только требуемую функциональность. Например, использование трансляции сетевых адресов и предоставление дополнительных сервисов типа услуг DNS и DHCP серверов для внутренней сети.

После этого нужно определить, каким службам будет разрешена работа с внешней сетью, и сформулировать правила работы и обязанности пользователей при взаимодействии с интернет-сервисами. Политика должна указать пользователям на необходимость быть осторожным при распространении в Интернете даже личной информации. Помимо того что будет нанесен вред самому пользователю, это может раскрыть параметры сети фирмы и сведения о ее деловой активности. Все сведения такого рода пересылаются в зашифрованном виде и только при наличии разрешений от ответственных лиц.

Интернет содержит на своих серверах большое количество различных программных продуктов, порой достаточно привлекательных для пользователей. Однако бесконтрольная загрузка такого программного обеспечения и несанкционированная его установка могут привести к большим проблемам. Все используемые в компании приложения необходимо оценивать с точки зрения их участия в процессе пересылки данных и загрузки программного обеспечения. В то же время нельзя полностью запретить загрузку ПО из сети, поскольку одним из залогов информационной безопасности служит своевременное получение и установка обновлений программных продуктов, выпускаемых их производителями. Необходимо также получать обновления антивирусных программ. Политика информационной безопасности должна содержать соответствующую формулировку, предотвращающую появление этих проблем.

В политику безопасности включаются требования, запрещающие пользователям посещение сайтов, которые компания считает незаконными или аморальными, связанными с нарушениями закона или содержащими оскорбительную информацию. Пользователей необходимо уведомить о политике фирмы в области фильтрации интернет-трафика.

Подключение к сети Интернет делает возможным предоставление внутрисетевых сервисов и баз данных предприятия внешним партнерам. Политика безопасности должна определять правила безопасности таких подключений. С этой целью обычно используются различные протоколы создания защищенных туннелей через публичные сети. Безопасность подключений дополняется правилами, учитывающими все транзакции через Интернет, подключения к базам данных и терминальным службам.

Большим соблазном для пользователя является возможность установки модема на своем (или одном из доступных) компьютере для обеспечения удаленного подключения к своему компьютеру, сети предприятия и сети Интернет. Как правило, пользователь при этом не в состоянии обеспечить должный уровень безопасности такого соединения. Если установка модема не оправдана производственной необходимостью, в правила необходимо включить запрет на самовольную установку и соответствующие санкции за его нарушение.

Электронная почта стала повсеместно доступным средством общения и передачи информации. Многие угрозы информационной безопасности реализуются с ее применением. Поэтому ее использование на предприятии должно быть строго регламентировано в политике безопасности. В работе С. Бармена[1] в качестве примера приведены следующие «заповеди» пользователя электронной почты:

  • 1. Вы должны оказывать то же уважение, что и при устном общении.
  • 2. Вы должны проверять правописание, грамматику и трижды перечитывать свое сообщение перед отправлением.
  • 3. Вы не должны участвовать в рассылке посланий, пересылаемых по цепочке (чаще всего это письма религиозно-мистического содержания).
  • 4. Вы не должны по собственной инициативе пересылать по произвольным адресам незатребованную информацию.
  • 5. Вы не должны рассылать сообщения, которые являются зловредными, раздражающими или содержащими угрозы.
  • 6. Вы не должны отправлять никаких сообщений противозаконного или неэтичного содержания.
  • 7. Вы должны помнить, что электронное послание является эквивалентом почтовой открытки и не должно использоваться для пересылки секретной информации.
  • 8. Вы не должны использовать широковещательные возможности электронной почты за исключением выпуска уместных объявлений.
  • 9. Вы должны свести к минимуму количество электронных посланий личного характера.
  • 10. Вы должны неукоснительно соблюдать правила и инструкции и помогать администраторам бороться с нарушителями правил.

Полное устранение угроз, связанных с электронной почтой, возможно только при полном контроле трафика электронной почты и содержимого посланий. Архивация сообщений поможет разобраться в проблеме, если она возникнет. Правила хранения архивов должны исключать возможность их несанкционированного использования. Еще раз подчеркнем, что все эти правила должны быть обязательно доведены до сведения сотрудников. Как правило, такие меры не находят одобрения у сотрудников, но воспринимаются как необходимое зло. Сканирование почтовых сообщений антивирусными программами на почтовом шлюзе также должно быть отражено в политике безопасности.

