Игнатьев В.А. Информационная безопасность современного коммерческого предприятия
Подождите немного. Документ загружается.
- выявление аномалий сетевого трафика ИС.
Функциональные возможности
Система «Форпост» выявляет атаки на основе сбора и анализа
информации о пакетах данных ИС на сетевом, транс портном и
прикладном уровнях стека TCP/IP. Это позволяет обеспечить
возможность выявления атак, реализуемых нару шителем по
криптозащищѐнным сетевым соединениям.
В системе «Форпост» используется два метода выявления
сетевых атак - сигнатурный и поведенческий. Сигнатурный метод
обеспечивает обнаружение атак на основе специальных шаблонов,
каждый из которых соответствует конкретной ата ке. При получении
исходных данных о сетевом трафике ИС система «Форпост»
проводит их анализ на соответствие определѐнным шаблонам или
сигнатурам атак из имеющихся в базе данных системы, которая
постоянно обновляется разработчиком. В случае обнаружения
сигнатуры в исходных данных, система фиксирует факт
обнаружения сетевой атаки. При этом администратор имеет
возможность добавлять в систему «Форпост» новые сигнатуры
атак.
Для выявления новых типов атак в системе «Форпост»
реализован поведенческий метод обнаружения. Поведенчес кий
метод базируется на информации о штатном процессе
функционирования ИС. Принцип работы поведенческого ме тода
заключается в обнаружении несоответствия между теку щим
режимом функционирования ИС и моделью штатного режима
работы, заложенной в параметрах работы метода. Любо е такое
несоответствие рассматривается поведенческим методом как
информационная атака.
В случае выявления сетевой атаки система «Форпост» ре -
ализует следующие методы реагирования:
- оповещение администратора безопасности о выявленной
сетевой атаке путѐм вывода сообщения на консоль системы;
- блокирование запроса, представляющего опасность для
хостов АС;
- аварийное завершение сетевого соединения с хостом, яв-
ляющимся источником атаки;
- запись информации об обнаруженной атаке в базу дан ных
системы;
Система «Форпост» оснащена подсистемой собственной бе-
зопасности, обеспечивающей защиту информации служебной
информации, передаваемой между компонентами системы.
Архитектура системы
Система «Форпост» имеет распределѐнную архитектуру и
включает в себя следующие компоненты:
- Сетевые датчики, предназначенные для защиты объектов
сетевых сегментов ИС. Сетевые датчики обеспечивают перехват и
анализ всего сетевого трафика, передаваемого в рамках того
сегмента, где они установлены.
- Серверные датчики, устанавливаемые на серверы ИС и
обеспечивающие защиту определѐнных сетевых сервисов ИС.
Система «Форпост» включает в себя серверные датчики для
почтовых, файловых, и Web-серверов, а также для серверов баз
данных. На одном сервере ИС может быть одновременно
установлено несколько типов датчиков.
- Модули-агенты, выполняющие функции управления сер-
верными и сетевыми датчиками, а также функции обеспече ния
передачи информации между датчиками и центром ана лиза и
координации.
- Центр анализа и координации, обеспечивающий цент-
рализованный сбор, хранение и анализ информации, посту пающей
от серверных и сетевых датчиков. Центр анализа и координации
обеспечивает возможность выявления распре делѐнных сетевых
атак на основе анализа информации, поступающей от различных
датчиков ИС.
- Консоль администратора, предназначенная для центра-
лизованного управления компонентами системы, а также для
отображения результатов работы системы. Консоль админис-
тратора оснащена модулем генерации отчѐтов, который позволяет
генерировать отчѐты на основе содержимого базы данных
системы.
Достоинства системы
1) Обнаружение и блокирование сетевых атак в реальном
масштабе времени.
2) Оперативное реагирование на выявленные сетевые атаки.
3) Поддержка обновления базы данных сигнатур атак в
системе,
4) Наличие подсистемы собственной безопасности,
5) Наличие интуитивно-понятного русскоязычного интерфейса
консоли администратора системы.
Наличие описанных выше функциональных возможнос тей
позволяет классифицировать систему «Форпост» как систему
обнаружения атак нового поколения, обеспечивающую
эффективное противодействие вторжению в АС.
