2. Рассматриваемые темыРассматриваемые темы
Тема 16. Проблемы обеспечения безопасностиПроблемы обеспечения безопасности
сетевых ОСсетевых ОС
Тема 17. Анализ защищённости на уровне ОСАнализ защищённости на уровне ОС
7. Ошибки проектирования
Ошибки, допущенные приОшибки, допущенные при
проектировании алгоритмов и принциповпроектировании алгоритмов и принципов
работы компонент ядра, подсистем:работы компонент ядра, подсистем:
• отсутствие ограничений на количество создаваемых
объектов
• особенности шифрования (хэширования)
и хранение паролей
…
8. Ошибки реализации
int i, offset=OFFSET;
if (argv[1] != NULL)
offset = atoi(argv[1]);
buff = malloc(BSIZE);
egg = malloc(EGGSIZE);
addr = get_sp() - offset;
printf("Using address: 0x%xn", addr);
ptr = buff;
addr_ptr = (long *) ptr;
for (i = 0; i < BSIZE; i+=4)
*(addr_ptr++) = addr;
/* Now it fills in the egg */
ptr = egg;
for (i = 0; i < EGGSIZE –
…
Ошибки кода ОСОшибки кода ОС
9. Ошибки реализации
–Переполнение буфера наиболее распространённая–Переполнение буфера наиболее распространённая
техника использования ошибок реализациитехника использования ошибок реализации
–Переполнение буфера манипуляции с данными без–Переполнение буфера манипуляции с данными без
проверок соответствия их размера выделенному дляпроверок соответствия их размера выделенному для
них буферуних буферу
,Если буфер расположен в стеке возможна перезапись,Если буфер расположен в стеке возможна перезапись
адреса возврата из функцииадреса возврата из функции
11. Исправление ошибок реализацииИсправление ошибок реализации
Проблема аутентификации обновленийПроблема аутентификации обновлений
• Цифровая подпись не используетсяЦифровая подпись не используется
вообщевообще
• Нет прямого пути, чтобы проверить, чтоНет прямого пути, чтобы проверить, что
используемый ключ действительно принадлежитиспользуемый ключ действительно принадлежит
производителю ПОпроизводителю ПО
• Цифровая подпись, используемая в оповещенииЦифровая подпись, используемая в оповещении
о выходе обновлений, не аутентифицирует самоо выходе обновлений, не аутентифицирует само
обновлениеобновление
12. Аутентификация обновленийАутентификация обновлений
• Использование отозванных сертификатовИспользование отозванных сертификатов SunSun
Microsystems (Microsystems (CERT® Advisory CA-2000-19CERT® Advisory CA-2000-19))
• Троянский конь в одной из версий «Троянский конь в одной из версий «TCP WrappersTCP Wrappers»»
((CERT® Advisory CA-1999-01CERT® Advisory CA-1999-01))
• Троянский конь в пакете «util-linux-2.9g»Троянский конь в пакете «util-linux-2.9g»
((securityfocussecurityfocus))
Примеры инцидентовПримеры инцидентов
13. Исправление ошибок реализацииИсправление ошибок реализации
Способы получения обновленийСпособы получения обновлений
• PGP (GnuPG)PGP (GnuPG)
• HTTPSHTTPS
• SSHSSH
15. Защитные
механизмы
• идентификация и аутентификацияидентификация и аутентификация
• разграничение доступа (и авторизация)разграничение доступа (и авторизация)
• регистрация событий (аудит)регистрация событий (аудит)
• контроль целостностиконтроль целостности
• затирание остаточной информациизатирание остаточной информации
• криптографические механизмыкриптографические механизмы
…встроенные в большинство сетевых ОС
17. Субъекты и объекты
Объект доступа -Объект доступа - пассивная сущностьпассивная сущность
операционной системы (файл, каталог, блокоперационной системы (файл, каталог, блок
памяти)памяти)
Субъект доступа -Субъект доступа -
активная сущность операционнойактивная сущность операционной
системы (процесс, программа)системы (процесс, программа)
18. Пример субъекта доступа
Субъект доступа = Маркер безопасного доступа + Процесс (поток)
Субъект доступа в ОС Windows NT
Пользователь
Master
…
19. СубъектСубъект
доступадоступа
ПроцессПроцесс
Субъект доступа вСубъект доступа в LinuxLinux
В роли субъектов доступа вВ роли субъектов доступа в LinuxLinux
выступают процессывыступают процессы
Процессы :Процессы :
Получают доступ к файламПолучают доступ к файлам
Управляют другими процессамиУправляют другими процессами
файлфайл
процесспроцесс
Пример субъекта доступа
20. Идентификация и
аутентификация
Идентификация (субъекта или объекта):
1) именование (присвоение имен-идентификаторов);
2) опознавание (выделение конкретного из множества).
