1. Trustworthy Computing Initiative
Надѐжная Компьютерная Инициатива -
ответ сегодняшним рискам ИТ
безопасности
Дмитрий Соболев
Консультант по внедрению
инфраструктурных решений
29.07.2010

2. Содержание
 Почему безопасность ИТ так
существенна
 Актуальность рисков безопасности ИТ
 Microsoft Trustworthy Computing Initiative
 Выводы
 Предложение DPA для улучшения безоп
асности ИТ инфраструктуры

3. Что существенно для организации?
Заработать
Сэкономить
Контролировать
риски

4. Цель нападающих –
программы пользователей
Источник: The Top Cyber Security Risks, сентябрь 2009 года

5. Динамика найденных уязвимостей
% of vulnerability disclosures:
Operating system vs browser and application vulnerabilities
Source: Microsoft Security Intelligence Report V7
Источник: The Microsoft Security Update Guide, июль 2009 года

6. Топ 10 внутрисетевых уязвимостей
№ Уязвимость
1 Adobe Flash Player Multiple Vulnerabilities, 7.x, 8.x, 9.x
2 Adobe Flash Player Multiple Vulnerabilities, 9.x, 10.x
3 Adobe Acrobat and Reader Multiple Vulnerabilities
4 Adobe Reader JavaScript Methods Memory Corruption Vulnerability
5 Sun Java Multiple Vulnerabilities
6 Microsoft Office PowerPoint Could Allow Remote Code Execution
7 Microsoft Excel Remote Code Execution Vulnerability
8 Sev4 Microsoft Word Multiple Remote Code Execution Vulnerabilities
9 WordPad and Office Text Converters Remote Code Execution Vulnerability
10 Vulnerabilities in Microsoft DirectShow Could Allow Remote Code Execution
Источник: Top 10 Internal Vulnerabilities, www.qualys.com. Апрель 2010 года

7. Недостатки распространения заплаток
 Наибольшее внимание уделяется ОС
 Затем MS Office заплатки
 Только тогда (если вообще) Adobe
Reader и Flash, Java
 Обновляя Internet Explorer,
игнорируются другие Интернет
проводники

8. Динамика распространения заплаток
(MS OS)
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

9. Динамика распространения заплаток (MS
Office)
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

10. Динамика распространения заплаток
(Adobe Acrobat)
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

11. Динамика распространения заплаток
(Adobe Flash)
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

12. 0-day уязвимости
 Программная ошибка для которой ещѐ
нет заплатки
 Быстро возрастающее количество
авторов
 Распространѐнные цели PDF, Flash
Player и MS Office Suite (PowerPoint,
Excel, Word)
 Производитель не спешит латать дыры,
если нет крупномасштабных нападений

13. Пример взлома
 Инфраструктура
 Рабочие станции Windows XP
 Сервера Windows Server 2003
 Active Directory
 Инфраструктура «Огненной стены»
 Цель взлома
 Украсть секретные данные с сервера
 Условия
 Все рабочие станции стандартизированы
 На рабочих станциях учетная запись Administrator активна и
пароль везде одинаковый
 Централизованно обслуживается список Internet Explorer
Trusted Web sites

14. Пример взлома
Шаг 0: Нападающий взламывает веб страницу, которой доверяет компания
(Trused web site), и добавляет код с уязвимостью.
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

15. Пример взлома
Шаг 1: Клиент, с рабочей станции на которой не установлены все заплатки,
посещает соответствующую страницу.
Проводник выполняет встроенный код нападающего и инсталлирует на
компьютер клиента консоль удалённого доступа (reverse shell backdoor).
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

16. Пример взлома
Шаг 2: Консоль удалённого доступа через HTTPS пересылает запросы на сайт
нападающего и принимает на выполнение его команды (с контексте прав
пользователя).
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

17. Пример взлома
Шаг 3: Нападающий закачивает инструмент, который использует метод
privilege escalation (например, 0-day), и получает права администратора .
Нападающий считывает все зашифрованные пароли на рабочей станции
(password hash).
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

