Щеглов А.Ю. Защита компьютерной информации от несанкционированного доступа

Подождите немного. Документ загружается.

Глава 2. Анализ защищенности современных операционных систем

Диаграмма, представляющая собой соотношение групп атак (для пред-

ставленной выше их классификации) для ОС семейства Windows, пред-

ставлена на рис. 2.3, для ОС семейства UNIX

на рис. 2.4.

Давайте очень кратко проиллюстрируем выделенные группы угроз.

Рис. 2.3. Соотношение групп атак для ОС семейства Windows

45%

40% -

35%

30%

20%

15%

10%

Первая группа

(исполняемый

код)

39%

ржшдшшш

Вторая группа

(чтения/записи

)

Третья

группа

(РПД)

Четвертая

группа (DoS)

24%

;

'.':

:-'.

' .

•ИИЩ_^_.

-^В^Н

•..':•••

Седьмая Восьмая

Пятая

группа Шестая группа

группа группа

(закладки)

пароли

( троянские (прочие)

3% 7% 8% 13%

Рис. 2.4. Соотношение групп атак для ОС семейства UNIX

Угрозы, позволяющие несанкционированно запустить

исполняемый код

К данной группе относятся угрозы, которые основываются на перепол-

нении буфера для входных данных (переполнение стека) и последующей

передачи управления на исполняемый код, занесенный при этом в стек.

Для переполнения стека используется тот факт, что часто при выполне-

нии функций работы со строками, переменными среды исполнения и

т.д.,

Часть I. Компьютерная безопасность: современные требования, подходы, статистика угроз

разработчики ПО не заботятся о проверке размерности входных данных.

А это приводит к выходу за границы массивов, выделенных для работы

с этими данными. В последнее время появилось целое направление си-

стемных средств по борьбе с угрозами данной группы (Pax, StackGuard).

Одним из методов предотвращения подобных ошибок является присво-

ение атрибута, исключающего исполнение кода страницам памяти, вы-

деленным под стек. Тем не менее, существуют возможности обхода дан-

ного ограничения.

Большая

часть примеров, реализующих эту группу угроз, рассчитаны на

ОС семейства UNIX. При этом переполнение буфера возможно в самых

разнообразных приложениях и системных утилитах. Наиболее часто оно

используется для удаленного запуска исполняемого кода, посредством

обработчиков сетевых запросов и протоколов (ftp, telnet, рорЗ и др.).

Переполнение буфера можно использовать и в локальном контексте, для

того, чтобы увеличить свои привилегии или получить доступ на уровне

администратора системы (root).

Примерами реализации этой группы угроз являются следующие программы:

» Zgv_exploit.c » Kmemthief.c »

Imapd_exploit.c

и др.

Для ОС семейства UNIX эта группа включает в себя наибольшее коли-

чество опубликованных примеров для несанкционированного доступа к

системе (более 30%).

Для ОС семейства MS Windows применение угроз данной группы также

возможно, но в основном это приводит только к сбоям прикладного или

системного уровня, которые отнесены к другой группе. Заметим, что

общее число примеров, использующих переполнения буфера для целей

отличных от вывода системы из строя, не превышает 10%.

Угрозы, позволяющие осуществить

несанкционированные операции чтения/записи

Ко второй группе можно отнести угрозы, основывающиеся на неправиль-

ной интерпретации прикладными и системными программами входных

параметров. В результате они дают доступ к объектам, не перечислен-

ным в списках санкционированного доступа.

Неправильная интерпретация входных параметров связана с некоррект-

ной программной реализацией их обработки. Это происходит потому, что

программы, обрабатывающие данные запросы, являются либо системными

утилитами, либо прикладными программами, запущенными в контексте

безопасности системы. Поэтому они имеют непосредственный доступ к

любым файловым (и другим) объектам, и могут предоставить этот дос-

туп пользователями, не обладающими достаточными правами для непос-

редственной работы с этими объектами.

Глава 2. Анализ защищенности современных операционных систем

Наибольшее распространение получили реализации данных методов для

ОС семейства MS Windows. В основном ошибки встречаются в стандарт-

ных включенных в состав операционных систем

Internet/Intranet-прило-

жениях, которые включены в состав ОС, таких как IIS (Internet

Information Server), почтовые клиенты (MS Mail, Exchange) и др.

Достаточно большое количество ошибок данного рода можно встретить

в системных утилитах, реализующих взаимодействие по сетевым прото-

колам прикладного уровня (NETBIOS и др.).