Аутентификация (субъекта или объекта) -Аутентификация (субъекта или объекта) -
подтверждение подлинностиподтверждение подлинности (доказательство того,
что он именно тот, кем представился).
21. Сетевая аутентификация
• Передача пароля в открытом виде
• Передача хэша пароля
• Механизм «запрос/отклик»
Клиент Сервер
Запрос пароля
Установление связи
23. Уязвимости
аутентификации
( )по паролю
Возможность перехвата и повторного использованияВозможность перехвата и повторного использования
пароля (получение доступа к файлам с паролями)пароля (получение доступа к файлам с паролями)
«Троянские кони» в процедуре входа в систему«Троянские кони» в процедуре входа в систему
Социальная инженерияСоциальная инженерия
Повторяющийся запрос при сетевой аутентификацииПовторяющийся запрос при сетевой аутентификации
32. Списки управления доступом
в Windows NT (NTFS)
--
R-ХR-Х
R-R-
RWХRWХ
C:Program FilesC:Program Files
Реализация матрицы доступа «по столбцам»Реализация матрицы доступа «по столбцам»
Access Control List (ACL)Access Control List (ACL)
AuditAudit
User 1User 1
BuchgBuchg
AdministratorAdministrator
33. Списки управления доступомСписки управления доступом
в UNIXв UNIX
RWXRWX R-ХR-Х ------
/home/www/home/www
Владелец Группа ОстальныеВладелец Группа Остальные
otherotherwebgroupwebgroupalexalex
Права доступа хранятся в служебной
информации файла
34. Полномочное управление
доступом
Иерархия меток (грифов)Иерархия меток (грифов)
конфиденциальности:конфиденциальности:
«Особой важности»«Особой важности»
«Совершенно секретно»«Совершенно секретно»
«Секретно»«Секретно»
«Строго конфиденциально»«Строго конфиденциально»
«Конфиденциально»«Конфиденциально»
Неиерархическая система метокНеиерархическая система меток
конфиденциальности:конфиденциальности:
«Геология»«Геология»
«Математика»«Математика»
«Физика»«Физика»
«Строительство»«Строительство»
и др.и др.
Уровень допуска:Уровень допуска:
«Совершенно секретно»«Совершенно секретно»
Уровни допуска:Уровни допуска:
«Геология»«Геология»
«Физика»«Физика»
35. Механизм регистрации
и аудита событий
ДиспетчерДиспетчер
доступадоступа
ДиспетчерДиспетчер
доступадоступа
СубъектСубъект
доступадоступа
СубъектСубъект
доступадоступа
ОбъектОбъект
доступадоступа
ОбъектОбъект
доступадоступа
ЖурналЖурнал
регистрациирегистрации
ЖурналЖурнал
регистрациирегистрации
36. Механизм регистрации и
(аудита событий Windows NT)
Локальный
администратор
безопасности (LSA)
Журнал
аудита
Монитор безопасности (SRM)
Режим ядра
Режим пользователя
37. Система регистрации событий вСистема регистрации событий в
UNIXUNIX
login
telnetd
rlogin
syslogd
/var/log/logins
/var/log/notice
syslog.confsyslog.conf
38. Контроль целостности
Механизм контроля целостностиМеханизм контроля целостности
предназначен для своевременногопредназначен для своевременного
обнаружения фактов модификацииобнаружения фактов модификации
(искажения, подмены) ресурсов(искажения, подмены) ресурсов
системы (данных, программ и т.п).системы (данных, программ и т.п).