Правила пересылки по электронной почте конфиденциальной информации (отправлять или нет, шифровать или нет, использовать цифровую подпись или нет) целиком зависят от позиции администрации компании, но они обязательно должны найти свое отражение в политике безопасности.

Особого внимания заслуживает раздел политики, посвященный защите от компьютерных вирусов и троянских программ. В нем необходимо указать на обязательность такой защиты и право компании выбирать антивирусное программное обеспечение. Правилами определяется порядок антивирусных проверок компьютеров, внешних носителей, загружаемых программ и всех сообщений электронной почты. Если руководство компании считает необходимым, можно предусмотреть наказания для сотрудников, преднамеренно использующих и разрабатывающих вредоносные программы, вплоть до передачи дел соответствующим государственным органам.

Регламентируя использование шифрования, необходимо помнить, что оно предполагает использование ключей, которыми нужно управлять и где-то хранить для возможного аварийного восстановления информации (особенно архивной).

Если в организации ведется разработка программного обеспечения, необходимо позаботиться о его безопасности на всех стадиях разработки: собственно разработки, тестирования, установки и конфигурирования.

Покупаемое и разрабатываемое на заказ программное обеспечение необходимо проверять на наличие недокументированных свойств, позволяющих получить несанкционированный доступ к данным.

К сожалению, нарушения правил информационной безопасности все же происходят. Политика информационной безопасности должна определять порядок действий персонала в этих случаях и необходимую отчетную документацию. Сообщения об инцидентах, связанных с вашим предприятием, могут приходить и от сторонних организаций, занимающихся обеспечением информационной безопасности в сети провайдера и всей сети Интернет. Поэтому необходимо предусмотреть правила реагирования и на такие запросы.

Таким образом, все аспекты защиты информации на предприятии должны найти отражение в политике информационной безопасности. Существует большое количество международных и российских нормативных документов по обеспечению информационной безопасности, определяющих критерии ее оценки и методы защиты информации. Политика информационной безопасности должна разрабатываться на их основе в соответствии с национальными и международными стандартами, учитывая тенденции развития отечественной нормативной базы.

Как указывалось выше, политика должна содержать только функциональные требования к средствам защиты информации. Выбор конкретных решений по защите остается за специалистами, работающими на предприятии. Остановимся кратко на способах защиты от перечисленных выше классов атак.

Основной защитой от пассивных атак на потоки данных, от прослушивания служит шифрование предаваемых данных. Архитектура сети и способ взаимодействия компьютеров в ней определяют, на каком из уровней модели OSI необходимо применять шифрование. В случае межсегментного взаимодействия с использованием межсетевых экранов и трансляции сетевых адресов шифрование можно применять только на уровне приложений.

Важным вопросом является обнаружение самого факта прослушивания сети. Способ определения зависит от архитектуры сети. Если сеть построена на основе сетевых концентраторов, можно воспользоваться сниффер-детектором, специальной программой, работа которой основана на единственном отличии сниффера от обыкновенного компьютера. Если в сеть направить требующие реакции запросы с несуществующим MAC-адресом адресата, то единственным, кто отзовется, будет компьютер со сниффером. Именно на этом свойстве основаны методы обнаружения прослушивания в такой сети. Если таких запросов будет много, то необходимость их обработки вызовет замедление работы прослушивающего сеть компьютера. Это можно использовать для его обнаружения.

В сети, построенной на коммутаторах, сниффер, как указывалось выше, должен для достижения успеха производить активные действия {MAC-шторм), по которым можно определить его присутствие в сети. Действенным методом будет постоянный мониторинг сети на наличие М4С-штормов, ограничение количества регистрируемых М4С-адресов на портах коммутаторов или закрепление определенного MAC-адреса за каждым портом коммутатора.

Спектр активных атак на потоки данных гораздо шире, поэтому и методы противодействия гораздо разнообразнее. Упоминавшаяся выше атака повтором становится невозможной, если в сетевые пакеты добавляются так называемые метки времени и последовательные номера. Кроме того, банки обмениваются подтверждениями при проведении денежных переводов.