Например, ошибка в IIS заключается в следующем.

ITS,

обрабатывая зап-

росы в формате UNICODE, может неправильно интерпретировать сим-

волы

, '/' и т.п.

(%cO%af

%cl%9c

и т.п.), что приводит в дальней-

шем к генерации некорректных команд (недоступных в нормальной

ситуации) и получению несанкционированного доступа к объектам.

Большое количество ошибок встречается в реализации Java-апплетов, VB-

скриптов и т.д. в браузерах фирм Microsoft и Netscape. Через них с помощью

соответствующих апплетов можно получить несанкционированный доступ к

файловым объекта. А поскольку обе фирмы выпускают

свои

браузеры не

только для ОС семейства MS Windows, но и для ОС семейства UNIX, то

ошибки в большинстве случаев дублируются в версиях ПО для разных плат-

форм. Здесь же стоит отметить, что проблема апплетов относится собствен-

но не к языку Java, а к его реализации, например, Microsoft Java VM.

Угрозы, позволяющие обойти

установленные разграничения прав доступа

К третьей группе угроз можно отнести примеры, основывающиеся на

недоработках (ошибках) в ядре и системных утилитах ОС, позволяющих

программными методами обходить установленные разграничения досту-

па к объектам системы.

Примеры ошибок, составляющих эту группу, немногочисленны, т.к. тре-

буют детального анализа работы механизмов (функций API) ОС и соот-

ветствующей квалификации нарушителя. При этом нужно учитывать, что

при рассмотрении коммерческих ОС (не имеющих общедоступных ис-

ходных текстов) данный анализ сильно затруднен, поскольку произво-

дители, по понятным причинам, крайне неохотно документируют внут-

реннюю архитектуру систем.

В качестве примера для данной группы можно привести известную про-

грамму

«GetAdmin»,

реализующую получение администраторских прав,

используя

некорректную работу функции NTAddAtom, позволяющую

записывать значения в любую область адресного пространства.

В системе Windows NT есть некий глобальный флаг NtGlobalFlag, име-

ющий адрес примерно

OxSOlXXXXX.

Изменением одного из битов этого

флага существует возможность превратить Windows NT в Windows NT

Часть I. Компьютерная безопасность: современные требования, подходы, статистика угроз

Checked Build. В результате право

«SeDebugPrivilege»

не будет необходи-

мо для внедрения в системные процессы. Далее, внедряя свой исполня-

емый код (для чего нужна была привилегия «SeDebugPrivilege») в сис-

темные процессы, можно обойти любые ограничения, связанные с

политикой безопасности (в данном случае создавался пользователь с ад-

министраторскими правами).

Угрозы, приводящие к отказу в обслуживании

(Denial of Service — системный сбой)

К этой группе можно отнести угрозы, приводящие к отказу в обслужи-

вании (системный сбой). Большую часть этой группы составляют при-

меры, основанные на недостаточной надежности реализации стека сете-

вых протоколов ОС. Сбои в работе ОС достигаются посылкой групп

пакетов с некорректными заголовками, параметрами и т.п.

Примерами подобных программ служат:

teardrop

* jolt/jolt2

* lornuke

* winnuke

» winfreez

win95ping

и др.

Другую часть этой группы составляют угрозы, не использующие напря-

мую (или совсем не использующие) детали реализации стека сетевых

протоколов конкретной ОС. Они провоцируют отказ в обслуживании

путем чрезмерной загрузки канала. Простейшим примером может слу-

жить посылка большого количества пакетов из источника, обладающего

более скоростным каналом, приемнику, обладающему менее скоростным

каналом. Таким образом полностью исчерпывается ресурс приемника,

приводя к его полному или частичному отказу в обслуживания.

Более сложным примером является так называемый флудер-множитель.

При отправке на удаленный хост сообщения, состоящего из 20-и байт

IP-заголовка, в поле Protocol которого содержится значение 00 (что

соответствует

IPPROTO_RAW),

удаленная система (или ближайший к

провоцируемой системе маршрутизатор), получив такое сообщение, от-

ветит сообщением

ICMP-Destination

Unreachable-Protocol

Unreachable,

длиной от 68 до 84 байт. Очевидно, что, заменяя Source Address на адрес

атакуемого, провоцируется поток с коэффициентом умножения 4 (если

рассчитывать динамическое сжатие, то много больше).