39. Контроль целостности
Контролируемые ресурсы:
- файлы и каталоги
- элементы реестра
- сектора дисков
Контролируемые параметры:
- содержимое ресурса
- списки управления доступом
- атрибуты файлов
Алгоритмы контроля:
- сравнение с эталоном
- вычисление контрольных сумм (сигнатур)
- формирование ЭЦП и имитовставок
Время контроля:
- до загрузки ОС
- при наступлении событий
- по расписанию
40. Контроль целостности
(Windows 2000)
Подсистема Windows File Protection
Повреждённый системный файл заменяется копией
из каталога %systemroot%system32dllcache
sfc [/scannow] [/scanonce] [/scanboot] [/cancel]
[/quiet] [/enable] [/purgecache] [/cachesize=x]
Настройка – при помощи утилиты
System File Checker (sfc.exe)
43. Этапы настройки
Отслеживание уязвимостей реализации и
установка исправлений;
Настройка параметров субъектов (например,
назначение привилегий пользователям);
Разграничение доступа к объектам (например,
папкам, файлам, ключам реестра);
Настройка параметров системы, влияющих на
безопасность (например, установка ключей
реестра).
Настройка системной политики (длина паролей,
их сложность, параметры блокировки и т. д.).
45. Политика безопасности и
ОС
ПолитикаПолитика
безопасностибезопасности
Другие ОСДругие ОСUNIXUNIXWindows NTWindows NT
Общие стандарты
Руководства по настройкеРуководства по настройке
Общие рекомендации
по различным областям
Связующее звено между
политикой безопасности
и процедурой настройки
системы
Пример:
British Standard BS7799
46. Структура стандарта
BS7799
• Политика в области безопасности
• Организация системы безопасности
• Классификация ресурсов и управление
• Безопасность и персонал
• Физическая и внешняя безопасность
• Менеджмент компьютеров и сетей
• Управление доступом к системе
• Разработка и обслуживание системы
• Обеспечение непрерывности работы
109109
элементовэлементов
47. Политика безопасности и
ОС
ПолитикаПолитика
безопасностибезопасности
Другие ОСUNIXWindows NT
Общие стандартыОбщие стандарты
Руководства по настройкеРуководства по настройке
Детальные рекомендации
по настройке различных ОС
Пошаговые руководства
типа «Step-by-step»
Пример: Руководство
Стива Саттона
по настройке Windows NT
48. NT Security Guidelines
Структура документа
Level 1
Level 2
Level 1 – незначительная модификация
установок по умолчанию
Level 2 – для узлов с повышенными
требованиями к безопасности
50. Утилиты для настройки
C2 Config - Windows NT Resource Kit
Security Configuration Manager (SCM)
Security Configuration Tool Set
Windows NTWindows NT (2000)(2000)
51. Дополнительные средства
Средства анализаСредства анализа
защищённостизащищённости
Средства обнаружения иСредства обнаружения и
блокировки вторженийблокировки вторжений
Дополнительные средства защитыДополнительные средства защиты
52. Дополнительные средства
Дополнительные средства защитыДополнительные средства защиты
Средства, расширяющие возможности
встроенных механизмов защиты
Средства, реализующие дополнительные
механизмы защиты
53. Дополнительные средства
Усиление процедуры аутентификацииУсиление процедуры аутентификации
Дополнительные требования к паролям
• Фильтр passfilt.dll для Windows NT
• Модули PAM для Linux
54. Фильтр для паролей
Passfilt.dllPassfilt.dll
• Длина пароля не менее 6 знаков
• Обязательные символы
(верхний/нижний регистр, числа, спецсимволы)
• Пароль не должен содержать имя пользователя
58. Системы обнаружения атакСистемы обнаружения атак
на базе узлана базе узла
Источники данных:Источники данных:
• Журналы аудитаЖурналы аудита
• Действия пользователейДействия пользователей
Необязательно:Необязательно:
Сетевые пакеты (фреймы),Сетевые пакеты (фреймы),
направленные к узлу и от узланаправленные к узлу и от узла