Для предотвращения атак класса «Man-in-the-middle» достаточно обеспечить доверенную доставку ключей компьютерам, участвующим в сеансе связи. Для этого необходимо наличие сертификационного агентства, которое генерирует ключи для сеанса связи и по альтернативным каналам связи проводит аутентификацию пользователя. Только после того, как личность пользователя установлена, он получает ключи для сеанса.

Атаки на маршрутизаторы легко предотвратить, используя шифрование при авторизации служебных пакетов и правильно настраивая межсетевые экраны, стоящие на входе в сеть и работающие между внутренними ее сегментами. Маршрутизатор должен получать только ту информацию, которая необходима ему для работы.

Наиболее опасной из атак, упомянутых в разделе, посвященном атакам на потоки данных, является перехват авторизованной сессии. Чтобы не дать злоумышленнику возможности предугадать номера сетевых пакетов, необходимо совершенствовать способы их генерации.

Основными методами предотвращения локальных атак служат методы физической защиты, описанные в начале этого раздела, предотвращающие физический доступ злоумышленника к элементам информационной системы предприятия. Наиболее эффективными атаками, безусловно, являются атаки типа «Социальная инженерия», направленные на использование человеческих слабостей. Основными средствами защиты здесь являются внимание и бдительность, неукоснительное следование инструкциям и правилам безопасности. Общими рекомендациями в данном случае являются использование дополнительных средств аутентификации пользователя (например, секретные вопросы, на которые только он знает ответ), использование средств аудита для протоколирования всех потенциально опасных действий пользователя, использование «правильных» паролей, использование разных каналов связи для получения запроса (например, на смену пароля) и ответа на него. Возможен вариант вовлечения третьих лиц (например руководителя) в процесс внесения изменений в идентификационные параметры пользователя. Применяя все эти меры, нужно понимать, что они не дают стопроцентной гарантии защиты. Основным методом защиты от таких угроз должно стать обучение пользователей и административные меры, направленные на выполнение соответствующих инструкций.

Выявление аппаратных закладок требует наличия у службы информационной безопасности специализированного оборудования и квалифицированных специалистов по электронике. Большинство предприятий вынуждены полагаться на сертификаты производителя оборудования и периодические проверки оборудования. Действенными будут меры, направленные на фиксацию состояния как самого оборудования, так и его комплектующих. Для этого применяется периодическая инвентаризация элементов аппаратного обеспечения (автоматическая или ручная), опечатывание разборных частей оборудования с периодической проверкой целостности печатей. Очень важным элементом является обучение пользователей, которые должны информировать службу безопасности о любых подозрительных событиях и изменениях в аппаратном обеспечении.

Атаки на встроенные программы (BIOS) предотвращаются методами физической защиты. Использование паролей на BIOS является вспомогательным средством защиты. Усилить его можно, устанавливая разные пароли доступа к настройкам для администратора и пользователей.

Для предотвращения возможности несанкционированного доступа к компьютеру на этапе его загрузки необходимо отказаться от использования внешних носителей информации для загрузки. При наличии на предприятии компьютерной сети возможно даже физическое отключение или удаление внешних устройств. В этом случае рекомендуется не ограничиваться полумерами и отключить указанные устройства у всех пользователей. Хорошим решением будет выделить специальных сотрудников, отвечающих за работу со съемными носителями, в обязанности которых входит проверка всех попадающих на предприятие носителей.

Рассмотрим возможности противодействия атакам на средства аутентификации пользователя. Как уже указывалось выше, защита от атак на средства доставки пароля к аутентифицирующей системе заключается в своевременной установке выпускаемых производителем операционной системы обновлений, устраняющих уязвимости в средствах аутентификации. Для построения эффективной защиты хранящихся в системе паролей пользователей необходимо изучить возможные варианты атак на хранилище паролей, реализуемые в используемой вами операционной системе, и способы противодействия им. Очень важен учет всех ответвлений информационных потоков, связанных с хранением паролей. Например, пароли можно восстановить из резервных копий системы или образов жестких дисков, хранящихся недостаточно надежно.