Системы защиты семейства «SECRET NET»
Программно-аппаратные системы защиты семейства «SECRET
NET» (НИП «Информзащита») предназначены для защиты от
несанкционированного доступа к информации, хранимой и
обрабатываемой на персональных компьютерах, рабочих станциях
и серверах локальных и территориально распределенных сетей
[69].
Версии Secret Net для операционных систем Windows 95,
Windows 98, Windows NT и Windows 2000 сертифицированы
Гостехкомиссией России на соответствие требованиям,
предъявляемым к СВТ по третьему классу защищенности.
Система защиты информации Secret Net является программно-
аппаратным комплексом, предназначенным для обеспечения
информационной безопасности в локальной вычислительной сети.
Основные возможности комплекса «SECRET NET» [68];
- идентификация пользователей при помощи специальных
аппаратных средств (Touch Memory, Smart Card, Smarty, Proximity и
т.п.);
- аутентификация по паролю длиной до 16 символов;
- поддержка автоматической смены пароля пользователя по
истечении заданного интервала времени;
- аппаратная поддержка защиты от несанкционированной
загрузки ОС с гибкого диска и CD-ROM диска;
- разграничение доступа пользователей к ресурсам компь-
ютера с помощью механизмов дискреционного и мандатного
управления доступом;
- создание для любого пользователя ограниченной замкнутой
среды программного обеспечения (списка разрешенных для
запуска программ);
- управление временем работы всех пользователей;
- возможность объединения пользователей в группы для
упрощения управления их доступом к совместно используе мым
ресурсам;
- регистрация действий пользователя в системном жур нале;
- поддержка для каждого пользователя индивидуальных
файлов Config.sys и Autoexec.bat;
- защита компьютера от проникновения и размножения
вредоносных программ;
- контроль целостности средств защиты, среды выполне ния
программ и самих прикладных программ;
- гибкие средства администрирования системы защиты с
использованием механизма привилегий, позволяющего рас-
пределить административные функции между различными
пользователями компьютера.
Особенности сетевого варианта:
- усиленная идентификация и аутентификация;
- криптографическая защита данных;
- централизованный мониторинг состояния безопасности
информационной системы и управление защитными механиз мами.
Сетевой вариант Secret Net предоставляет администратору
безопасности возможность централизованного управления
защитными механизмами клиентов Secret Net, мониторинга
состояния безопасности информационной системы, оператив ного
управления рабочими станциями в случае попыток НСД,
централизованной обработки журналов регистрации и гене рации
отчетов.
Комплекс защиты «Континент -Е»
Аппаратно-программный комплекс (АПК) «Континент-К»
разработан НИП «ИНФОРМЗАЩИТА» и предназначен для
построения виртуальных частных сетей (VPN) на основе гло-
бальных сетей общего пользования, использующих протоко лы
семейства TCP/IP (например, Internet), и обеспечивает [69]:
- эффективную защиту конфиденциальной информации,
передаваемой по сетям общего пользования;
- полную «прозрачнос ть» для конечных пользователей;
- защиту информационных систем от атак со стороны се рой
общего пользования
- безопасный доступ к ресурсам сетей общего пользования. И
качестве составных частей VPN могут выступать локальные
вычислительные сети организации, их сегменты и отдельные
компьютеры (в том числе переносные или домашние компьютеры
руководителей и сотрудников).
АПК «Континент» сертифицирован в Гостехкомиссии по 3
классу защищенности для межсетевых экранов, сертифици рован в
ФАПСИ на соответствие требованиям к средствам
криптографической защиты конфиденциальной информации.
Криптографическое ядро (СКЗИ «КриптоПро CSP»), ис-
пользуемое программным обеспечением абонентского пункта АПК
«Континент-К» (ПО АП) сертифицировано ФАПСИ.
Глава 10 Защита от вирусов
10.1 Методы детектирования вирусных программ
Наиболее актуальной проблемой для корпоративных компь-
ютерных сетей остаются вирусы, черви и троянские программы.
По данным ежегодного обзора вирусной активности прово -
димого аналитическим отделом «Лаборатории Касперского», в 2002
году было зафиксировано 12 крупных и 34 менее значи тельных
новых вирусных эпидемий, в том числе проникающих на новые
платформы и приложения (Linux, Microsoft .NET, FreeBSD,
некоторые СУБД, в частности Microsоft SQL Server) [112]. Был
также отмечен стремительный рост так называемых коммерческих
вредоносных программ, которые преследуют конкретные
коммерческие цели: похищение конфиденциаль ных данных,
финансовых средств, паролей доступа в Интернет и т.д.,
наносящие материальный ущерб пользователям.
