Сеть как объект защиты

Большинство современных автоматизированных систем обработки информации представляют собой распределенные системы, построенные на стандартных сетевых архитектурах и использующие типовые наборы сетевых сервисов и прикладного программного обеспечения. Корпоративные сети "наследуют" все "традиционные" для локальных вычислительных систем способы несанкционированного вмешательства. Кроме того, для них характерны и специфические каналы проникновения и несанкционированного доступа к информации, обусловленные использованием сетевых технологий.

Перечислим основные особенности распределенных вычислительных систем:

• территориальная удаленность компонентов системы и наличие интенсивного обмена информацией между ними;
• широкий спектр используемых способов представления, хранения и передачи информации;
• интеграция данных различного назначения, принадлежащих различным субъектам, в рамках единых баз данных и, наоборот, размещение необходимых некоторым субъектам данных в различных удаленных узлах сети;
• абстрагирование владельцев данных от физических структур и места размещения данных;
• использование режимов распределенной обработки данных;
• участие в процессе автоматизированной обработки информации большого количества пользователей и персонала различных категорий;
• непосредственный и одновременный доступ к ресурсам большого числа пользователей;
• разнородность используемых средств вычислительной техники и программного обеспечения;

Что такое сетевые уязвимости, угрозы и атаки?

В компьютерной безопасности термин "уязвимость " (англ. vulnerability ) используется для обозначения недостатка в системе, используя который злоумышленник может намеренно нарушить её целостность и вызвать неправильную работу. Уязвимость может быть результатом ошибок программирования, недостатков, допущенных при проектировании системы, ненадежных паролей, вирусов и других вредоносных программ, скриптовых и SQL-инъекций. Некоторые уязвимости известны только теоретически, другие же активно используются и имеют известные эксплойты.

Обычно уязвимость позволяет атакующему "обмануть" приложение - заставить его совершить действие, на которое у того не должно быть прав. Это делается путём внедрения каким-либо образом в программу данных или кода в такие места, что программа воспримет их как "свои". Некоторые уязвимости появляются из-за недостаточной проверки данных, вводимых пользователем, и позволяют вставить в интерпретируемый код произвольные команды (SQL-инъекция, XSS, SiXSS). Другие уязвимости появляются из-за более сложных проблем, таких как запись данных в буфер без проверки его границ (переполнение буфера). Поиск уязвимостей иногда называют зондированием , например, когда говорят о зондировании удалённого компьютера - подразумевают, поиск открытых сетевых портов и наличии уязвимостей, связанных с приложениями, использующими эти порты.

Под угрозой (вообще) обычно понимают потенциально возможное событие, действие, процесс или явление, которое может привести к нанесению ущерба чьим-либо интересам. Угрозой интересам субъектов информационных отношений будем называть такое событие, процесс или явление, которое посредством воздействия на информацию или другие компоненты АС может прямо или косвенно привести к нанесению ущерба интересам данных субъектов.

Сетевая атака - действие, целью которого является захват контроля (повышение прав) над удалённой/локальной вычислительной системой, либо её дестабилизация, либо отказ в обслуживании, а также получение данных пользователей пользующихся этой удалённой/локальной вычислительной системой. информационный киберпреступность вычислительный

Статья рассчитана на тех, кто начал думать о сетевой безопаности или продолжает это делать и укрепляет защиту веб-приложений от новых угроз - ведь для начала нужно понять, какие вообще могут быть угрозы, чтобы их предовратить.

Необходимость думать о сетевой безопасности почему-то считается правом только больших компаний, типа Badoo , Google и Google , Яндекс или Telegram , которые открыто объявляют конкурсы за нахождение уязвимостей и всеми способами поднимают безопасность своих продуктов, веб-приложений и сетевых инфраструктур. При этом подавляющее большинство существующих веб-систем содержат «дыры» различного характера (исследование за 2012 год от Positive Technologies , уязвимости средней степени риска содержат 90% систем).

Что такое сетевая угроза или сетевая уязвимость?

WASC (Web Application Security Consortium) выделял несколько базовых классов, каждый из которых содержит несколько групп, в общей сложности уже 50 , распространенных уязвимостей, использование которых может нанести ущерб компании. Полная классификация выложена в виде WASC Thread Classification v2.0 , и на русском языке есть перевод предыдущей версии от InfoSecurity - Классификация угроз безопасности Web-приложений , который будет использован за основу классификации и существенно дополнен.