18. Пример взлома
Шаг 4: После этого применяя метод нападения pass-the-hash против рабочей
станции сетевого администратора, подключается и считывает зашифрованные
пароли с компьютера администратора.
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

19. Пример взлома
Шаг 5: Нападающий, используя считаные hash паролей уровня доменного
администратора, методом pass-the-hash нападает на доменный контролёр АД,
получает к нему доступ и считывает всё зашифрованные пароли учётных
записей на доменном контролёре.
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

20. Пример взлома
Шаг 6: Взломщик ещё раз использует метод pass-the-hash и как администратор
подключается к серверу с секретными данными компании.
Шаг 7: Он копирует данные на сайт в Итнернет, для транспортировки используя
HTTPS.
Источник: The Top Cyber Security Risks, www.tippingpoint.com, сентябрь 2009 года

21. Почему это было возможно?
 Во внутренней сети находится рабочая станция на
которую не установили все заплатки (Шаг 1.)
 Недостаточно контролируется HTTPS трафик, через
который работает программа консоли удалѐнного
доступа (Шаг 2.)
 Все локальные учѐтные записи на рабочих станциях
(включая администратора) активны и имеют
одинаковые пароли (Шаг 4.)
 Рабочая станция администратора недостаточно
защищена и изолирована (Шаг 4.)
 У учѐтной записи администратора домена есть права
доступа на сервер с секретной информацией (Шаг 6.)

22. Trustworthy Computing Initiative –
Надѐжная Компьютерная Инициатива
 2001 год – бушует Code Red и Nimda
 В начале 2002 года Билл Гейтс
сообщает о Microsoft Trustworthy
Computing Initiative
 Изменение парадигмы с
функциональности на безопасность

23. Trustworthy Computing Initiative
Основная идея:
 ИТ система должна делать только то, что от
неѐ ждут и ничего другого, несмотря на ошибки
и условия
 Дизайнерские ошибки и ошибки допущенные
при внедрении не должны влиять на
функциональность системы
 Недопустимо выполнять только часть этих
требований
 Надѐжность системы должна быть
холистической и многомерная
Источник: Trust in Cyberspace, Committee on Information Systems Trustworthiness, 1998.

24. Сравнение уязвимости Интернет проводников 1H9
• Целю нападений на Windows XP рабочие станции в 56.4%
случаев являлись уязвимости Microsoft
В среде Windows Vista только 15.5%
Windows XP Windows Vista
Microsoft
15.5%
3rd Party
43.6%
Microsoft 3rd Party
56.4% 84.5%

25. Trustworthy Computing
SD3+C paradigma – Защищает Услуги постоянно В центре клиент и его
secure by design, конфиденциально доступны бизнес требования
secure by default, сть данных Легко и быстро Директивы
secure in Соответствует резервировать и установившейся
deployment + принципам восстанавливать практики
improved честного обмена Открытость и
communications информации прозрачность
Trustworthy Computing

26. Выводы
 ИТ безопасность позволяет
контролировать риски
 Цель нападающих – пользовательские
программы
 Распространение заплаток для программ
очень медленная
 Эксплойты 0-day создают реальные риски
 Цель MS Trustworthy Computing Initiative -
создавать надѐжные продукты

27. Предложение DPA
 Аудит безопасности ИТ инфраструктуры
 Укрепление ИТ инфраструктуры – от
анализа и планирования до внедрения
процедур и поддержки
 Стандартизация ИТ инфраструктуры при
помощи продуктов MS System Center
 Внедрение продукта MS Forefront для все
уровневой защиты ИТ инфраструктуры

28. Предложение DPA
 Network Access Protection (NAP) –
изоляция повреждѐнных элементов и
устранение их уязвимостей
 Network Policy Server и 802.1x – надѐжная
и удобная аутентификация рабочих
станций и мобильных устройств с сетях
WiFi и Wired
 Аутентификация при помощи Смарт-карт
для внутренних и внешних пользователей
(Secure Logon, VPN, TS gateway, IPSec)

29. Спасибо за внимание!