Выявление, анализ и оперативное устранение уязвимостей в информационной системе.

Сначала загрузчик переводит процессор в защищенный режим работы и загружает все необходимые для старта системы файлы. Затем управление передается функции инициализации ядра операционной системы. При этом выполняется инициализация самого ядра, загруженных драйверов и подсистем управления памятью, безопасностью, процессами и потоками, ввода/вывода. Когда эта стадия завершается, ОС МСВС начинает работу в обычном режиме, в котором обеспечивается идентификация и аутентификация пользователей, разграничение доступа, аудит т.п., то есть система безопасности ОС МСВС начинает функционировать в полном объеме.Причины существования уязвимостей в ОС МСВСРассмотрев выше достаточно много фактического материала, выделим причины, по которым описанные нарушения безопасности ОС МСВС могут иметь место.Наличие демонов.Механизм SUID/SGID-процессов.Излишнее доверие.Человеческий фактор.Последний проявляется весьма разнообразными способами - от легко вскрываемых паролей у обычных пользователей до ошибок у квалифицированных системных администраторов, многие из которых как раз и открывают путь для использования механизмов доверия.Рисунок 4 - Причины уязвимости ОС МСВСРассмотрим теперь более подробно причины, по которым оказываются уязвимы демоны и SUID/SGID-процессы:возможность возникновения непредусмотренных ситуаций, связанных с ошибками или недоработками в программировании;наличие скрытых путей взаимодействия с программой, называемых "люками";возможность подмены субъектов и объектов различным образом.Хорошим примером непредусмотренной ситуации в многозадачной операционной системе является неправильная обработка некоторого специального сигнала или прерывания. Часто злоумышленник имеет возможность смоделировать ситуацию, в которой этот сигнал или прерывание будет послано. Например, при получении сигнала SIGHUP с помощью системного вызова exec(2), можно перезагрузить отдельные программы, которые после перезапуска, без повторного прохождения процедуры аутентификации, уже будут исполняться с привилегиями суперпользователя. С помощью манипуляций с переменными среды и окружения, злоумышленник может заставить ее выполнить любую команду, естественно, с привилегиями root.Наконец, одна из самых распространенных программистских ошибок - является неправильная обработка входных данных. При использовании специальной программы, подающей на вход строки длиной до 100000 символов, выяснилось, что около 20% протестированных программ работали некорректно - зависали, сбрасывали аварийный дамп и т.п. Это является некоторым следствием переполнения буфера, а так как буфер обычно находится в стеке, то переполнение теоретически позволяет создавать в стеке фрагмент кода и изменять адрес возврата из процедуры таким образом, что бы при возврате управление передавалось на этот код. Данной ошибкой пользовался всем очень хорошо известный червь Морриса. Если программа неправильно обрабатывает случайные входные данные, то, очевидно, что можно подобрать такой набор специфических входных данных, которые приведут к желаемым для злоумышленника последствиям.Среди обычных сообщений USENET встречаются так называемые управляющие, типа newgroup или rmgroup. Некоторые почтовые программы обрабатывает команды, расположенные в них, через команду оболочки. Однако некоторая информация (иначе говоря, специальным образом разработанное фальшивое управляющее сообщение) может быть передана оболочке без надлежащего контроля. Это позволит любому, кто может присылать сообщения на ваш сервер - иногда это чуть ли ни любой пользователь исполнить любую команду, имея привилегии почтового демона, - а это либо суперпользователь, либо специальный пользователь news с широкими правами. “Люком”, или “черным входом” (backdoor) часто называют оставленную разработчиком недокументированную возможность взаимодействия, например, известный только разработчику универсальный пароль. Люки оставляют в конечных программах вследствие ошибки, не убрав отладочный код или вследствие необходимости продолжения отладки уже в реальной системе в связи с ее высокой сложностью или же их корыстных интересов. Наконец, вследствие многих особенностей ОС МСВС, таких как асинхронное выполнение процессов, развитый командный язык и файловая система, злоумышленниками могут быть использованы механизмы подмены одного субъекта или объекта другим. Может быть выполнена подмена некоторых специальных переменных. Так, для некоторых версий UNIX - систем существует атака, связанная с подменой символа разделителя команд или опций на символ “/”. Это приводит к тому, что когда программа вызывает /bin/sh, вместо него вызывается файл bin с параметром sh в текущем каталоге. Наконец, очень популярным видом подмены является создание ссылки (link) на критичный файл. После этого файл-ссылка некоторым образом получает дополнительные права доступа, и тем самым осуществляется несанкционированный доступ к исходному файлу. Аналогичная ситуация с подменой файла возникает, если путь к файлу определен не как абсолютный (/bin/sh), а относительный (../bin/sh или $(bin)/sh). Нельзя приуменьшать роль человека при обеспечении безопасности любой системы. Возможно, он даже является слабейшим звеном.3.3 Определение способов устранения уязвимостейВыявленные уязвимости ОС МСВС различаются по характеру проявления и причинам возникновения, что определяет различные способы, применяемые для их устранения.