Основные группы угроз безопасности сайтов

Недостаточная аутентификация при доступе к ресурсам

В эту группу угроз входят атаки на основе Подбора (Brute Force), Злоупотребление функционалом (Abuse of Functionality) и Предсказуемое расположение ресурсов (). Основное отличие от недостаточной авторизации заключается в недостаточной проверке прав (или особенностей) уже авторизованного пользователя (например, обычный авторизованный пользователь может получить права администратора, просто зная адрес панели управления, если не производится достаточная проверка прав доступа).

Эффективно противодействовать таким атакам можно только на уровне логики приложения. Часть атак (например, слишком частый перебор) могут быть заблокированы на уровне сетевой инфраструктуры.

Недостаточная авторизация

Сюда можно отнести атаки, направленные на легкость перебора реквизитов доступа или использование каких-либо ошибок при проверке доступа к системе. Кроме техник Подбора (Brute Force) сюда входит Угадывания доступа (Credential and Session Prediction) и Фиксация сессии (Session Fixation).

Защита от атак этой группы предполагает комплекс требований к надежной системе авторизации пользователей.

Сюда входят все техники изменить содержимое веб-сайта без какого-либо взаимодействия с сервером, обслуживающим запросы - т.е. угроза реализуется за счет браузера пользователя (но при этом обычно сам браузер не является «слабым звеном»: проблемы заключаются в фильтрации контента на стороне сервера) или промежуточного кэш-сервера. Виды атак: Подмена содержимого (Content Spoofing), Межсайтовые запросы (XSS, Cross-Site Scripting), Злоупотребление перенаправлениями (URL Redirector Abuse), Подделка межсайтовых запросов (Cross-Site Request Forgery), Расщепление HTTP-ответа (HTTP Response Splitting , Контрабанда HTTP-ответа (HTTP Response Smuggling), а также Обход маршрутизациии (Routing Detour), Расщепление HTTP-запроса (HTTP Request Splitting) и Контрабанда HTTP-запроса (HTTP Request Smuggling).

Значительная часть указанных угроз может быть блокирована еще на уровне настройки серверного окружения, но веб-приложения должны также тщательно фильтровать как поступающие данные, так и ответы пользователя.

Выполнение кода

Атаки на выполнение кода являются классическими примерами взлома сайта через уязвимости. Злоумышленник может выполнить свой код и получить доступ к хостингу, где расположен сайт, отправив определенным образом подготовленный запрос на сервер. Атаки: Переполнение буфера (Buffer Overflow), Форматирование строки (Format String), Целочисленное переполнение (Integer Overflows), LDAP внедрение (LDAP Injection), Mail внедрение (Mail Command Injection), Нулевой байт (Null Byte Injection), Выполнение команд ОС (OS Commanding), Исполнение внешнего файла (RFI, Remote File Inclusion), Внедрение SSI (SSI Injection), Внедрение SQL (SQL Injection), Внедрение XPath (XPath Injection), Внедрение XML (XML Injection), Внедрение XQuery (XQuery Injection) и Внедрение XXE (XML External Entities).

Не все из указанных типов атак могут касаться вашего сайта, но корректно они блокируются только на уровне WAF (Web Application Firewall) или фильтрации данных в самом веб-приложении.

Разглашение информации

Атаки этой группы не являются угрозой в чистом виде для самого сайта (поскольку сайт никак от них не страдает), но могут нанести вред бизнесу или использованы для проведения других типов атак. Виды: Отпечатки пальцев (Fingerprinting) и Обход директорий (Path Traversal)

Правильная настройка серверного окружения позволит полностью защититься от таких атак. Однако, также нужно обратить внимание на страницы ошибок веб-приложения (они могу содержать большое количество технической информации) и работу с файловой системой (которая может быть компрометирована недостаточной фильтрацией входных данных). Также бывает, что в поисковом индексе появляются ссылки на какие-либо уязвимости сайта, и это само по себе является существенной угрозой безопасности.

Логические атаки

В этой группе отнесли все оставшиеся атаки, возможность которых заключается, в основном, в ограниченности серверных ресурсов. В частности, это Отказ в обслуживании (Denial of Service) и более точечные атаки - Злоупотребление SOAP (SOAP Array Abuse), Переполнение XML-атрибутов XML Attribute Blowup и Расширение XML-сущностей (XML Entity Expansion).