Главным источником вирусной угрозы является электронная
почта - 96,4% от всех зарегистрированных инцидентов, оставляя
далеко позади Интернет (Web-сайты, FTP-сайты, Р2Р-сети, IRC-
каналы и пр.) - 2,3% и мобильные накопители информации (дис-
кеты, CD-ROM, ма1тш тооптические диски и пр.) - 1,3%.
Видимо, никого не надо убеждать в необходимости исполь-
зования антивирусных продуктов. Вирусы, черви, троянские
программы сопровождают электронно-вычислительную тех нику
повсюду - даже независимо от наличия или отсутс твия
подключения к сети. И люди уже привыкли более или менее часто
пользоваться антивирусами. В конце концов, пользователь не
может (да и не должен) знать особые приметы и тон кости работы
десятков тысяч вредоносных программ, кото рые уже детектируются
и нейтрализуются антивирусными продуктами. Не станем
обсуждать сейчас, какие антивирусы хороши, а какие плохи,- если
человек пользуется любым более или менее качественным
антивирусным продуктом, обладающим необходимым набором
модулей, и регулярно его обновляет - это уже неплохо.
Существуют два принципиально разных метода детекти -
рования вредоносных программ антивирусными продуктами:
- поиск известных вирусов по присутствующим в антиви русных
базах вирусным сигнатурам;
- поиск неизвестных вирусов по характерным для вирусов
участкам кода.
Суть первого метода (поиск по сигнатурам) - в том, что
антивирусные компании анализируют каждый (!) поступив ший к ним
вирус и добавляют соответствующую сигнатуру, которая будет
обнаруживать только этот вирус, Для похожих вирусов (их
семейств) выделяются также универсальные сигнатуры»
способные обнаружить также и новые модифика ции данных
вирусов. Для каждой антивирусной записи дела ется свой модуль
лечения» благодаря которому антивирус сможет исцелить
зараженный файл.
Преимущества данного метода очевидны: он практически не
дает ложных срабатываний антивируса (при условии каче ственного
добавления антивирусной записи), определяет каж дый конкретный
вирус и может его обезвредить (насколько по возможно в
принципе). Но отсюда же выплывают и недостатки: невозможность
обнаружения новых вирусов, необходимость постоянного
обновления антивирусных баз,
Кардинально отличается от сигнатурного метода метод
эвристического поиска. Эвристические анализаторы различных
продуктов могут работать по-разному, Фактически каждый из них -
это know-how той или иной компании. Но вся работа эвристических
анализаторов сводится к одному: поиск последовательностей кода
(исполняемых команд), харак терных для того или иного типа
вирусов.
Основной сложностью при реализации алгоритмов
эвристического поиска является отсеивание ложных срабатыва ний.
Вроде бы при детектировании вирусов все просто: если программа
размножается - значит, это вирус. Остается только написать
модуль, который сможет проанализировать предоставляемый код и
с высокой долей вероятности определить, не» обладает ли код
«подозрительными» функциями.
С троянскими программами все намного сложнее. Зачас тую
даже специалисту по информационной безопасности, бывает
тяжело сказать: является данная программа троянской или нет, По
какому критерию программа относится к троянской: «если
программа делает что-то, о чем пользователь не знает и чего не
желает выполнять» или «если программа нарушает логику работы
компьютера». Согласитесь - определения весьма расплывчатые. А
как же с этой проблемой справиться модулю эвристического
поиска, не имеющему человеческого опыта и интеллекта?
Именно из-за описанных выше проблем эвристические ана -
лизаторы способны обнаруживать далеко не все вредоносные
программы. Для некоторых типов вирусов этот показатель близок к
ста процентам - для других же может колебаться в пределах 30-
60% (для троянских программ этот показатель всегда ниже, чем
для вирусов). Кроме того, эвристические анализаторы могут иногда
ошибаться и обзывать вирусами вполне мирные и привычные нам
программы - это называется ложным срабатыванием.
Антивирусные продукты, как правило, используют оба метода
поиска вирусов, что несколько замедляет их работу, зато
увеличивает количество детектируемых вирусов.