Поскольку для наиболее полного устранения уязвимости необходимо в первую очередь ликвидировать причину ее появления, то выбор способов и средств устранения должен быть основан именно на сведениях о причинах возникновения той или иной уязвимости. Далее приведены основные способы устранения выявленных уязвимостей, их описания и возможная область применения.Средства защиты ОС МСВС имеют только программную реализацию, и поэтому для начала их функционирования необходимо в первую очередь загрузить и инициализировать хотя бы базовые компоненты ядра и подсистемы безопасности. Этап начальной загрузки характеризуется тем, что средства защиты ОС еще не запущены, поэтому существует возможность нанесения вреда, как самой ОС (изменение системных файлов, или конфигурации), так и получения доступа к защищённой информации, её модификации или уничтожению.Таким образом, из вышесказанного можно сделать следующие выводы:Чисто программные комплексы не обеспечивают защиту от НСД.Для создания устойчивой и в то же время гибкой системы защиты от НСД следует применять программно-аппаратные комплексы.Для обеспечения "чистоты операционной среды" необходим контроль сохранности файлов ОС до момента выполнения любых участков кода, записанных на переписываемых носителях.Существует специальные аппаратные средства (или программно-аппаратные средства), управляющая программа которых неизменна и записана в постоянное запоминающее устройство, которые контролируют процесс загрузки операционной системы до того момента, пока не будут активизированы ее собственные средства защиты информации.Частично такие функции выполняет BIOS, которая первой получает управление при включении питания или перезагрузке компьютера. Программа BIOS имеет возможность защиты заданных настроек паролем, но эта защита нестойкая, поскольку пароль вместе с другими параметрами настройки хранится в энергозависимой микросхеме КМОП ОЗУ. При сбое в системе питания или намеренного его отключении, все параметры, включая пароль, стираются. На данный момент, существует множество программ, которые позволяют считывать и изменять информацию, записанную в КМОП ОЗУ.В связи с этим, для обеспечения безопасности используют средства, гарантирующие чистоту операционной среды и позволяющие осуществлять защиту от НСД к информации при включении компьютера. Они гарантируют неизменность операционной среды в момент включения компьютера, по отношению к состоянию ПОв момент установки средств защиты, методом проверки имитозащитной приставки при каждой загрузке компьютера.Эти средства осуществляют защиту от НСД к информации, записанной на жесткий диск компьютера. Идентификация и/или аутентификация пользователя происходит, путем запроса пароля, вводимого с клавиатуры, а также подключения элемента TouchMemory (TM), с которого считывается ключевая информация (КИ). После считывания КИ программа, записанная в ПЗУ, осуществляет проверку целостности файлов. В случае положительного результата проверки происходит загрузка операционной системы. Иначе повторно запрашивается пароль. Для блокирования доступа к информации о пароле при включенном компьютере программное обеспечение, находящееся на плате, исчезает из адресного пространства компьютера и не может быть считано никакими программными средствами. Загрузка компьютера при отсутствии адаптера или при неисправном адаптере блокируется.Алгоритм проверки целостности программного обеспечения основан на современных алгоритмах генерации имитозащитной приставки, что обеспечивает достаточное качество проверки. Ключевыми элементами являются пароль пользователя, пароль установки, а также содержимое TM.Также, используются средства позволяющие принудительно отключать питание накопителей на гибких магнитных дисках и компакт-дисках во время загрузки операционной системы.В дистрибутив разработчики включают большое количество компонентов “на все случаи жизни”, стремясь удовлетворить большинство запросов пользователей. Но в то же время для выполнения повседневной работы конкретному пользователю требуется вполне определенный набор функциональных возможностей, которые обеспечиваются ограниченным количеством компонентов системы.Поскольку каждый из компонентов является программой, которая может потенциально содержать ошибки, “черные ходы”, уязвимости и т.