Защита от них только на уровне веб-приложений, либо блокировки подозрительных запросов (сетевое оборудование или веб-прокси). Но при появление новых видов точечных атак необходиом проводить аудит веб-приложений на предмет уязвимости им.

DDoS-атаки

Как должно быть понятно из классификации, DDoS-атака в профессиональном смысле - это всегда исчерпание ресурсов сервера тем или иным способом. Другие методы (хотя и упомянуты в Википедии) напрямую к DDoS атаке отношения не имеют, но представляют тот или иной вид уязвимости сайта. Там же в Википедии достаточно подробно изложены методы защиты, здесь их дублировать не буду.

Интернет похож на минное поле планетарного масштаба, на котором можно легко столкнуться с опасностями.

1. Вредоносные программы и в первую очередь трояны, обитаю¬щие на мошеннических сайтах. Они обычно маскируются под полезное ПО, и эти «привлекательные» программы загружает и устанавливает на свой ПК сам посетитель Сети.
2. Веб-сайты, использующие уязвимость браузера для загрузки вредоносных программ. Причем страницы с опасным кодом могут размещаться и на вполне благопристойных сайтах, подвергшихся атаке со стороны злоумышленников.
3. Фишинговые сайты, имитирующие интерфейс популярных сайтов (от почтовых сервисов и социальных сетей до платежных систем) с целью получения учетных данных посетителя.
4. Спам-рассылки, которые получают пользователи практически всех существующих средств коммуникации: электронной
почты, службы мгновенных сообщений, социальных сетей и т.д. Такие сообщения могут содержать и сугубо рекламную информацию, и ссылки на фишинговые или распространяющие вредоносное программное обеспечение сайты
5. Перехват данных, передаваемых в не зашифрованном виде. При этом конфиденциальная информация может попасть в руки злоумышленников

На самом деле всех неприятностей, связанных с выходом в Сеть, можно избежать, соблюдая элементарные правила безопасности

Защитите физический доступ к компьютерам

Ваша система может быть защищена и заблокирована новейшими средствами, но если злоумышленник получит к ней физический доступ, все ваши усилия будут сведены к нулю. Удостоверьтесь, что компьютеры никогда не остаются без присмотра.

Не используйте административные учетные записи для ежедневной работы

В эпоху Windows NT, до появления клиента Подключение к удаленному рабочему столу (Remote Desktop Connection) и команды runas, администраторы зачастую помещали собственные личные учетные записи в группу Администраторы домена (Domain Admins). В настоящее время это делать не рекомендуется; лучше создавать дополнительные административные учетные записи Active Directory (например, для себя я мог бы создать личную учетную запись rallen и административную учетную запись rallen.adm). Для запуска программ, требующих административных привилегий, используйте службу подключения к удаленному рабочему столу или команду runas. Это снизит шанс (хотя и не сильно) случайного повреждения системы.

Использование обычной учетной записи пользователя также уменьшает возможные повреждения, которые может нанести системе вирус или червь.

Регулярно обновляйте вирусные определения и антишпионские приложения

Одна из причин столь высокой скорости распространения вирусов заключается в том, что определения вирусов обновляются слишком редко. В наши дни новые вирусы и черви появляются с ужасающей частотой, и чтобы суметь противостоять вирусной угрозе, необходимо использовать новейшие определения. То же относится и к шпионским программам, превратившимся сегодня в едва ли не большую проблему, чем вирусы.

Удостоверьтесь, что на компьютере установлены все критические пакеты исправлений

Даже если вирусные определения обновляются не так часто, как следовало бы, большинство вирусов и червей можно остановить еще на входе в систему, если устанавливать критические обновления безопасности сразу же, как только они становятся доступны. Конечно, когда повсеместно использовалась Windows NT и только что вышла Windows 2000, в этом не было суровой необходимости, но сегодня система, в которой новые обновления безопасности не устанавливаются в течение нескольких дней (а иногда минут) после выхода, совершенно открыта для новых вирусов и червей. Мы рекомендуем поместить адрес следующего веб-сайта в список избранного и периодически посещать его, чтобы не отстать от новейших технологий безопасности Microsoft:
http://windowsupdate.microsoft.com .