Описанные достоинства и недостатки определяют возмож-
ности антивирусных продуктов:
- обнаружение и нейтрализация огромной базы (десятки
тысяч) известных вирусов и вредоносных программ;
- обнаружение средствами эвристического поиска подозри-
тельных файлов;
- нейтрализация (изолирование) зараженных и подозри-
тельных файлов;
- обращение повышенного внимания пользователя на по-
дозрительные вирусы файлы.
Для борьбы с компьютерными вирусами наиболее часто
применяются антивирусные программы, реже - аппаратные
средства защиты. Однако, в последнее время наблюдается тен-
денция к сочетанию программных и аппаратных методов защиты.
Среди аппаратных устройств используются специаль ные
антивирусные платы, вставленные в стандартные слоты
расширения компьютера. Корпорация Intel внедрила перспективную
технологию защиты от вирусов в сетях, суть которой заключается в
сканировании систем компьютеров еще до их загрузки [84].
Антивирусная защита локальной сети крупной организа ции
является сложной проблемой, которая не сводится к простой
установке программных средств защиты информации. 1Сшс
правило, требуется создание отдельной организационно-
технической системы.
10.2 Наиболее популярные средства, антивирусной защиты
Современные предприятия расширяют свои связи с клиен -
тами, партнерами, поставщиками и покупателями и поэтому
должны быть уверены в безопасности и надежности среды об-
работки транзакций ввиду широкого распространения вирусов,
«червей», различных видов вредоносного кода, компью терные сети
предприятия, сегодня находятся под пос тоянной угрозой.
Получение и отправка сообщений по электронной почте,
совместное использование файлов, использование онлай новых
ресурсов и проведение операций в режиме реального времени это
примеры действий, которые могут привести к быстрому заражению
вирусами незащищенной компьютерной среды. Вирусные атаки
приводят к потерям миллиардов долларов и длительным простоям.
Для защиты корпоративных сетей, необходимо внедрять
эффективную политику защиты, частью которой является
использование антивирусного решения. Идеальное антивирусное
решение должно быть легко управляемым, исключительно
функциональным, гарантировать защиту всех критически важных
систем и обеспечивать защиту всех элементов сети от карманного
компьютера до сервера.
Поскольку сегодня передача вирусов происходит в основном
посредством сообщений электронной почты, наиболее
распространенной категорией корпоративного антивирусно го ПО
являются антивирусы для почтовых серверов, распоз нающие
сигнатуры вирусов внутри сообщений. Наряду с этим многие
компании выпускают антивирусное ПО для файловых серверов, а
также специализированное ПО, используемое Интернет-
провайдерами.
Антивирусное ПО обязательно содержит следующие ком-
поненты [112]:
- приложение для управления настройками;
- средства сканирования файлов и поиска сигнатур вирусов;
- база данных или библиотека, содержащая определения
известных вирусов (заметим, что успешность функциониро вания
антивирусного ПО зависит от регулярности обновле ния баз
данных, содержащих определения вирусов).
Качество антивирусной программы определяется [112] по
следующим позициям, приведенным в порядке убывания их
важности:
1. Надежность и удобство работы - отсутствие «зависаний»
антивируса и прочих технических проблем, требующих от
пользователя специальной подготовки.
2. Качество обнаружения вирусов всех распространенных
типов, сканирование внутри файлов-документов/таблиц, упа-
кованных и архивированных файлов. Отсутствие «ложных
срабатываний». Возможность лечения зараженных объектов. Для
сканеров (см. ниже), как следствие, важной является также
периодичность появления новых версий (апдейтов), т.е. скорость
настройки сканера на новые вирусы.
3. Существование версий антивируса под все популярные
платформы, присутствие не только режима «сканирование по
запросу», но и «сканирование на лету», существование серверных
версий с возможностью администрирования сети.
4. Скорость работы и прочие полезные особенности, функ ции,
«припарки» и «вкусности».
Надежность работы антивируса является наиболее важ ным
критерием, поскольку даже «абсолютный антивирус» может
оказаться бесполезным, если он будет не в состоянии довести
процесс сканирования до конца «повиснет» и не про верит часть
дисков и файлов и, таким образом, оставит вирус незамеченным в
системе. Если же антивирус требует от пользо вателя специальных
знаний, то он также окажется бесполезным - большинство
пользователей просто проигнорирует со общения антивируса и
нажмут [ОК] либо [Cancel] с лучайным образом, в зависимости от
того, к какой кнопке ближе находится курсор мыши в данный
момент. Ну а если антивирус будет чересчур часто задавать
сложные вопросы рядовому пользователю, то, скорее всего, он
(пользователь) перестанет напускать такой антивирус или даже
удалит его с диска.