Следует отметить, что программы, представляющие данную группу, не

нарушают напрямую безопасность атакуемой системы, а просто выводят

ее из строя. Но можно представить себе пример более сложных атак, где

угрозами, приводящими к отказу от обслуживания, можно устранять, на-

Глава 2. Анализ защищенности современных операционных систем

пример, реально действующие в системе узлы, а затем от их имени по-

лучать

несанкционированный доступ к защищенным данным.

Угрозы, использующие встроенные

недокументированные возможности (закладки)

К пятой группе можно отнести методы, использующие встроенные не-

документированные возможности (закладки). К таким закладкам относятся:

* встроенные инженерные пароли для входа в систему;

« специальные возможности (последовательность действий) для недо-

кументированных действий (например, в одном из хранителей экрана

фирмы Microsoft присутствует сетевой код);

* закладки в разнообразных прикладных приложениях и т.п.

Примером использования встроенного инженерного пароля может слу-

жить широко известный пароль фирмы Award

«AWARD_SW»,

позволя-

ющий получить весь спектр прав для работы с BIOS.

Угрозы, использующие недостатки системы хранения или выбора

(недостаточная длина) данных об аутентификации (пароли)

К шестой группе можно отнести угрозы, использующие недостатки сис-

темы хранения или выбора (недостаточная длина) данных об аутентифи-

кации (пароли) и позволяющие путем реверсирования, подбора или пол-

HQTO

перебора всех вариантов получить

эти

данные.

Эти

программы

основываются на недостатках алгоритмов кодирования (хеширования) па-

ролей на защищаемые ресурсы или на вход в ОС.

Примером может служить реализация защиты разделяемых ресурсов в

Windows 9X, где при разграничении доступа на уровне ресурса (по паро-

лю), пароль для доступа хранится в реестре

(HKLM\Software\Microsoft\

Windows\CurrentVersion\Network\LanMan\<MMH

КАТАЛОГА>,

в ключе

ParmlEnc), зашифрованный с помощью алгоритма, который легко под-

дается расшифровке, поэтому легко получить исходный пароль.

Также неудачен сам алгоритм аутентификации в Windows 9X через

NETBIOS. Если клиент посылает вместо полного пароля открытым тек-

стом только его первый символ (байт), то при совпадении этого символа

пароль считается правильным.

Следует отметить, что существует большое количество программ (не толь-

ко для ОС семейства MS Windows), предназначенных для перебора па-

ролей по различным алгоритмам, учитывающим слабость реализации си-

стем аутентификации и выбора паролей.

К.

таким программам относятся:

lOphtcrack; pwlhack; pwlview; John the Ripper и др.

Часть I. Компьютерная безопасность: современные требования, подходы, статистика угроз

«Троянские» программы

Это программы, которые прописываются в автозагрузку ОС или подме-

няют собой системные компоненты (утилиты) ОС и выполняют несанк-

ционированные действия. Для того, чтобы такая программа появилась в

системе, пользователь должен сам (преднамеренно, либо нет) первона-

чально выполнить ее.

Обычно «троянские» программы распространяются под видом полезных

утилит (в том числе они могут присутствовать и в некоммерческих сред-

ствах добавочной защиты информации), посылаются по почте в виде

присоединяемых замаскированных исполняемых файлов, скриптов, ус-

танавливаются злоумышленником на защищаемом компьютере вручную

и т.п. После первого запуска программа заменяет собой часть системных

файлов или просто добавляет себя в список загрузки и предоставляет

нарушителю доступ к системе или защищаемым ресурсам.

Примером подменяющей программы может служить динамическая биб-

лиотека клиента Novell NetWare для ОС Windows NT

«FPNWCLNT.DLL»,

перехватывающая и хранящая передаваемые пароли в открытом виде.

Другие программы из этой группы: Back Orifice; Net Bus; Priority и др.

Прочие угрозы

К последней группе отнесем все остальные угрозы и программные реа-

лизации, влияющие на функционирование и безопасность компьютерной

системы. В частности, большую часть угроз данной группы составляют

всевозможные

программы-сниферы,

позволяющие в пассивном режиме

«прослушивать» каналы ввода/вывода, передачи и обработки данных.

Например, сюда можно отнести

сниферы

клавиатуры — программы, уста-

навливаемые злоумышленником на защищаемый объект, с целью «прослу-

шивания» канала ввода пароля (пароль с клавиатуры вводится в открытом

виде, соответственно, в открытом виде снимается снифером). Отдельно от-

метим сниферы канала — программы, устанавливаемые на какой-либо ком-

пьютер в ЛВС и «прослушивающие» весь трафик в канале (особенно это

критично для ЛВС, не реализующих физической сегментации канала связи).