Включите аудит важных действий
В Windows предусмотрена возможность регистрации определенных действий и деятельности системы; благодаря этому можно проследить по журналу событий необходимые действия, например модификацию определенных файлов, в случае если возникнет угроза безопасности.

Регулярно проверяйте журналы событий

В журналах событий можно найти множество важных сведений относительно безопасности системы, однако о них часто забывают. Помимо прочего, причиной этого является большое количество «мусора» в журналах, то есть сообщений о незначительных событиях. Разработайте процесс централизации и регулярного анализа журналов событий. Наличие механизма регулярного сканирования журналов особенно поможет вам при аудите важных действий, о которых говорится в предыдущем разделе.

Разработайте план действий на случай атаки

Большинство людей думают, что с ними никогда не произойдет ничего подобного, но жизнь показывает, что это далеко пе так. В действительности большинство пользователей пе обладают даже частью тех знаний о безопасности, которыми могут похвастаться «профессиональные» злоумышленники. Если определенный злоумышленник (или, что еще хуже, группа злоумышленников) положит глаз на вашу организацию, вам понадобится проявить всю свою ловкость, смекалку и знания, чтобы предотвратить проникновение в систему. Атакам подвергались даже крупнейшие компании в мире. Мораль такова: каждый должен быть готов к тому, что целью очередной атаки может стать его система. Что же делать?
Вот несколько полезных ссылок, которые помогут вам разработать план реагирования на события.

Стали проблемой для всех пользователей ПК, имеющих доступ к Интернету без исключений. Многие компании используют брандмауэры и механизмы шифрования в качестве решений проблем безопасности, чтобы оставаться защищенными от возможных угроз. Тем не менее этого не всегда бывает достаточно.

Классификация сетевых угроз

Сетевые угрозы классифицируют на четыре категории:

1. Неструктурированные угрозы;
2. Структурированные угрозы;
3. Внутренние угрозы;
4. Внешние угрозы.

Неструктурированные угрозы

Неструктурированные угрозы часто включают несфокусированные нападения на одну или несколько сетевых систем. Атакуемые и зараженные системы могут быть неизвестны преступнику. Программные коды, такие как вирус, червь или троянский конь несложным образом могут попасть на Ваш ПК. Некоторые общие термины, о которых следует знать:

Вирус – вредоносная программа, способная реплицироваться с небольшим вмешательством пользователя (или совсем без его вмешательства), а реплицируемые программы также могут реплицироваться.

Червяк – форма вируса, распространяющаяся путем создания дубликатов на других дисках, системах или сетях. К примеру, червь, работающий с системой электронной почты, может отправлять свои копии на каждый адрес в адресной книге системы электронной почты.

Троянский конь – это, на первый взгляд, полезная программа (возможно игра или скринсейвер), но в фоновом режиме она может выполнять другие задачи, такие как удаление или изменение данных, или же захват паролей. Настоящий троянский конь не является технически вирусом, потому что он не реплицируется.

Неструктурированные атаки с использованием кода, который воспроизводит себя и отправляет копию всем пользователям электронной почты, могут легко пересечь земной шар за несколько часов, вызывая проблемы для сетей и отдельных лиц по всему миру. Хотя первоначальное намерение могло быть незначительным.

Структурированные угрозы

Структурированные угрозы ориентированы на одного или нескольких лиц; воспроизведятся людьми с навыками более высокого уровня, активно работающими над компрометацией системы. У злоумышленников, в этом случае, есть определенная цель. Они, как правило, хорошо осведомлены о дизайне сети, безопасности, процедурах доступа и инструментах взлома, и у них есть возможность создавать сценарии или приложения для достижения своих целей.

Внутренние угрозы

Внутренние угрозы исходят от лиц, имеющих авторизованный доступ к сети. Это может быть недовольный сотрудник или несчастный уволенный сотрудник, доступ которого все еще активен. Многие исследования показывают, что внутренние атаки могут быть значительными как по количеству, так и по размеру потерь.

Внешние угрозы

Внешние угрозы - это угрозы отдельных лиц вне организации, часто использующих Интернет или коммутируемый доступ. Эти злоумышленники не имеют авторизованного доступа к системам.

Результатом классификации определенной угрозы может быть комбинация двух или более угроз. Например, атака может быть структурирована из внешнего источника и, в то же время, может иметь одного или нескольких скомпрометированных сотрудников внутри, активно продвигающих усилия.