Мощным инструментом обеспечения безопасности является политика паролей, принятая в организации. Политика паролей является составной частью политики безопасности, существующей на программном уровне практически в любой локальной или сетевой операционной системе. С ее помощью возможно заставить пользователей использовать пароли большой длины, отвечающие требованиям безопасности («хорошие» пароли). Типичные настройки предполагают использование паролей, состоящих не менее чем из 8-10 символов, требуют использования при установке пароля букв и цифр на разных регистрах и спецсимволов. Чем длиннее пароль и чем шире набор используемых символов, тем больше времени потребуется злоумышленнику на его подбор.

Кроме требований к качеству паролей, политика паролей включает в себя средства противодействия подбору паролей. Для этого она вводит правила, ограничивающие количество неудачных попыток авторизации до 3—5. По достижении этого количества учетная запись пользователя блокируется, и администратор получает соответствующее предупреждение. Для торможения процесса подбора паролей необходимо установить паузу после неверного ввода пароля в 3—5 с.

Политика паролей может установить время использования пароля, например, в один месяц. В сочетании с поддержанием достаточно длительной истории паролей эта мера запрещает использование старых паролей и, следовательно, затрудняет процесс определения пароля пользователя злоумышленником. При анализе журналов аудита администратору следует обратить внимание на часто повторяющиеся случаи неверного ввода пароля пользователем и блокировать учетные записи пользователей, находящихся в отпуске и отсутствующих продолжительное время (например более 2 недель). Правильная политика паролей служит хорошей защитой от атаки на слабые пароли.

Предотвращение попыток повышения привилегий пользователя связано с ограничением прав пользователя на поиск информации в системе. Это не всегда возможно. Такие меры необходимо подкреплять административными запретами и активацией системы аудита для контроля активности пользователя в системе. Они ложатся дополнительной нагрузкой на администраторов, в обязанность которых входит регулярная проверка регистрационных журналов системы.

Установка постороннего программного обеспечения должна быть запрещена, и этот запрет должен быть доведен до сведения всех пользователей, так же как и все остальные правила информационной безопасности. С одной стороны, пользователь может установить зловредные программы по незнанию, а с другой — сознательно установить программы для исследования и взлома сети. Определение того, что называть вредоносной программой, полностью лежит на совести руководства предприятия. Строго говоря, все игры должны быть отнесены к вредоносным программам, поскольку они отвлекают персонал от работы, понижают производительность труда и расходуют ресурсы компьютеров. Кардинальным решением вопроса является однозначный запрет на установку таких программ. Для полного предотвращения установки посторонних программ необходимо перекрыть все пути их появления на компьютере пользователя. В первую очередь это упоминавшийся выше запрет на использование внешних носителей и фильтрация входящего интернет-трафика. Далее необходимо ограничить права пользователей таким образом, чтобы они не могли устанавливать программы на компьютерах системы. Кроме того, необходим постоянный контроль за установленным на компьютерах программным обеспечением. Для достижения этой цели применяют регулярную автоматическую проверку программного обеспечения, установленного на компьютерах пользователей. Для этого существует широкий спектр специального программного обеспечения (например, Microsoft SMS-сервер).

Говоря о защите от удаленных атак, в первую очередь остановимся на защите от компьютерных вирусов и троянских программ. Эти атаки очень тесно связаны с описанными выше методами социальной инженерии. Очень часто заражение вирусом происходит после определенных действий пользователя, на которые его вынудили методами социальной инженерии. Использование антивирусного программного обеспечения на всех компьютерах и серверах информационной системы является обязательным. Современные антивирусные программные комплексы позволяют управлять всей системой антивирусной защиты из единого центра, своевременно обновляя антивирусные базы на клиентских компьютерах. Выбор конкретного антивирусного программного обеспечения целиком зависит от личных предпочтений руководства предприятия и администраторов системы. Использование антивирусного ПО любого из ведущих мировых производителей при условии его правильной настройки приводит практически к одним и тем же результатам. Необходимо защитить антивирусными фильтрами интернет-соединение и почтовый сервер организации.

Если невозможно полностью запретить загрузку программного обеспечения из Интернета, необходимо организовать проверку скачанных программ на специальном «полигоне» или воспользоваться встроенными в систему (например Microsoft .NET) возможностями ограничения прав подозрительных программ.

Если все же злоумышленники воспользовались уязвимостями в одном из функционирующих на компьютере сервисов, необходимо ограничить их возможности в системе. Для этого необходимо ограничить права сервиса необходимым минимумом. Нельзя давать ему больше прав, чем нужно для работы.