2.2.3. Выводы из анализа существующей

статистики угроз

Из приведенного анализа можем сделать следующий важный вывод: уг-

розы, описанные в большинстве групп, напрямую используют различные

недостатки ОС и системных приложений и позволяют при полностью скон-

фигурированных и работающих встроенных в ОС механизмах защиты осу-

ществлять НСД, что подтверждает необходимость усиления встроенных

механизмов защиты.

Глава 2. Анализ защищенности современных операционных систем

Кроме того, анализируя представленную статистику угроз, можем сделать

вывод, что большая их часть связана именно с недостатками средств за-

щиты ОС, отмеченными выше, т.е. недостатками, связанными с невы-

полнением (полным, либо частичным) формализованных требований к

защите, среди которых, в первую очередь, могут быть выделены:

1. Некорректная реализация механизма управления доступом, прежде

всего при разграничении доступа к защищаемым объектам систем-

ных процессов и пользователей, имеющих права администратора.

2. Отсутствие обеспечения замкнутости (целостности) программной

среды. Как мы видим, большинство атак осуществлялось либо с

использованием некоторых прикладных программ, либо с примене-

нием встроенных в виртуальные машины средств программирова-

ния. То есть, возможность большинства атак напрямую связана с

возможностью запуска злоумышленником соответствующей програм-

мы. При этом запуск может быть осуществлен как явно, так и

скрыто, в рамках возможностей встроенных в приложения интер-

претаторов команд.

Далее, можем сделать еще один вывод: проведенный анализ известных

угроз современным универсальным ОС полностью подтверждает, что боль-

шая их часть обусловлена именно реализуемым в ОС концептуальным под-

ходом, состоящим в реализации схемы распределенного администрирования

механизмов защиты. В рамках этой схемы пользователь рассматривается

как доверенное лицо, являющееся элементом схемы администрирования

и имеющее возможность назначать/изменять ПРД. При этом он не вос-

принимается как потенциальный злоумышленник, который может созна-

тельно или несознательно осуществить НСД к информации. Отсюда

можем сделать и вывод об основном назначении механизмов добавоч-

ной защиты ОС

реализация централизованной схемы администриро-

вания механизмов защиты, в рамках которой будет осуществляться про-

тиводействие НСД пользователя к информации.

•

п»

По понятным соображениям в качестве примеров в книге приводятся те

| ошибки, которые известны и разработчиками устранены (патчами и т.п.).

Однако данные примеры иллюстрируют общие тенденции и позволяют ввес-

ти обобщенную классификацию угроз.

_Х

г л а в а 3

Подходы

к проектированию

системы защиты

3.1. Оценка надежности

систем защиты информации

3.1.1. Отказоустойчивость системы защиты.

Понятие отказа

Ранее, исследуя вопросы защиты компьютерной информации, мы не зат-

рагивали вопросы надежности системы защиты. При этом следует понимать,

что интерпретация самого понятия «надежность системы защиты», а также

основных параметров и характеристик надежности системы защиты, прин-

ципиально иная, чем для свойств надежности вычислительной системы.

В общем случае надежность вычислительной системы — это свойство си-

стемы выполнять возложенные на нее функции в течение заданного про-

межутка времени. Применительно к системе защиты информации от НСД

надежность — это свойство системы защиты обеспечивать защиту компью-

терной информации от НСД в течение заданного промежутка времени.

В общем случае отказ системы — это случайное событие, приводящее к

невозможности выполнения системой в течение некоторого времени воз-

ложенных на нее функций.

Для системы защиты понятие «отказ» может трактоваться совсем иначе,

чем при рассмотрении любого иного технического средства, т.к. с отка-

зом связан не только переход системы защиты в состояние неработоспо-

собности (данная составляющая «отказа» присуща любому техническому

средству и нами в работе не рассматривается), но и обнаружение в сис-

теме защиты уязвимости.

Действительно, пусть обнаружена ошибка в механизме защиты, исполь-

зование которой злоумышленником прямо, либо косвенно, приводит к

Глава 3. Подходы к проектированию системы защиты

НСД. Это можно трактовать как отказ системы защиты, т.к. до тех пор,

пока подобная ошибка не будет исправлена, система защиты не выпол-

няет своих функций, и в данной ситуации существует канал несанкцио-

нированного доступа к информации.