п., то наличие в операционной системе дополнительных подсистем, не используемых в работе, создает серьезную угрозу безопасности и надежности.После исключения неиспользуемых компонентов в системе остается то, что необходимо для работы и поэтому не может быть удалено. В зависимости от конкретных условий и требований по безопасности и защищенности, оставшийся набор компонентов и подсистем может удовлетворять этим требованиям либо полностью, либо частично. В первом случае никаких дополнительных действий производить не нужно, а во втором случае необходимо принимать дальнейшие меры по адаптации системы к заданным условиям.Одной из таких мер является настройка и установка режимов функционирования оставшихся компонентов и подсистем. Связано это с тем, что операционная система ОС МСВС разрабатывалась с учетом довольно жестких требований по безопасности, но все они в большинстве случаев на практике не используются. Как правило, в каждом конкретном случае руководство и системные администраторы определяют некоторый минимальные уровень безопасности, который требуется обязательно обеспечивать. Такой подход определяется жизненными реалиями, необходимостью искать компромисс между защищенностью и удобством работы. Система может быть очень хорошо защищена, но работать с ней в таком случае будет крайне затруднительно, пользователю придется менять привычный ход дел, выполнять целый ряд условий, а это снижает производительность труда.По умолчанию при установке операционной системы задается самый небезопасный режим работы ее компонентов и подсистем, который, однако, обеспечивает максимальную совместимость с существующим программным обеспечением и наибольшее удобство работы с системой.Хотя ОС МСВС обладает достаточно большим набором средств защиты информации, в некоторых случаях и их может оказаться недостаточно. Такая ситуация обычно возникает при работе с чрезвычайно важной информацией, при использовании специфических процедур ее хранения и обработки и в некоторых других случаях. При этом не удается обеспечить требуемый уровень безопасности путем устранения уязвимостей способами, рассмотренными ранее, поэтому приходится использовать дополнительное программное обеспечение, расширяющее возможности операционной системы и устраняющее оставшиеся недостатки.Вывод по главе 3.Выявление уязвимостей – периодический процесс, частота повторения которого должна зависеть как от критичности обрабатываемой в ИТ-инфраструктуре информации, так и от особенностей самой инфраструктуры. Устранение выявленных уязвимостей – это процесс постоянного совершенствования системы обеспечения информационной безопасности, реализация которого позволит как устранить существующие уязвимости, так и снизить вероятность возникновения новых.ЗАКЛЮЧЕНИЕОсновной принцип обеспечения безопасности информационной системы лежит в анализе потенциальных угроз, проведении мер по их устранению и последующем анализе состояния безопасности системы.В курсовой работе осуществлен анализ моделей угроз безопасности систем и способов их реализации, определены критерии уязвимости и устойчивости систем к воздействиям, предложены методы выявления и устранения уязвимостей, а также проведен анализ защищенности информационных систем.БИБЛИОГРАФИЧЕСКИЙ СПИСОКФедеральный закон Российской Федерации от 27 июля 2006 г. N 149-ФЗ Об информации, информационныхтехнологиях и о защите информацииКогаловский М. Р. Перспективные технологии информационных систем. — М.: ДМК Пресс; М: КомпанияАйТи, 2003. — 288 сСтандарт ISO/IEC 2382-1Лукацкий А.В. Как работает сканер безопасности? / – [Электронный ресурс]. – Режим доступа: http://www.citforum.ru/security/internet/scaner.shtml (Дата обращения: 14.09.2016).Коноваленко С.А., Королев И.Д. Выявление уязвимостей информационных систем // Инновации в науке: сб. ст. по матер. LXI междунар. науч.-практ. конф. № 9(58). – Новосибирск: СибАК, 2016. – С. 12-20.ГОСТ Р 56545-2015 «Защита информации. Уязвимости информационных систем. Правила описания уязвимостей». – М.: Стандартинформ, 2015Лукацкий А.В. Обнаружение атак. – СПб. : Издательство «БВХ», 2001. – 624 с.Астахов А.С. Анализ защищенности корпоративных автоматизированных сетей // Информационный бюллетень JetInfo. – 2002. – № 7 (110). / – [Электронный ресурс]. – Режим доступа: URL: http://www.jetinfo.ru (Дата обращения: 15.09.2016).Руководство пользователя программного комплекса «Средство анализа защищенности «Сканер-ВС». НПЭШ.00606-01. ЗАО «НПО «Эшелон», 2011.Сканер безопасности XSPider. Руководство администратора / – [Электронный ресурс]. – Режим доступа: http://www.ptsecurity.ru (Дата обращения: 15.09.2016).Сканер безопасности MaxPatrol. Система контроля защищенности / – [Электронный ресурс]. – Режим доступа: http://www.ptsecurity.ru (Дата обращения: 16.09.2016).Стивен Норткат, Джуди Новак. Обнаружение нарушений безопасности в сетях. 3-е изд.: Пер. с англ. – М.: Издательский дом «Вильямс», 2003. – С. 265–280.