Защита от атак типа «отказ в обслуживании» сложна в первую очередь потому, что средством для такой атаки подчас служит большое число совершенно корректных сетевых пакетов, направленных к серверу из разных точек сети (распределенная атака типа «отказ в обслуживании). Основным методом противодействия такой атаке является увеличение производительности атакуемого сервера, поскольку вредоносные пакеты невозможно отличить от реальных запросов. Иногда может помочь анализ участвующих в атаке пакетов. Если удается выделить в них общие признаки, пригодные для их идентификации, возможно построение фильтра, не пропускающего их в сеть. Если злоумышленник использует специальный (возможно, некорректный) запрос к серверу, то вряд ли можно противостоять такой атаке, если она проводится в первый раз. Возможность повторов такой атаки, как правило, минимальна, поскольку изготовители ПО оперативно реагируют на новые типы подобных атак выпуском соответствующих обновлений для своего программного обеспечения.

Удаленные атаки на маршрутизацию пакетов и атаки типа «маскировка» связаны прежде всего с неправильной настройкой системы аутентификации, что позволяет атакующему получить информацию об учетной записи одного из пользователей системы или администратора системы маршрутизации. Необходимо избегать идентификации пользователя по (р-адресу его компьютера.

Успех атаки на веб-сервисы основан чаще всего на уязвимостях, связанных с ошибками программирования на этапе разработки. Мы не рассматриваем сейчас случаи, когда злоумышленник получил доступ к учетным данным пользователя или администратора системы. Чаще всего такие ошибки связаны с пренебрежением проверкой данных, вводимых пользователем. Полагая, что пользователь будет использовать создаваемую им программу только по прямому назначению и вводить только корректные данные, программист делает большую ошибку. Пользователь может случайно ошибиться при вводе или намеренно ввести некорректные данные (например, чересчур длинную строку или спецсимволы). Известны случаи, когда использование специальных символов в написании адреса службы приводило к неожиданным для разработчиков последствиям. Целый класс атак на веб-сервисы основан на посылке ему специально сформированной адресной строки для получения недокументированной реакции. Защитой от такого рода атак может стать использование межсетевых экранов, работающих на всех уровнях модели OSI, способных анализировать получаемые сервером данные и отфильтровывать некорректные.

При загрузке активного содержимого веб-страниц необходимо ясно представлять себе цель использования этого потенциально опасного исполняемого кода. Как правило, это средства анимации и декоративные элементы веб-страницы. С точки зрения информационной безопасности правильным решением будет запрет их использования. Однако такое решение не всегда оправдано. Не исключено, что бизнес-процессы в организации реализованы на основе интернет-технологий, включающих распределенные приложения, построенные на использовании тонких клиентов, когда вся функциональность приложения загружается на клиентскую машину с сервера, например, при работе с банковскими счетами. В этом случае приходится использовать активные элементы веб-страниц. Такой вариант возможен только при соблюдении строгих мер безопасности, включающих в себя передачу данных по защищенному каналу, обязательную идентификацию клиента и сервера, использование специальных механизмов типа электронной подписи для проверки целостности загружаемых активных компонентов. Следует также до необходимого минимума ограничить права учетной записи, в контексте которой будет выполняться активное содержимое.

Для организации удаленных атак на серверы часто используют некорректные данные, вызывающие ошибку приложения. Если разработчики не предусмотрели аккуратную обработку так называемых исключительных ситуаций, ошибка приложения может вызвать непредсказуемые последствия от сбоя в работе сервера до получения злоумышленником возможности выполнения посторонней программы. Избежать этого можно, своевременно устанавливая обновления, выпущенные производителем программного обеспечения, и отфильтровывая некорректные данные, направляющиеся к серверам.

Подводя итоги, следует еще раз подчеркнуть, что все существующие и будущие угрозы информационной безопасности связаны в первую очередь с уязвимостями в системе защиты и используемом программном обеспечении. Другим уязвимым элементом системы является человек. Как неоднократно указывалось ранее, использование методов «социальной инженерии» является одним из основных методов проведения удачных атак на информационную систему.

  • [1] Бармен С. Разработка правил информационной безопасности / Пер. с англ.М.: Вильямс, 2002.
 
Посмотреть оригинал