Кстати говоря, неважно, что на какой-то момент времени для системы за-

щиты известен только один-единственный канал НСД к информации. Этого

вполне достаточно, чтобы говорить об отказе системы защиты в целом, т.к.

характеристикой защиты является вероятность отражения ею атак на защи-

щаемый объект,

которая

в данном случае имеет нулевое значение.

Определение.

Под «отказом» системы защиты будем понимать обнаружение злоумышлен-

ником канала НСД к информации (например, ошибки в ОС, либо в приложе-

нии, которая может привести к несанкционированному доступу). Под «отка-

зоустойчивостью» — способность системы защиты обеспечивать свои

функции (обеспечивать защиту компьютерной информации) в условиях об-

наружения канала НСД к информации.

Отметим, что, вообще говоря, вопрос обеспечения надежности функци-

онирования любой системы является одним из важнейших при ее про-

ектировании. И совершенно непонятно, почему на сегодняшний день ему

уделяется столь незначительное внимание при построении систем защи-

ты (в данном случае под надежностью понимаем ее отказоустойчивость

к обнаружению канала НСД к информации).

Действительно, представим себе, что вся сеть предприятия реализована на

единой платформе — установлен единый тип ОС, вся защита обеспечива-

ется встроенными в ОС средствами защиты. В этом случае с момента об-

наружения канала НСД к информации и до момента его ликвидации (на-

пример, посредством установки некоторого дополнительного программного

обеспечения, которое должен поставить разработчик ОС), можно считать

систему защиты отказавшей, а сеть предприятия

незащищенной.

Аналогично тому, как это выполнено в теории надежности вычислительных

систем, в данном случае можно ввести еще два важнейших параметра, харак-

теризующих систему защиты: интенсивность отказов — среднее число отка-

зов в единицу времени, А; время восстановления системы после отказа

Под интенсивностью отказов системы защиты от НСД следует понимать

интенсивность обнаружения в ней каналов НСД к информации в еди-

ницу времени.

Численные значения данного параметра могут быть получены на осно-

вании статистики угроз НСД, которая для современных универсальных

ОС приведена выше.

При расчете надежности принимается, что интенсивность отказов являет-

ся

постоянной

во времени величиной. Если предположить, что угрозы НСД

Часть I. Компьютерная безопасность: современные требования, подходы, статистика угроз

взаимонезависимы

любая

i-я (i =

!,...,!)

угроза носит

катастрофический

характер, предоставляя злоумышленнику несанкционированный доступ к

информации, то интенсивность отказов системы защиты равна сумме ин-

тенсивностей угроз НСД к соответствующей системе защиты:

Тогда вероятность исправной работы системы защиты в течение произ-

вольного интервала времени t определяется следующим образом:

Соответственно, обратная величина интенсивности отказов системы равна

среднему промежутку времени между двумя отказами и называется вре-

менем наработки на отказ:

Интенсивность отказов системы определяется рядом параметров, в том

числе, сложностью исследования защитных механизмов в системе, ква-

лификацией злоумышленника и временным интервалом эксплуатации

системы защиты.

Сложность исследования механизмов защиты зависит не только от каче-

ства разработки системы защиты (уровня квалификации разработчика),

но и от доступности информации о системе защиты для исследования

злоумышленником. С точки зрения доступности для исследования мож-

но выделить следующие категории систем, характеризуемые возможнос-

тью обнаружения злоумышленником каналом НСД к информации:

» Очень высокая — некоммерческие средства (в том числе ОС), харак-

теризуемые свободным доступом злоумышленника к их исходным

кодам.

Высокая -- широко используемые на практике коммерческие сред-

ства (в том числе ОС), характеризуемые отсутствием доступа зло-

умышленника к их исходным кодам.

» Низкая — ограниченно (по различным причинам) используемые на

практике коммерческие средства (в том числе ОС), характеризуемые

отсутствием доступа злоумышленника к их исходным кодам.

Очень низкая — используемые на практике коммерческие средства, име-

ющие формализованные правила ограниченного распространения, ха-

рактеризуемые отсутствием доступа злоумышленника к исходным кодам

ПО. К этой категории, в первую очередь, относятся коммерческие сред-

ства защиты отечественных производителей.

Очень важно при построении системы защиты правильно учесть квали-

фикацию злоумышленника. При этом в определенных случаях его квали-

фикация может быть очень высокой, т.к. для обнаружения некорректно-