Качество детектирования вирусов стоит следующим пунктом
по вполне естественной причине. Антивирусные програм мы потому
и называются антивирусными, что их прямая обязанность - ловить
и лечить вирусы. Любой самый «навороченный» но своим
возможностям антивирус бесполезен, если он не в состоянии
ловить вирусы или делает это не вполне качественно. Например,
если антивирус не детектирует 100% какого-либо полиморфного
вируса, то при заражении системы этим вирусом такой антивирус
обнаружит только часть (допу стим 99 %) зараженных на диске
файлов. Необнаруженными останется всего 1%, но когда вирус
снова проникнет в компью тер, то антивирус опять обнаружит 99 %,
но уже не от всех файлов, а только от вновь зараженных. В
результате заражено на диске будет уже 1,99 %. И так далее, пока
все файлы на диске не будут заражены при полном молчании
антивируса.
Поэтому качество детектирования вирусов является вто рым по
важности критерием оценки антивирусной програм мы, более
важным, чем «многоплатформенность», наличие разнообразного
сервиса и т.д. Однако, если при этом антивирус с высоким
качеством детектирования вирусов вызывает большое количество
«ложных срабатываний», то его «уровень полезности» резко
падает, поскольку пользователь вынужден либо уничтожать
незараженные файлы, либо самостоятельно производить анализ
подозрительных файлов, либо привыкает к частым «ложным
срабатываниям», перестает обращать внимание на сообщения
антивируса и в результате пропускает сообщение о реальном
вирусе.
«Многоплатформенность» антивируса является следующим
пунктом в списке, поскольку только программа, рассчитанная на
конкретную операционную систему, может полностью ис пользовать
функции этой системы. «Неродные» же антивирусы часто
оказываются неработоспособными, а иногда даже разру-
шительными. Например, вирус «OneHalf» поразил компьютер с
установленными на нем Windows95 или WindowsNT. Если для
расшифрования диска (данный вирус шифрует сектора дис ка)
воспользоваться DOS-антивирусом, то результат может оказаться
плачевным: информация на диске окажется безнадежно
испорченной, поскольку Windows 95/NT не позволит антивирусу
пользоваться прямыми вызовами чтения (записи) секторов при
расшифровке секторов. Антивирус же, являющийся Windows-
программой, справляется с этой задачей без проблем.
Возможность проверки файлов «на лету» также является до -
статочно важной чертой антивируса. Моментальная и принуди-
тельная проверка приходящих на компьютер файлов и вставляе-
мых дискет является практически 100%-й гарантией от заражения
вирусом, если, конечно, антивирус в состоянии детектиро вать этот
вирус. Очень полезными являются антивирусы, способные
постоянно следить за «здоровьем» серверов - Novell NetWare,
Windows NT, а в последнее время, после массового распростране-
ния макро-вирусов, и за почтовыми серверами, сканируя входя-
щую/исходящую почту. Если же в серверном варианте антивируса
присутствуют возможность антивирусного администрирова ния
сети, то его ценность еще более возрастает.
Следующим по важности критерием является скорость рабо ты.
Если на полную проверку компьютера требуется несколько часов,
то вряд ли большинство пользователей будут запускать его
достаточно часто. При этом медленность антивируса совсем не
говорит о том, что он ловит вирусов больше и делает это лучше,
чем более быстрый антивирус. В разных антивирусах используются
различные алгоритмы поиска вирусов, один алгоритм может
оказаться более быстрым и качественным, другой - медленным и
менее качественным. Все зависит от способностей и
профессионализма разработчиков конкретного антивируса.
Наличие всяческих дополнительных функций и возможнос тей
стоит в списке качеств антивируса на последнем месте, по скольку
очень часто эти функции никак не сказываются на уров не
«полезности» антивируса. Однако эти дополнительные функ ции
значительно упрощают жизнь пользователя и, может быть, даже
подталкивают его запускать антивирус почаще.
Но сведениям аналитической компании Gartner Group,
лидерами рынка антивирусного программного обеспечения
являются Network Associates, Symantec, TrendMicro. Значительную